サイバー保険は、しばしば悪い評判を浴びることがあります。
による保険料の急騰、免責事項の拡大、および申請者の サイバー衛生慣行 に対する審査の厳格化に嫌気がさし、多くの企業がリスクを冒して、サイバー攻撃に対する金銭的なセーフティネットをほとんど、あるいは全く設けずに済ませる道を選んでいます。
実際、BlackBerryとCorvus Insuranceが最近実施した調査（ ）によると、北米企業の55％ がサイバー保険に加入していると回答しましたが、補償額が$600,000を超える企業は 20％未満にとどまっています。この$103は、昨年ランサムウェア攻撃者（ ）が要求した金額の中央値（）であり、 でした。
率直に言えば、サイバー保険は誰にでも向いているわけではありません。 一部の巨大企業は、自社のリスクを自ら引き受けるための予算と人材を備えているため、それを必要としません。 しかし、他の企業は、その価値を十分に理解していないため、この保険への加入を見送っている可能性が高いです。
「サイバー保険は、おそらく今日の保険市場において最も理解されていない商品であり、かつ最も扱いが難しいものです」と、保険金請求案件において企業を代理する全米規模の法律事務所、バーンズ・アンド・ソーンバーグLLPのパートナーであるスコット・ゴデス氏は述べています。
以下に、サイバー保険に関する5つのよくある誤解と、 の『Focal Point』 が取材した業界関係者による実情解説をご紹介します。
誤解：保険は高額なので、自分で対処したほうがよい
実情： はい、ここ数年でランサムウェア攻撃が急増したことに伴い、サイバー保険の保険料は急騰しています。 保険代理店・ブローカー協議会（CIAB）によると、 2022 年第1四半期のは、前四半期と比較して平均 28％上昇し、 となりました。
「サイバー保険は、おそらく今日の保険市場において最も理解されていない商品であり、かつ最も扱いが難しいものです。」スコット・ゴデス氏、バーンズ・アンド・ソーンバーグLLP パートナー
また、タフツ大学フレッチャー・スクールのサイバーセキュリティ政策担当准教授であるジョセフィン・ウォルフ氏は、大規模なセキュリティチームを擁し、リスクの評価や軽減能力に自信を持っている大企業にとっては、独自に対応することも有効なアプローチになり得ると述べています。
また、サイバーセキュリティの研修、認定、研究を行う企業であるSANS Instituteの新興セキュリティ動向担当ディレクター、ジョン・ペスカトーレ氏は、保険に加入しないことが、一部の中小企業にとっては経済的に理にかなっている場合もあると付け加えています。 「インシデントによるコストは、一般的に、データ漏洩やサービス停止によって影響を受けた顧客の数に比例します」と彼は述べています。
ペスカトーレ氏によると、顧客数が 10,000 人未満の中小企業の場合、100万ドルの補償額と10,000 ドルの免責額を設定した保険契約の年間保険料は、5,000 ドル未満になる可能性があるとのことです。 それにより、インシデントに伴う実費はおそらく賄えるでしょう。 しかし、その10,000 ドルを費やしたからといって、サイバーセキュリティへの投資を省略してよいというわけではありません。そうすれば、はるかに高額で頻繁な攻撃の標的となるリスクを自ら招くことになるからです。
[関連記事：ランサムウェアがサイバー保険業界に打撃を与えています]
コーバス・インシュアランス社のCISOであるジェイソン・レブホルツ氏は、サイバー保険がすべての人に適しているわけではないという点に同意しています。 But he maintains that investing in insurance is worthwhile because most companies do not have the technical or financial ability to withstand data breaches, which Forrester estimates cost organizations $2.4 million on average. Although costs vary widely according to the level of coverage needed, the typical cyber insurance premium in the United States in 2021 was $1,589 a year, according to AdvisorSmith Solutions, a small-business research firm.
「CISOとして、セキュリティインシデントに対処するための予算が無制限であれば、これほど嬉しいことはありません」とレブホルツ氏は述べています。 「とはいえ、自分に降りかかるどんなことにも対処できるだけの余裕がいつの日かあるだろうなどという、そんな誤解を抱いているわけでもありません。」 「そこで、サイバー保険が役立ちます。」
誤解：私の会社は規模が小さすぎて、攻撃の対象にはならない
現実： 中小企業に対するサイバー攻撃は、すでに襲いかかっているか、あるいは間もなく襲いかかるでしょう。 AdvisorSmith Solutions社の推計によると、 2021年には中小企業のほぼ 42％が何らかの形のサイバー攻撃を受けたとのことです。 確かに、そのうちの 24％は、低レベルの フィッシング攻撃であるように見受けられました。 しかし、 19％は本格的なデータ漏洩事件であり、 11％は企業の存続を脅かす可能性のあるランサムウェア攻撃でした。
現実として、 中小企業（SMB）もサイバー攻撃から免れることはできません 。一度攻撃を受けると、壊滅的な被害を被る可能性があります。 企業向け保険会社であるヒスコックスによると、サイバー攻撃による被害額は、中小企業の平均で最大25,612ドルに上るそうです。 しかし、 によると、中小企業の意思決定者の66％が、 自社の規模が小さすぎるか、あるいは目立たない存在であるため、サイバー犯罪者が自分たちに関心を寄せることはないと考えているとのことです。
レブホルツ氏は、こうした攻撃は、多くの中小企業の経営者が考えているほど、特定の対象を絞ったものでも、個人的なものでもないと述べています。 「攻撃者は、あなたが誰であるかなど、必ずしも気にしていないのです」と彼は言います。 「例えば、多くのランサムウェア攻撃は、 のような機会主義的な攻撃であり、 攻撃者があらゆる対象へのアクセスを試みるものです。 「もし5社以上の企業グループを見つけたら、そのすべてに対して攻撃を仕掛け、そのうち1社が身代金を支払うことを期待するのです。」
誤解：サイバーセキュリティ対策について、保険会社にあまり多くの情報を開示するのはリスクが高い
実情： 自動車保険、医療保険、生命保険の申し込みと同様に、多くの消費者は、保険会社に情報を開示しすぎると、保険料が高くなったり、保険加入を拒否されたりすると考えるようになってきました。 一方、セキュリティの専門家たちはもともとリスクを嫌う傾向があり、自社の企業秘密を誰にでもあまり明かすことを好まず、ましてや完全に信頼していない保険会社にはなおさらです。
あまり多くの情報を明かしたくないというその心理から、企業の経営幹部は保険に加入しないことを決めたり、往々にして長大な保険申込書への記載内容を最小限に抑えたり、あるいは回答を曖昧にしたりすることがよくあります。
しかし、こうしたアプローチは誰の利益にもならないと、レブホルツ氏は述べています。 同氏によると、保険会社は、保険会社と被保険者の双方にとって多大な損失をもたらす可能性のあるサイバー攻撃を、 先手を打って未然に防ぐため、可能な限り継続的な情報を求めているとのことです。 同時に、同氏は、サイバー保険会社は、サイバーセキュリティのベストプラクティスを実践していることを示した契約者に対して、自動車保険会社が安全運転割引を提供するのと同様に、より有利な保険料率を提示できる可能性があると指摘しています。
[関連記事：連邦政府はサイバー保険を保証するのでしょうか？]
サイバーセキュリティソフトウェアプロバイダーであるブラックベリーのチーフ・サイバーセキュリティ・アドボケイト、ゲイリー・デイヴィス氏は、保険契約者がより積極的な考え方に変わりつつあり、自社のサイバーセキュリティ戦略について以前より率直に語るようになっていると述べています。 「私たちの調査によると、 64％の企業が、サイバー保険の保険料を引き下げてくれる見返りとして、自社のセキュリティ態勢に関する情報を保険会社に提供することに抵抗がないことが分かりました」と彼は述べています。 「この通説を鵜呑みにすることのリスクは、かえって逆の結果を招く可能性があるということです。つまり、サイバー防御体制が脆弱であるために、保険料が上昇してしまう恐れがあるのです。」
誤解：保険会社は、保険金の支払いを免れる方法を探そうとする
実情： 組織がサイバー攻撃を受けた場合、保険会社が保険金の支払いを拒否する可能性は常にあります。 よくあることです。
「請求の大部分は支払われています。」 人々は、保険が何をカバーするかという自分の思い込みに惑わされてしまうのです。”ジェイソン・レブホルツ氏、コーバス・インシュアランス社 CISO
しかし、通常、保険金支払いが拒否されるのは、その状況が保険契約の対象外であるためです。 これは、保険について人々が抱きがちな誤解の中でも、最も一般的なもののひとつです。 例えば、住宅所有者向け保険に加入したものの、地震や洪水による損害は補償対象外だと知り、驚いてしまいます。 同様に、ランサムウェア攻撃を受けた企業の中には、復旧作業の一環として新しいハードウェアを購入したものの、保険ではそのようなアップグレードの費用は補償されないことを知り、驚かされるケースもあります。
レブホルツ氏は、サイバー保険の補償額が十分でないかもしれないという理由で、企業がそれを拒否すべきではないと述べています。 そうではなく、現実をしっかりと見据えた上で、身を守るべきです。 保険契約の内容を把握しておくことは極めて重要だと、彼は述べています。 もし、同様に影響を受けた関連会社に関連する訴訟費用など、特定の事態が対象外となっている場合は、経営陣は他の選択肢を検討すべきです。
[関連記事：ウクライナ戦争がサイバーセキュリティ保険に与える影響]
また、保険契約者が申込書に記載したセキュリティ体制に関する申告内容に違反した場合、保険会社は保険の引受を拒否したり、さらには保険契約を解除したりすることもあります。 つまり、 の多要素認証 を導入していると主張しながら、実際にはそれを使用も維持もしていなかった場合、問題となる可能性があります。
「全体として見れば、請求の大部分は支払われています」とレブホルツ氏は述べています。 「人々は、保険がどのような内容をカバーするかという自分の思い込みに、つい惑わされてしまうのです。」
誤解：基本的なサイバー保険で十分だ
現実： 人生において、たいていの場合、支払った分だけの価値が得られるものです。 古い車に対して賠償責任保険しか加入しておらず、その車が全損してしまった場合、新しい車に買い替えることはできません。 同様に、最も安いサイバー保険に加入していて、何か深刻な事態が発生した場合、その影響は甚大なものとなる可能性があります。
「何かに対して保険に加入すると、実践や方針において油断してしまうことがあります。」 災害に見舞われたとき、補償を受けられるような気がしてなりません。”イェール大学ロースクール「情報社会プロジェクト」客員研究員、ショーン・オブライエン氏
「当社の調査によると、 44％の企業がランサムウェアの身代金要求額の中央値を賄えるだけの十分な保険に加入しておらず、 43％の企業は訴訟費用や従業員の休業による損失といった付随費用について補償の対象外となっています」と、ブラックベリーのデイビス氏は述べています。 「この誤った認識を信じてしまうと、復旧にかかる費用が自社の事業が合理的に負担できる範囲を超えてしまうような攻撃の被害に遭うリスクがあります。」
本記事の取材に応じた専門家たちは、企業はサイバー保険への投資を、俗説ではなく現実に基づいて判断すべきであるという点で一致しました。 一方で、イェール大学ロースクールの「情報社会プロジェクト」の客員研究員であるショーン・オブライエン氏は、セキュリティの専門家たちは警戒を緩めてはならないと述べています。 「何かに対して保険に加入すると、実際の行動や方針において、だらしなくなってしまうことがあります」と彼は言います。 「災害が起きた時には何とか守られるだろうという安心感から、本来あるべきほど注意を払えなくなってしまうかもしれません。」
結局のところ、オブライエン氏は、保険の補償範囲を理由に、強固なセキュリティ戦略を全面的に導入することをためらわないようにすべきだと主張しています。 結局のところ、それはいつだって報われるものです。
