ここ数カ月、サイバー犯罪者たちは、米国の企業やインフラを標的とした、衝撃的なランサムウェア攻撃の波を仕掛けています。 彼らは食肉加工工場やガスパイプライン、学校、医療施設を閉鎖しました。 いずれの場合も、彼らは被害者のコンピュータシステムをロックし、アクセス権を回復するための金銭を要求しました。 Known payments to these cyber-extortionists rose 344% from 2019 to 2020, totaling $416 million in cryptocurrency, according to a 2021年7月 report by blockchain data platform Chainalysis. This year, the figure has already reached $210 million.
多くのランサムウェア事件において、被害者自身が小切手を切る（というか、ビットコインを支払う）わけではありません。 彼らのサイバー保険会社は以下の通りです。 In fact, 70% of cyber insurance premiums wound up being paid out to hackers in 2020,according to Fitch Ratings.
ランサムウェアの身代金要求額と支払額が から へと急増していることを踏まえると、サイバー保険業界が現在、保険料を引き上げ、補償範囲や事業運営の見直しを進めているのも不思議ではありません。 によると、 2020年の終わりに、サイバー保険の加入者の半数以上が、保険料が 10％から 30％の間で上昇したとのことです。米国政府監査院（GAO）。 また、引受会社は、具体的にどのようなリスクを補償するか、またどのような顧客を受け入れるかについて、より厳選するようになっています。 場合によっては、新たな規則を設けたり、補償限度額を引き下げたり、免責額を引き上げたりしています。
また、彼らは顧客のIT部門やセキュリティ部門にもより深く踏み込み、その技術スタックやプロセスを精査しています。 例えば、一部の保険会社は、顧客が自社のネットワークへのアクセスに基本的な多要素認証を採用していない場合、保険の適用を拒否することがあります。 クライアントのサイバーリスクを評価し、リスクスコアを算出するために、独立系のサイバーセキュリティ企業を起用している企業もあります。
[関連記事：政府機関がリアルタイムデータを活用してサイバーセキュリティスコアを向上させる方法]
実際、 のリスクスコアリング（ ）は、交渉の双方にとって強力なツールとなっています。 保険会社にとっては、顧客のネットワーク、サーバー、エンドポイントのセキュリティ状況を把握するのに役立ち、その結果、保険契約の条件を設定したり、契約そのものを拒否したりすることが可能になります。 あらゆる規模の企業において、リスクスコアリングは、リスクの規模を把握し、優先順位を決定する上で重要な役割を果たすようになっています。 また、CIOやCISOに対し、特定の分野における予算増額を裏付けるための明確かつ具体的なデータポイントを提供します。
ご加入の保険にはどのような内容が含まれていますか？
サイバー保険が 1990sで初めて登場した当初、保険会社は補償範囲をデジタル処理上のミスに限定していました。 保険契約の内容やサイバー犯罪の動向が変化するにつれ、保険会社は不正アクセス、ネットワーク侵害、データ損失、およびウイルスによる損害を補償対象に含めるようになりました。 保険会社はまた、営業中断や恐喝についても補償範囲を拡大しました。
こうした補償の一部は、実際には既存の財産保険や賠償責任保険に組み込まれており、その結果、保険約款の文言が曖昧になることが多く、保険会社が多額の保険金支払いを回避できる余地が生じていました。 現在、ほとんどのサイバー保険では、ネットワークセキュリティが明確に補償対象となっているため、データ漏洩、マルウェア感染、サイバー恐喝、あるいはランサムウェア攻撃が発生した場合でも、企業は保護されます。
法的費用、ITフォレンジック、顧客への通知、規制当局による調査、そしてもちろん、ランサムウェアの身代金要求に関する交渉や支払いに伴う費用などが補償の対象となります。 一部のサイバーセキュリティ保険会社では、いわゆる「第三者補償」を提供しており、サイバーインシデントの影響を受けた保険契約者およびその顧客双方からの損失や請求を補償しています。
しかし、サイバー保険については賛否が分かれています。 批判的な意見によると、この措置は、ランサムウェアの被害者が犯罪者の要求に従うことを助長してしまうものであり、本来なら、セキュリティや企業向け技術の強化に積極的に投資すべきであるとのことです。 一方、ますます巧妙かつ破壊的になっているサイバー犯罪者に対抗するためには、これは必要な予防措置であると考える人々もいます。 現在のビジネス環境においては、サイバー保険は、ドライバーにとっての自動車保険と同様に、必須であるべきだという意見さえあります。
ディフェンスの質を高める
もちろん、サイバー攻撃に対する最善の対策は、強固な基盤を築くことです。 その第一歩として、 や、適切なサイバー衛生管理の基本 から始めることがよくあります。 ネットワークに接続されているエンドポイントの数、種類、および稼働状況を で明確に把握しておくことは、リスク評価に役立ちます。 ソフトウェア管理 ソリューション、 構成プラットフォーム、および自動化された パッチ管理 は、いずれも企業の内部防御を強化するための基盤となります。一方、 データプライバシー 管理 により、組織は機密情報を保護し、プライバシー侵害に対処することが可能になります。
「3ヶ月前にすべてを解決したからといって、今日でも大丈夫だとは限りません。」 脆弱性を特定し、迅速に対応する必要があります。”Taniumの製品管理ディレクター、ショーン・マリオット氏
こうしたサイバーセキュリティツールが導入されれば、リスクスコアリングによって、強化が必要な分野を特定することが可能になります。 これは、ツールが乱立し、さまざまな事業部門から一貫性のないその場しのぎのデータが寄せられる今日の企業ITおよびセキュリティ環境において、優先順位を設定することがほぼ不可能になっている状況において、極めて重要なことです。 また、データはタイムリーである必要があります。 「脆弱性や攻撃経路は絶えず発見されています」と、Taniumのプロダクトマネジメント担当ディレクターであり、長年にわたり情報セキュリティの専門家として活躍してきたショーン・マリオット氏は述べています。 「3ヶ月前にすべてを解決したからといって、今日が大丈夫だとは限りません。」 「脆弱性を特定し、迅速に対応する必要があります。」
Taniumのような単一のエンドポイント管理・セキュリティプラットフォームによるリスクスコアリングが役立ちます。 この仕組みは、攻撃ベクトルとなり得るすべての領域を評価することで機能します。 これらには、システムの脆弱性、システムのコンプライアンス、管理者権限、パスワード認証、ウイルス対策ソフトウェア、ファイアウォール、および暗号化プロトコルなどが含まれます。 これらのツールは、隅々までセキュリティを向上させるための提案を生成したり、最も顕著な脆弱性に対処したりすることができます。
「どの組織においても、やるべきことは常に、それをこなすための時間やリソースよりも多いものです」とマリオット氏は述べています。 「スコアリングを行うことで、最も重要な課題が浮き彫りになります。」 優先順位付きのリストはこちらです： スコアを下げる上で全体として最も大きな効果が見込めるため、まずはこれらの対策から行ってください：。 重要なのは、何が重要なのかを理解し、次の質問に答えられるようになることです。「 私たちの取り組みはうまくいっているでしょうか？」
また、リスクスコアリングは、企業がサイバーセキュリティを中核的な使命として取り入れる上でも役立ちます。 企業はリスク管理を優先することに長けており、サイバーセキュリティの評価が低いことは、経営陣にとって、セキュリティ上の脆弱性を解消し、情報漏洩のリスクやそれに伴う評判や事業運営への損害を軽減するための大きな動機となります。規制当局からの金銭的制裁は言うまでもありません。
政策リスク
一部のアナリストは、ランサムウェア犯罪者による脅威が、保険会社にサイバー保険の取り扱いを完全に廃止させることになると指摘しています。 GAOは、 年5月付の報告書『 』（）および『』（）において、保険会社がサイバー保険を提供できる能力について懸念を表明し、「サイバー保険が今後も広く利用可能かつ手頃な価格で提供され続けるかどうかは、依然として不透明である」と述べています。
「サイバー保険が今後も広く利用可能で、手頃な価格のまま提供され続けるかどうかは、依然として不透明です。」GAOの「サイバー保険」に関する報告書、 2021年5月
業界初とされる動きとして、保険大手のAXAは、フランスのサイバー犯罪担当最高検察官が「企業はサイバー恐喝犯に支払いをすべきではない」と警告したことを受け、フランス国内における身代金要求攻撃への補償を打ち切ることを決定しました。 保険会社自体も、攻撃の影響を免れるわけではありません。 In March, CNA Financial paid $40 million to hackers to regain control of its network after thieves infiltrated its systems and stole data.
一見すると政策上のリスクがあるにもかかわらず、サイバー保険の将来は明るいと見込まれています。 The market was valued at $7.36 billion in 2020 and is estimated to reach $27.83 billion by 2026, according to Mordor Intelligence. 一部の観測筋によると、保険引受会社はサイバー保険の補償を完全に廃止するのではなく、保険契約に追加条項を盛り込むことになるだろうとのことです。 何と言っても、これは収益性の高い市場ですから。 ステップトー・アンド・ジョンソン法律事務所の弁護士であり、元NSA法務顧問のスチュワート・ベイカー氏は次のように述べています。「保険会社は、市場から撤退する前に、保険料を引き上げ、免責事項をさらに拡大するでしょう。」
[Read also: Ransomware 101: what it is and how do I prevent an attack]
そして、保険会社はリスク管理を事業としているということをお忘れなく。 他の事業と同様、経営を維持するためには、支払額を最小限に抑える必要があります。 つまり、保険契約には常に免責条項が含まれているということです。 そして、結局のところ、多くの保険契約では、情報漏洩による損害の全額をカバーできないのが実情です。
サイバー保険は一定の役割を果たすことができますが、それは適切な社内サイバーセキュリティ対策が整っている場合に限られます。 そして、リスクスコアリングを活用して最も深刻な脆弱性を特定し、サイバー犯罪者に先んじてその修正を優先的に行うことで初めて、保険会社の査定担当者を呼ぶ羽目になる事態を回避できるのです。
