パンデミックの最中、誰もが突然リモートワークを余儀なくされた時期に、サイバー保険の保険料は異常な高水準まで急騰しましたが、その後、大幅に下落しました。 その通りです。 の株価が大幅に下落しました。。
では、何が変わったのでしょうか。また、何か落とし穴はあるのでしょうか？
英国を拠点とする保険ブローカー兼引受会社であるハウデン（Howden）が最近発表した「 」レポート（ ）によると、サイバー保険（ ）の保険料は、脅威の状況がますます厳しさを増しているにもかかわらず、 2022年半ばのピーク時から世界的に 15％下落したことが示されました。 地域によって異なる保険料の引き下げに加え、ハウデン社によると、引受能力は向上しており、保険会社は現在、保険金額の引き上げ、 ランサムウェア関連の補償制限の撤廃、および自己負担額の引き下げにより前向きになっているとのことです。 一方、 ニューヨークに拠点を置く保険会社マーシュ（Marsh）によると、米国の保険料率は 今年の第2四半期に 5％下落し、5四半期連続で下落を記録しました。
ハウデン社や業界の専門家によると、価格下落の主な要因は、業界の成熟化と競争の激化にあるとのことです。 In fact, S&P Global reportedly says cyber risk coverage is now one of the fastest-growing insurance products and is expected to exceed $20 billion by 2025, up from about $15 billion in 2023.
ほんの数年前、金利がピークに達していた頃には、そうではありませんでした。 当時、サイバー保険は、住宅保険、生命保険、自動車保険に比べれば、まだ比較的新しい商品でした。 保険各社は、利益を出すためにいくら請求すべきか、まだ見当がつかなかったのです。
パンデミックの間、状況は著しく悪化しました。何百万人もの労働者が突然リモートワークを余儀なくされたため、 データプライバシーへの懸念が高まり 、サイバー犯罪が急増したのです。 これに対し、一部の保険会社は、補償範囲を制限したり（ ）、免責事項を追加したり（ ）（特にのランサムウェア攻撃に対して）、保険料を引き上げたりする対応をとりました。 他の通信事業者は、この事業から完全に撤退しました。
さて、状況は一変しました。 しかし、今のところ、企業は乗り気ではないようです――少なくとも、完全にはそうではありません。 そして、それには（完全に妥当とは言えないものの）納得のいく理由があります。
安定したサイバー保険市場
保険各社は現在、ビジネスモデルをほぼ確立し、収益を上げる方法も把握しており、重大なセキュリティインシデントが依然として発生しているにもかかわらず、新規顧客の獲得をめぐって競争を繰り広げています。
「サイバー攻撃が後を絶たず、地政学的不安定性が高まり、汎用AIが普及しているにもかかわらず、サイバー保険の保険料は引き続き下落しています。」ハウデンのサイバーリテール部門責任者、サラ・ヒールド氏
「 2024年に入っても好ましい（原文ママ）動向が続いており、攻撃が後を絶たず、地政学的不安定性が高まり、 ジェネレーティブAIの普及が進んでいるにもかかわらず、サイバー保険の保険料は引き続き低下しています」と、ハウデンのサイバー小売部門責任者であるサラ・ヒールド氏は声明の中で述べました。 「イノベーションと認知度の向上を中核とする、成熟したサイバー市場の基盤は、今や整いました。」
訳：サイバー保険業界はようやく引受モデルを確立し、状況は安定してきました。 の引受部門の利益は堅調です 。今後もこの傾向が続くと見込まれています。 また、保険各社は、 サイバーリスクの高まり を強調しつつ、そのリスクに対する保険として魅力的なプランを提供することで、顧客の獲得に力を入れています。
それは買い手市場のように思えます。 それにもかかわらず、この制度を活用している購入者はほとんどいません。 データによると、企業のセキュリティ技術に関する意思決定者の大半は何らかの形でサイバー保険に加入しているものの、フォレスター社の調査によれば、 単独の保険契約を結んでいるのは4人に1人、 2023社に1社にとどまっています。
なぜサイバー保険には懐疑的な見方が生じるのでしょうか
サイバーセキュリティを専門とする、ワシントンD.C.とニューヨークに拠点を置く法律事務所「Platt Law LLP」のパートナーであり、グローバルなアプリケーションセキュリティ企業「ImmuniWeb」のCEOであるイリア・コロチェンコ氏は、その主な理由として、多くの企業がその製品を理解していないことを挙げています。 これを「どちらか一方」という二者択一の状況と捉える人もいます。つまり、インシデントに備えてサイバー保険に加入するか、あるいはインシデントを未然に防ぐためにサイバーセキュリティ技術に投資するか、という選択です。 しかし、その両方はできません。 コロチェンコ氏によると、他の企業は保険会社の動機に対して単に懐疑的であるとのことです。 彼らは、万が一サイバー攻撃の被害に遭った場合、保険会社が支払いを回避するために、あらゆる種類の隠れた条項や上限、制限、免責事項を理由に挙げて、自分たちを置き去りにしてしまうのではないかと懸念しています。
「サイバー保険のような複雑な商品の場合、価格が下がるということは、何か変化があったことを意味している可能性が高いです。 もし何かが改善されたとしても、それは被保険者よりも保険会社にとっての改善である可能性が高いでしょう。”イリア・コロチェンコ氏、プラット・ローLLP パートナー
それには一理あると言えるでしょう。 Claims sure are climbing — for example, Marsh announced its U.S. and Canadian clients filed 1,800 cyber insurance claims in 2023, a record for the company. しかし、Security Boulevard（ ）によると、 、その年に保険金請求を行った企業の99％は、経費が保険契約の上限額を超えていたため、全額の補償を受けられなかったとのことです。 Coverage limits range from $500,000 to $5 million per occurrence, according to Embroker, a commercial insurance firm. IBM, meanwhile, reported the global average cost of a data breach in 2024 was $4.88 million, a 10% increase from the prior year.
コロチェンコ氏は、ある組織の の最高情報セキュリティ責任者（CISO）である 氏が、情報漏洩被害に遭い、サイバー保険の請求を行ったところ、保険会社から何の質問もされることなく全額が支払われ、嬉しい驚きを覚えたというエピソードを紹介しています。
「彼はとても嬉しそうに、『サイバーセキュリティの予算を少しずつ削減し始めたほうがいいかもしれませんね』と言いました。 「もうあのセキュリティ対策は必要ありません。サイバー保険に加入しているのですから！」」
[関連記事：2回にわたる本シリーズでは、サイバー保険会社と良好な関係を築くことが決して突飛な考えではない理由、そしてその方法について解説しています]
その後、その熱意は薄れていきました。 それから数ヶ月後、そのクライアントはパニックに陥り、自社が再びサイバー攻撃を受け、助けが必要だとコロチェンコに連絡してきました。
「彼は私にこう言いました。『イリヤさん、聞いてください。契約によると、暦年ごとに保険の対象となる事故は1件のみです。』」 今回で2度目の出来事です。 のデータ漏洩は甚大な被害をもたらす事態です。おそらく、数百万規模の損失を被ることになるでしょう。 しかし、保険会社は、以前の請求に対してすでに数千ドルを支払ったとして、私たちをきっぱりと断ってきました。 「どうすればいいのでしょうか？」
しっかりと目を凝らしておいてくださいね
コロチェンコ氏は、こうした恐ろしい事例があっても、企業がサイバー保険の加入を検討することをためらうべきではないと述べています。特に、現在の保険料が安くなっていることを考えればなおさらです。 実際、そうすべきです。 しかし、彼は、政策の選択肢は複雑な場合があるため、企業は現実を直視してそれらを評価し、時間をかけて理解する必要があると述べています。
「IT部門の責任者を同席させ、そのアプリケーションの内容について、かなりマニアックな会話を交わすこともできます。」コーバス・インシュアランス、サイバー保険引受担当副社長、ピーター・ヘドバーグ氏
保険の購買担当者やCFOが保険会社と面談するだけでなく、「IT部門の責任者も同席させ、その申請書の内容についてかなり専門的な話し合いを行うこともできます」と、Corvus Insuranceのサイバー保険引受担当副社長であるピーター・ヘドバーグ氏は述べています。 「もし彼らがその件について深く掘り下げることができるなら、それはかなり優秀なエージェントである証拠です。」 「今は技術的な話になってしまいましたから。」
価格が下落したときは、なおさらその通りです。
「コカ・コーラの缶1本やGMの車といった一般的な商品の価格が下がるのは、消費者にとっては概して良いことです」とコロチェンコ氏は述べています。 「しかし、サイバー保険のような複雑な商品の場合、価格が下がるということは、何か変化があったことを意味している可能性が高いでしょう。」 もし何かが改善されたとしても、それは被保険者よりも保険会社にとっての改善である可能性が高いでしょう。 「あまりにも良すぎて信じられない」と思われるようなオファーでも、実は本当かもしれません。 「しかし、私は常に、利用規約を精査し、保険会社と話し合い、双方が同じ認識を持っていることを確認するとともに、契約条項やその意味について相互に理解した内容に関する保険会社とのすべての書面によるやり取りを保存しておくことをお勧めしています。」
[関連記事：サイバー保険会社は、サイバー犯罪からどのように身を守っているのか、気になったことはありませんか？ 【方法は以下の通りです】
精査とは、社内の1人の社員に書類を確認させたり、保険ブローカーに電話をかけさせたりすることではありません。 むしろ、保険会社のように、多分野にわたる専門家からなるグループが関与することを示唆しています。
「サイバー保険は、科学と芸術、そして法律が融合したものです」とコロチェンコ氏は述べています。 「ポリシーの評価には、技術者、リスク管理の専門家、そしてサイバーセキュリティの経験を持つ弁護士を必ず関与させる必要があります。」
