ここ数年、サイバー保険の契約や更新を行うことがますます難しくなってきています。 サイバー保険市場は、これまで以上に変動が激しくなっています。これは、保険金請求の総数が増加していることに加え、被保険者が直面するサイバー脅威の種類も増えているためです。 リスクの高まりを受けて、サイバー保険会社は引受審査の手続きを厳格化しており、その結果、保険契約者は、結果がどうなるか不透明なまま、承認手続きにこれまで以上に多くの時間とリソースを割かざるを得なくなっています。
サイバー保険業界が成熟し続け、変化のスピードが鈍化するにつれ、今後数年のうちに保険引受プロセスが合理化される可能性があります。 しかし、それまでの間、組織としては、サイバー保険の引受プロセスを十分に理解し、チームにかかる事務負担を最小限に抑える方法を模索することが極めて重要です。
サイバー保険の引受に関する、簡潔ながらも興味深い歴史
サイバー保険は、保険市場において比較的新しい分野です。 生命保険と損害保険はいずれも 250 年以上の歴史があり、自動車保険でさえ125 年以上前から存在していますが、初めて正式に認められた「インターネットセキュリティ賠償責任保険」は、1997年にAIGによって引き受けられました。 実際、この分野が比較的新しいものであることが、サイバー保険の引受業務がこれほど複雑になり得る理由の一つとなっています。 過去のデータ分析や将来のトレンド予測が中心となるこの業界において、こうした過去のデータ不足は、将来のリスク予想をモデル化する上での障害となっています。
当初、損失予測はほぼ完全に直感と試行錯誤に基づいていました。 あっという間に、それはマクロ的な視点へと発展し、保険金請求の見込みは、被保険者全体に適用される市場全体の損失に基づいて算出されるようになりました。 しかし、サイバーインシデントが頻発し、脅威の主体の手口が巧妙になるにつれて、次の3つのことが起こり始めました：
- 保険金支払額が予想を上回り、その結果、損害率が上昇し、収益性が低下しました
- 保険会社は、損失のリスクが保険契約者全体に均等に分散しているのではなく、一部の契約者に集中していることを指摘しました。
- 保険会社は、ある保険契約での損失が他の保険契約に対する保険金請求の可能性を高める、いわゆるシステミック・リスクや相関リスクについて懸念を抱くようになりました。
こうした新たな課題に直面し、保険会社はリスク判定に「マイクロ」の要素を取り入れる必要がありました。 保険会社は、個々の保険申込者ごとのリスク状況を徹底的に分析しなければならず、もはや市場全体のリスクに関する理解だけに頼ることはできなくなりました。
現在の状況：引受業務の現状
こうして、現在の引受プロセスの開発が始まりました。 申請手続きはより長くなり、複雑化していき、追加の質問票や補足資料が必要となりました。 その後、詳細な話し合いやインタビュー、現地視察が行われました。 こうした変更に加え、通信事業者は、多くの場合外部の第三者から提供される、申請者の環境に対する「アウトサイド・イン」方式のスキャンを活用し始めました。 そして間もなく、保険会社が保険契約を承認する前に、組織は特定の基準条件――例えば、 による多要素認証（MFA）の導入 や、 によるエンドポイント検出・対応（EDR）機能 など――を満たすことが求められるようになりました。
こうした引受基準の強化により、ある程度の個別化されたリスク評価が可能になりましたが、依然としていくつかの明らかな課題が残っています。 保険期間を通じてIT資産は絶えず変化していますが、引受審査は特定の時点で行われます。 また、たとえ善意であっても、質問に答えたり書類に記入したりする個人は、正確に回答するための完全な情報を常に持っているとは限りません。 さらに、質問の構成が、集計や分析を容易にする一方で、微妙なニュアンスを含む回答を排除したり、曖昧にしたりしてしまう可能性があるという点が、この問題をさらに深刻にしています。 また、対応策は遺産の大部分については的確であるかもしれませんが、通常、セキュリティ侵害が発生するのは、最も脆弱な部分からなのです。
一方で、保険会社はより多くのデータを収集し、サイバーリスク分析の精度を高めていく一方で、契約条件の見直しも行いました。 これには、損害率の上昇や保険金支払いの変動性を反映した、保険料の明らかな引き上げも含まれていました。 また、保険契約の免責事項、とりわけ「戦争行為」に関する条項についても、さらに精査が行われました。
しかし、場合によっては、全体的なリスク受容度が低下し、その結果、個々の保険契約の補償限度額が引き下げられたり、場合によっては契約が更新されなかったりすることもありました。 この直近の変化により、より活発な再保険市場や、保険連動証券（ILS）（「カタストロフ・ボンド」とも呼ばれる）を活用した資本市場など、リスク吸収の代替手段の模索が進みました。
今日、引受審査は、データ収集やデューデリジェンスを行う、手間がかかり、手作業に依存した時間のかかるプロセスとなっています。 しかし、最近の保険料や保険契約条件、補償限度額の変動により、保険会社と保険契約者の関係が時としてぎくしゃくしてしまう状況にもあります。 引受審査の過程では、双方が互いに多少の疑念を抱くことがあります。
目指す方向：望ましい進化
私たちの見解では、市場および引受プロセスにおいて広く導入されるべき最初の（そして最も重要な）変化は、保険会社とその顧客の間で、パートナーシップに関する共通の認識を築くことです。 双方が、リスクの低減が双方の利益になるという点で合意する必要があります。そして、公正な価格設定と条件につながる、確固たるリスク分析こそが望ましい結果となります。 この種のリスク移転手段を、利用を希望する方々が利用できるようにすることは、すべての市場参加者の利益にかなうものです。 そのためには、リスクを引き受ける側（保険会社）にとって妥当な収益と、リスクを移転する側（被保険者）にとって妥当な条件の両方が必要となります。
このパートナーシップの精神を育むことができれば、引受プロセスを強化するための次の重要なステップとして、ファイアウォール内部から電子的に収集された、被保険企業のサイバーセキュリティ態勢に関する指標の共有が挙げられると考えます。 手作業で記入されたアンケートとは異なり、電子的に収集されたデータは、環境の状況をより正確に把握することができ、環境の実態を明確に把握するために必要な時間と労力を大幅に削減することができます。 対象とする指標は、保険会社のリスク分析にふさわしいものでなければならず、適切な抽象化レベルで提供される必要があります（つまり、個々のデバイスやホストのデータではなく、特定の特徴を示す環境の割合などです）。
理想を言えば、保険会社は申請者から指標を受け取った後、主な調査結果の詳細と、優先順位をつけた是正措置のアドバイスについて回答することになります。 是正措置が完了次第、申請者は、ポリシー条件の最終決定に向けた指標を再提出することができます。 また、煩雑で時間のかかる手順の多くを省いた効率的なプロセスにより、データの監視や是正措置が年1回という頻度よりも頻繁に行われるようになる日が訪れると予想されます。これにより、リスクや保険金請求、保険料のさらなる削減につながります。
私たちが共に立ち向かわなければならない課題
市場の発展初期に保険会社が直面した成長の苦難は、いくつかの残念な結果を招きました。 攻撃の発生件数が増加したことに伴い、損害率が急上昇し――特に、ランサムウェアに限定されるわけではありませんが――収益性が悪化しました。 これを受けて、各通信事業者はリスクを低減し、料金を引き上げました。 その結果、サイバー保険の保険料や加入可能性に変動が生じ、市場の購入者の間で不信感が広がりました。
現在の状況下では、被保険者からのデータ収集を強化しようとする戦略は、困難を伴う可能性があります。 さらに、市場が落ち着き、リスク制限が多少緩和されるにつれて、保険会社間の競争が激化しています。 つまり、特定の保険会社がデータ収集手法の改善を図ろうとすると、そのような要求をしていない他の保険会社に顧客を奪われるリスクがあるということです。
これは典型的な「鶏が先か、卵が先か」という状況であり、買い手市場における懐疑的な見方がさらに事態を複雑にしています。 こうした状況において、保険会社は顧客とのパートナーシップを強調するメッセージを発信しなければなりません。 「データ共有の改善」というテーマは、リスクの全体的な低減、専門知識（予防およびインシデント対応の両方）の共有、そして引受プロセスの全体的な効率化というメッセージと密接に結びつける必要があります。 その一因として、電子データ共有は、現在紙ベースのプロセスを通じて収集されているものとは異なる新たな情報を収集することを目的としていないという考え方が挙げられます。 むしろ、これはデータを収集するための、より効率的で、より正確で、よりタイムリーな方法なのです。
確かに、全体的な目的は、損失のリスクについてより深い理解を促し、それに応じて保険約款を適切に調整することにあります。 しかし、申請者には、このプロセスがより良い結果につながるものであり、開示された不備に対する罰則ではないことを納得させなければなりません。 保険会社が、是正措置やリスク低減に向けて彼らと協力したいと考えていることを納得させることができれば、参加する意欲が生まれるかもしれません。 この規制の厳しい商品分野において、さらに考慮すべき点として、規制当局、業界団体、そして場合によってはブローカーが果たし得る役割が挙げられます。 このような連携により、すべての参加者にとって市場環境を改善するという共通の成果がもたらされるでしょう。
サイバー保険の詳細や、保険金が確実に支払われるようにするための対策について詳しく知りたい方は、こちらの電子書籍をご覧ください： Tanium for Cyber Insurance。
