2月 24日、ロシア軍がウクライナに侵攻した際、西側の軍事専門家たちは兵力の規模や兵器に焦点を当てていました。 政治家たちは、この事態が欧州に及ぼす影響について協議を重ねました。 そして、「戦争除外」条項を含む保険証券を手にしたサイバー保険のブローカーたちは、この侵入を何と呼べばよいかと頭を悩ませていました。
ABCからBBCに至るまで、各報道機関はこれを「紛争」や「侵攻」、あるいはロシア側が好んで用いる「特別軍事作戦」と呼んでいました。 実際の戦争ではありません。 やがて、言葉の霧が晴れました。 西洋諸国は「戦争」という言葉を使い始め、この攻撃をその実態通りに呼ぶようになりました。 サイバー保険会社にとっては、この件は彼らに有利な形で決着したように見えました。その結果、 ロシアによるサイバー攻撃 を恐れる保険契約者たちは、見捨てられた形となりました。
のサイバー保険（ ）への加入ラッシュは、サイバー侵害の劇的な増加や、その防止に対する企業の懸念を背景に、近年ますます高まっています。 政府会計局（GAO）が最近行った「 」の分析（ ）によると、サイバー保険に加入する保険契約者の割合は、2016 年の26％から 2020年には 47％に上昇しました。
ほとんどの保険契約では、戦争行為による損害は補償の対象外となっています。 しかし、こうした「戦争」に関する条項は、その履行が困難な場合があります。 例えば、敵対的な国家が、外国の政府や企業に対するサイバー攻撃の犯行を公言することは、ほとんど、あるいは全くありません。 また、ロシアや北朝鮮などの国々は、サイバー犯罪組織やハクティビストを庇護していますが、彼らの攻撃は、たとえ祖国に利するものであったとしても、戦争行為とは見なされません。
保険会社は、いかなるリスクも冒そうとはしていません。 多くの企業が、補償対象外の範囲を拡大することでリスクを回避しようと、新たな条項を策定しています。 「チャブ社は、広範囲に及ぶ事象に対する補償範囲を制限するという戦略を公表しました」と、ドイツの大手再保険会社ミュンヘン再保険（Munich Re）のシニア・サイバー引受担当者であるモニカ・ティグレアヌ氏は、最近、
を通じて Endpoint に語りました。
「保険市場では、システミック・リスクに対して非常に敏感な反応が見られます」と彼女は説明します。「そして、免責事項は、そのリスクを管理するためのもう一つの手段なのです。」
これは保険契約者にとって警戒すべき事態であるはずです。月曜日にバイデン大統領が発した次の警告も同様です。「プーチン大統領が追い詰められれば追い詰められるほど、彼が用いる戦術はより過激なものになる可能性があります……。」 「私の見解では、あるいは私たちの考えでは、彼が最も頻繁に用いる手段の一つは、サイバー攻撃であると考えられます。」 万が一、疑問の余地がある場合のために、彼は に を付け加え、「ロシアのサイバー能力の規模は極めて重大であり、その影響が迫っています」と述べました。
つまり、ビジネス、テクノロジー、サイバーセキュリティの各分野のリーダーたちにかかるプレッシャーは、かつてないほど高まっているということです。 企業は、デジタルリスクを特定して軽減するとともに、 従業員に対し、 適切な サイバー衛生管理の重要性を啓発し、さらに、避けられない情報漏洩が発生した際に、保険会社がどのような損害を補償し、どのような損害を補償しないかを正確に把握しておく必要があります。
戦争があろうとなかろうと、彼らは準備をしておかなければなりません。
なぜ は、 が、貴社のサイバー保険契約における戦争免責条項なのか？
戦争免責条項は、スペイン内戦を受けて、 1930s 年に初めて保険契約に盛り込まれました。 一部の人にとっては、これは単なる逃げ口上のように見えるかもしれません。保険会社が顧客への支払いを免れるための、また別の手段に過ぎないのです。 しかし、こうした免責条項の真の目的は、保険会社がすべての保険金を支払おうとした結果、破産してしまうほど甚大な災害から保険会社を保護することにあります。 それは、私たち他の者たちも守ってくれるのです。 保険会社のお金が底をついてしまうようでは、保険に加入しても意味がありません。
しかし、保険会社は、人命や財産への損害が物理的なものであった実際の戦争の最中に、当初の戦争条項を策定しました。 サイバー戦争は、見抜くのがより困難です。
「保険市場ではシステミック・リスクに対して非常に敏感であり、免責条項はそのリスクを管理するためのもう一つの手段です。」ミュンヘン再保険のシニア・サイバー引受担当者、モニカ・ティグレアヌ氏
また、定義するのも難しいのです。 In 2013, former CIA Director Michael Hayden called a rash of state-sponsored cyberattacks originating from China akin to Hiroshima. 1年後、アリゾナ州選出のジョン・マケイン上院議員（共和党）は、北朝鮮によるソニー・ピクチャーズ・エンターテインメントへのサイバー攻撃について、「
“新たな形態の戦争である」と述べました。 しかし、オバマ大統領はそうではないと述べ、
におけるソニーの情報漏洩事件を「サイバー破壊行為」であり、「戦争行為ではない」と指摘しました。
Three years after that, the NotPetya cyberattack, which affected businesses worldwide and wreaked $2 billion to $10 billion in damages, was also deemed vandalism, even though both the U.S. and U.K. governments attributed the attack to the Russian military.
[関連記事：ロシア・ウクライナ紛争が示す、脅威ハンティングチームの重要性が今なぜ高まっているのか]
NotPetyaは、ウクライナの金融セクターを標的にしていました。 しかし、世界中のコンピュータネットワークが相互につながっていたおかげで、この現象は瞬く間に広まり、世界的なブームとなりました。 Pharmaceutical giant Merck & Co. claimed it suffered $1.4 billion in losses in the attack. しかし、30社近くの保険会社が、戦争免責条項を理由にこの請求を拒否しました。
メルク社はサイバー保険の保険会社を提訴し、勝訴しました
去る12月、ニュージャージー州の裁判官は、この大手製薬会社の主張を支持しました。 の裁判官は、 において、戦争除外条項は武力紛争に関連するものであるとの判断を下しました。 裁判官はさらに、保険会社がこうしたサイバー攻撃に対する支払いを回避したかったのであれば、それらの事象を定義する文言を変更すべきだったと指摘しました。
メルクの保険契約は、いわゆる「全危険補償型」の保険契約でした。 エバーシェッズ・サザーランドの訴訟担当パートナーであり、国家安全保障会議の元副法律顧問であるマイケル・バハール氏は、最近の『 』レポート（）の中で次のように述べています。「オールリスク保険契約は、財産の物理的損害に対する補償を提供することを目的としていますが、2018年以前の多くの保険契約では、サイバーリスクが明示的または黙示的に除外されておらず、その結果、保険業界で『サイレント・サイバー』と呼ばれる補償が提供される可能性があります。」
その結果、バハル氏は、メルク社の事例を踏まえ、また新たな地政学的不安定さやサイバー攻撃のリスクの高まりを考慮して、企業は「十分な補償が確保されているか」を確認するため、保険契約内容を綿密に精査すべきであると助言しました。
今日、企業はサイバーリスクに特化した保険契約を利用することが多くなっています。 実際、そのような保険契約を結んでいた企業については、NotPetyaによる損害賠償請求が却下されることはありませんでした。
[関連記事：サイバーセキュリティに関する元国防長官の発言――「我々は自分たち自身が最大の敵だ」]
しかし、保険各社は懸念を抱いています。 ランサムウェア「 」による攻撃は、依然として急増し続けています。 保険料は上昇しています（大手保険会社である Marsh（）によると、 2021年第4四半期には、米国で130％、英国で 92％の上昇となりました）。 「サイバー犯罪がこのまま野放しになれば、［保険］は手が出せないほど高くなってしまうでしょう」と、ロンドンに拠点を置く保険会社ビーズリーのCEO、エイドリアン・コックス氏は、先月『 』のフィナンシャル・タイムズ紙（ ）で指摘しました。
基本的なサイバー衛生管理を実践して、セキュリティ対策を強化しましょう
サイバー攻撃（あるいはそこから生じうる訴訟）のない未来を保証できるセキュリティ専門家はいないものの、ビジネスやテクノロジーのリーダーがリスクを低減するために実践できる、基本的な サイバー衛生 の対策がいくつかあります。
- 細かい文字までよくお読みください。 まず、ご自身の保険契約を詳しく確認し、自分に適したサイバー保険の補償内容が盛り込まれているかどうかを判断してください。 「そして、疑義がある場合には」とバハル弁護士は指摘し、「より明確にするよう努めるべきです」と述べています。
ロンドンのロイズ市場を代表する保険業界団体であるロイズ・マーケット・アソシエーションは、11月、将来のサイバー保険契約において、標準的な戦争免責条項に代わる、あるいはこれを補完する可能性のある4つの新たな条項を策定しました。 現時点では、 350 社のブローカーのうち、どれかが新しい文言を採用したかどうかは不明です。
- サイバー衛生管理を徹底しましょう。 これは、ペロトンのインストラクターが叫ぶような、無視してしまっても構わないような単なる熱意あふれるアドバイスではありません。 フィッチ・レーティングスは、今月初めに のFitch Wireに掲載された記事（ ）の中で、「サイバー保険会社は現在、被保険者に対し、『多要素認証など、より厳格なサイバー衛生管理要件』を求めている」と述べています。
- 自社のサイバーリスクを評価してください。 のサイバーリスクスコア（ ）は、企業のサイバーセキュリティ戦略における弱点を指摘し、のソフトウェア更新（ ）の未適用や、の設定管理（）の不備など、回避可能な問題を浮き彫りにします。 リスクスコアリングは、あなたの強みも浮き彫りにします。 名刺やマーケティングツールと同様に、これは保険会社、取締役会、サプライチェーンのパートナーに対して、自組織のサイバーセキュリティに関する強みをアピールする手段となります。 リスクスコアが低くても、それは有用であり、セキュリティ責任者に、新たな優先順位を設定し、IT予算を増額するために必要な正確なデータを提供してくれます。
- できる限り自動化しましょう。 このことは、いくら強調してもしすぎることはありません。 IT部門は、 人員不足に陥っており、；従業員は、 燃え尽き症候群に陥っており、。 自動化ツールは人為的ミスのリスクを軽減します。また、手動による設定作業を、機械によって管理されるスクリプトや設定ファイルに置き換えることで、セキュリティ体制を強化します。 これらは、パスワードのリセットから パッチ管理 、さらには脅威の特定や軽減に至るまで、さまざまな低レベルのタスクを処理することができます。 これらは、 のインシデント対応 を改善することができます。複数の情報源からの脅威情報を統合することで、 のハッカー もこれらのツールを使用しているという事実（NotPetyaの件など）が、その重要性を雄弁に物語っています。
また、自動化ツールは保険引受担当者にも情報を提供し、人員が少なかったり予算が限られていたりしても、貴社のセキュリティシステムが迅速かつ定期的に設定、パッチ適用、パスワードのリセットを行っていることを示します。
- サイバー保険の引受担当者と良好な関係を築きましょう。 保険会社は顧客に対して、より多くのことを求めています。 文字通り、料金設定に用いられるアンケートは、ますます長くなり、詳細になってきています。 その言葉を誤解しないでくださいね。 「まるで厳しい尋問を受けているように感じるかもしれませんが……それは、私たちが（お客様のビジネスについて）可能な限り深く理解する必要があるからです」と、東京海上キルンのサイバー保険引受担当者であるポール・グーチ氏は、デール・ピーターソン氏がホストを務めるポッドキャスト『 Unsolicited Response』（ ）で述べました。 「対立関係だと捉えないようにしてください。」
その最後の助言は、戦時でも平時でも当てはまります。 引受人を、指をこすりながら バーンズ氏のように、 顧客からできるだけ多くの金を搾り取ろうとしていると想像するのは簡単ですが、現実はそれほど派手なものではありません。 もし保険引受会社がすべての顧客を拒否し、すべての保険金請求を却下したとしたら、その市場は存在しなくなるでしょう。
ミュンヘン再保険のサイバー保険引受担当者、モニカ・ティグレアヌ氏もこれに同意しました。 「地域社会が、引受担当者に、なぜ特定の決定を下したのかについて理解してもらうことが重要です」と彼女は述べました。 「資産所有者の強靭性を高めるために導入されている管理体制を理解すればよいのです。」
