ランサムウェア攻撃の急増に伴い、保険金の支払額が急増していることから、多くの経営幹部は、保険会社がサイバー保険市場から撤退しつつあるという印象を抱いています。
まあ、それは必ずしも正確とは言えません。
事例に基づく情報によると、一部の小規模な保険会社がサイバー保険の補償範囲を縮小または廃止しているようですが、 Endpoint（ ）が調査したほとんどの保険会社、保険ブローカー、再保険会社は、依然としてこの分野に積極的に参入しています。 In fact, Fitch Ratings, which assigns insurer credit ratings, says the $4.8 billion U.S. cyber insurance market grew 74% in 2021. GlobalData forecasts that gross written premiums will be worth more than $20 billion by 2025.
「脅威の多様化に伴い保険需要が高まっていることから、サイバー保険は米国の損害保険市場において最も急成長している分野となっています」と、フィッチ・レーティングス（
）のシニア・ディレクター、ゲリー・グロムビッキ氏は述べています。
しかし、一見すると健全な市場のように見えますが、サイバー保険業界は岐路に立たされています。 保険会社は依然として利益を上げていますが、リスクの様相が変化している状況（ ）に対応するため、引受モデルを大幅に刷新しています（）。
方針を検討している財務担当者やその他の経営幹部にとっての結論は、サイバー保険は依然として広く利用可能ですが、組織はより高額な保険料を支払う必要があり、かなり限定的な補償内容にもかかわらず、追加の手続きをこなさなければならないということです。
サイバー保険にはどのような補償が含まれているのでしょうか？
この分野にまだ不慣れな経営陣の皆様は、サイバー保険が他の種類の保険とほぼ同じように機能することを知っておくべきです。 企業は、ブローカーや保険会社を通じて保険への加入を申し込みます。 引受会社は、申請者のセキュリティ態勢を評価し、各申請者が、重大なダウンタイムや収益の損失につながる可能性のあるサイバー攻撃 に対して、 に記載されている基本的な予防措置を講じていることを確認します。
「当社のクライアントのほとんどは、5年から7年ごとに何らかのサイバー攻撃に直面すると予想しています。」マクギル・アンド・パートナーズ、米国サイバー部門責任者のデビッド・アンダーソン氏
引受会社は、刻々と変化するモデルを参考にし、どの程度の保険金額を、どの保険料率で提供するか決定します。 問題がなければ、保険証券が発行され、保険会社は通常、その保険契約に伴うリスクの一部を、 の再保険会社 に転嫁します。 再保険市場のおかげで、保険会社はさらに多くの保険契約を引き受け、事業を拡大し続けることが可能になります。
再保険ブローカーのMcGill and Partnersでサイバー保険部門の米国責任者を務めるデビッド・アンダーソン氏によると、かつては引受審査は迅速かつ簡潔なプロセスだったとのことです。 応募者には、ウイルス対策ソフト（AV）やバックアップ機能を備えているかどうかを尋ねられる場合があります。
「もしそうであれば、保険会社は『よろしいですね。こちらが見積もりです。それでは、良い一日を』と言うでしょう」とアンダーソン氏は述べています。 「さて、次は『見せて』ですね。」 「引受審査のプロセスは、以前よりもはるかに厳格になり、時間がかかり、詳細な審査が行われるようになりました。」
ランサムウェア攻撃はすべてを一変させます
ランサムウェアという脅威は、保険会社と、その保険会社が保護する組織の両方にとって、状況を一変させました。 いくつかの統計データを見てみましょう：
- 昨年、報告されたランサムウェア攻撃件数は、 前年比で約 51％ 急増しました。前年比は 2020％でした。
- Adjusted losses totaled more than $49 million, a nearly 69% spike from the $29.2 million in 2020.
- ランサムウェアの平均支払額は、 812,000ドル 2021年と比較して、 2020年の170,000 ドルでした。
- 2021年上半期に寄せられたサイバー保険の保険金請求のうち、 75% がランサムウェアによるものでした。
保険各社は、こうした動向に加え、サイバー攻撃の手口がますます巧妙化し、その大胆さも増していることに懸念を抱いています。
Attackers in 2021 displayed a disturbing trend in the scale of their demands and the amounts reportedly received: Kaseya VSA ($70 million demanded); Acer ($50 million demanded); insurance company CNA Financial ($40 million paid); Kia Motors ($20 million demanded); and Colonial Pipeline ($4.4 million paid).
こうした悪質な活動の急増に対処するため、保険業界は引受条件を厳格化し、フィッチ社によると、過去3年間で前年比 100％増加した保険金請求件数の増加を抑制しました。
サイバー保険の補償内容は少ないのに、保険料は高くなっている
As a first step, the industry raised direct-written premium rates 74% in 2021. スミス顧問によると、現在、米国企業はサイバー保険の保険料として、年間平均1,485 ドル、つまり月額124 ドルを支払っているとのことです。 「価格は、他の商業事業分野に比べてかなり速いペースで上昇しています」と、フィッチの報告書は指摘しています。
At the same time, the industry trimmed cyber insurance limits—the most they’ll pay for a claim—from $10 million to $5 million for many industries, while raising deductibles, also known as “retentions,” reports the National Association of Insurance Commissioners (NAIC). 実際、業界の専門家によると、この1、2年の間に、免責額が25,000 ドル前後から250,000 ドルにまで跳ね上がった事例が見られたとのことです。
さらに、保険会社は、どの業界の保険を引き受けるかについて、以前よりもはるかに厳選するようになってきています。 中小企業向けのサイバー保険を専門とするCysurance社のCEO、カーステン・ベイ氏によると、 政府、、 教育、、 医療、、および 公益事業 など、不釣り合いなほど標的とされてきた分野に対して保険をかけることは、「ほぼ不可能」になりつつあるとのことです。 また、マネージド・サービス・プロバイダー（MSP）の場合も、十分な補償を受けることは期待できません。
「だからといって、空きがないというわけではありません」と彼女は言います。 “It means the $5 million limit you really need is going to be a lot harder to get. For example, they might offer $3 million of coverage, charge a lot more for it, and tell you the other $2 million must come from an excess policy.”
関連記事：ロシアによるウクライナ侵攻から1年――サイバーセキュリティ分野で得られた教訓
サイバー攻撃への対応を支援するコンシェルジュ型サービス「Cyber Special Ops」のCEO、カート・スース氏によると、一部の保険会社は、引き受け対象となる企業の規模を――時には厳しく――制限することで、巨額の保険金支払いを抑えようとしているとのことです。 He says carriers may pressure brokers about writing billion-dollar policies and limit coverage to companies with $250 million in revenues or less.
証明しなければ、失うことになります
より一般的な傾向として、各通信事業者は加入資格要件を厳格化しています。 生命保険に加入する際、保険料率の適用を受けるために健康診断を受けたり、病歴を申告したりする必要があるのと同様に、サイバー保険会社は、組織に対し、 に示されているサイバー衛生管理の基準 を満たすことを求めています。
「一部の保険会社は、サイバー保険の引受規模を縮小したり、市場から完全に撤退したりしています。」ベリスク傘下のPCS部門責任者、トム・ヨハンスマイヤー氏
一般的なベストプラクティスとしては、 による多要素認証（MFA） 、によるエンドポイント保護、堅牢なウイルス対策ソフト、最新の状態に保たれた冗長化およびオフラインのバックアップ、ならびに によるセキュリティ意識向上 および研修プログラムなどが挙げられます。 サイバーリスクスコア（ ）は、保険会社にとってもますます重要になってきています。 組織が必要な要件をすべて満たせない場合、保険料の引き上げ、補償範囲の縮小、あるいは申請の却下といった事態に直面する可能性が高いでしょう。
「これらは、現在、すべての引受担当者が合否を左右する要素として捉えているようなデータです」と、マクギル・アンド・パートナーズ社のアンダーソン氏は述べています。 「例えば、MFAがないということは、そもそも論外です。」 「リモートアクセスに対応していなければ、保険に加入することはできません。」
Cysurance社のベイ氏によると、サイバー衛生に関する前提条件の増加は、経営幹部にとって悩みの種になり得るとのことです。 しかし、彼女によれば、こうした制約は、CISOにとって、組織全体でのサイバーセキュリティ強化に向けたさらなる資金投入の必要性について、経営陣（C-suite）と話し合う機会にもなるとのことです。
こちらもご覧ください：CISOがCEOに真剣に聞いてもらえるようにサイバーリスクについて伝える方法
「セキュリティの専門家は、サイバーセキュリティへの投資の価値や、それがビジネスに及ぼしうる財務的影響について、経営陣とより多くの対話を重ねる必要があります」と彼女は述べています。 「サイバー保険の動向やランサムウェアの台頭といった状況を踏まえると、この話題について話し合うのは、これまで以上に容易になっていると思います。」
セキュリティ要件に加え、ほとんどの保険会社は、補償の対象外となる状況、いわゆる「免責事項」のリストを拡充しています。 例えば、「 9/11 」やパンデミックからの教訓を踏まえ、サイバー戦争やインフラの故障に起因する損失を分担しようとする民間保険会社はほとんどありません。
連邦政府の「テロリスク保険プログラム（TRIP）」は、保険会社がサイバーテロ攻撃による損失の一部を補填するのに役立つ可能性があります。 しかし、テロ関連事案の定義に関する規定は狭義に定められており、現時点では企業にとってあまり役に立ちません。 最近、保険適用範囲の不足を受けて、米国政府監査院（GAO）は、財務省および国土安全保障省に対し、特に重要インフラ組織における保険適用範囲の不足を是正するため、 に記載されている連邦政府による保険のセーフティネット —例えば、政府が作物保険に補助金を支給しているのと同様に— の必要性を評価するよう勧告しました。
フィッチによると、保険料の引き上げや免責事項の設定を通じてサイバー攻撃による保険金請求のリスクを低減させたことで、サイバー保険業界は、直接損害率（保険金受取人への支払額）を、 2020 年の72％から昨年は 65％へと引き下げることができました。 最近、『ウォール・ストリート・ジャーナル』紙は、国家主体のサイバー攻撃が相次ぐ中、特にロシアによるウクライナ侵攻 以降、ホワイトハウスの当局者たちが、承認基準の厳格化 および の適用を称賛した様子を報じました。
しかし、ガイドラインの厳格化により、従来のレベルのサイバー保険の加入機会が減少するという影響も生じており、これが「人々が保険の加入機会が失われつつあると感じる主な理由」であると、アンダーソン氏は述べています。
サイバー保険に加入すべきか、それとも加入すべきでないか？
データ分析・リスク評価企業ベリスク（Verisk）の部門であるPCSの責任者、トム・ヨハンスマイヤー氏は、保険会社が収益性を維持するためにビジネスモデルの変更を続けている限り、「保険に加入できない」という認識はおそらく根強く残るだろうと述べています。PCSは、大規模災害による保険対象財産の損害額の算定を専門としています。 サイバー保険に全面的に注力しているように見えますが、「一部の保険会社は、サイバー保険の引受規模を縮小しているか、あるいは市場から完全に撤退している」と彼は述べています。
同氏はさらに、組織にとっての結果として、「サイバー保険の補償範囲のギャップ」が拡大する可能性があるとしています。 たとえ企業や機関が一定の補償対象となる資格を満たしていたとしても、想定される損失を賄うのに十分な補償を受けられない場合があります。
こちらもご覧ください：最初から損失を最小限に抑えるには？ ITとセキュリティの統合
補償範囲の縮小により、一部の組織では、 サイバー保険が必要かどうか、 あるいは、万が一インシデントが発生した場合でも自己負担で対応できるのではないかと疑問を抱くようになっています。 “We talked to a school district where their premium was going up from $1 million to $2 million a year, despite the fact they’d had no losses or claims,” says Suhs of Cyber Special Ops. 「彼らは心の中で、『自己保険にする価値はあるのだろうか？』と言い始めたのです。」 「最近は、そうした取り組みを行っている組織が増えていると思います。」
しかし、深刻なサイバー攻撃が発生した場合に組織が被りうる損失の規模を考慮すると、誰もが自己保険というアプローチを推奨しているわけではありません。
「当社のクライアントのほとんどが、5年から7年ごとに何らかのサイバー攻撃に直面することになると予想しています」とアンダーソン氏は述べています。 「現在の保険料や保険料率を考慮しても、万が一の事態に見舞われ、その際に費用がかかることを想定すれば、[保険に加入すること]は長期的に見ればおそらくかなり良い選択でしょう。」
