ランサムウェア攻撃が後を絶たない昨今、サイバー保険の加入や継続は、それだけでも十分に困難な状況です。 さて、企業は、保険会社が契約を無効にするために訴訟を起こしてくることを懸念しなければならないようです――まるでその契約が最初から存在しなかったかのように。
8月下旬、トラベラーズ・プロパティ・キャシアルティ・カンパニー・オブ・アメリカとインターナショナル・コントロール・サービス（ICS）は、イリノイ州の連邦裁判所において、 ICSの保険契約 の解約および、最近のランサムウェア 攻撃に起因する保険金請求を承認することで合意に達しました。 トラベラーズ社は訴訟において、ICS社がサイバーリスク保険の申込書に記入する際、 の多要素認証（MFA）を導入している旨について虚偽の申告を行ったと主張していました。現在、こうした保険契約のほとんどでは、同サービスの導入が必須条件となっています。 （トラベラーズ社とICS社は、コメントを求める要請に対して回答しませんでした。）
大手保険会社が保険金の支払いを回避しようとしたという事実は、驚くことではありません。 保険会社は、いつもそうしています。 しかし、すでに発行された保険証券の有効性に異議を唱えることは、どのような保険種別においても極めて異例であり、サイバーリスク保険の加入を検討している企業にとっては、慎重に進めるべきだという警告となるはずです。
なぜわざわざ争いを起こすのでしょうか？
保険契約者は、こうした訴訟が日常茶飯事になるとは期待すべきではありませんが、保険金回収案件において企業を代理する全国規模の法律事務所「バーンズ・アンド・ソーンバーグ」のパートナーであり、保険金回収・コンサルティング部門の共同代表を務めるスコット・ゴデス氏によると、こうした訴訟は今後さらに増える見込みです。
「保険各社は、しばらくの間、契約解除を『核オプション』として活用すると、ひそかにほのめかしてきました。」バーンズ・アンド・ソーンバーグ法律事務所のパートナーであり、保険金回収・コンサルティング業務部門の共同代表を務めるスコット・ゴデス氏
「保険会社は、しばらくの間、契約解除を『最終手段』として使うと、ひそかにほのめかしてきたのです」と彼は述べています。 「それを見ると、本当にがっかりします。」 私の見解では、これは、より慎重な損害防止策を講じるのではなく、保険契約者に責任を転嫁する典型的な例だと思います。 「これは、曖昧で巧妙に表現された申込書の質問項目を、保険契約者に対して利用する手口の一例です。」
ゴデス氏は、企業がサイバーセキュリティを強化するために講じた措置について、 定期的に証明する責任を企業に負わせる慣行について言及しています。 これは、保険契約者と緊密に連携して、セキュリティ態勢に対する期待が満たされていることを確認する代わりに、企業にその責任を課すものです。 攻撃が発生した後、保険会社は保険契約者のサイバーセキュリティ対策の整備状況を特に厳しく精査します。 企業が保険申込書に記載したサイバーセキュリティ対策の正確性を確認するため、法医学調査員が派遣されることがよくあります。
ゴデス氏は、保険会社はサイバー攻撃を未然に防ぎ、意見の相違につながるような混乱を避けるため、保険契約者ともっと協力し合うべきだと述べています。 一部の保険会社では、すでに他の種類の保険について同様の対応を行っています。 例えば、一部の保険会社は、運転習慣を監視するための装置を車に設置することを承諾するドライバーに対して、割引料金を適用できると宣伝しています。 ゴデス氏は、保険会社はサイバーリスク保険を引き受ける際、申込書の回答を「抜け穴」として利用するのではなく、同様の「損失抑制」戦略を採用すべきだと主張しています。
[関連記事：ランサムウェアがサイバー保険業界に打撃を与えています]
しかし、多くの企業は、自社のサイバーセキュリティ対策に関する詳細な情報を公開することに消極的です。 彼らは、保険会社が余計なことに首を突っ込んでくることや、セキュリティ対策の内容を明かすことによる潜在的な法的影響を懸念しています。
面倒な申請手続きへの取り組み
こうした困難に加え、 ランサムウェアやその他のサイバー攻撃 の急増を受けて、多くのサイバー保険会社は、保険加入の資格を得るために、申請者に長くて扱いにくい質問票への記入を求めていると、タフツ大学フレッチャー・スクールのサイバーセキュリティ政策准教授であり、『 』 『Cyberinsurance Policy: Rethinking Risk in an Age of Ransomware, Computer Fraud, Data Breaches, and Cyberattacks』 の著者であるジョセフィン・ウォルフ氏は述べています。
「保険契約書の内容について、意図的か否かを問わず事実と異なる記載がなされると、保険会社は異議を申し立てることになります。」フィッチ・レーティングスのシニア・ディレクター、ゲリー・グロムビッキ氏
「こうした申請書類は今では非常に分厚くなってしまったため、一部の企業では3人以上のチームを部屋に集め、『この質問票への回答が、今後1か月の仕事だ』と指示しているほどです。」
もちろん、それほど多くの時間を割くとなると、他の仕事に割く時間が減ってしまいます。 より一般的な慣行としては、CISO、CIO、CFO、あるいは財務担当者の部署に所属する担当者が、保険に関する書類に記入することが挙げられます。
問題点は、たった一人の人間が、技術的に詳細なあらゆる質問に正確かつ完全に答えるだけの知識や時間を持っているとは考えにくいということです。 その結果、誤りや記載漏れ、不実表示が生じ、保険会社が保険金請求を拒否したり、トラベラーズ社が先例となる訴訟で示したように、保険契約を解除したりすることにつながります。
「今後最も顕著になるのは、人々が保険契約の内容について、意図的か否かを問わず事実と異なる記載を行うにつれ、保険会社がこれに異議を唱えるようになることだと思います」と、大手信用格付け機関の一つであるフィッチ・レーティングスのシニア・ディレクター、ゲリー・グロムビッキ氏は述べています。
戦うべき戦いを選ぶ
しかし、たとえ他社がトラベラーズの例に倣ったとしても、業界関係者は、その動きはおそらく控えめなものにとどまると見ています。 サイバー保険の契約者を裁判に訴えるという行為は、世間の目にはあまり良く映りません。
「保険会社が、些細な点にこだわって補償の無効を主張するような、数多くの訴訟に巻き込まれることは、決して保険会社にとって得策とは言えません」と、再保険ブローカーのMcGill and Partnersでサイバー保険部門の米国責任者を務めるデビッド・アンダーソン氏は述べています。
「保険会社宛てに書面で提出するものはすべて、署名があるかどうかに関わらず、表明とみなされます。」マクギル・アンド・パートナーズ、米国サイバー部門責任者のデビッド・アンダーソン氏
「そもそもこのような訴訟が起こることに驚いています」と、イェール大学ロースクールの「情報社会プロジェクト」の客員研究員であるショーン・オブライエン氏も同意見です。 「これは恐ろしい戦略です。なぜなら、その結果、誰もこれらの製品を信用しなくなってしまうからです。」 「彼らにとって、サイバー保険の販売はすでに十分に難しいのです。」
「これは危険な道です」と、チャールズ・リバー・インシュアランス社の社長、ゲリー・ケネディ氏は付け加えます。 「貴社は、保険契約者が必要とする時に補償を提供すると謳っています。」 しかし、いざその時になると、[契約を取り消すことで]彼らの足元をすくってしまうのでしょうか？ 「ほとんどの人は、『私の請求を却下する前に、そのような可能性があることを知らせてくれていたらよかったのに』と言うでしょう。」
法的リスクの回避
予期せぬ不測の事態を防ぐため、業界の有識者は以下の予防策を推奨しています。
- アンケートには真剣に取り組んでください。 こうした申請手続きは煩雑なものになってはいますが、法的に拘束力のある事実の陳述となります。 曖昧さが生じれば、いつでも訴訟に発展する可能性があります。 申請書の記入に先立ち、McGill and Partners社のアンダーソン氏は、最も完全かつ正確な回答を行うために必要な、運用面および技術面に関するあらゆる詳細情報を収集するため、部門横断的なリスク管理チームを結成することを推奨しています。
- 弁護士に相談してください。 また、アンダーソン氏は、手続きの進め方を指導し、質問票への回答内容を確認してもらうため、早い段階で弁護士に依頼することを提案しています。 「保険会社に提出する書面は、署名があるかどうかに関わらず、すべて表明となります」と彼は言います。 「弁護士を雇うのは費用のかかる手続きであり、多くの企業、特に個人経営の小さな店では、それを賄うことができません。」 「ですが、もし可能であれば、そうすることをお勧めします。」
- 被写体の露出を測定してください。 申請手続きの際には、サイバー犯罪者がしばしば第三者を標的にすることを念頭に置いておくことが重要です。 チャールズ・リバー社のケネディ氏は、企業がMFAを導入していると表明しながらも、 に提携するパートナーやベンダー が同様にMFAを利用していることを確認していない場合、将来的に問題となる可能性があると指摘しています。 彼は、保険会社と連絡を取り、 の第三者リスク管理 が保険会社の期待事項の一つであるかどうかを確認し、もしそうであるならば、その要件を明確に確認するよう提案しています。
- 自分が何を証明しているのか、しっかりと把握しておきましょう。 サイバー保険の申込書に署名した者が、最終的な責任を負うことになります。 もし後で問題が発生した場合、その人物が法的手続きの矢面に立たされることになるでしょう。 そのため、フィッチ社のグロムビッキ氏は、署名者（理想的には上級幹部）は、自分自身を守るためにも、また組織を守るためにも、自分が何を証明しているのかを理解しておくべきだと強調しています。
- 率直に話してください。 タフツ大学のウォルフ氏は、企業が最も避けるべきことは、真実を曖昧にすることだと指摘しています。 細部まで過度にこだわる必要はありませんが、経営陣は、事実の歪曲という非難を避けるため、可能な限り率直であるべきです。 例えば、ある企業でMFAが一部の部署では導入されているものの、他の部署では導入されていない場合、経営陣は、MFAが導入されている場所と導入されていない場所を特定する必要があります。
- 保険契約の内容をよく理解しておきましょう。 サイバー保険に加入する際は、その保険が考えられるあらゆる事態をカバーしていると決めつけないでください。 保険はそういう仕組みにはなっていません。 したがって、保険契約の内容を理解し、 に記載された免責事項 に特に注意を払うことが極めて重要であると、Aon傘下のStroz Friedberg社で弁護士兼副社長を務めるエリック・ギャシ氏は警告しています。
[関連記事：取締役会に必ず尋ねてほしいサイバーセキュリティに関する 6 の質問]
「少し陳腐に聞こえるかもしれませんが、組織は一度設定したらそのまま放置しがちです」と彼は言います。 「実際、保険契約では、ご自身が想定していた範囲の補償が適用されない場合があります。」
保険会社各社は、まだ発行済みの保険契約を取り消すために列をなしているわけではありません。 しかし、業界がリスクモデルや規則の精緻化を図るにつれ、「トラベラーズ対ICS」のような訴訟が今後ほぼ間違いなく相次ぐだろうと、観測筋は見ています。
バーンズ・アンド・ソーンバーグのゴデス氏は次のように警告しています。「企業は、保険会社が保険契約の解釈に関して、より積極的かつ厳格な立場をとっていることに留意し、それに応じて対応すべきです。」
