サイバー保険の契約では、戦争やテロリズムに関連する保険金請求を、多くの場合、きっぱりと拒否しています。 というのも、サイバー戦争によって引き起こされた広範囲にわたる被害について企業に補償を行うと、多くの保険会社が経営破綻に陥ってしまうからです。 しかし、現在、戦争に関連するものとして否定されているいくつかの一般的な大災害リスクについては、まもなくその軽減が政府の責任となる可能性があります。
7月、 米国政府監査院（GAO） は、国土安全保障省および財務省に対し、重要インフラへの攻撃から保護するサイバー保険契約について、作物の不作を補償する政府保険と同様に、連邦政府による「セーフティネット」が必要かどうかを評価するよう勧告しました。 民間保険会社は、ランサムウェアやその他のサイバー被害を「戦争行為」として分類することで、その損失を相殺しようとますます努めています。
保険会社にとって、国家が後援し、指揮を執って引き起こされる重要インフラへのサイバー攻撃は、一種の戦争のように感じられます。
「保険会社は、戦争行為に対する補償を提供する体制が整っていません」と、保険業界に特化した世界的な格付け機関であるAMベストの業界調査・分析担当ディレクター、スリダル・マニエム氏は述べています。 「だからこそ、戦争行為による免責条項は 100 年以上にわたり標準的なものとなっているのです。」 保険補償における「戦争」に関する免責条項は、スペイン内戦を受けて 1930s 条で設けられました。
例えば、ウクライナとロシアの2カ国が武力紛争状態にあるため、保険会社はウクライナやロシアを起点とするサイバー攻撃に関する保険金請求を、ますます拒否するようになっています。 しかし、米国の重要インフラ組織の弁護士たちは、少なくとも従来の意味において、米国は技術的にはいかなる国とも戦争状態にはない、と指摘しています。 したがって、彼らは、ロシアからの攻撃は、他のあらゆる脅威源と同様に捉えるべきだと主張しています。
法的な争いが除外事項を決定づける
保険会社はすでに、連邦政府の テロリスク保険プログラム（TRIP： ）からの補償に依存しています。このプログラムは、9/11 条の施行後に設立され、「暴力的または強制的性質」を持つテロ行為やサイバー攻撃に対する保険を引き受けることを目的としています。 TRIPの問題点：このプログラムの下では、たとえ壊滅的な被害をもたらしたとしても、ほとんどのサイバー攻撃は戦争行為やテロ行為には該当しません。
「保険会社は、戦争行為に対する補償を提供する体制が整っていません。」AMベストの業界調査・分析担当ディレクター、スリダール・マニエム氏
A major disagreement over the interpretation of coverage limits spilled into court in 2017 when pharmaceutical giant Merck sued insurers over coverage for $1.4 billion in losses related to the NotPetya malware attack, which was attributed to Russian military hackers. 2022年1月、 において、メルク社は、ニュージャージー州の裁判所が「戦争除外条項」はサイバー戦争ではなく、武力による戦争にのみ適用されると判断した本件において、 で勝訴しました。 メルク社は、単独のサイバー保険ではなく、全リスク型財産保険契約を通じて、サイバー攻撃による費用の補償を求めていました。
この判決が、この件の最終的な決着となる可能性は低いでしょう。 ランサムウェア や 、ビジネスメール詐欺（BEC） の発生件数が急増する中、保険会社では、単独のサイバー保険契約だけでなく、他の種類の保険とセットになった契約においても、損失額が増加しています。 保険会社は現在、単独型およびパッケージ型のサイバー保険において、1ドルの補償額につき約 65 セントの損失を出しています。
AMベストの「 」調査『 』によると、これは2017年に見られたいわゆる「損害率」の2倍以上であり、パッケージ型保険では 27.5 セント、単独型保険では35.4 セントでした。 1ドルあたり 65 セントという損害率は、ほとんどの保険会社にとって許容範囲をはるかに上回っています。
[関連記事：ロシアのサイバー戦争、西側の重要インフラを標的に]
「現在の保険の仕組みは、概して『表が出ても勝つし、裏が出ても勝つ』ようなものなのです」と、サイバーセキュリティの専門家であり弁護士でもあるエリック・ギャシ氏は述べています。同氏は、Aon傘下のStroz Friedbergに所属し、大規模なサイバー攻撃や侵入被害を受けた企業に代わって、インシデント対応調査を指揮しています。 「サイバー分野は、そのモデルをかなり大きく覆しました。」
サイバー保険に伴うリスクには、他の保険商品ほど容易に分散できないという欠点があります。 洪水保険への加入をご検討ください。 ある州で大規模な洪水が発生した場合、深刻な洪水被害を受けていない州で生み出された収益が、保険会社の損失を相殺するのに役立ちます。
しかし、サイバー攻撃が特定の場所に限定されることはめったにありません。 NotPetyaのような大規模な攻撃が重要インフラを襲った場合、脆弱性のあるハードウェアやソフトウェアを使用している組織であれば、どこでも影響を受ける可能性があります。 保険会社は、そのようなリスクを事業多角化によって回避することはできません。
サイバー保険会社は負担を転嫁しています
サイバー犯罪の急増を受けて、一部の保険会社は保険料や免責額を引き上げるとともに、補償対象外の範囲を厳格化し、保険を引き受ける事業の種類を縮小しています。 ロイズ・オブ・ロンドンをはじめとする一部の保険会社は、 において、国家によるものとみられるサイバー攻撃については一切補償しないことを発表しました。 また、ロイズも今年、約 100 のシンジケートメンバーに対し、サイバー保険の引受を控えるよう働きかけ始めたと報じられています。 同様に、 のチャブ社も、広範囲にわたるサイバーセキュリティ事案に対する補償範囲を制限するという戦略を公表しました（ ）。
「現在の保険業界の慣行は、通常、表が出ても勝つし、裏が出ても勝つというものです。」 サイバーセキュリティは、そのモデルをかなり大きく覆しました。”ストロズ・フリードバーグ社のエンゲージメント・マネジメント担当副社長、エリック・ギャシ氏
ギャシ氏は、だからこそ、戦争やテロリズムに関する免責条項をめぐる紛争は、改善される前にさらに悪化する可能性が高いと考えていると述べています。 サイバー保険はまだまだ発展途上の保険商品であり、ある意味では、保険会社は手探りの状態で事業を展開していると言えます。 保険会社がリスク予測に用いている のアクチュアリー・モデル（ ）は、現在見直しの最中です。 また、企業のサイバー攻撃被害者の多くは、あるいはその大半は、インシデントの報告を避けているため、データ不足という問題にも直面しています。 一方、被保険者に対する規則や要件は、今もなお変化し続けています。
一方、GAOによると、重要インフラに対するハッキングの試みは、より巧妙かつ頻繁になっているとのことです。 このことは、コロニアル・パイプライン（ ）に対するランサムウェア攻撃（ ）により、2021年に東海岸への石油の供給が途絶えた際に、痛切に明らかになりました。
[関連記事：ランサムウェアがサイバー保険業界に打撃を与えています]
ストロズ・フリードバーグ社のギャシ氏のような観測筋は、こうした痛ましい事件こそが、連邦政府が、FDICが銀行に対して預金保険を提供しているのと同様に、戦争関連とみなされるかどうかにかかわらず、重要インフラに対する攻撃をサイバー保険が確実に補償する仕組みを構築する必要がある理由を説明していると述べています。
「もし私の考えが正しければ、連邦政府はこうした問題の一部について、何らかのセーフティネットを設けざるを得なくなるでしょう」と彼は断言しています。 「重要インフラの機能停止がもたらす広範かつ深刻な影響を考えると、政府と通信事業者との間で何らかの責任分担が必要となります。」
そのためには、連邦政府は、国の重要インフラをどのように定義するかを決定しなければなりません。「本当の問題は、この分野が急速に変化しているという点です」とギャシ氏は述べています。 「まるで、地面に杭を打ち込もうとしたら、それが流砂だったと気づくようなものです。」
