サイバーセキュリティをめぐる議論では攻撃手法に焦点が集中し、被害を受けた個人に関する情報や、その保護方法が見落とされてきた。
サイバー保険会社と規制当局は連携し、脅威の変化に対応した予防的な対策を反映するよう、リスク評価の見直しを進めることができる。固定的な一時点の評価にとどめるべきではない。
組織は、消費者データと自社のセキュリティの両方を守るため、先を見越して行動すべきだ。それによりブランド価値と収益性の向上につながる。
サイバーセキュリティをめぐる議論は、ランサムウェアなどに焦点を当て、データ侵害がどのように起こるかを論じる傾向がある。しかし、こうした偏重によって、データの持ち出しが被害を受けた組織や個人にもたらす長期的なリスクが見過ごされている。
2022年には、組織におけるデータ侵害1,774件により、世界で3億9,200万人を超える個人が被害を受けた。金融、医療から社会福祉まで、さまざまなサービスを利用する個人を特定できる、法律で保護された情報が侵害された。
データ侵害は経済にも直接的な影響を及ぼす。侵害による損失額は前年比で20％超増加し続けており、世界の国内総生産（GDP）の4～6％に相当する。
こうした増加にもかかわらず、侵害の通知はますます不透明になっている。2022年には、公表された通知の66％に、被害を受けた人や攻撃の詳細に関する情報が含まれていなかった。主な理由は、プライバシーの権利が国レベルで法制化されていないことにある。さらに、信用情報の監視など、侵害後に消費者へ提供されるサービスは、将来の情報流出や侵害のリスクを最小限に抑えるために推奨される対応策と、通常かみ合っていない。
データ侵害に対する、強制力のある標準化された規制データ侵害
米国では、データ侵害の通知やプライバシーに関する法律は州レベルで制定・執行されているため、侵害報告にばらつきが生じている。侵害報告に関する統一的な規制要件がないため、ベンダーとの契約で定められている場合にしか、企業は侵害の通知を受けない。
データの取り扱いに一貫性が欠け、規則が寄せ集めの状態にあることに加え、企業の機密情報は現在、規制の対象になっていない。契約に侵害報告要件を明記していない組織は、第三者に起因する重大な脆弱性にさらされる可能性がある。
企業におけるデータ侵害の世界平均コストは、2022年に435万ドルに達した。サイバーインシデントが組織の財務的な持続可能性にもたらすリスクが続いているにもかかわらず、組織は株価の維持をより優先する。そのため、訴訟や評判の失墜を防ぐ目的で、報告条項を盛り込まない傾向にある。
米国におけるデータ侵害のコストは世界平均の2倍を超え、944万ドルに上ることを踏まえると、米国の民間部門は規制当局と協力し、プライバシーの権利を連邦法に明記するとともに、データの取り扱いに一貫性を持たせるのが賢明だ。
強制力のある規制のモデルとすべきなのは、欧州連合（EU）の一般データ保護規則（GDPR）である。米連邦取引委員会法第5条とは異なり、欧州地域の包括的なデータセキュリティ法では、個々の事業体による主観的な解釈の余地がない。EUの規制はより厳格だ。比較すると、2022年には加盟27カ国で1日当たり356件の侵害が報告された一方、米国では1日当たり7件だった。
米国には州法に優先する連邦規制がない一方、EUではデータ侵害が明確に定義されているため、法執行機関と侵害を受けた事業体が共同で被害のリスクを判断する。さらに、規制違反に対する高額な罰金や制裁により、影響を受ける利害関係者の間で、より透明性の高い情報開示と協力が促される。
保険会社と規制当局の連携
サイバー保険の普及が進むにつれて、従来、保険業界が組織のサイバーセキュリティリスク評価を主導してきた。しかし、脅威を取り巻く状況が急速に変化するなか、一時点の評価から組織のリスクを継続的に再評価する必要が生じ、保険会社のビジネスモデルは課題に直面している。
何がリスクに当たるのか、またデータ侵害による被害のリスクとは何かについて、一貫した定義が欠けているため、保険会社がサイバーセキュリティリスクを評価する能力に直接影響が及んでいる。適切な補償範囲の評価や、保険金請求があった際の審査も難しくなる。引受担当者も保険金請求の担当者も、絶えず進化する脅威アクターが引き起こす急速に出現する脅威への対応に苦慮している。また、定義上固定できない適切な評価基準を維持することも難しい。
規制当局は保険会社と緊密に連携し、新たな脅威に対応する予防的対策を反映するよう、サイバー保険のリスク評価モデルを継続的に改善しなければならない。
両者は協力して、流出したデータの属性に基づくリスクスコアを作成し、被害の深刻度と頻度、そしてデータ侵害が社会にもたらすコストを判断すべきだ。そうすれば、サイバー保険は単にリスクを相殺し、事業を元の状態に戻すための金融手段ではなく、組織のセキュリティ防衛戦略の一環として発展する。
消費者を守るセキュリティを評価する
保険会社と規制当局がデータ侵害への認識を高め、その件数を減らす方法の一つは、企業のセキュリティに加えて消費者データの保護にも安全対策を広げる組織を評価することだ。侵害後に推奨される対応策には、より厳格な本人確認措置の導入などが含まれるが、侵害を受けた組織が提供することは少ない。推奨される対策には、次のようなものがある。
金融機関のように顧客向け多要素認証サービスを導入するよう組織に促し、第三者による侵害や消費者データの流出が起きる可能性を下げる。
優れた取り組みを行う組織は、連携して基準を策定することを検討すべきだ。
組織は消費者を守るために先を見越して行動し、その力を発揮できるようにすべきだ。保護される消費者が増えれば、人々は潜在的な脅威についてより多くの情報を得られる。それはブランド価値を高め、収益を伸ばすことにもつながる。
サイバー保険は、保険料の割引、侵害前の無料サービス、そして脅威やサイバーリスク管理の進化に合わせて見直す継続的な引受審査を提供することで、このビジネスモデルをさらに後押しできる。サイバー保険の補償は、ネットワークへの不正アクセスが発見された時点で発動する。不正アクセスの可能性を下げるには、保険加入の有無にかかわらず、各自が利用可能な防御策を講じるべきだ。
こうしてサイバー保険は、データ侵害の発生前、発生中、発生後を通じて組織に適した解決策となり、個人の貴重な資産を守ることができる。
さらに、被害者を中心に据えたアプローチを取ることで、深刻な侵害の影響から組織とその顧客を一層守ることができる。
