サイバー保険業界が世界的なサイバーレジリエンスのエコシステムを確保するうえで果たす役割は、サイバーレジリエンスを測定する標準的な枠組みがないために損なわれている。
サイバー保険の需要が高まるなか、保険会社は、リスク評価手法の改善の一環としてサイバーレジリエンス基準の導入に影響を与える立場にあり、そのためのインセンティブも有している。
サイバー保険会社は、連携、改善、監視、品質、インテリジェンスを通じて、サイバーレジリエンスの向上に重要な役割を果たす。
2022年のロシア・ウクライナ戦争は、サイバー攻撃が拡大を続け、サイバー脅威の兵器化が、国家経済にとって重要な複数の企業や重要インフラへの影響を最大化する手段となっていることを示している。サイバーレジリエンスの確保は、効果的なリスクの特定と軽減を前提とする。したがって今、組織が「デジタルの防弾チョッキ」を身につけることは、かつてないほど重要になっている。
サイバー保険業界は、世界的なサイバーレジリエンスのエコシステムを向上・確保するうえで重要な役割を担っている。しかし、サイバー保険会社と被保険組織には、サイバーレジリエンスを測定する標準的な枠組みがない。その代わり、資源配分には業界ベンチマークを、サイバーリスクの定量化には時代遅れの手法を頼りにしている。
サイバーインシデントの発生頻度が高まり、混乱をもたらす影響も深刻化するなか、サイバーセキュリティへの支出を増やしても、必ずしもサイバー成熟度が向上するわけではないことは明らかだ。保険会社は過去2年間、組織に保険を提供するなかで、未成熟なリスク評価手法の影響を身をもって経験してきた。上位20社のサイバー保険会社は最近、過去最高の損害率を記録している。
サイバー保険の需要が高まるなか、保険会社は、改善されたリスク評価手法の一環としてサイバーレジリエンス基準の導入に影響を与える立場にあり、経済的な動機も持つようになっている。
サイバー保険会社がサイバーレジリエンスの向上に不可欠な役割を果たす方法はいくつかある。
1. 連携
サイバー保険会社は、サイバーレジリエンスのベストプラクティスを採用し、適切なセキュリティ衛生と行動を実践するうえで独自の立場にあるため、政府、規制当局、組織と連携し、現在の攻撃への露出状況に基づいて取り組みを継続的に改善し、優先順位を付けられる。
レジリエンスを高める行動を促す適切なインセンティブを提供できるだけでなく、業界や地域を越えて社会のサイバーリスクを軽減することにも、財務上の利害を有している。その結果、保険会社の貸借対照表は、他者のサイバーセキュリティの成否と密接に結びついている。
サイバーリスクの測定手法とガバナンス原則を標準化することは、保険業界と社会の双方に利益をもたらす。
2. 改善計画の提案
サイバー保険会社は、改善計画を提案することで、組織が適切な手順に沿って取り組むよう促すこともできる。
保険会社は保険料を決めるために、組織のセキュリティ態勢を評価する。その際、公開されていない可能性のあるセキュリティインシデント、侵害、保険金請求データなど、さまざまな内部情報にアクセスできる。
こうした情報に基づいて、サイバー保険会社は保険料と契約内容を定め、セキュリティ向上につながる行動を促す改善目標を設定することもできる。
被保険者のセキュリティ態勢が一貫して強固な場合に、保険料を見直したり割引を適用したりするインセンティブは、大きな効果をもたらし得る。
3. 監視と品質保証のツール
サイバー保険会社は、セキュリティ評価などの指標を通じてサイバー態勢の強化を図るため、継続的な監視の手法やツールを活用できる。
継続的な監視はサイバーリスクを抑え、侵害やインシデントが発生した時点での被保険組織のサイバーセキュリティ評価への理解を深める。こうした知見と、発生した侵害やインシデントの種類、保険金請求に記された影響区分に関する重要な発見を重ね合わせることで、独自の洞察が得られる。
例えば、組織の種類（業界や規模など）、その組織のサイバー成熟度評価、そして保険会社（場合によっては複数の保険会社）への保険金請求につながった侵害が事業に及ぼした影響との相関関係を見いだすことは、リスク指標に関する知見を大きく深める。
サイバーセキュリティに関して、世界経済フォーラムはどのような取り組みを行っているか。
サイバーセキュリティセンターは、リーダーたちが集まり、変化するサイバーリスクとそのシステム全体への影響を理解するための、信頼できるプラットフォームを提供している。相互接続が進むデジタル世界において、理解と信頼の構築に重点を置いている。
セクターを越えた連携と知見の共有を促すことで、同センターはパートナーがサイバーレジリエンスを強化し、共同での対応が必要な課題に取り組むことを支援している。
保険金請求データの分析を集約し、匿名化することで、強い相関を示す指標やパターン、新たな傾向が明らかになるはずだ。こうしたデータは、年次の保険料交渉でも、インシデント発生後の交渉でも、被保険者との交渉において正当な交渉材料として活用できる。
保険会社は、組織がサイバーレジリエンスを実現できるよう働きかけるうえで有利な立場にあることは明らかだ。保険会社は、継続的な引受の仕組みを活用することでこれを実現できる。つまり、被保険者のリスク態勢を定期的に監視するのである。このような積極的な監督は、サイバーインシデントを回避する最善の方法について、顧客に先回りして助言するうえで効果を発揮する。
データに基づくリスクモデルを活用すれば、保険会社は被保険者に統制の改善を促し、絶えず変化するリスク環境のなかで、サイバーセキュリティのリスク評価とレジリエンスを高めることができる。
4. インテリジェンスの活用と共有
サイバー保険会社は、インシデント発生時にエコシステムの関係者や法執行機関とインテリジェンスを活用・共有し、対応を迅速化して復旧時間を短縮することで、リスクを最小限に抑えられる。
すでに述べたように、保険会社は、公開されていない可能性のあるセキュリティインシデント、侵害、保険金請求データに独自にアクセスできる。保険会社がこの情報を、規制政策やサイバーセキュリティの実践、インシデント対応に反映させないのは無責任だろう。
侵害指標（IoC）は、石油・ガス、金融サービス、小売・ホスピタリティなどの業界やセクター全体のレジリエンスを支えるため、米国、欧州、アジアのISAC（情報共有・分析センター）間で日常的に共有されている。STIXとTAXII（2021年6月時点でバージョン2.1）は、この目的のための構造化データ共有プロトコルである。
大手企業は、集約・匿名化されたTTP（戦術、技法、手順）と、侵害事案や事業の混乱に関する対応データを活用できる保険実務者のコミュニティを築くため、同様の方法を探るべきかもしれない。セキュリティベンダーからの、より詳細な脅威インテリジェンスのフィードが、事案や脅威アクターに関するこの情報基盤に加われば、真にレジリエントで堅牢な集団防御能力の実現に寄与できるかもしれない。
