サイバー犯罪と不安全性は2023年の世界の10大リスクの一つに数えられた。
技術が進歩するにつれ、イノベーションによる利益は次第に小さくなる一方、サイバーセキュリティのリスクは高まってきた。
保険業界は、この力学から消費者と企業を守ることができるかもしれない。
サイバーセキュリティに関しては、疑いの余地はないことがある。それは「セキュリティ・バイ・デフォルト」の重要性である。このアプローチにより、製品の利用者は特別な措置を講じることなく、最も一般的な脅威から守られる。ただし、セキュリティ・バイ・デフォルトを全面的に導入するには課題もある。たとえば、製品コストやイノベーションの速度に圧力がかかる可能性がある。
世界フォーラムは、グローバルなサイバーセキュリティの課題にどのように取り組んでいるのか？
サイバーセキュリティセンターは、リーダーが一堂に会し、進化するサイバーリスクとその システミックな影響を理解するための信頼できるプラットフォームを提供している。同センターは、ますます相互に連結するデジタル世界において、理解と信頼の構築に注力している。
セクターを越えた協働と知見の共有を可能にすることで、同センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に取り組めるよう支援している。
良いニュースは、セキュリティ・バイ・デフォルトの施行が効果を発揮するために、必ずしも普及している必要はないということである。成熟した少数の製品が、サイバーリスクの大半を生み出しており、イノベーションによる見返りは逓減している。
意外にも、セキュリティ・バイ・デフォルトの基準の施行は、政府の役割にはならないかもしれない。実際、最高水準のサイバーセキュリティ保護を施行するという点では、保険業界が知られざるヒーローとなりうる。
政府は実際には、保険の基準を選択的に採用し、それをコンプライアンス要件にする可能性が高く、また、消費者がコンプライアンスにかかる全費用を負担しないよう保護する可能性が高い。
極めて大きなサイバーセキュリティリスクが重要な鍵を握る
約30年前にソフトウェアがビジネス活動を支え始めた頃、サイバーリスクは非常に低く、新しいバージョンごとに大きな機能的向上がもたらされた。そのため、何よりも迅速なイノベーションのサイクルを優先することには合理性があった。ソフトウェアは常に「かろうじて動く」状態にあり、欠陥のある技術に伴うリスクはほぼ全面的に購入者が負ってきた。
このアプローチはもはや適切ではない。世界フォーラムの報告によると、2023年には、サイバー犯罪と不安全性が世界の10大リスクの一つに挙げられている。世界経済フォーラム今日のビジネスソフトウェアの多くは成熟している。新しいバージョンは生産性においてわずかな改善しかもたらさない一方で、数十億人の利用者に影響する重大な脆弱性を生み出すことも少なくない。
最も広く採用されているソフトウェア製品は、セキュリティに関して最も高い基準を満たすべきである。これらの製品は非常に多くの利用者を抱え、また非常に成熟している。一例として、過去5年間に、米国におけるランサムウェア攻撃全体の50%は、Windowsオペレーティングシステムに組み込まれた単一のリモートアクセスツール（RDP）に起因している。
そのため、最も関連性の高いソフトウェアに対して、設計段階から初期設定に至るまで高いセキュリティ基準を優先する、実践的で領域を絞ったアプローチの方が、技術分野全体のリスクに取り組もうとするよりも、サイバーリスクの軽減に大きな効果をもたらすだろう。
世界経済フォーラムは、サイバーセキュリティ人材の不足に対処するために何をしているのか？
サイバーリスクを低減するための介入
明示的に言われることはないかもしれないが、現在、ソフトウェアは「自己責任で使用する」モデルで運用されている。つまり、ほとんどのテクノロジーベンダーは、絶え間ないソフトウェアの脆弱性によって生じるリスクの結果について責任や法的義務を負っていない。攻撃者が脆弱性を悪用した場合、そのソフトウェアを使用している企業（およびその保険会社）が、結果として生じる財務的、法的、および評判上の負担を負うことになる。
最新の更新や新たに発生する脆弱性に継続的に対応できる専任のセキュリティチームを持つ大企業にとっては、リスクは管理可能かもしれない。しかし、専任の社内セキュリティチームや資源を持たない中小企業は、より大きなリスクを抱えており、手遅れになるまで、起こりうる壊滅的な被害に気づかないことが多い。
さらに、マルウェア技術が進歩するにつれ、組織がそのようなリスクを阻止するために必要とするセキュリティツールも進歩してきた。こうした高度なツールは、ほとんどの中小企業にとって高額すぎるだけでなく、それらを運用するには専門の担当者が必要であり、中小企業はそのような人材を採用する余裕がなく、またマネージドセキュリティサービス企業から借りることもできない。
要するに、中小企業はサイバーセキュリティにおいて市場の失敗に直面している。複雑で拡大し続ける脅威の状況、高額すぎるツール、セキュリティに新たな穴を生み出すテクノロジーベンダーからの説明責任の欠如、そして政府による支援がほとんどないか、まったくない中で、中小企業は取り残されている。この市場の失敗は、自然に解消されることはないだろう。
保険：事実上の世界のリスク規制当局
サイバー保険は、市場が自然には生み出せないセキュリティ・コンプライアンスへの財務的インセンティブを創出するという、唯一無二の能力を通じて、この問題を解決するのに最も適している可能性がある。
保険業界は、サイバーリスクを保険可能な水準まで低減するために何が役立つかを判断するためのデータ、専門知識、そして動機を備えている。歴史的に、保険はあらゆるリスク体系において事実上のセキュリティ調整役を担い、業界全体にわたるリスク軽減の技術やプロセスを標準化する大部分の負担を引き受けてきた。明確な例として、自動車業界の反対にもかかわらず、保険業界が米国連邦政府を連邦最高裁判所に提訴し、すべての自動車へのエアバッグ搭載を義務化させたことが挙げられる。
保険会社は信頼に足る存在である。保険会社は資金を賭けており、どのセキュリティ・ソリューションが採用されるかについて公平であり、また、サイバーインシデントの発生頻度だけでなく、実際の被害額を含め、大規模なデータを保有している。引受要件は、基準を効果的に確立できる優れたコンプライアンスツールである。リスクの高い、または設定が不適切なソフトウェアの利用者は「罰せられ」、ベンダーの選択に対する説明責任が生まれる。安全なソフトウェアは保険料の割引を受け、保険会社からの評価を得ることになる。
その後、政府は保険業界の取り組みに便乗し、該当する場合には、それらの基準をコンプライアンス要件にすることができる。
InsurSec：保険とセキュリティの融合
中小企業にとって、保険会社は、今日ソフトウェアを手の届かないものにしている市場の失敗を解消することもできる。リスクを引き受けることで、保険会社は企業がセキュリティを向上させ、インシデントを回避するよう支援するインセンティブを持つ。保険会社は、場合によってはセキュリティソフトウェアや運用を提供し、顧客の損失を抑えることもできる。さらに、保険会社は、中小企業がより優れたソフトウェアを選定し、その設定を管理することを支援するインセンティブを持つ。
新世代のInsurSec企業（保険とセキュリティの融合）は、強固なセキュリティが例外ではなく標準となる世界、そして消費者が自分たちの利用するソフトウェアの欠陥に責任を負わされない世界へと私たちを導くことができる。
