サイバー保険市場は近年、急速に拡大してきた。
それにもかかわらず、保険料の低さとリスクの高さが相まって、さらなる成長が妨げられ、多くの企業がこの高まりつつある脅威に対して十分な保険に加入できていない。
サイバー保険分野の引受余力を高める2つの方法を紹介する。
サイバー保険はまだ黎明期にあるかもしれないが、ここ数年で急速に成長し、その後、私たちが皆一時的な停滞であることを願う局面を迎えた。保険会社の発行する保険契約は増え、補償額も拡大している。実際、私たちのコミュニティでは、補償額が10億ドルを超える初のサイバー保険プログラムがついに登場した。一方、補償範囲も広がり続けている。成長の鈍化さえなければ、サイバー保険は成熟しつつあり、企業も新たに出現しているサイバーセキュリティ上の脅威に対応しているように見える。
残念ながら、サイバー攻撃はより頻繁に、より深刻になっている。ランサムウェアの攻撃者は大胆さを増し、身代金は5桁・6桁の金額から、今年初めには報道によれば1,000万ドルにまで膨らんだ。今年初め。Hiscox Reによると、2019年のサイバー保険対象損失は18億ドルで、前年比50％増となった。50％の保険金請求増加を考慮しても、推定50億ドル超の保険料に対するこの規模の損失総額は、確かに警戒すべき事態ではない。慎重になる必要はあるかもしれないが、警戒するほどではない。サイバー保険について懸念するなら、保険に加入していない企業に目を向けるべきだ。
前述の急速な成長にもかかわらず、当初から保険に加入している企業は、サイバー保険の補償が不十分なことが多く、まったく加入していない場合さえある。PCS Global Cyberが実施した社内調査によると、補償額が少なくとも2億ドルの保険加入企業、いわゆる「大手」は、世界のサイバー保険料の総額とされる55億ドルの約20％を占める。保険料にしておよそ11億ドルだ。
すでに、この市場環境がいかに脆弱かが分かる。このグループに属する保険プログラムは約250件で、保険対象損失が3億ドルに達する事例が4件あれば、年間保険料全体が吹き飛ぶ計算だ。保険会社がその損失を取り戻すには、おそらく数十年かかるだろう。さらに深刻なのは、少なくとも5億ドルの補償を受ける約40社だ。大規模な損失が2件発生すれば、1年分の保険料が失われ、回復には半世紀かかる可能性がある。
こうした状況を踏まえると、サイバーリスクを補償する価値はないようにも思える。大手のすぐ下の層、つまり保険料が1億ドルから1億9,900万ドルの企業にとっても、この市場に参入するかどうかの判断は難しい（下図参照）。この層には約500社があり、世界の保険料のさらに25％を占めると私たちは考えている。実際にはもっと多い可能性もある。ここでも、わずか数件の損失で、この層の保険料14億ドルが壊滅しかねない。
つまり、保険料は低く、リスクは高い。この状況は、市場が従来の急速なペースで成長し続ける力に悪影響を及ぼし、サイバー保険の深刻な不足につながっている。最も簡単な実態把握の方法は、フォーチュン500企業を見ることだ。補償額が少なくとも2億ドルの保険プログラムは約250件しかないため、フォーチュン500の半数はその額の補償を受けていないと推測できる。最大規模のサイバー保険プログラム50件のうち、10件近くは非公開企業を対象としており、そのうち3件は最終的に（それぞれ異なる形で）1社の保険加入企業に利益をもたらしている。フォーチュン500企業のサイバー保険加入は、想像以上に少ない。対象を広げて見れば、サイバー保険に加入している企業がいかに少ないか、ましてや意味のある補償を得ている企業がいかに限られるかは、すぐに分かる。
世界の再保険・保険業界では、サイバー保険市場が構造的な問題に直面していることは周知の事実だ。市場をここまで発展させるうえで、価格設定の仕組み全体は高度で効果的だったものの、大規模な損失事象による検証を受けていない。率直に言えば、サイバー保険の普及率が低いため、そうした事象が起きても効果は弱まるだろう。さらに難しいのは、この分野に追加資本が配分されていないことだ。特に大規模なリスクを引き受けるプログラムでは、保険会社は多額の資本を投入する必要がある。従来、保険会社は再保険の支援に大きく依存してきた。（サイバー保険料の推定40％が再保険に出再されていると聞いている。）現時点で、再保険会社はこの分野への引受余力を増やしていない。
サイバー保険により多くの資本を呼び込む方法は2つある。1つ目はデータだ。サイバー保険市場の初期には、業界全体でサイバー保険データを把握する仕組みがなかった。市場が非常に集中していたため、そのような仕組みは必要とされなかったのだ。少数の市場参加者が、ほぼすべての情報を把握していた。その後、市場の拡大に伴って、情報はますます分断されてきた。最大手のサイバー保険引受会社は今も多くの情報を把握しているかもしれないが、市場には把握できていない領域が広く残り、再保険会社も全体像を把握できないことが多い。上記の分析から分かるように、私たちはこの問題を解決する方法を見いだし始めているが、PCSチームの取り組みはまだ初期段階にある。
サイバー保険市場の引受余力を高める2つ目の方法は（データの質と量が向上すれば、その効果も高まる）再々保険だ。保険会社が再保険会社から補償を購入するように、再保険会社も再々保険市場で自社のポートフォリオに対する補償を購入する。これまで、サイバー再保険会社が再々保険を利用できる機会は、限定的かつ戦術的なものにとどまってきた。この分野に資本を配分できる市場参加者は少なく、再々保険を引き受けると集中リスクが不合理なほど高まるという問題に直面する。再々保険の買い手は、現在または将来の競合相手から補償を購入している可能性が高いため、データ共有に消極的であり、問題はさらに深刻になっている。一貫性と信頼性があり、十分に機能する再々保険市場を築けば、最終的な保険加入企業に至るまで、引受余力の拡大につながる。
