どこを見ても、サイバーリスクやデータの混乱に関するニュースは気がめいるものばかりです。相次ぐ報告書は、サイバーインシデントの件数とコストが急速に増加していることを示しています。（その最新の報告書である、Ponemon Instituteによる「2015年データ侵害コスト調査：グローバル分析」は、データ侵害の47％が悪意ある攻撃に起因すると主張しています。これは前年の42％から増加しており、関連する企業コストは2013年以降23％増加したとしています。）世界各地のサイバー専門家の間では、今やお決まりの言葉が共有されています。企業がまだハッキングされていないとしても、侵害されるのは時間の問題にすぎません。
こうした新たな機能の多くはビッグデータ分析によって実現しています。ネットワーク内の多種多様なデバイスからログを取得し、データを一か所に集めて処理することで、自社環境における侵害の兆候を見つけられるのです。」
サイバーリスクに関するニュースは不安をあおるものですが、企業はただ目を閉じて、事態が好転することを願うわけにはいきません。この点では、少し明るいニュースもあります。「企業には今、脅威に直面してもレジリエンスを構築するための選択肢がかつてないほどあります。セキュリティソリューションは悪意ある攻撃者を探すために、より積極的に活用されており、個人もサイバー上の境界を守る個人および企業としての責任を、ますます認識するようになっています」と、Zurich Insurance Group（Zurich）の北米担当、グローバル・コーポレート、戦略的ビジネスリスク責任者であるLinda Conradは述べています。さらに、保険会社はサイバーリスク管理の専門知識と支援を継続的に拡充し、さまざまな業界固有のサイバーリスクに対応できるよう、保険契約の構成方法を再検討しています。
最善の防御は、優れた攻勢
サイバーセキュリティの導入は、どの企業にとっても以前から必須となっていますが、傾向は防御的なセキュリティから検知型のセキュリティへと移りつつあります。「従来型」の防御策であるファイアウォールやウイルス対策ソフトなどは、引き続きサイバーセキュリティの備えの一部です。そして今では、ハッカーの侵入を検知して追い払うためのプロセスと併用されています。こうした技術ツールは、企業をより適切に守るための賢明なサイバーリスク管理の実践を従業員が支援できるよう、指針と組み合わせるのが理想的です。
「高度な脅威検知では、多くのイノベーションが起きています」と、Zurich Risk Engineeringのサイバーセキュリティ部門ディレクター、Gerry Kaneは述べます。「こうした新たな機能の多くはビッグデータ分析によって実現しています。ネットワーク内の多種多様なデバイスからログを取得し、データを一か所に集めて処理することで、自社環境における侵害の兆候を見つけられるのです。サイバーセキュリティで最もイノベーションが進んでいるのは、この分野です。」
取締役会がサイバーリスク管理に関与すれば、データ侵害のコストを1レコード当たり5.50ドル削減でき、保険による補償でさらに1レコード当たり4.40ドル削減できます。」
高度な情報セキュリティチームは、悪意ある攻撃者を積極的に捜索しており、ハッカーが潜む場所を知る人材を採用することも少なくありません。この手法はまだ比較的新しいものの、うまく実施されれば効果が表れているとKaneは述べます。「このアプローチは、情報セキュリティ部門間の情報共有という、もう一つの革新的な傾向ともよく結びついています」と彼は言います。「たとえば金融サービス業界、エネルギー部門、さらには一部の州・地方自治体では、情報共有・分析センターが設立されています。これらの業界の企業は集まり、経験を共有します。そうすることで、グループ内の他社が経験から学び、その知見を使って同種の行動を探し、脅威を追跡できるのです。これはまだ非常に新しい取り組みですが、勢いと受容が高まっています。」
全体的なリスク像の中でサイバーリスクを捉える
サイバーリスクには目に見えにくい要素が多く含まれ、他のリスクよりもやや仮説的に感じられることがありますが、それに反する証拠は増えています。「サイバー障害やデータ侵害は、企業全体に非常に広範な影響を及ぼす可能性があります」とConradは述べます。「組織はデータ損失への対策だけでなく、組立ライン、調達、物流における自動化システムも考慮すべきです。販売注文や給与計算も、自動化されていることが少なくありません。こうしたエクスポージャーと事業への潜在的な影響を評価したうえで、技術面と人員面の両方で管理策を導入し、サイバー保険による補償を整えることが賢明です。」
Ponemonの報告書は、Zurichが長年提唱してきたサイバーリスク管理の基本原則、すなわち取締役会レベルの関与が不可欠であることを裏付けています。実際、報告書によると、そのような関与によってデータ侵害のコストを1レコード当たり5.50ドル削減できるとされています。保険による補償で、さらに1レコード当たり4.40ドル削減できます。
最近よく寄せられる質問は、「サイバー保険契約で、ほかでは補償されない何を補償してもらえますか？」ではなく、サイバー保険が他の保険契約とどう連携するのか、またどこに補償の空白があるのかというものです。」
サイバー保険は、企業経営者がリスクをより容易にイメージし、その影響を理解できる財物保険など、より伝統的とされる保険種目とは大きく異なります。しかし、サイバー保険はコストと事業停止時間を減らすことで、サイバーリスクへの対応に幅広く貢献できます。サイバーリスクが進化してきたのと同様に、事業レジリエンスへの取り組み方や、リスクを積極的に管理するために利用できる保険補償も進化してきました。
「多くの企業が、サイバーリスク管理における保険の側面をまだ理解しきれていないと言えるでしょう」と、Zurichのスペシャルティライン担当グローバル責任者、Lori Baileyは述べます。「保険の仕組みは、ネットワークセキュリティやテクノロジー企業に主眼が置かれていた2000年代初頭から大きく進歩しました。段階的な改善が進んだ今、保険補償そのものだけでなく、それが自社にどう適用されるかを理解するために時間をかける価値があります。どのような価値をもたらし、実際には何から守ってくれるのでしょうか？」
すべての企業が脆弱になり得ますが、サイバー賠償責任やセキュリティ、プライバシーの保護に関して、特定の業界には非常に固有のエクスポージャーやニーズがあります。たとえば金融機関向けには、実際のサイバーリスク保険ではないものの、サイバーリスクの一部に対応する保険商品がすでに市場に出ています。こうした業界では、「既存の保険商品を、すでに購入済みの他の商品と組み合わせたり、その業界特有の要件に対応したりするためのカスタマイズが進んでいます」とBaileyは述べます。
相互に関連するリスク管理
サイバー保険を既存の保険契約と整合させることは、相互に関連するサイバーリスクを管理するうえで自然な次の段階です。企業がサイバー保険を見直し、補償内容や契約の構成を再検討するにつれて、サイバーインシデント、ネットワークセキュリティ侵害、プライバシー侵害が起きた場合に、他の保険契約がどこまで補償し、どこから補償しないのかについて認識が高まっています。
サイバー保険契約を結ぶ利点の一つは、それに付随する予防的なサービスです。保険金請求への対応だけでなく、サイバーリスクのシナリオをリアルタイムで構築して検証し、企業が効果的なリスク評価を行えるよう支援できます。」
「最近よく寄せられる質問は、『サイバー保険契約で、ほかでは補償されない何を補償してもらえますか？』ではなく、サイバー保険が他の保険契約とどう連携するのか、またどこに補償の空白があるのかというものです」とBaileyは述べます。「たとえば、製造業者がサイバー保険を購入する場合、通常は財物保険と賠償責任保険のプログラムをすでに備えており、サプライチェーンや物流の補償も持っている場合があります。特に、前年にはサプライヤーの混乱の50％超がサイバー問題に起因していました。そこで、当初の問いはシナリオに基づくものになります。製造業者のネットワークがハッキングされ、停止した場合、どの保険契約が対応するのでしょうか。「オールリスク」のサプライチェーン保険でしょうか。サイバー保険でしょうか。侵害の結果として物理的損害が生じた場合は、財物保険でしょうか。複数の保険契約が発動する場合もあり、サイバーリスクがエクスポージャーに加わるなかで、これは企業が直面する課題の一つだと思います。だからこそZurichでは、サイバーリスクに関連するニーズに包括的な視点から対応しています。」
企業が他の保険分野と同じようにサイバー保険に安心感を持てるようにするうえで、リスクエンジニアリングが重要になります。「サイバー保険契約を結ぶ利点の一つは、それに付随する予防的なサービスです」とBaileyは述べます。「保険金請求への対応だけでなく、サイバーリスクのシナリオをリアルタイムで構築して検証し、企業が効果的なリスク評価を行えるよう支援できます。」
Zurichは以前から、たとえば潜在的な事故による損害を発生前に最小限に抑えるため、財物分野でリスクエンジニアリングを活用してきました。現在は、引受プロセスの一環として、同じ原則の一部をネットワークセキュリティとプライバシーの分野にも適用しています。「Zurichでは、独自の専門家を派遣し、企業が事前にサイバーリスクを評価して、プログラムにどのような不足があるかを特定できるよう支援しています。そのうえで、保険金請求が発生する前に、そうした不足をできる限り軽減できるよう企業と協力します」とBaileyは述べます。
この記事は、 Zurich Knowledge Hubとの協力により公開されています。公開されたことは、世界経済フォーラムが見解を支持することを意味しません。
Agendaの最新情報を受け取るには、 週刊ニュースレターに登録してください。
著者：Joe RitcheyはCapital Region Waterのリスクマネージャーです。
画像：2013年2月28日、ワルシャワで男性がコンピューターのキーボードを打つ様子を捉えた資料写真。REUTERS/Kacper Pempel/Files。
