欧州連合のデジタル運用レジリエンス法（DORA）は、金融企業を情報通信技術（ICT）に関する重大なリスクから守るために導入された。
DORAは、保険会社を含む金融グループに対し、雇用するテクノロジーベンダーのセキュリティについての責任を課している。第三者がこの分野の脆弱性を高めてきたためである。
DORAに照らすと、サイバーリスク格付けは、保険会社のサイバーセキュリティ態勢を客観的に評価しうる、実行可能なテクノロジーソリューションである。
欧州の金融セクターは、新たな規制の時代を迎えつつある。欧州の金融セクターがテクノロジーとイノベーションの恩恵を活用できるようにするデジタルパッケージの一環として、欧州連合はデジタル運用レジリエンス法（DORA）を導入し、これは最近欧州議会で採択された。
本法は、重大な情報通信技術（ICT）インシデントがもたらす有害な影響への対応であり、保険会社を含む金融セクターのデジタル運用レジリエンスを強化することを目的としている。実際、保険業界においてその実施は、保険会社がサイバーリスクを管理し軽減する方法を変革する可能性を秘めている。
DORAはどのように機能するのか？
DORAには主要な5つの柱がある：
リスク管理。
インシデント報告。
デジタル運用レジリエンス・テスト。
ICT第三者リスク管理。
情報およびインテリジェンスの共有。
要するに、DORAは金融グループに対し、雇用するテクノロジーベンダーのセキュリティについての責任を課すものである。また、保険業界に重要なICTサービスを提供する第三者にも適用され、そのサービスにはクラウドコンピューティングサービス、ソフトウェア（例：eトレード事業向けの引受プラットフォーム）、データ分析サービス、データセンターなどが含まれる。
これは、ある一つのノードの喪失が全体システムに打撃を与える、この分野における第三者テクノロジープロバイダーへの依存度の高まりに対する規制上の対応である。国際通貨基金は、共通サービスへの依存について次のように指摘している。第三者プロバイダーへの依存は、攻撃がシステム全体に影響を及ぼす確率を高め、セクター全体を脆弱にしうることを意味する。損失は大きくなりうり、マクロ経済上重大な水準に達しうる。
そのため、本法は業界の企業に対し、サイバーセキュリティインシデントの迅速な報告、第三者への依存関係の可視化、監査要求に対応する能力など、一定の要件を課している。
DORAの2023年および2024年の実施が近づくなか、重要な問いは次のとおりである。保険会社はDORAへの対応のためにどのようなツールを採用するのか。そして、この分野の主要な規制機関である欧州保険・年金監督局（EIOPA）は、DORAの技術標準の一部としてテクノロジーソリューションを検討するのか。
世界経済フォーラムはサイバーセキュリティにおいて何を行っているのか？
サイバーセキュリティセンターは、進化するサイバーリスクとその システミックな影響を理解するため、リーダーが集う信頼できるプラットフォームを提供している。相互接続が進むデジタル社会における理解と信頼の構築に注力している。
分野横断的な協力と知見の共有を可能にすることで、同センターはパートナーがサイバーレジリエンスを強化し、共同での対応を要する課題に取り組むことを支援している。
テクニカルソリューションによる大規模なセキュリティ強化
実行可能な選択肢の一つは、サイバーリスク格付けであり、これはネットワークセキュリティ、データ保護、インシデント対応能力などのさまざまな要素に基づき、組織のサイバーセキュリティ態勢を客観的に評価するものである。デジタルサプライチェーン全体にわたるサイバーリスクの管理も、ますます重要になっている。SecurityScorecardとCyentia Instituteによる共同調査によると、組織の98%が、過去2年間に侵害を受けた第三者と少なくとも一つの取引関係を有している。
保険会社はすでにサイバーリスク格付けを活用し、サイバー攻撃のリスクを評価し、適切な補償価格を決定している。このツールを自社の第三者リスクの管理およびDORAへの対応に活用することは、論理的な次のステップである。サイバーリスク格付けを採用することで、保険会社は第三者リスクを効果的に管理し、十分な情報に基づく引受判断を行うことができる。DORAの要件を踏まえると、保険会社はサイバーリスクを特定、評価、管理する能力を示す必要があるため、サイバーリスク格付けの採用はますます不可欠になっている。
第三者によるサイバーリスクのシステミックな影響を踏まえると、EIOPAは技術標準の形で義務的なサイバーリスク格付けを導入すべきである。これらの標準は、保険会社がDORAに準拠するために従うべきICT要件および報告義務に関する詳細なガイドラインを提供しうる。
先例として、決済サービス指令（PSD2）に関する欧州銀行監督機構（EBA）の技術標準が存在する。これは決済取引における顧客保護を強化し、ビジネスイノベーションを促進するために導入されたものであり、認証における技術標準をテクノロジーに中立的な形で管理する方法を詳細に定めている。
これは世界的な潮流であり、フランスでは法律によりサイバーリスク格付けが義務化される予定である。さらに、フランスのサイバースコア法は、一般向けのデジタルプラットフォームに対してサイバーセキュリティ認証を義務付けるものである。同法は2023年10月1日に施行される。
フランスのサイバースコア法は、DORAの技術標準を解釈する余地が大きいEIOPAにとって手本となるべきである。例えば、IBMの調査によれば、サプライチェーンの侵害がデータ侵害の約5分の1を引き起こしており、これらの侵害はデータ侵害のコストを増大させ、ライフサイクルの長期化をもたらしていた。
同調査はまた、サプライチェーンの侵害の特定と封じ込めに、世界平均より26日多くかかったことを示している。このリスク水準は、システム上重要な金融サービス、特に保険においては受け入れがたいものである。
保険会社に革新的なツール（サイバーリスク格付けなど）の採用を促し、またEIOPAを通じて義務的な技術標準を導入する可能性を通じて、DORAはより強靭で安全な金融セクターを育成する。
