この調査は、リスク管理サービスの米Experian Data Breach Resolutionがスポンサーとなり、米調査会社Ponemon Instituteが独立した立場から、公共部門、小売り、医療、薬品、金融業界でプライバシーやコンプライアンスを担当する上級専門職を対象に実施した。その結果、セキュリティ問題や情報流出に伴うコストは平均で940万ドル（約9億2000万円）という結果が出た。

　この940万ドルには、コンサルタント経費や法務関連経費、生産性の損失、減収、法的措置、顧客離れ、失墜した評判の回復といった間接経費も含まれる。一方、さらに壊滅的な金銭的損害を生じさせかねない知的財産の損失は含まれていない。

　解答者のうち56％は、ネットワークや会社のシステムへの不正侵入を伴うサイバー攻撃、あるいは1000件以上の記録流出を伴う攻撃を経験していた。

　情報流出は多大な責任負担を生じさせる問題になっており、調査対象企業のほぼ31％が既にサイバー保険に加入していると回答。さらに39％は流出による金銭負担を管理する一助として、一定レベルの補償を得るための保険加入を検討中と回答した。

　「サイバー保険への加入は、過去2年の間に相当様変わりした」。米調査会社Forrester Researchのセキュリティ／リスク担当首席アナリスト、アンドルー・ローズ氏はそう話し、今回の調査とは別の側面についても、「企業は社内リスクについて評価するためのアンケートに答え、保険会社がその情報を基に保険料を設定する。しかし保険会社にとって、これはあまり前例のない領域であり、ハッキングされるリスクの見積もりには課題が多い」と解説する。

　もしデータを暗号化していて、情報セキュリティ管理の認証基準であるISO 27001を取得し、定期的な監査を実施している企業であれば、サイバー保険料にも明らかにそれが反映される。反対に、データを暗号化しておらず、誰でも自由にネットワークにアクセスできる状態にあるのなら、サイバー保険に加入することができたとしても、リスクの大きさ故に保険料は高くなるだろう。

　サイバー保険ではどのような経費がカバーされるのか。「自分の個人情報が盗まれていないことを確認するために全ての顧客が信用履歴をチェックできるようにする対応、評判の回復、発生した技術問題への対応、ネットワークの修復などは、保険に含まれるはずであり、損害額の見積もりもそれほど難しくない。しかし、何百万ドルもの価値を持つ知的財産の流出といった真に致命的な局面もある。保険会社がそこまでカバーしてくれるかどうかは分からない」（ローズ氏）

　多くの保険会社は重要な付加価値サービスとして、深刻な事態に陥った場合に備えて弁護士、インシデント対応の専門家、PR会社の紹介も行っているとローズ氏は言い、次のように指摘した。

　「情報流出が起きた場合、その事態について誰もが知っていて、損害回復を支援するために多額を請求しようとする中で、企業は極めて脆弱な立場に立たされる。そうした場合に保険会社が付加価値的なサービスを提供してくれるのは非常に良いことだ」

　サイバー保険への加入は今後も弾みが付く見通しだが、ペースはそれほど速くなさそうだ。ローズ氏は言う。「保険に投資するか、それともまだ導入していないデータ流失防止やIDアクセス管理といった基本的な社内データの保護対策に投資するかの選択を迫られた場合、ほとんどの最高情報セキュリティ責任者は、損害の回復よりも不測の事態を防ぎたいと思うだろう。だが、主要な対策を全て導入済みの場合、次にすべきことは、その対策が破られた場合を想定して準備しておくことかもしれない」

　クラウドの普及は、サイバー保険への加入を促進させる最大級の要因になるとローズ氏はみている。「クラウドはあまり大きな損害責任を負担してくれない。もしサービスが3日間ダウンした場合、ベンダーは3日分はサービスしてくれるだろう。契約によってはそれで問題ないかもしれないが、もしそのために自社のインフラや会社が3日間何もできなくなったとすれば、何百万ドルという損害が出る可能性もある。こうしたケースについて、サイバー保険がそのような不足分に対応できるかどうか検討する必要がある」と同氏は話している。