米保険ブローカーのLockton Companiesでサイバーリスク事業責任者を務めるベン・ビーソン氏は、サイバーセキュリティ保険の意義をこう要約する。「現在の最高情報セキュリティ責任者（CISO）は、包括的なリスク管理戦略の一環としてのサイバーセキュリティ保険の価値を理解している。セキュリティ被害の完全な防止は困難であり、回復に重点を置く必要があることを踏まえると、リスクを移転することが適切なのは明らかだ」

　サイバーセキュリティ保険は、全ての企業が考えるべき“必要悪”なのだろうか。それとも少数の企業にのみ有効な選択肢なのだろうか。これらの問いに答えを出すには、サイバーセキュリティ保険が企業のセキュリティ対策で果たす役割を見ることが重要になる。ただし、それに先立って「サイバーセキュリティ保険とは何か」について概要をつかんでおかなければならない。

　2016年2月末から3月初めに米サンフランシスコで開催されたセキュリティイベント「RSA Conference 2016」では、サイバーセキュリティ保険が幾つかのプレゼンテーションやパネルディスカッションの焦点となった。

　サイバーセキュリティ保険（金融サービス業界では「サイバー保険」とも呼ばれる）の考え方が生まれた時期については諸説あり、一般的に2000年～2004年頃だとされている。米セキュリティサービスベンダーOptiv Securityのセキュリティトレーニング担当副社長を務めるブレーク・ヒューブナー氏がRSA Conferenceのパネルディスカッションで語ったように、「サイバーセキュリティ保険は90年代から存在している」という声もある。

　生まれた時期がいつであれ、サイバーセキュリティ保険の市場での普及は、サイバーセキュリティ技術の普及と歩調を合わせるように進んできた。まずプライバシーやデータ侵害規制に後押しされ、最近では、訴訟沙汰にもなったセキュリティ侵害事件をきっかけに契約の機運が高まった。

　近年、米小売り大手TargetやHome Depotで情報流出事件が起こったことで、この市場は非常に勢いづいている。ヘルスケア業界が最も普及率が高く、これに教育、ゲーム、公益サービス、金融、小売りが続く。「爆発的な成長を遂げているわけではないが、成熟化が急速に進んでいる市場だ」（ヒューブナー氏）

　ここ数年で一気に市場が立ち上がり、今では多くの保険会社や保険ブローカーがサイバーセキュリティ保険分野を手掛けている。その市場は大変な活況を呈しており、100社近くの保険会社がさまざまなサイバーセキュリティ保険を提供しているという。「80～90％のビジネスが10社の企業に集中している」と、米金融サービス会社CNAのジェーコブ・インガースレブ氏は、RSA Conferenceのプレゼンテーションで語った。

　「サイバーセキュリティ保険はもうかる市場だ」。ビーソン氏は2016年3月初旬、Advisenがサンフランシスコで開催したセキュリティイベント「2016 Cyber Risk Insights Conference」でのパネルディスカッションでそう述べた。2015年のサイバーセキュリティ保険市場の売上高は25億～30億ドルに達したという。英コンサルティング会社PricewaterhouseCoopersによると、向こう4年で3倍近くに成長し、2020年には75億ドル規模となる見通しだ。

　保険会社がもうけているのは明らかだが、その売上高は少数の企業から得ている。「サイバーセキュリティ保険に加入している米国企業は全体の2％にすぎない」と、米サイバーリスク分析企業PivotPoint Risk Analyticsの社長兼CEOを務めるジュリアン・ウェイツ氏は語る。「最大の問題はリスクの定量化だ。リスクは線形ではなく、保険統計の情報はまだ充実していない。そのために保険会社は、リスクに対して保険料をどう設定するかを模索している。企業は、どのタイプのプランにどれだけの保険料を支払う必要があるか、どのような補償を得るかを模索している」

　サイバーセキュリティ保険に加入しても、セキュリティのベストプラクティスを実践する必要があることに変わりはない。専門家はサイバーセキュリティ保険について、考え抜かれた綿密なセキュリティプログラムの穴を埋める重要な要素だと説明している。「どのセキュリティ専門家に聞いても、攻撃を100％防ぐことはできないと言うはずだ」と、米リスク評価会社DatumSecの共同創業者でCEOのジョナサン・ニードナーゲル氏は語る。

　攻撃が防げないのだとすれば「ベストプラクティスとデューディリジェンス（リスクの詳細な調査）によって95％の防御が可能になり、サイバーセキュリティ保険が残る5％の危険をカバーすると考えるのが妥当だ」とニードナーゲル氏は語る。「『“保険でカバー”されていれば、セキュリティ対策が甘くても構わない』と考える担当者が多すぎる。これほどひどい勘違いはない」（同氏）

　この問題が解決されれば、サイバーセキュリティ対策の穴を埋める目的で、より多くの企業をカバーする保険プランがより多く作られるようになる。そうなれば、サイバーセキュリティ保険がさらに普及する可能性がある。