「個人情報漏えい保険」に入ればセキュリティ対策は“激甘でよい”という勘違い（2/2 ページ）

公開 2016年05月26日 15時02分

著者

Sean Martin

[TechTarget]

印刷する

サイバーセキュリティ保険は企業のセキュリティ対策にどうフィットするか

　サイバーセキュリティ保険は一般的に、非常に理にかなっているというのが専門家に共通した見方だ。プランによっては高額になることもあるが、一部の企業はセキュリティ対策の一環として、サイバーセキュリティ保険に加入した方が安心できると考えている。

　ただし「保険会社や保険ブローカーに電話して相談し、プランを選ぶ」といった簡単なやり方では済まない。サイバーセキュリティ保険に加入するかどうか判断するには、入念な調査と分析が必要になる。さらに企業がリスクやサイバーセキュリティ保険を見る目は以前とは異なる。「Targetの情報流出事件の前と後では、状況が一変した」とビーソン氏は指摘する。

　7000万件もの個人情報が漏えいしたTarget事件の前は、サイバーセキュリティ保険の証書は、静的なリスク評価アプローチに基づいて作られていた。企業は事前に評価用の質問票に記入し、保険会社に対してセキュリティ対策状況をプレゼンテーションし、場合によってはさらに保険会社と何らかの面談をしていた。「評価が完了し、証書が作成されて企業が保険に加入すると、保険会社は12カ月間、加入企業の無事を祈った」（ビーソン氏）

　だがTarget事件の後、侵害が日常的に頻発するようになった。保険会社にとって「無事を祈る」モデルはもはや有効ではなくなってきたのだ。「私の経験では、サイバーセキュリティ保険はここ7～8年、企業のセキュリティ対策の付加要素だと位置付けられてきた」。米サイバーセキュリティ／リスク管理会社Stroz Friedbergの副社長を務めるウィリアム・ディクソン氏はこう語る。

　だが企業は「人材、プロセス、技術を活用しても、リスクを100％カバーすることはできないことを理解するようになった」とディクソン氏は説明する。そのためにStroz Friedbergの顧客の間では、サイバーセキュリティ保険を自社のセキュリティ対策に組み込む動きが広がっているという。「サイバーセキュリティ保険は、技術やプロセスのセキュリティ成熟度を高めるための補完物としてではなく、侵害発生時の回復手続き、例えば復旧、侵害通知、クレジット監視、社外弁護士の追加サポートなどを処理する手段として組み込まれている」（ディクソン氏）

　英コンサルティング会社Ernst ＆ Youngのグローバル情報セキュリティ責任者ケン・アラン氏は、「一部の企業にとっては、セキュリティ対策のハードルが高過ぎる領域があることも、サイバーセキュリティ保険を利用する理由になっている」と説明する。同社の顧客のある大手銀行は、サイバーセキュリティ投資の効果を分析する中で、投資を増やすことで重要度の高いアイテムをより多く保護できるかどうかを調べた。「場合によっては、使用する技術があまりに複雑なために、その購入と管理のコストが高くつき、効果に見合わないこともあった」（アラン氏）。その銀行は、そのリスク領域をサイバーセキュリティ保険でカバーすることを選択したという。