セキュリティ脅威拡大がサイバーセキュリティ保険の重要性を高める

　サイバーセキュリティ保険誕生の背景には、脅威の発生を想定した事後対応の重要性の高まりと、脅威による金銭的な被害の拡大が挙げられる。

　事後対応の重要性が高まっている背景として、特定組織を狙った標的型攻撃による影響が挙げられる。標的型攻撃には、既存のマルウェアではない未知のマルウェアが利用されることも少なくない。マルウェア対策ソフトウェアをはじめとするセキュリティ製品で、こうした未知のマルウェアを100％検知することは不可能に近い。企業にとって、攻撃や侵入を前提としたセキュリティ対策の重要性が高まっているのだ。

　標的型攻撃の件数は決して少なくない。警察庁が2016年3月に公表した「平成27年におけるサイバー空間をめぐる脅威の情勢について」では、標的型攻撃の初期プロセスで利用される「標的型メール」は、報告を受けたものだけで3828件あった（図2）。2016年6月に明るみに出たJTBを狙ったサイバー攻撃も、2015年6月に発覚した日本年金機構の情報漏えい事件も、共に標的型攻撃だったことは記憶に新しいだろう。

図2　警察庁が発表した標的型攻撃の件数推移（出典：警察庁の発表資料から一部変更）《クリックで拡大》

　サイバー攻撃がもたらす被害額は相当な大きさだ。トレンドマイクロが2015年6月に発表した「組織におけるセキュリティ対策 実態調査2015年版」によれば、サイバー攻撃の被害を経験した企業の約2割で、1億円以上の損害が発生している。サイバー攻撃が企業の財務面に深刻な影響を及ぼすことが分かる。

　被害額の大きさでいえば、組織内部から引き起こされる内部不正も無視できない。2014年に発生したベネッセコーポレーションの情報流出事件は、委託先社員による犯行という内部不正の事案で、漏えいした個人情報の件数は3500万件超。おわびとして200億円もの原資を準備し、一部を拠出している。こうしたリスクを低減するために誕生したのがサイバーセキュリティ保険、というわけだ。

海外で加入が進むも国内普及は道半ば、浮上の兆しも

　米国を中心に、海外では既にサイバーセキュリティ保険の加入が進んでいる。会計事務所のPricewaterhouseCoopers（PwC）が2015年に公開した「The Global State of Information Security Survey 2016」によれば、世界では59％の企業がサイバーセキュリティ保険に加入している。同じく2015年に公開した「Insurance 2020＆beyond： Reaping the dividends of cyber resilience」で同社は、サイバーセキュリティ保険の市場規模は2018年までに50億ドル、2020年までに75億ドルまで達すると予測する。

　世界でサイバーセキュリティ保険が好調な理由は何か。情報処理推進機構（IPA）が2015年6月に公開した「企業におけるサイバーリスク管理の実態調査2015」では米国での事情について、証券取引委員会（SEC）のコンプライアンス検査局（OCIE）がサイバーリスク戦略の一環として、サイバーセキュリティ保険への加入を推奨していることを背景として挙げる。

　一方国内では、サイバーセキュリティ保険はまだ十分に普及しているとはいえない状況だ。IDC Japanが2016年4月に公表した「2016年 国内企業の情報セキュリティ対策実態調査」の結果によると、国内企業のサイバーセキュリティ保険への加入率は、まだ1割程度にすぎない。日本ネットワークセキュリティ協会（JNSA）が同年3月に発表した「2015年度 情報セキュリティ市場調査報告書（速報版）」によると、サイバーセキュリティ保険を含む情報セキュリティ保険の市場規模が2014年度には105億円と、100億円台をようやく突破した段階だ。

　だが前出のIDC Japanの調査では、サイバーセキュリティ保険への加入を予定、あるいは検討している国内企業は3～4割あり、加入率が今後高まることが予想できる。JNSAの調査でも、2015年度の情報セキュリティ保険の市場規模は136億円を見込み、2016年には157億円になると予測するなど市場拡大を見込む。

　経済産業省が2016年1月に公表した経営者向けのセキュリティガイドライン「サイバーセキュリティ経営ガイドライン」の中で、リスク移転策としてサイバーセキュリティ保険の活用を示すなど、普及を後押しする動きも出てきた。サイバーセキュリティ保険の市場が国内でも活発化する機運が高まってきたといえる。