「サイバーセキュリティ保険」を正しく理解する【第3回】

「サイバーセキュリティ保険」選びで失敗しない“3つのポイント”とは？（1/3 ページ）

企業はサイバーセキュリティ保険をどのような視点で選定すべきなのか。保険料はどのような仕組みで決まるのか。詳しく説明する。

公開 2017年06月12日 09時00分

著者

阿部欽一

[著]

印刷する連載新着通知を受け取る

　2012年12月にAIU損害保険が「CyberEdge」（サイバーエッジ）を発売してから、国内の大手損害保険会社が相次いでサイバーセキュリティ保険商品の販売を始めた（表）。

表　主要なサイバーセキュリティ保険
商品名	提供保険会社	販売開始
CyberEdge	AIU損害保険	2012年12月
サイバーリスク保険	東京海上日動火災保険	2015年2月
サイバーセキュリティ総合補償プラン（注1）	三井住友海上火災保険	2015年9月
サイバーセキュリティ保険（注1）	あいおいニッセイ同和損害保険	2015年9月
サイバー保険	損害保険ジャパン日本興亜	2015年10月

※注1：三井住友海上火災保険と、あいおいニッセイ同和損害保険が共同開発し、それぞれの名称で販売。

サイバーセキュリティ保険の選び方をチェック

　サイバーセキュリティ保険の補償内容は、一見すると各社横並びのように見えるが、各社の違いは確実にある。サイバーセキュリティ保険の内容を比較する際に、特に検討すべきポイントとして以下の3項目が挙げられる。

どのような損害を補償してくれるのか
保険金支払いのトリガーはどこか
使い勝手を高める工夫は

選定ポイント1：どのような損害を補償してくれるのか

　必ず確認すべきなのは、補償対象にしている損害だ。セキュリティ事案が発生してしまった場合、自社が被った利益損害や営業継続費用、第三者への損害賠償責任などを包括的に補償してくれるのかどうか。対象となるのは国内の事案だけなのか、海外で発生した事案を含むのか。免責事項はあるのかどうか――。このように確認すべき項目は多岐にわたる。

　例えば製造業や建設業といった多くの取引先を抱える企業であれば、システムダウンによる事業停止に伴う損害が大きくなる。EコマースやオンラインバンキングといったWebサービス事業者であれば、大量の個人情報を扱うことから情報漏えい時の損害賠償額が高額になりがちだ。自社のビジネスの内容によって、重視すべき損害に応じた補償内容を検討することが必要となる。

　新技術の普及に合わせて補償対象を広げる動きもある。東京海上日動火災保険はクライアントPCやモバイルデバイスといった従来の社内クライアントデバイスだけでなく、監視カメラや工場の制御機器、プリンタ、複合機といったネットワーク接続型デバイス（IoTデバイス）を適用対象にした。2016年後半に注目を集めたマルウェア「Mirai」は、OSにLinuxを採用したIoTデバイスに感染してbotネットを構成し、大規模な分散型サービス停止（DDoS）攻撃を仕掛けた。IoTを悪用したサイバー攻撃は今後も続くと考えられ、企業が安心してIoT活用に取り組めるようにする狙いだ。

　業種は限定されるものの、三井住友海上火災保険は2016年11月、仮想通貨「ビットコイン」の取引所を運営するbitFlyerと共同で、ビットコイン事業者向けのサイバーセキュリティ保険を共同開発した。サイバー攻撃によるビットコインの盗難や消失に対する損害賠償から、インシデント対応費用まで幅広く補償する。ITを使って新たなビジネスを生み出す「デジタルビジネス」の流れが加速する中、今後もサイバーセキュリティ保険の適用範囲が拡大しそうだ。

併せて読みたいお薦め記事

サイバーセキュリティ保険の生かし方

「IoT」のセキュリティリスクにどう対処するか

選定ポイント2：保険金支払いのトリガーはどこか

　どの段階から保険金が支払われるのかも、重要な確認ポイントとなる。最近ではサイバー攻撃の事実が確定した後ではなく、サイバー攻撃の「恐れ」がある段階から保険金を支払う動きがある。例えば東京海上日動火災保険は2015年10月に約款を改定し、不正アクセスの恐れを発見した段階から保険金を支払うようにした。情報処理推進機構（IPA）やJPCERTコーディネーションセンター（JPCERT/CC）といった外部機関、セキュリティ運用を委託するセキュリティオペレーションセンター（SOC）などから、不正アクセスの可能性に関する通報を受けた段階をトリガーに、調査依頼費用など対策費用を補償する。

　背景にはサイバー攻撃の特性がある。例えば特定の企業や組織を狙った標的型攻撃では、攻撃者は多様な手口を使い、一度ではなく継続的かつ執拗（しつよう）に攻撃を仕掛ける。長期的な攻撃の中で、企業側は「この段階でサイバー攻撃を受けている」と明確に判断することが難しくなっている。表立った活動をせずに長期間潜伏するタイプのサイバー攻撃もあり、攻撃を受けている事実を認識すること自体、容易ではない。

　こうした状況下で「サイバー攻撃の事実確定後」が保険金支払いのトリガーになると、どうなるか。前述の通りサイバー攻撃の調査は難しく、多大なコストがかかるにもかかわらず、調査段階では保険金が支払われないことになる。サイバー攻撃の事実が確定する前に被害が発生した場合、被害状況や原因の調査といったインシデント対応に要する費用も補償されない。そのため、せっかく契約したものの「使えない」保険になってしまう可能性があるのだ。

選定ポイント3：使い勝手を高める工夫は

　各社はサイバーセキュリティ保険の使い勝手を高めるべく、サービスの随所に工夫を凝らす。その代表例が、保険金支払い以外の付帯サービスの充実だ。例えばインシデント発生時の初動対応を支援するために、専門のセキュリティベンダーを紹介したりする。

　ベンダーの紹介だけでなく、さらに踏み込んだサービスを提供する動きもある。例えば損害保険ジャパン日本興亜は、保険会社が調査・応急対応や広報支援、コールセンター支援、信頼回復支援などの専門ベンダーを手配する「緊急時サポート総合サービス」を提供している。いわば「初動対応の体制のコーディネート」をしてくれるサービスだ。初動対応に要した費用は保険金でカバーする。

　ユニークな取り組みとしては、例えば東京海上日動火災保険は告知書について「告知義務違反」（注2）を課していない。新たな脅威が頻繁に登場し、それに伴って新たな対策技術も相次いで登場する中、企業は継続的にセキュリティ対策の見直しが求められることになる。そのため告知書の内容が、どこまでセキュリティ対策の実態を正確に反映しているのか、継続的に把握、確認するのは難しいのが現状だ。状況を現実的に判断した取り組みだといえる。

※注2：告知書に誤った情報を記載することを指す。一般的な保険商品は、告知義務に違反すると保険金が支払われない可能性がある。

次ページへ気になる保険料の考え方は

印刷する

「サイバーセキュリティ保険」を正しく理解する

サイバー攻撃などによる被害を補償する「サイバーセキュリティ保険」。その補償内容はどうなっているのか。最新の動向は。徹底解説する。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

阿部欽一

「キットフック」の屋号で活動するフリーランスのライター／ディレクター。社内報編集、編集プロダクション等を経て2008年より現職。「難しいことをカンタンに」伝えることを信条に、「セキュリティ」「マーケティング」など、企業のIT活用をテーマにした解説記事やインタビュー記事の執筆の他、動画やマンガやアニメーションを用いた学習コンテンツなどを多数プロデュースしている。