「サイバーセキュリティ保険」を正しく理解する【第3回】

「サイバーセキュリティ保険」選びで失敗しない“3つのポイント”とは？（2/3 ページ）

公開 2017年06月12日 09時00分

著者

阿部欽一

[著]

印刷する連載新着通知を受け取る

保険料は「業種」「売上高」「賠償保険金額」を基準に算定

　保険料は、サイバーセキュリティ保険選定の重要なポイントだ。サイバーリスクに対する認識は進んでいるものの、中堅・中小企業にとっては年間数十万円の投資であっても、簡単に支払える金額ではない。

　サイバーセキュリティ保険は、基本的に各社とも個別見積もりのオーダーメイド商品となる。保険料算出の目安は「業種」「売上高」「賠償保険金額」を基準に、これらの項目を変数にして算定する。

　各社は、顧客企業が契約時に提出する告知書などで申告した「セキュリティ対策状況」に応じた割引率を設定している。例えば経済産業省が策定した経営者向けガイドライン「サイバーセキュリティ経営ガイドライン」に準拠したセキュリティ対策を講じている企業は、保険料が通常よりも安くなるといった具合だ。この他、プライバシーマーク取得企業に対して割引を設定する保険会社もある。

保険料が明確な「パッケージ」型

　一般的なオーダーメイド型のサイバーセキュリティ保険に対して、より廉価な「パッケージ型」の商品を用意する保険会社もある。損害保険ジャパン日本興亜は、2016年10月に「サイバーLite」というパッケージ商品を発売した。これは同社のサイバー保険と基本的に同じ補償内容でありながら、保険金の支払限度額を抑えることで保険料を抑え、中堅・中小企業でも加入しやすくした。

　パッケージ商品の場合、料金はオーダーメイド型よりも明確だ。例えばサイバーLiteの保険料は、業種、売上高、賠償保険金額によって決まる。「製造業」「売上高50億円超100億円以下」「賠償保険金3億円」の場合は、保険料は年額127万2000円となる、といった具合だ。告知書の提出は不要で、提出した場合は保険料を最大で60％割り引く。

「適切な保険料」を判断しやすくする仕組みも

　オーダーメイド型が主流のサイバーセキュリティ保険は、横並びで保険料を比較しにくいので、保険料が適正かどうかを判断するのが難しい。ただし自社にサイバーリスクがどの程度あり、万一の場合に被る被害額がどの程度かを可視化できれば、一般的なセキュリティ対策だけでゼロにできないリスクについて、保険で移転するのが妥当かどうかを判断しやすくなる。

　損害保険ジャパン日本興亜は、サイバーリスクを定量評価する数学モデル「サイバーリスク評価手法」を開発した。「情報漏えい」「金融取引妨害」「恐喝」「サービス妨害攻撃」「クラウドサービスダウン」といった5つのサイバーリスクの脅威について、企業が被る予想損害額を定量的に評価できるようにする。このモデルを活用し、想定被害額から、サイバーセキュリティ保険の賠償保険金額をいくらに設定すればよいか、目安を提示するサービスをリリースする考えだ。

浸透した「セキュリティリスク移転」の考え方

　CyberEdgeが登場した2012年からしばらくは、先行する海外と比べて、国内でのサイバーセキュリティ保険の普及はなかなか進まなかった。サイバーセキュリティ保険は商品の性質上、セキュリティリスクを他社へ移転するためにコストを支払うことになる。企業向けの保険商品は既にあり、リスク移転の考え方自体は国内企業にも浸透していたはずだ。だが保険によるセキュリティリスクの移転という考え方は、国内企業にとってなじみが薄かったのだと考えられる。

　状況が変わるきっかけとなったのが、2015年5月に発覚した日本年金機構の情報漏えい事案だ。この事案を機に、サイバー攻撃のリスクに関する国内企業の関心度が急速に上昇。一般的なセキュリティ対策では全てのセキュリティリスクをゼロにはできないことの理解が広がり、サイバーセキュリティ保険によるセキュリティリスクの移転を現実的な選択肢として検討する動きが広がった。実際に東京海上日動火災保険では、サイバーリスク保険の発売後初年度である2015年度の契約件数と比べて、2016年度は契約件数が約17倍に拡大したという。

　現時点では、国内でのサイバーセキュリティ保険の加入は大企業が中心だ。例えばグループ会社のセキュリティリスクを移転するために、サイバーセキュリティ保険に加入するケースがある。大企業の場合、自社のセキュリティリスクは自社のリソースでコントロールできているところが多いだろう。ところがグループ内の子会社や関連会社は、リソース不足から親会社と同等レベルのセキュリティ対策が取れていないことがある。こうしたギャップを埋める手段としてサイバーセキュリティ保険を役立てている。

　取引先との取引条件に、サイバーセキュリティ保険への加入を定める大企業もあるという。大企業とサプライチェーンでつながる取引先の中堅・中小企業が、セキュリティ対策の甘さを突かれ、大企業を標的とするサイバー攻撃の“踏み台”として狙われるケースがあるからだ。

次ページへ保険に入ればセキュリティ対策は不要なのか

印刷する

「サイバーセキュリティ保険」を正しく理解する

サイバー攻撃などによる被害を補償する「サイバーセキュリティ保険」。その補償内容はどうなっているのか。最新の動向は。徹底解説する。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

阿部欽一

「キットフック」の屋号で活動するフリーランスのライター／ディレクター。社内報編集、編集プロダクション等を経て2008年より現職。「難しいことをカンタンに」伝えることを信条に、「セキュリティ」「マーケティング」など、企業のIT活用をテーマにした解説記事やインタビュー記事の執筆の他、動画やマンガやアニメーションを用いた学習コンテンツなどを多数プロデュースしている。