• テロ、戦争行為、侵略、暴動、革命などの状況下にある
• 契約企業が必要最低限のセキュリティ対策を施していない
• 保険契約の効力が生じる前の行為に起因する
• クレジットカード情報の取り扱いに関するセキュリティ標準「PCI DSS」に反する行為など、契約企業による契約上の義務違反があった

　データをクラウドサービス内に置いている企業は、そのデータが保険の補償範囲にどう影響するのかを把握しなければならない。クラウドサービスにあるデータが関わるセキュリティインシデントでは、保険の補償範囲が制限される場合がある。

　他の保険と同じく、サイバーセキュリティ保険の加入目的はセキュリティリスクを第三者に移すことだ。だが企業はサイバーセキュリティ保険に関しては、第三者に移すべきリスクを慎重に検討しない傾向がある。

　企業がサイバーセキュリティ保険の説明を受けて納得したとしても、その先に最も重要な手順が残っている。それは「本当に必要な補償範囲を見極めること」だ。これには秩序立った選定のプロセスが欠かせない。以下に具体的な選定プロセスを紹介する。

1. 適切な担当者の関与
2. データインベントリの作成
3. リスクが高いシナリオの把握
4. 既存の保険による補償範囲の確認
5. 保険会社の調査（第3回で紹介）
6. 見積もりの入手（第3回で紹介）
7. 比較と選択（第3回で紹介）
8. 確認と調整（第3回で紹介）

プロセス1．適切な担当者の関与

　適切な補償範囲を選択するには、さまざまなスキルを持つ担当者からの情報提供が必要になる。具体的には法律顧問、IT管理担当者、リスク管理担当者、経験豊富なセキュリティの専門家などが該当する。最高幹部や取締役といった経営責任者は、最終的にどのレベルのリスクを受け入れるかを決め、どのサイバーセキュリティ保険に加入するのが適切かを判断しなければならない。

プロセス2．データインベントリの作成

　データインベントリとは、所有しているデータ一覧のことだ。適切な補償の分量と種類を選ぶには、機密データの量、適用対象の法規制、契約上の義務などを把握する必要がある。データインベントリを作成することで、こうした情報を把握しやすくなる。

プロセス3．リスクが高いシナリオの把握

　理想を言えば、正式なリスク評価を年に1回以上実施し、自社のセキュリティリスクを列挙して優先順位を付けるのがよい。その後、リスク管理計画を策定して、移転すべきリスクを見定める。

プロセス4．既存の保険による補償範囲の確認

　サイバーセキュリティ保険と既存の保険の重複を排除し、抜け漏れを防ぐことは重要だ。そのためには注意して保険商品や特約を選択する必要がある。

　第3回は、残る4つの選定プロセスを紹介する。