サイバー保険の基本 – 補償内容や加入率、事前対策・事後対応に役立つ仕組み

サイバー保険の役割と企業への影響 – 業界推奨基準・政府方針と罰則

サイバーセキュリティ基準 – 業界の自主的な取り組み

多くの業界では、サイバーセキュリティ対策のための基準を自主的に設けています。その代表例としてあげられるのが「Payment Card Industry Data Security Standard（PCI DSS）」です。これはクレジットカード情報の保護を目指した国際的な情報セキュリティ基準で、カード情報を取り扱う事業者（カード情報を取り扱う加盟店、決済代行事業者など）は、準拠が義務付けられています。この基準に違反した場合、契約カードブランドなどから罰金や取引停止などの厳しい罰則が科される可能性があります ¹。

政府のサイバーセキュリティ方針 – 金融庁や厚労省の指導

各国の政府もまた、サイバーセキュリティに対する指導を強化しています。たとえば日本では、金融庁や厚生労働省がサイバー攻撃を受けた際（疑わしい場合も含む）の関連省庁への通報とともに、被害状況に対応するためのサイバーセキュリティ管理体制の整備を求めています。具体的には、次の対応などがあげられます ²。

サイバー保険の役割と補償内容 – 企業の信用失墜や罰則からの防衛

こうした業界基準や政府の方針への違反による罰則は、企業にとって重大な負担となり得ます。さらに、サイバーインシデントは企業のブランドイメージや信用を大きく損ねる可能性もあります。

そこで大きな役割を果たすのが、サイバー保険です。サイバー保険は、企業がサイバー攻撃により被った経済的な損失を補償するだけでなく、専門のコンサルタントなどを通じて、企業が適切な対応をとるための支援も行います。これにより、企業の経済的な負担を軽減し、ブランドの信用失墜を防ぐ助けとなるのです ³。

ただし、サイバー保険がセキュリティ対策のすべてをカバーするわけではありません。企業自身が十分なセキュリティ意識を備え、それにもとづく対策を講じることが依然として重要です。業界基準や政府の方針を理解し、それに適応する能力が企業には変わらず求められます。

サイバーセキュリティの対策は、各業界や企業にとって避けては通れません。業界基準や政府方針への適応に加えて、サイバー保険の導入は、企業がサイバーセキュリティ上の課題に対処するうえでの重要な手段となります。サイバー保険は、企業がサイバー攻撃から生じる潜在的なリスクを管理し、企業の信用を守るための重要なツールといえるでしょう。

サイバー保険の加入状況とセキュリティ意識の現在地

近年普及が進むサイバー保険ですが、国内において最初に注目されたのは個人情報保護法への対応がきっかけでした。2003年の個人情報保護法の成立後、2005年4月の施行までに大きな個人情報漏えい事故が発生したこともあり、個人情報の漏えいリスクに対応する保険へのニーズが高まったことで、個人情報取扱事業者のなかでサイバー保険の必要性が広まりました。

その後、2014年には世界経済フォーラムが公表する「Outlook on the Global Agenda 2014」⁴ の「Top 10 trends of 2014」においてサイバー攻撃が初めてトップ5に入ったことをきっかけに、日本の大手損害保険会社でもサイバー保険が発売されました。

こうした経緯から、サイバー保険への加入は多くの個人情報を取り扱う企業が中心となり、加入率は年々増加しています。連日報道されるサイバーインシデントに危機感を持ち、サイバー保険の導入を検討する企業は年々増えており、すでに上場企業などでは一定の加入率に至っています。

一方、国内企業全体では10～20％台の加入率となっています。特に中小企業に焦点をあてると普及しているとはいいがたいのが現状です。2022年に日本損害保険協会が中小企業の経営者と従業員1,031人を対象として自社を取り巻くリスクについて聞いたアンケート調査 ⁵ では、約9割の人が自社を取り巻くリスクが存在すると回答した一方で、自社がサイバーリスクを抱えている認識を持つ人は約2割でした。

また、同調査で、サイバー攻撃被害に遭ったことがある人のうち、約5割の人が、対策が不足していたと回答しています。要因としては「被害の大きさを過小評価していた」「自社は無関係だと思っていた」が多く、リスクの認識がまだまだ薄いことが伺えます。

当然ではありますが、サイバーリスクには、事業の大小や業種に関係なくすべての事業者が対応する必要があります。これを怠って、サイバーインシデントを引き起こしてしまった場合、顧客・取引先等のステークホルダーの信頼を裏切ってしまうということを念頭に置き、いま一度、サイバーリスクとその対応について考えていただきたいと思います。

セキュリティ被害の予防と事後対応に役立つ、サイバー保険の仕組み

サイバーセキュリティについて検討する際はまず、サイバーインシデントは自動車等の事故や火災とは大きく異なる性質をもっていることを認識する必要があります。すなわち、サイバー攻撃は第三者が悪意を持って引き起こす人災だということです。放置していると事態はどんどん深刻化していきます。

また、サイバー攻撃は目には見えないケースが多いため、何が起こっているかを調査することが事故対応の第一歩となります。しかしながら、こうした調査の必要性を認識している経営者は少なく、有効な対策を行わないまま対応を終えてしまうケースが後を絶ちません。その結果、深刻な被害が発生してから慌てて対応を行うことになります。

多くのサイバー保険では、そのような事態に陥ることのないよう、予兆の段階における調査費用から事故対応・再発防止までをトータルで補償するだけでなく、複数の専門事業者から状況にあった事前対応策を講じてもらえるような仕組みを構築しています。何から手を付けていいかわからない場合は、このようなサイバー保険の仕組みを利用することも有効な手段といえます。

サイバーインシデントによる想定被害額

サイバーインシデントが発生すると主に以下のような対応を迫られます。企業規模やインシデントの状況により必要な費用はまちまちですが、①の初動対応・調査に係る費用だけでも数百万～数千万円の金額が必要となります。

さらに、企業が被る損害については、上記に要する費用のほかに以下が想定されます。賠償費用は情報の内容や漏えい件数によって大きく変わりますが、仮に一人あたりの賠償金額が１万円であったとしても、被害者が１万人であれば１億円かかることになります。

サイバーインシデントが企業に与える影響を正しく認識し、万が一の際の対応策と対応コストを準備しておくことは企業にとって必要不可欠になっています。この機会に自社のセキュリティ体制とサイバー保険への加入状況を確認してみることをおすすめします。

関連記事

サイバー攻撃とは？手法や被害状況、ビジネスへの影響、ガイドラインは ［連載］サイバー保険の基本と最近の動向 第1回