あなたの会社は何点か？ “セキュリティレベル格付け”で狙われやすい企業が一目瞭然：世界を読み解くニュース・サロン（3/3 ページ）

[山田敏弘，ITmedia]

「格付け」でサイバー保険はどう変わる？

　最近、サイバー攻撃や被害が頻発していることもあって、サイバーリスク保険を利用する企業が増えている。サイバー保険とは、企業がサイバー事案で第三者に対して負う損害賠償や、攻撃を受けた後に必要となる復旧費用や喪失利益などをカバーしてくれるサービスだ。

　サイバー攻撃はますます巧妙化し、経済的な損失も出るので、サイバー保険の市場規模も今後さらに大きくなると予測されている。2021年で、世界のサイバー保険は103億ドル規模だったが、29年までに636億ドル規模になると予測されている。

　事実、日本でも、ある地方のサイバーセキュリティ企業の幹部は筆者に、「特に中小企業では、表沙汰にならないサイバー攻撃被害はかなり多い。しかもランサムウェアなどサイバー攻撃からの復旧で、会社の経営が傾くケースも実際にいくつも見てきた」と述べる。

　サイバーセキュリティに詳しい山岡裕明弁護士は、「例えば自動車事故において相手が保険に入っていることが重要であることと同様に、契約時に取引先のサイバーセキュリティ対策を気にする企業が増えています。ただし、取引先に対して過度な対策を要求することは優越的地位の濫用にも抵触しかねないため注意が必要です」と述べる。

サイバーセキュリティ保険が必須になる未来が来るかもしれない（画像：ゲッティイメージズより）

　冒頭の病院などのケースのように、サイバー攻撃は当該企業や組織だけでなく、取引先にも打撃を与えることになる。そこでサイバー保険が活躍するのだが、保険会社側から見れば、企業側がどれほどサイバー攻撃対策をしているのか分からないという問題もある。現状では保険契約に対してきちんとした査定ができていないのが現実だ。

　それを一変させると期待されているのが、Sling社が提供するような「ベンダー監視ツール」なのである。スコアが良ければ、保険料が安くなるといったことにもなっていくだろう。保険会社がそのスコアを元に保険料を決めるような時代になれば、日本のサイバーセキュリティ対策の大幅な改善が期待できる。

　しかも政府がそこを後押しし、例えば、サイバー攻撃被害で企業が疲弊しないよう、サイバースコアリングの導入を促して、保険の義務化などを考慮することも一案ではないだろうか。

　こうした議論が必要なほどにサイバー攻撃の被害は日常化しており、日本全土に広がっている。コンピューターがある限り、どこにいようがサイバー攻撃リスクはついて回るからだ。しかもセキュリティにあまり予算を配分できない中小企業は、致命的なダメージを受けかねない。

　これから先も、企業などへの直接的な脅威として、サイバー攻撃がなくなることは決してないだろう。であれば、自動車などと同じように、組織のサイバー対策状況を格付けし、それを元にしたサイバー保険も当たり前になっていくと日本のサイバー空間はもっと安全になるに違いないのである。