サイバー保険とは何か、自社に必要なのか

サイバー保険は一般に2種類の補償に分かれる。第一者補償は、インシデント発生後に企業自身が負担する費用を支払う。攻撃者がどのように侵入したかを特定するためのフォレンジック調査、法律で義務付けられている影響を受けた顧客への通知、それらの顧客に対する信用監視、システム停止中の事業中断による損失、データ復旧、そして一部の保険では身代金の支払い自体と交渉人の費用も含まれる。第三者補償は、企業に対して他者から提起される請求——データが漏洩した顧客やパートナーからの訴訟、そして罰金の補償が法的に認められている場合の規制当局の調査に関連する支払いや和解金——を扱う。顧客データを保存し、決済を処理し、あるいはシステムの継続的な稼働に依存する企業であれば、まず対象となり得る。そして実務上、サイバー保険はますます任意ではなくなっている。多くの企業顧客やベンダー契約は今や、取引の条件として保険加入の証明を求めている。

保険証券を取得すること——そして妥当な保険料を得ること——は、単に補償料を支払うだけでなく、証明可能なセキュリティ対策にますます左右されるようになっている。保険会社は通常、リモートアクセスとメールにおける多要素認証、オフラインで保管されるか主要ネットワークから隔離された定期的なデータバックアップ、文書化されたインシデント対応計画、そして従業員へのフィッシング訓練について尋ねる。これらの基本が整っていない場合、補償を拒否したり、大幅に高い保険料を請求したりすることがある。免責事項も注意深く読む価値がある。多くの保険証券には「戦争免責条項」があり、国家に帰属するとされる攻撃への支払いを拒否できる場合があり、より多くのインシデントが国家支援を受けた集団と関連付けられるにつれ、この分野はますます議論の的になっている。また一部の保険証券は、深刻なランサムウェア要求が及ぶ可能性のある金額をはるかに下回る水準で身代金支払いの補償に上限を設けている。これらの理由から、多くのサイバーセキュリティの専門家は、サイバー保険を実際のセキュリティ対策の代替ではなく、それに寄り添う財務的な保険網として位置付けている。