ランサムウェアに備える保険 巨額の被害を補償できるのか

サイバー攻撃の被害額が増え続けているため、企業はサイバー保険を考慮に入れている。しかし、被害額の上限がはっきりしないため、保険会社側の対応が後手に回っている。この状況は好転するのだろうか。

[David Jones，Cybersecurity Dive]

　ランサムウェア攻撃による1件当たりの被害額が増え続けているため、企業は対策の一つとしてサイバー保険を望んでいる。だが予想される被害額が大きいため、及び腰になる保険会社もある。

どうすれば巨額の被害を補償できるのか

　巨大なリスクをはらむ保険の歴史は古い。保険会社が巨額の保険料支払いによる経営への打撃を和らげるため、14世紀には海上保険において引き受けた保険契約責任の一部を他の保険会が引き受ける「再保険」が実現した。だがサイバー攻撃はリスク評価が難しい。保険市場の大規模リスクを移転する方法はもう一つある。資本市場で活動する機関投資家によるサイバーリスクへの「投資」だ。再保険と似たような効果があり、より広く資金を集められる可能性がある。

　だがこれまではサイバー保険を対象とする機関投資家向けの商品がなかった。

　ロンドンに拠点を置く保険会社Beazleyは再保険ではなく、資本市場へリスクを移転するサイバー保険市場初のサイバー災害ボンド（cyber catastrophe bond）を発売した（注1）。この分野で歴史に残る画期的な出来事だという。

　3億ドルを超える大規模なサイバー被害のリスクがあったとしてもBeazleyが免責されることが特徴だ。契約下の企業がサイバー攻撃によって多額の被害を受けた場合でも、その企業が保険金を受け取ることができ、Beazleyの経営への打撃も吸収できる仕組みだ。最初のボンドの価格は4500万ドル。同社によれば、2023年以降に追加のトランシェ（被害の発生確率などによってボンドを分割したもの）を発行する可能性があるという。

　今回のボンドの担保を負うのはFermat Capital Managementを含む保険リンク証券（ILS：Insurance Linked Securities）の投資家グループだ。Gallagher ReのILS部門であるGallagher Securitiesによって組成されて販売が始まった。

資本市場からの参入が期待でき、サイバー保険が「厚く」なる

　Fermat Capitalのジョン・セオ氏（共同設立者兼マネージングディレクター）は、同社が数年前からサイバー保険市場をモニタリングしており、投資の適切なタイミングをうかがっていたと述べた。

　「今回の優れた構造のボンドとBeazleyの強力なサイバーアンダーライティング（顧客が保険会社に対してどの程度のリスクを有しているかを評価するプロセス）によって実行に移すことができた。この取引は、サイバーリスクに対する資本市場の投資を引き出すための重要なステップであり、将来のサイバーILS市場のための強固な基盤を構築するものだと確信している」（セオ氏）

　Beazleyの発表はサイバー保険市場にとって重要な時期と重なった。重要インフラを標的としたランサムウェアや巧妙な国家活動の急増により、サイバー保険への需要が急増し、保険料の上昇や引受規定の厳格化が進んでいる。

　2022年11月には、ランサムウェア「NotPetya」攻撃に起因する1億ドル以上の請求に関する2018年の訴訟で、「オレオ」や「リッツ」などのブランドのスナックを発売するMondelez InternationalがZurich American Insuranceと和解に至ったばかりだ（注2）。保険会社は歴史的に、戦争行為とみなされる悪質なサイバー攻撃に関する請求を対象外としてきた。

　信用格付け機関AM Bestのスリダール・マニェム氏（業界リサーチ＆アナリティクス担当シニアディレクター）は、今回のボンドはこのセクターの信用にプラスになると話す。

　「（Beazleyのボンドは）サイバー市場がアトリショナル（ワーキングレイヤー）コンポーネントと、より資本集約的で再保険や資本市場のサポートに依存する（カタストロフィ）コンポーネントにどのように発展するかを示すものだ。サイバー市場が待ち望んでいたイノベーションであり、リスクへの理解とモデリングの向上によって、サイバーリスク管理の一翼を担う可能性を秘めている」（マニェム氏）

出典：Beazley launches historic $45M cyber catastrophe bond（Cybersecurity Dive）

注1：Beazley launches market’s first cyber catastrophe bond

注2：Mondeles settlement in NotPetya case renews concerns about cyber insurance coverage（Cybersecurity Dive）