ランサムウェア保険：知っておくべきことのすべて

ランサムウェア保険とは、ランサムウェア攻撃によって生じる経済的損失から企業を守るために特別に設計された保険です。この種の保険は、より広範なサイバー保険の一部であることが多いものの、単独の商品として購入することもできます。

ランサムウェア保険は、データ復旧費用、攻撃者への支払い、法務費用や利益損失など、ランサムウェア攻撃に伴うその他の費用を補償します。

ランサムウェア攻撃を受けた場合に企業を経済的に支えるセーフティネットを提供することで、この種の保険は攻撃によって企業が機能不全に陥るのを防ぐ助けとなります。ランサムウェア保険の補償には通常、事業継続計画などの攻撃前の保護と、盗まれたり暗号化されたりしたデータの復旧などの攻撃後の復旧対応の両方が含まれます。

組織がランサムウェア保険に加入していても、攻撃対象となるリスクを最小限に抑えるため、適切なセキュリティ対策を実践する必要がある点には注意が必要です。強固なパスワード、定期的なシステム更新、バックアップの遠隔地保管、従業員の活動監視、サイバーセキュリティのベストプラクティスに関する従業員研修は、いずれもランサムウェアから身を守るために必要な対策です。

関連記事：Ransomware-as-a-Serviceの台頭に対抗する

ランサムウェア保険の仕組み

ランサムウェア保険の目的は、ランサムウェア攻撃に伴うデータの損失・盗難、システム停止、その他の費用を組織に補償することです。ランサムウェア保険に加入している組織は、システム復旧のためのIT費用、攻撃の被害軽減を支援する専門家の雇用費、法務費用、さらには広報費用など、関連するコストを補填できます。

ランサムウェア保険を購入する際は、補償限度額と免責事項を把握することが不可欠です。また、侵害への対応やデータ復旧支援に伴う費用が保険契約で補償されることも確認する必要があります。

ランサムウェア保険のメリット

ランサムウェア攻撃はますます一般的になっており、規模を問わずあらゆる組織がリスクにさらされています。ランサムウェア保険は、企業がこうした攻撃に備え、対応するうえで役立ちます。

経済的保護

ランサムウェア保険は、データやシステムの復旧費用が高額になるため、ランサムウェア攻撃が成功した場合に企業を経済的に保護します。

保険契約によっては、保険会社が、停止期間やデータ復旧、攻撃に伴うその他の費用を補うための一時金を支払います。これは、ランサムウェア攻撃に対処するリソースが不足している企業にとって特に有用です。

専門知識へのアクセス

ランサムウェア保険には通常、専門知識へのアクセスが含まれます。保険会社は一般に、ランサムウェア攻撃の防止や対応方法について組織を指導できる専門家チームへのアクセスを提供します。これには、ランサムウェア攻撃者との交渉方法や、攻撃による被害を抑える方法に関する助言が含まれる場合があります。

安心感

ランサムウェア保険の最も重要なメリットは、安心感を得られることです。保険契約を購入した企業は、ランサムウェア攻撃を受けた場合にも経済的に保護されると安心できます。これにより、攻撃が成功する可能性に伴うストレスを軽減し、企業はランサムウェアインシデントを未然に防ぐ取り組みに集中できます。

法務費用の補償

ランサムウェア保険は、ランサムウェア攻撃に伴う法務費用を補うため、法務費用の補償を提供できます。これは、ランサムウェア攻撃を法執行機関や規制当局に報告しなければならない企業にとって特に有用です。

ファーストパーティー損失とサードパーティー損失の補償

ランサムウェア保険は、ファーストパーティー損失（被保険者が被った損失）とサードパーティー損失（顧客など他の当事者が被った損失）の両方を補償できます。これには、事業中断費用、データおよびシステムの復旧、フォレンジック調査と法的支援、広報活動などが含まれる場合があります。保険契約によっては、信用・評判の毀損、サイバー恐喝費用、サイバー恐喝責任も補償対象となる場合があります。

関連記事：ネットワークセキュリティにおけるゼロトラストアプローチを理解する

ランサムウェア保険のデメリット

ランサムウェア保険には多くのメリットがある一方で、いくつかの欠点もあります。

高額な保険料

ランサムウェア保険は保険料が高額になる場合があり、多くの組織にとって費用面で加入が難しくなる可能性があります。ランサムウェア攻撃や関連する保険金請求の増加に伴い、保険料はさらに上昇し、組織が補償を購入することは一層難しくなる可能性があります。サイバーセキュリティ保険会社は身代金の支払いに最も多くの費用を費やしており、保険料の設定時にはこうした支払いのコストを織り込んでいます。

限定的な補償

ランサムウェア保険の補償範囲は限定的で、すべてのランサムウェア攻撃を補償しない場合があります。そのため、契約で補償されない特定のサイバー脅威に対して組織が無防備になる可能性があります。また、身代金の支払いのみを補償し、フォレンジック調査、捜査、復旧などの関連費用を補償しない保険契約もあります。

認識不足

多くの組織は、ランサムウェア保険の補償がサイバーセキュリティ戦略に不可欠であることを認識する必要があります。サイバーセキュリティ保険を購入すべきだと理解していても、ランサムウェアが補償対象に含まれていない可能性があります。これは、そもそも補償に加入する重要な理由の1つです。

組織は、攻撃時に必要な保護を得るため、ランサムウェア補償の全体像を理解しなければなりません。利用可能な補償の種類と、それぞれの保険契約に伴う費用を理解する必要があります。

加入が難しい

ランサムウェア保険への加入は難しい場合があります。保険会社の多くがこの保険を提供していないためです。また、補償対象となるために、厳格な特定の基準を満たすよう組織に求める保険会社もあります。そのため、ランサムウェア保険を探している組織が選べる選択肢は限られる可能性があります。組織は、自らのニーズに合ったランサムウェア補償を提供する保険会社を見つけるため、複数の会社を比較する必要があるかもしれません。

ハッカーとの交渉リスク

組織がランサムウェア保険に加入すると、データを解放させるためにハッカーと交渉しなければならない状況に置かれる可能性があります。ハッカーがさらに多額の金銭を要求したり、支払い後もデータの解放を拒否したりして、状況につけ込む可能性があるため、これはリスクを伴います。さらに、支払い後にハッカーがデータを解放する保証はなく、組織がいっそう脆弱な立場に置かれる可能性もあります。

関連記事：ゼロトラストネットワーク構築のステップ

ランサムウェア保険で確認すべき5つのポイント

ランサムウェア保険を選ぶ際は、組織固有のニーズを満たしていることを確認するため、補償内容を慎重に確認することが不可欠です。ランサムウェア保険を検討する際に確認すべき主なポイントは次のとおりです。

• ITフォレンジックの補償：ランサムウェア攻撃がどのように発生したのか、どのように対応するのが最善かを判断するのに役立つITフォレンジックを含む補償を選ぶことが重要です。
• 事業中断の補償：ランサムウェア対策の重要な要素である事業中断を含む補償を選びましょう。攻撃による停止や業務の中断で発生する損失を補うのに役立ちます。
• 法務費用の補償：ランサムウェア攻撃が発生した場合、法務費用は高額になる可能性があるため、補償に法務費用が含まれていることを確認しましょう。ランサムウェア攻撃の複雑な問題に対処し、事業を守るには、法律顧問が必要になる場合があります。
• データ復旧の補償：暗号化されたデータの復元は、ランサムウェア攻撃からの復旧を成功させる重要な要素の1つであるため、データ復旧を含む補償を選びましょう。
• サイバー恐喝の補償：サイバー恐喝はランサムウェア攻撃でよく見られる要素です。サイバー犯罪者から身代金を要求された場合の支払いに備えるため、補償に含まれていることを確認しましょう。

主要な用語と定義

免責金額とサブリミット

免責金額とは、保険契約の補償が開始される前に被保険者が支払わなければならない金額です。サブリミットとは、特定の種類の損失または費用に対する補償の上限額を指します。

恐喝脅迫

恐喝脅迫とは、身代金が支払われない限り、第三者が被保険者の財産や情報に危害または損害を加えると脅すことです。ランサムウェア保険を選ぶ際は、次の恐喝脅迫が補償に含まれていることを確認しましょう。

• 電子的脅迫：企業情報やデジタル資産へのアクセス、販売、開示、悪用
• 物理的脅迫：データ、ソフトウェア、ハードウェア、アプリケーションの変更、損傷、破壊
• 金銭的脅迫：身代金またはサービス料金の支払いを要求

補償対象となる損失

保険契約は、ランサムウェア攻撃が発生した場合に補償対象の損失を補償します。こうした損失には、次のものが含まれますが、これらに限定されません。

• データまたは機密情報の損失
• 信用・評判またはブランドの毀損
• 経済的損失
• 法務費用
• 事業中断
• 恐喝による支払い

免責事項

免責事項とは、保険契約で補償されず、したがって補償金の支払い対象とならない損失や費用です。契約に同意する前に、保険契約の免責事項を特定し、理解することが不可欠です。免責事項には次のようなものがあります。

• 戦争およびテロに関する免責
• OFAC（米国財務省外国資産管理室）に関する免責
• ネットワーク、システム、脆弱性の是正費用
• サイバーセキュリティのベストプラクティスに従わない、または維持しないこと

サイバー恐喝対応サービス

サイバー恐喝対応サービスとは、ランサムウェア攻撃が発生した場合に被保険者を支援するため、保険会社が提供するサービスです。フォレンジック分析、データ復旧、信用情報の監視など、ランサムウェア攻撃への対応費用を補うのに役立ちます。こうしたサービスには次のものが含まれます。

• 危機管理
• サイバーセキュリティサービス
• サイバーフォレンジック分析
• 広報支援
• 法的助言
• 身代金支払いの交渉

事業中断補償

事業中断補償は、ランサムウェア攻撃によって通常の事業活動が中断したことによる収入の損失を補います。通常、失われた収益、追加費用、システムとデータの復旧費用を補償します。

ランサムウェア保険に加入する7つのステップ

ランサムウェア保険を選ぶ際は、次の手順に従ってください。

1. リスクを特定する

ランサムウェア保険に加入する最初のステップは、自社の事業に伴うリスクを特定することです。保存しているデータの種類、ネットワークの規模、直面する可能性のある脅威の種類などが含まれます。潜在的なリスクを事前に把握しておくと、自社に最適なランサムウェア保険の種類を判断しやすくなります。

2. ランサムウェア保険の提供会社を調査する

ランサムウェア保険を提供する会社はさまざまです。そのため、決定する前に各社の補償内容、費用、その他の詳細を比較することが不可欠です。各社が提供するサービスの質を把握するため、他の顧客によるレビューを読むのも有用です。

3. ランサムウェア保険会社に連絡する

候補となる提供会社を特定したら、次に連絡して見積もりを依頼します。電話、メール、オンラインで依頼できます。企業規模、事業内容、既存のサイバーセキュリティ対策など、自社について可能な限り多くの情報を提供しましょう。これにより保険会社は、ニーズに最適な保険契約と補償の種類を判断できます。

4. 見積もりを比較する

複数の提供会社から見積もりを受け取ったら、比較することが不可欠です。各保険契約の補償内容と関連費用を時間をかけて確認しましょう。購入する補償が包括的で、ニーズを満たすのに十分であることを確認してください。

5. 細則を読む

保険契約に署名する前に、契約書の細則をすべて読み、条件を理解していることを確認しましょう。契約の詳細を確認し、免責事項や制限を把握していることを確かめてください。補償に影響する可能性のある免責事項や制限には、特に注意を払いましょう。

6. ランサムウェア保険の提供会社を選ぶ

見積もりを比較し、契約書を確認したら、ニーズに最も合った保険会社を選択できます。提供会社を選んだら、保険契約を購入し、ランサムウェアの脅威から事業を守るための対策を始めます。

7. 保険契約を見直す

保険契約が最新の状態にあり、引き続きニーズを満たしていることを確認するため、定期的に見直すことが重要です。また、サイバーセキュリティを取り巻く環境の変化を常に把握し、それに応じて保険契約を調整することも不可欠です。

サイバーセキュリティ保険の主要3社

以下はサイバーセキュリティ保険の提供会社の例です。これらの会社は、質の高いサービスと手頃な価格のバランスを取っています。ただし、この分野には多数のベンダーが存在するため、提供会社を選ぶ前に十分な調査を行ってください。

Hiscox：小規模企業に最適

Hiscoxは、企業、専門職、個人向けに保険ソリューションを提供する国際的な専門保険会社です。企業保険、専門職賠償責任保険、サイバー保険、財物保険、旅行保険など、さまざまな商品とサービスを提供しています。また、顧客固有のニーズに応える、カスタマイズされた保険ソリューションも提供しています。

Hiscoxのサイバーセキュリティ保険の補償対象：

• 侵害または恐喝脅迫による事業収益の損失とデータ復旧費用
• 第三者による不正な指示（フィッシング）によって失われた金銭
• プライバシー訴訟および規制当局による罰金への対応
• 攻撃発生時の侵害対応リソース

Chubbのサイバー保険：大企業に最適

Chubbは、個人向け、企業向け、専門分野向けなど、さまざまな保険商品とサービスを提供する保険会社です。世界最大級の保険会社の一つでもあります。

Chubbは、企業を次のようなリスクから守るサイバー保険商品を提供しています。

• データ侵害による経済的損失
• サイバー恐喝やその他のサイバー脅威
• 企業向けサイバー保険商品として、Cyber Enterprise Risk Management（Cyber ERM）、DigiTech Enterprise Risk Management（DigiTech ERM）、ChubbのIntegrity+という三つのカテゴリーを提供しています。

The Hartford：小規模企業と大企業に最適

The Hartfordは、自動車保険、住宅保険、企業保険、生命保険、その他の金融サービスを提供する保険会社です。米国最大級の保険会社の一つであり、サイバー保険を専門としています。

企業を守るため、次のような幅広い補償を提供しています。

• データ侵害保険など、サイバー脅威に対する小規模企業向け保険
• 大企業向けのサイバー賠償責任保険
• 企業がサイバーリスクを特定、評価、管理するためのサイバーリスク管理サービス

保険会社が求める主なサイバーセキュリティ対策

サイバーセキュリティ保険の提供会社は、補償を提供する前に、企業に次のセキュリティ対策を求める場合があります。

• セキュリティ監視とインシデント対応：潜在的なセキュリティ脅威や悪意のある活動を監視・検知するため、セキュリティインシデントおよびイベント管理システムを導入する。
• アクセス制御と認証：認証、認可、アクセス制御の仕組みを構築し、承認されたユーザーだけが機密情報やシステムにアクセスできるようにする。
• データ暗号化：不正アクセスや開示からデータを保護するため、転送中および保存中のデータを暗号化する。
• ネットワークセキュリティ：サイバー攻撃やデータ流出を防ぐため、ファイアウォールなどのネットワークセキュリティ対策を構築する。
• リスク管理：潜在的なリスクや脆弱性を特定、評価、軽減するためのリスク管理プロセスと手順を策定・導入する。
• 従業員教育：従業員がサイバーセキュリティの重要性とそれに伴う潜在的なリスクを理解できるよう、サイバーセキュリティの意識向上および研修プログラムを導入する。
• システムへの定期的なパッチ適用と脆弱性スキャン：自動脆弱性スキャンツールを利用して、システムやアプリケーションの脆弱性を特定する。
• セキュリティポリシーと手順：すべてのシステムとアプリケーションが適切に保護され、セキュリティのベストプラクティスに準拠するよう、包括的なセキュリティポリシーと手順を策定・維持する。
• IDおよびアクセス管理：承認されたユーザーだけが機密情報や技術にアクセスできるよう、IDおよびアクセス管理システムを導入する。
• 事業継続と災害復旧：サイバー攻撃やその他の壊滅的な事象が発生した際にも重要な事業機能を継続できるよう、事業継続計画と災害復旧計画を策定・導入する。
• ログ記録と監視／ネットワーク保護：不審な活動や潜在的な脅威を検知するため、ユーザーの活動、システムへのアクセス、ネットワークトラフィックを記録・監視するシステムとプロセスを構築する。

保険契約の補償範囲と価格に影響する要因

攻撃による推定費用、組織の規模、サイバーセキュリティインフラなどの問題に加え、ランサムウェア保険の補償範囲と価格には、次のような要因も影響します。

• 保険会社のリスクエクスポージャー：保険会社は脆弱性スキャンを実施し、ランサムウェア攻撃が発生するリスクを評価します。提供される補償額は、認識された脅威の大きさによって決まります。
• 地理的地域：保険会社は地域によって異なる保険料を設定する場合があるため、地理的な地域が保険契約の補償範囲と価格に影響することがあります。
• 保険契約者の保険金請求履歴：保険会社は、保険金請求の回数が少ない履歴を持つ契約者に補償を提供しやすい場合があるため、保険契約者の保険金請求履歴が影響することがあります。
• 保険契約者のサイバーセキュリティ態勢：セキュリティシステムの強度やデータ保護のために講じた対策など、保険契約者のサイバーセキュリティ態勢が、保険契約の補償範囲と価格に影響します。

保険契約の価格は、保険会社とその会社が提供する補償限度額によっても異なります。一般に、補償範囲が包括的であるほど、保険契約の費用は高くなります。

保険に加入していてランサムウェア攻撃を受けたらどうなるか

ランサムウェア保険に加入している状態でランサムウェア攻撃を受けたとします。その場合、保険会社は、必要に応じた身代金の支払い、失われたデータや破損したデータの復元・再作成にかかる費用など、攻撃に伴う費用を補償することがあります。

保険契約の条件によっては、攻撃による停止時間が原因で失われた収入について、補償を受けられる場合があります。また、保険会社が攻撃の調査、是正、復旧を支援する法務・技術リソースを提供することもあります。

保険会社は、将来同様の攻撃を防ぐための計画策定を支援するサイバーセキュリティコンサルティングサービスを提供することもあります。また、潜在的な脅威への認識を高め、データを保護するための研修やリソースを提供する場合もあります。

ランサムウェア保険で組織を守る

ランサムウェア保険を、ユーザー教育と意識向上、データバックアップ、エンドポイントセキュリティソフトウェアなどの対策と組み合わせることで、ランサムウェア攻撃が発生した場合にさらなる保護層を提供できます。ただし、企業はランサムウェア感染のリスクを低減するため、引き続き事前対策を講じる必要があります。

これには、脆弱性のあるソフトウェアやハードウェアへの定期的なパッチ適用、エンドポイントセキュリティソリューションの導入、不審な活動の監視、悪意のあるメールやWebサイトを見分けるためのユーザー教育などが含まれます。こうした事前対策を講じることで、企業は潜在的な攻撃により適切に備え、高額な保険補償への依存を減らせます。

ランサムウェア保険はサイバー攻撃に対する完全な保護を保証するものではありません。しかし、万一問題が発生した場合に備えて経済的に自らを守る対策を講じていると分かることで、組織に安心感をもたらすことができます。