Global Insurance Topics Vol.13(2013.6.15)- 急拡大する米国サイバー保険市場 ＜図表 1＞米国における情報漏洩件数等推移

１．はじめに
単位：件

単位：百万ドルサイバー犯罪による企業の被害が続出してい700

8る。サイバー犯罪による個人情報漏洩で史上最大6007の事故は、2011 年の S 社の 7,700 万人の個人情500

6報漏洩で、S 社の損失は 12.5 億ドルに上ると報道4300された1。昨年も、LinkdIn で 650 万人の個人パ200スワードが流出、クレジットカード処理会社の100

Global Payments で 150 万人の個人情報が流出0とサイバー犯罪による企業の被害が相次いでいる。米国国土安全保障長官は、サイバー犯罪によ

5400

32
10
2005年

2006年

2007年

2008年

2009年

2010年

情報漏洩発生時にかかる平均費用（右メモリ）

2011年

2012年

事故件数（左メモリ）（注）2012 年の費用はデータなし（出典）Ponemon Institute 資料より損保ジャパン総研作成

る脅威は、昨年 10 月に甚大な被害をもたらしたスーパーストームサンディに匹敵すると述べている2。2012 年には、米国の 447 の企業が情報漏洩を引き起こしており、その場合にかかる平均費用は、550 万ドル（2011 年）となっている（図表 1）。
企業は、サイバー犯罪により、データ損失や利益損害だけではなく、賠償責任及び風評による損失等が生じる。AIG の調査によると、企業経営者にとってサイバー攻撃は最大の関心事となっており、85%が注意を払っていると回答している3。本稿では、米国のサイバー保険の現状を紹介する。
２．法制度
米国では、各州の法律によって、企業がサイバー犯罪等によって自社が保有する個人情報を漏洩した場合、各州民に通知すること等が義務付けられている。このため、企業はサイバー犯罪による情報漏洩に関して自社防衛を行う必要があり、サイバー犯罪への関心が高まっている。
これら州法の発端は、2003 年のカリフォルニア州情報漏洩対策法（Security Breach Notification Laws）にあり、これが全米に拡大していった。この法律により、カリフォルニア州の自治体関連機関・企業・個人が暗号化されていない個人情報を漏洩した場合、カリフォルニア州民へ通知することが制定された4。こうした法律は、現在、アラバマ・ケンタッキー・ニューメキシコ・サウスダコタの 4 州を除く全ての州で施行されている5。州民への通知や説明等の義務の基本的な部分は同じであるが、詳細は州間で異なっており、例えば、州の中には当該企業のみならず下請け業者による個人情報漏洩も通知対象としている州や漏洩した場合に州民に原状回復や賠償請求を認めている州もある6。また、企業が通知を怠った場合の罰金等も州により異なっている7。一方、連邦レベルでは、金融機関や医療機関に対しては個人情報取扱を定めた法律が施行されているが、全ての企業・業種を対象とした法律は施行されていない。
３．市場動向（１）サイバー保険の概要
サイバー保険には、データ損失・利益損害・賠償責任・D&O・その他費用（原状回復のために IT 企業に委託する費用・顧客に通知する広告費・法的費用・コールセンター設置費用）等が含まれる8。被保険者ごとに対象となるデータの種類等が異なるため、オーダーメイド型の保険となっており、33 の保険会社やいくつかのロイズシンジケートが扱っている9。保険会社の中には、上記の各種補償と併せ、外部企業と連携したリスクマネジメントサービスの提供や各種情報提供を行っている保険会社もある10。

1

Global Insurance Topics Vol. 13 （2013.06.15）（２）急拡大する市場規模
サイバー保険は 1990 年代後半に登場して以降、ここ数年急激に市場規模を拡大しており、総保険料は約10 億ドルと推計されている11。2012 年にサイバー保険に加入した企業数は、対前年比 33.3%の伸びを示しており、特にサービス関連業（弁護士や会計士等の専門職含む）（75.5%）や教育関連業（72.2%）で大きく増加している12。それでも企業の加入割合は、20～30%と低く、潜在的に大きな市場規模を有していると注目されている13。
また、加入企業の平均保険金額も増加している。2011 年の 1,410 万ドルから 2012 年には 1,680 万ドルへと 20%近く増加しており、特に IT・通信業界で大きく増加している14（図表 2）。
＜図表 2＞企業の業種別加入状況【加入企業数比較（対前年増加割合）】

33.3%

32.2%
21.6%

全業種

IT・通信

20.2%

教育

【加入企業平均保険金額比較】

75.5%

72.2%

金融

ヘルスケア

27.7%

22.9%

小売サービス

その他（出典）Marsh＜図表 3＞サイバー保険料率変化（2012 年）

情報漏洩件数・加入企業数・平均保険金額の全てが増加傾向にあり、保険ヘッジされるリスク量は急拡大している。直近では特に、中小企業の加入が増えてきているとのことである15。しかし、保険会社の引受キャパシティも拡大しており、保険会社がマーケットシェア獲得のために積極的に引受けていることから、直近では料率競争が激化しはじめている16（図表 3）。

（出典）Marsh（３）課題
新たな保険商品であるがゆえに様々な課題が挙げられている。契約者からすると、サイバー犯罪に関して十分な知識を持ち合わせていないため、従来からのビジネスオーナーズ保険で情報漏洩が担保されると誤解しているケースもある17。サイバー犯罪に対応するためには、インターネット・IT 全般・自社の事業領域やビジネスモデル等の広範な知識が必要とされる。保険会社は、事故後の対応だけではなく、事故を予防するための支援も行う必要がある18。一方、保険会社からすると、アンダーライティングが難しい保険と言える。
過去の個人情報漏洩事故に関してのデータが少なく、また、事故詳細に関する正確なデータも入手困難なため、料率算出が難しい19。また、契約者の業種や事業領域、ビジネスモデル等により、リスクは大きく異なる。保険会社の中には、契約者の売上高を保険料の算出基礎としているところもあるが、企業規模と扱う個人情報件数のリスクの大きさの相関関係がはっきりしていないという指摘がある20。また、サイバー保険の料率を E&O（業務過誤賠償責任）保険の料率に基づいているところもあるが、これも実態に即していないと指摘されている21。

2

Global Insurance Topics Vol. 13 （2013.06.15）

４．おわりにサイバー犯罪への喫緊な対応が求められる中、米国では 2 月にオバマ大統領がサイバーセキュリティを強化する大統領令に署名。官民における情報共有やフレームワーク策定に向け、動き始めている。企業に対しての規制強化は盛り込まれていないものの、今後の動向が注目される。
個人のデータが加速度的に蓄積されている中、サイバー保険市場は拡大が期待される。しかし、黎明期には、消費者への啓蒙・代理店及びブローカーへの教育や情報提供・アンダーライティングと課題は多い。今後、こうした課題は解決していくと考えられるが、その方法・方向性等の動向を注視していきたい。
【研究員廣岡知】“As Sony Counts Hacking Costs, Analysts See Billion-Dollar Repair Bill”, The Wall Street Journal, May 9, 2011（http://online.wsj.com/article/SB10001424052748703859304576307664174667924.html）
2 “Cyber Risks: The Growing Threat”, Insurance Information Institute, Apr, 2013
3 同上
4 500 件以上の個人情報漏洩が対象。
5 “Data Security Breach Notification Laws”, Congressional Research Service, Apr 10, 2012ワシントン DC、プエルトリコ、米ヴァージンアイランドも含まれる。
6 同上
7 同上
8 前脚注 29 “Cyber Risk Insurance: An Opportunity For Growth, but Not Without Concerns”, A.M.Best, May 22, 201310 AIG や Chubb 等
11 前脚注 912 Marsh HP
13 前脚注 914 前脚注 12
売上高 10 億ドル超の企業で見た場合、全業種では、2,150 万ドルから 2,790 万ドルと 30%超の増加となっている。
15 前脚注 916 同上
17 前脚注 218 前脚注 919 同上
20 同上
21 同上
13