編集 NTT東日本編集部

昨今、サイバー攻撃により、多大な被害を被った企業の事例が多く報告されています。サイバー攻撃を完全に防ぐのは不可能だと言われているため、企業は被害に遭ったときのことまで考えて、十分に備えておく必要があります。

今回の記事では、サイバー攻撃に対応するためのリスク管理方針や、その中の1つとして知られるサイバー保険について解説します。サイバー保険の注意点も紹介しますので、加入を考えている方は、ぜひ最後までお読みください。

巧妙化するサイバー攻撃による被害は深刻化

セキュリティ関連製品を開発・販売している企業が2023年11月に発表した、日本のサイバー攻撃被害状況調査によると、過去3年間でサイバー攻撃を経験した組織は56.8％、被害額は平均1億2528万円との結果が出ました。中でも、ランサムウェアの被害額は大きく、平均1億7689万円にも及びました。

また、過去3年間で、最も対応コストが大きかったサイバー攻撃からの復旧に要した時間は、国内拠点の場合は平均4.5日、海外拠点の場合は平均で7日だったとの結果が出ています。ランサムウェアの場合は、復旧に要した時間は国内拠点で平均13日、海外拠点で平均15.1日との結果でした。ランサムウェアによる被害で、かつ海外拠点の場合の方が、復旧までの期間が長期化しやすいことが明らかになりました。
（参考・出典：過去3年間で56.8％がサイバー攻撃の被害を経験、3年間の累計被害額は平均1.3億円、 ランサムウェア被害経験企業では平均1.8億円 | トレンドマイクロ (trendmicro.com)）

世界で多くの事例が確認されているランサムウェアは、その特性上、被害が深刻化しやすいという現状があります。近年、日本でも、事業継続に影響を与えたランサムウェア被害が多く報告されています。サイバーリスクは事業継続にも関わるケースがあるため、ランサムウェアを含めたサイバー攻撃への対策が重要です。

サイバー攻撃における4つのリスク管理方針

サイバー攻撃への対応として、4つのリスク管理方針が知られています。ここでは、4つの内容を詳しく解説します。

リスクの回避

リスクの回避とは、ウイルス感染や不正アクセスなどの脅威が発生する要因を停止したり、別の方法に変更したりして、リスクが発生する原因自体を取り去る対応方法です。

リスクが発生する確率が高く、かつ発生した際の影響も大きい場合は、一般的にはリスク回避が選択されます。例えば、インターネットからの不正アクセスという脅威の発生確率が高い場合は、外部とのインターネット接続を断つといった対応が考えられます。

リスクの受容（保有）

リスクの受容（保有）は、リスクへの対応をせず、発生した損失を受け入れることです。セキュリティ対策はさまざまなリスクに備えて実施した方が良いものの、実際には全てのリスクへ対策を講じるのは難しいという現状があります。

そのため、中でも発生確率が比較的低く、かつ発生した場合に与える影響も小さいリスクに関しては、「受け入れる」という選択も重要になります。事前に対策を講じるリスクと、受容するリスクをどのように選定するのかを考える際には、まずは優先順位の決定が必要です。

リスクの低減

リスクの低減とは、セキュリティ対策を講じて、リスクが発生する確率を下げるか、発生した場合の影響度合いを下げるか、もしくは確率と影響度合いのどちらも下げる対策を行うことです。リスクの低減には、例えば以下のような方法があります。

• ウイルスへの感染リスクを防ぐため、セキュリティ対策ソフトの導入
• パソコンの紛失・盗難・情報漏えいなどに備えた情報の暗号化
• サーバー室への不正侵入を防ぐため、顔や指紋などの生体認証を利用した入退室管理
• 社用パソコン・スマートフォンの紛失に備えて、遠隔で端末内のデータを消去できるシステムの導入
• 従業員に対するセキュリティ教育・研修の実施

情報の暗号化やウイルス対策ソフトの導入など、セキュリティリスクを抑えるために企業が実施する一般的な対策が、リスクの低減に当たります。

リスクの移転

リスクの移転とは、自社が持つリスクを外部へ移すことを指します。リスクの移転として代表的な対策が、サイバー保険です。サイバー保険は、保険会社へ料金を支払うことで、発生した損害に対して保険料を受け取れます。

他にも、サーバーを自社で管理せずに、セキュリティ対策が厳重な外部のレンタルサーバーを利用する、といった方法もリスクの移転の1つです。

リスクの移転とは、自社が持つリスクを外部へ移すことを指します。

サイバー保険とは、サイバー攻撃や、メール誤送信・書類紛失などの情報インシデントで生じた損害を補うための保険を指します。サイバー保険の補償内容は、保険会社やプランによって異なりますが、基本的には以下のとおりです。

• 損害賠償責任：被保険者が負担する損害賠償金や争訟費用などを補償する
• 事故対応費用：事故原因の調査や見舞金の支払い、コールセンターの設置、法律相談など、サイバー攻撃により生じた事故対応の費用を保証する
• 利益損害・営業継続費用：サイバー攻撃によるネットワーク停止で生じた利益損害や、営業継続費用を補償する。事業停止により失った営業利益も含む

サイバー保険は2015年に日本に導入され、まだ日が浅く認知も低いのが現状です。一方、欧米主要国ではサイバー保険が積極的に活用されており、特にアメリカでは企業の加入率が50％を超えています。今後は、日本においても積極的に活用されることが期待されています。

サイバー保険の2つの注意点

サイバー保険は、万が一被害に遭った際の補償を行ってくれるといった点では、利点の大きな対策ですが、実際には注意すべき点もいくつか存在します。ここでは、サイバー保険の注意点を2つ紹介します。

ランサムウェアによる身代金は補償対象外

サイバー保険は、ランサムウェアへの対応費用は補償対象ですが、身代金を要求されて支払ってしまった場合の費用は補償されないため注意が必要です。ランサムウェアに感染した場合、保険の対象となるのは、基本的には以下の費用です。

• 原因調査費用
• コールセンター設置費用
• 再発防止費用

ランサムウェアは、データに暗号をかけて開けないようにしたり、破壊するといった脅迫をしたりして、身代金を要求するのが一般的な手口です。ただ、サイバー保険は、データを復旧させるために要求され、支払った身代金に関しては、保険対象外なので、安易に要求に応じないようにしましょう。

サイバー攻撃の“防御”は不可能

サイバー保険に加入しただけで、サイバー事故を防げるわけではありません。サイバー保険は、万が一被害に遭ったときのために、損害が補償されるよう対策を打っておくものです。また、サイバー攻撃を受けた際の、信用低下や業務停止などの被害に対して、完全な対策ができるわけでもありません。

ただ、サイバー攻撃は年々多様化し、手口も巧妙化しています。攻撃者はあらゆる手段を駆使してセキュリティの網を潜り抜けてくるため、リスクを完全には排除しきれないという現状があります。そのため、被害に遭った際のことを考えて、サイバー保険に加入しておくのが効果的です。

サイバー保険だけでなく侵入前後の対策が必要不可欠

近年、サイバー攻撃の種類は増え、手口も巧妙化しているため、侵入を100％防ぐのは不可能だと言われています。そのため、サイバー攻撃に遭った場合も考えて、サイバー保険の加入は重要ですが、セキュリティ対策としてはそれだけでは不十分でしょう。サイバー攻撃の侵入のリスクを抑える対策や、侵入後に迅速な問題解決ができるような対策をあわせて行う必要があります。

例えば、ウイルス対策ソフトは、脅威の侵入前の対策が可能な製品です。また、侵入した後の脅威を検知して、被害が最小限に収まるよう、駆除や隔離などの対応が可能なEDRという製品もあります。UTMを活用すれば、複数のセキュリティ機能を集約して運用でき、包括的なセキュリティ対策が可能です。

ウイルス対策ソフトやEDR、UTMのような、サイバー攻撃の侵入前後の対策を行えるツールをサイバー保険と合わせて導入することで、強固なセキュリティ体制を構築できるでしょう。

NTT東日本ならサイバー攻撃への包括的な対策が可能

NTT東日本は、ログ監視によってサイバー攻撃をはじめとした脅威から守るサービス「おまかせサイバーみまもりセキュリティパッケージ」を提供しています。お客さまの社内ネットワークに専用BOXを設置し、不正アクセスやフィッシングなどからネットワークを守ります。

さらに、「おまかせサイバーみまもりセキュリティパッケージ」は、ウイルス侵入の検知や防御だけでなく、ウイルス感染の早期発見・早期対応まで行うサービスです。プロのセキュリティ人材が通信状況をモニタリングし、不正な通信を検知した際にはお客さまへ迅速に電話で連絡。ウイルスに感染した端末の隔離や、ウイルス駆除を遠隔でサポートします。サイバー攻撃を受けた際にかかった費用を一部補償するサイバー保険が標準付帯されているのもポイントです。

企業のセキュリティ対策を強化したいなら、ぜひNTT東日本をご検討ください。

まとめ

サイバー攻撃は、近年ますます多様化・巧妙化し、被害が深刻化しています。サイバー攻撃へのリスク管理方針として、基本的に4つの方針が知られており、そのうちの1つ「リスクの移転」の代表的な対策がサイバー保険への加入です。

ただ、サイバー保険は、サイバー攻撃における損害を補うための保険であり、サイバー保険への加入だけで、万全なセキュリティ体制を構築できるわけではありません。サイバー保険以外にも、ウイルス対策ソフトやEDRの導入など、脅威の侵入前後における対策も必要です。

NTT東日本では、ログ監視や脅威の侵入の検知・早期対応を支援する「おまかせサイバーみまもりセキュリティパッケージ」を提供しています。時間や手間をかけずに企業のセキュリティ体制を強化したいなら、NTT東日本に一度ご相談ください。

関連サービス

資料ダウンロード

関連するコラム

• コラムをもっと読む