出典：Photon photo（Shutterstockより）
サイバー保険市場は引き受け業者に利益をもたらし続けていますが、市場競争と需要の減少により、保険料収入の総額は3年連続で減少しています——これは企業にとって有利に働く可能性があります。
全体として、サイバー保険の専門家は、2025年も保険料が引き続き下落し、来年には供給と需要のバランスが取れることで横ばいになると予想しています。サイバー保険契約の更新率は過去3四半期連続で下落しており、今後もこの傾向が続く見込みです。これは信用格付け会社フィッチ・レーティングスによるものです。
企業がより良いサイバー保険料率を求めて比較検討したり、一時的に見直しを行っている中で、保険会社は中〜低い一桁台の割合で保険料を引き下げ続けていると、フィッチ・レーティングスのシニアディレクター、ジェリー・グロンビッキ氏は述べています。
「歴史的に見て、サイバー保険はかなり収益性が高かった——2017年のWannaCryやNotPetyaによる被害があってもです」と彼は言います。「今では、販売されている契約数は前年比で減少しており、価格も下がっています……なぜなら、保険会社がこれまで得てきたリターンが良かったため、その一部を手放さなければならないからです。」
保険市場は非常に循環的であり、特にサイバー保険は成長の波があります。パンデミック時代のランサムウェアの急増により、サイバー保険契約の引き受けが大幅に増加し、2020年から2022年の間に160%成長しました。この2つの要因が重なった結果、請求件数と損失率が急増し、2020年と2021年には約70%で推移しました（パンデミック前後の平均は約40%）。※損失率とは、契約から得た収入に対する支払い請求額の割合です。
わずか18か月前、アナリストたちはサイバー保険料が再び上昇し始めると予測していましたが、その拡大はゆっくりとしたものとなっています。
契約数の増加、損失の増加、保険料の上昇
保険業界——そして多くの契約者——は、その時期に痛い教訓を学んだと、サイバー保険およびサービスプロバイダーであるResilienceのチーフアンダーライティングオフィサー、マリア・ロング氏は述べています。
「ランサムウェアが蔓延していた頃、ほとんどの組織で管理体制が非常に不十分で、大きな損失を被りました」と彼女は言います。「パフォーマンスの悪化と避けられない高損失率のため、保険料が急騰し——保険契約の保険料が400%上昇するのも珍しくありませんでした。」
2024年、サイバー保険料はわずかに減少（棒グラフ）し、前年比で5.4%減少（赤線）。出典：Fitch Ratings
それでも全体として、サイバー保険業界は明るい将来を見据えています。米国の保険料総額は約69億ドルにわずかに減少し、契約数も約2%減の420万件となりましたが、保険会社ミュンヘン再保険によれば、業界は今後5年間で2倍の320億ドル（2025年には160億ドル）に成長すると予測されています。
全体として、各企業は保険料率の低下に対して異なるアプローチを取っていると、サイバー保険およびサービス会社Coalitionの保険部門最高収益責任者ショーン・ラム氏は述べています。
「多くの企業——特に大口のサイバー保険購入者——は2,000万、5,000万、1億ドル以上の補償限度額を購入しており、こうした保険料の緩和を活用して補償限度額を増やしています」と彼は言います。「一方で、経済環境が厳しい中、他の企業はその分の資金を手元に残し、他の事業運営に充てています。」
単なる保険金支払いだけではない
サイバー保険は、企業に対して他にも2つの大きなメリットをもたらします。インシデント発生前には、保険会社やサイバーセキュリティパートナーが企業のセキュリティ体制を評価し、サイバーセキュリティの向上方法を提案します。特定の技術を導入することで、企業は保険料を削減することができます。
侵害後には、サイバー保険会社が復旧のための即席プレイブックや、必要となるベンダーやリソースとの既存の関係を提供できます。
「ここがサイバー保険の大きな価値となっています」とフィッチ・レーティングスのグロンビッキ氏は述べ、残念ながら「サイバー保険は顧客にその価値を十分に示せていない」と付け加えています。
多くの企業が最低限の保険料でサイバー保険を選ぶかもしれませんが、より成熟したアプローチは、サイバーインシデントの前後に提供されるサービスに注目することです。必要であれば補償限度額を下げることはできますが、契約自体をなくさず、契約の副次的なメリットを維持するべきだとResilienceのロング氏は述べています。
「保険に入っていない期間に……何らかの事象が発生した場合、その損失を100%自社で負担するだけでなく、タイガーチーム（緊急対応チーム）や、規制対応や通知義務をサポートしてくれるブリーチコーチ、現場に駆けつけて脅威アクターを排除するデータフォレンジックやインシデントレスポンス企業へのアクセスも失うかもしれません」とロング氏は付け加えています。