かつてサイバー保険の申し込みは、書類作業に近いものでした。しかし今では、セキュリティレビューの色合いがずっと強くなっています。保険契約を更新する経営者やCOOは、保険会社が条件を確認する前に、多要素認証（MFA）、バックアップ、アクセス制御、従業員トレーニング、パッチ適用、インシデント対応、パスワード管理について尋ねられることがあります。
引受会社は、どのような制御が導入されているのか、どこに適用されているのか、どの程度一貫して実施されているのか、そして企業がそれを証明できるのかを知りたがっています。サイバー保険はサイバーセキュリティの代替にはならないからです。サイバー保険は、サイバーリスクを管理する取り組みの一環として、セキュリティ制御、インシデント計画、復旧プロセス、リスク管理と並んで位置づけられます。
申請や更新を準備している企業に向けて、保険会社がリスクを引き受ける前に何を期待するのかについて、知っておくべきポイントを紹介します。
Proton Passがサイバー保険の準備をどのように支援するか
サイバー保険の引受会社が実際に確認する内容
サイバー保険の査定は、企業がサイバーインシデントに遭う可能性がどの程度あるのか、そのインシデントがどれほど深刻になり得るのか、そして企業が復旧に向けてどの程度準備できているのかを把握するために設計されています。
引受会社は、企業が何をしているか、どれだけの収益を上げているかだけを見ているわけではありません。アクセス、認証情報、データ、システム、サプライヤー、事業継続をどのように扱っているのかも把握したいと考えています。管理者制御が脆弱で、MFAが実施されておらず、バックアップもテストされていない企業は、明確なポリシー、実施済みの制御、復旧の証拠を示せる企業とは異なるリスクプロファイルを持ちます。
だからこそ、サイバー保険の要件はしばしば運用セキュリティに焦点を当てます。保険会社は、攻撃者が簡単に侵入できるかどうか、企業が被害を食い止められるかどうか、そして身代金を支払ったり何日もオフラインのままになったりすることなく重要なシステムを復元できるかどうかを知りたがっています。
サイバー保険の引受では、詳細な質問票、追加の質問、証拠の提出依頼、スキャン、ITベンダーとの電話などが含まれることがあります。小規模企業にとって、このプロセスは難しい場合があります。特に、セキュリティに関する正式なプロセスが整っていない場合はなおさらです。
たとえば、自社がMFAを使っているというだけでは十分ではありません。保険会社は、MFAがどこでどのように実施されているのか、管理者アカウントが対象に含まれているのか、そして除外されている重要なアプリがあるとすればどれなのかを知りたがるかもしれません。より説得力のある回答は、具体的で、文書化され、証拠に裏付けられています。
ほとんどの保険会社が期待する制御
サイバー保険の要件は、提供会社、保険契約の種類、企業規模、リスクプロファイルによって異なります。それでも、現在のほとんどの査定は同じ基本的な兆候を確認します。つまり、自社が一般的な攻撃を防げるか、アカウントが侵害された場合に被害を限定できるか、混乱から復旧できるか、そして制御が実際に導入されていることを証明できるかです。これには多くの場合、自社がパスワードをどのように扱っているかも含まれます。強固なパスワードポリシーと安全なビジネス用パスワードマネージャーは、導入できる最も効果的なパスワード管理のベストプラクティスの一つです。
MFA
これは保険会社が最初に確認する制御の一つです。多くの請求が認証情報の悪用に起因するからです。メール、VPN、リモートアクセス、クラウドプラットフォーム、パスワードマネージャー、その他の重要なアプリで2要素認証が有効になっているかどうかを尋ねられるかもしれません。
査定はさらに踏み込み、MFAがすべてのユーザーに実施されているのか、特定のシステムのみか、管理者アカウントのみか、そしてその実施が実際にどのように機能するのかを尋ねることがあります。
MFAが利用可能であることと、MFAが必須であることには違いがあります。引受会社は、それが実施されているのか、IDプロバイダーで設定されているのかアプリごとか、そして誰かがプロンプトに失敗したり回避したりした場合にどうなるのかを知りたがります。
より説得力のある回答は、MFAがどこで必須なのか、どのアプリが対象なのか、どのように実施されているのか、そして例外がどのように承認・レビューされるのかを示します。
管理者アカウントと特権アカウントの保護
保険会社はまた、自社が昇格したアクセス権を持つアカウントをどのように保護しているのかも把握したいと考えています。管理者アカウントは設定を変更し、ユーザーを作成し、機密データにアクセスし、セキュリティ制御を無効化し、システム間を移動できるため、攻撃者にとって特に価値が高くなります。
企業は、管理者アクセスが特定の人物に限定されているか、定期的にレビューされているか、MFAで保護されているか、日常的なユーザーアカウントから分離されているかを尋ねられることがあります。証拠としては、アクセスポリシー、ユーザーリスト、役割ベースの権限、特権的な活動を示すログなどが挙げられます。
バックアップと復旧への備え
保険会社は予防策にとどまらずに確認するため、バックアップは重要です。また、自社がどれだけ迅速に復旧できるのかも知りたがっています。ランサムウェア攻撃、誤削除、システム障害が自社に影響を与えた場合、保険会社は、身代金を支払ったり重要なデータを失ったりすることなく復旧できるかどうかを知りたがっています。
これは通常、定期的で、不正アクセスから保護され、テスト済みのバックアップを用意することを意味します。バックアップがあると言うだけでは不十分です。何がバックアップされているのか、バックアップがどのくらいの頻度で実行されるのか、どこに保管されているのか、誰がアクセスできるのか、そして最後に復元テストがいつ行われたのかを示せるようにしておく必要があります。
エンドポイントとメールのセキュリティ
多くの攻撃は従業員の受信トレイやデバイスを通じて始まるため、保険会社はしばしばエンドポイントとメールの保護について尋ねます。これには、アンチマルウェア、エンドポイント検知、迷惑メールフィルター、フィッシング対策、不審な添付ファイル、リンク、ログイン試行をブロックする制御などが含まれます。
特にメールについては、攻撃者が自社のアドレスをスプーフィングするのを防ぐために、ドメインがメール認証（SPF、DKIM、DMARC）を使用しているかどうかも尋ねられることがあります。
小規模企業の場合、これはITベンダーによって、またはすでに使用しているツールの組み込み機能を通じて対応されることがあります。重要なのは、どの保護が有効になっているのか、どのデバイスやアカウントが対象なのか、アラートやインシデントがどのように処理されるのかを説明できることです。
パッチ管理
古いソフトウェアは、攻撃者にビジネスシステムへ侵入する容易な道を与えます。そのため、保険会社は、自社がオペレーティングシステム、ブラウザ、アプリ、サーバー、その他の重要なソフトウェアにセキュリティ更新をどのくらい迅速に適用しているのかを尋ねることがあります。
また、更新が自動なのか、手動でレビューされるのか、外部のITベンダーによって管理されているのかも尋ねられることがあります。より説得力のある回答は、誰がパッチ管理を担当しているのか、更新がどのように追跡されているのか、企業が緊急の脆弱性にどのように対応しているのかを説明します。
従業員のセキュリティトレーニング
保険会社は、従業員がフィッシング、ソーシャルエンジニアリング、偽の請求書、悪意のあるリンク、認証情報の窃取を通じてしばしば標的にされることを知っています。
定期的なセキュリティ意識向上トレーニングは、そのリスクを減らすのに役立ち、特にフィッシング意識向上トレーニングは、認証情報に関連するほとんどの請求の背後にある攻撃タイプに対処します。それでも、査定では、従業員がトレーニングを受けているという一般的な説明以上のものを求められることがあります。
企業は、トレーニングがどのくらいの頻度で行われるのか、何を扱うのか、新入社員がオンボーディングを受けるのか、そして従業員が不審な活動を報告する方法を知っているのかを示す必要があるかもしれません。実践的で定期的なトレーニングは、誰も見返さない一度きりのセッションよりも役立ちます。
インシデント対応の計画
文書化されたインシデント対応計画は、何か問題が発生したときに自社が何をすべきかを把握していることを示します。保険会社は、自社にセキュリティインシデントを特定、報告、封じ込め、エスカレーションするための文書化されたプロセスがあるかどうかを尋ねることがあります。
計画では、誰が責任を負うのか、誰に連絡する必要があるのか、証拠がどのように保全されるのか、そして必要に応じて企業が従業員、ベンダー、顧客、法律顧問、規制当局とどのように連絡を取るのかを明確にする必要があります。たとえ簡単な計画であっても、危機の最中にその場しのぎに頼るよりはましです。
サードパーティのアクセス制御
ベンダー、請負業者、代理店、ITベンダー、ソフトウェアパートナーは、ビジネスシステムやデータへのアクセス権を持つ場合にリスクをもたらす可能性があります。保険会社は、サードパーティのアクセスが制限され、レビューされ、不要になったときに削除されているかどうかを尋ねることがあります。
また、ベンダーアカウントのMFA、外部ユーザー用の個別の認証情報、アクセスを承認するための明確なプロセスも確認することがあります。企業は、誰がアクセス権を持っているのか、何にアクセスできるのか、なぜそれを必要とするのか、そしてそのアクセスが最後にいつレビューされたのかを示せる必要があります。
実践的なサイバー保険チェックリスト
サイバー保険の申請や更新を始める前に、自社は、セキュリティ制御が計画されているだけでなく、すでに機能しているという証拠を集めておく必要があります。引受会社は、すべての中小企業がエンタープライズレベルの文書を備えているとは期待していません。しかし、明確な回答、一貫した実践、そしてアクセス、復旧、トレーニング、インシデント対応がどのように処理されているのかを企業が説明できる証拠は期待しています。
チェックリストは、補償を保証したり保険料を下げたりするものではありませんが、査定をより効果的にし、やり取りの往復を減らし、企業がより強力な回答で引受プロセスに入るのに役立ちます。
サイバー保険の準備チェックリスト
MFA
準備する証拠：MFAが実施されているシステムのリスト（メール、クラウドアプリ、リモートアクセス、管理者アカウント、および文書化された例外を含む）。
パスワード管理
準備する証拠 ： パスワードマネージャーポリシー、ユーザー導入記録、共有保管庫構造、管理者設定、弱いパスワード、再利用されたパスワード、または漏洩したパスワードを示すレポート。
バックアップ
準備する証拠 ： バックアップスケジュール、ストレージの位置、アクセス制御、データ保持ポリシー、最新の復元テストの日付。
インシデント対応プラン
準備する証拠 ： 書面による対応プラン、エスカレーション連絡先、内部役割、報告手順、最近の机上演習やプランレビュー。
トレーニング記録
準備する証拠 ： セキュリティトレーニングの日付、出席記録、オンボーディング資料、フィッシング啓発コンテンツ、従業員向けの報告手順。
パッチ管理
準備する証拠 ： パッチポリシー、更新ログ、対象システムのリスト、所有権の詳細、緊急脆弱性修正の記録。
特権アクセスレビュー
準備する証拠 ： 管理者ユーザーリスト、役割ベースの権限、アクセスレビュー記録、特権アカウントのMFAステータス、オフボーディング文書。
企業が資格を得るのに苦労する理由
企業はサイバー保険で苦労することがよくあります。なぜなら、申請書は日常業務が隠すことができるギャップを明らかにするからです。企業は一部のシステムでMFAを導入し、バックアップを実施し、ITプロバイダーを待機させ、従業員がフィッシングの基本を知っているかもしれません。しかし、保険会社は企業全体での一貫性を求めます ： 管理策がどこで実施されているか、誰が所有しているか、どのくらいの頻度でレビューされているか、そして各回答を裏付ける証拠は何かです。
これは、正式な文書化なしにセキュリティを徐々に構築してきた小規模企業にとって特に困難です。アクセスは異なるシステムを通じて許可されているかもしれません。共有認証情報は、安全なチーム用パスワードマネージャーではなく、スプレッドシートにまだ保存されているかもしれません。バックアップは最近テストされていないかもしれません。セキュリティトレーニングは非公式に行われているかもしれません。
これらの問題のいずれも、自動的に企業が保険に加入できないことを意味するわけではありませんが、引受時に遅延、除外、より高いプレミアム、または追加の質問を引き起こす可能性があります。
最も強力な申請書は、通常、最も複雑なセキュリティプログラムを持つものではありません。それらは、中核的な管理策がどのように機能するか、残りのギャップがどこにあるか、そして企業がそれらを埋めるために何をしているかを明確に示すことができるものです。
中小企業のリスクが保険の会話に与える影響
保険会社が管理策を重視するのは、中小企業が攻撃者にとって見えない存在ではないからです。ProtonのSMBサイバーセキュリティレポートによると、昨年、サイバーセキュリティ対策を講じていたにもかかわらず、4社に1社のSMBが侵害されました。このレポートはまた、人為的エラー、一貫性のないセキュリティポリシー、データ管理の欠如を主な原因として挙げています。
多くの企業は、セキュリティ対策をすでに講じた状態でサイバー保険の申請書に臨みますが、評価はそれらの対策が一貫性があり、最新で、証明しやすいかどうかをしばしば示します。MFAは一部のアカウントを保護しても、他のアカウントを保護しないかもしれません。バックアップはスケジュール通りに実行されても、最近の復元テストが行われていないかもしれません。管理者アクセスは会社の成長に伴って拡大したかもしれませんが、誰がまだそれを必要としているかの明確な記録がありません。
COOや経営者にとって、その精査は保険証券が発行される前でも役立ちます。それは日常の仮定を具体的な証拠に変えます ： アクセスリスト、バックアップ記録、MFAカバレッジ、パスワード慣行、文書化されたポリシー、既知のギャップ。人々が起こっていると信じていることに頼るのではなく、企業は自社の管理策が実際にどのように機能するかについて、より明確な全体像を得ます。
このように見ると、評価は保険に加入するための障害だけでなく、企業が侵害時に最も重要となる弱点を特定し、それらが対処しにくく、高くつき、または混乱を招くようになる前に修正するのに役立ちます。
Proton Passがサイバー保険の準備をどのようにサポートするか
サイバー保険の評価は、バックアップ、パッチ適用、インシデント対応、従業員トレーニング、ネットワークセキュリティ、ベンダーリスクなど、企業全体を対象とします。パスワードマネージャーは単独ですべての要件を満たすことはできませんが、保険会社が注意深く検討する分野の1つを強化することができます ： 企業が認証情報管理とアクセスをどのように扱っているかです。
ビジネスパスワードマネージャーであるProton Pass for Businessは、チームが安全でないパスワード習慣をより管理されたシステムに置き換えるのに役立ちます。従業員は、エンドツーエンド暗号化されたパスワード保管庫で固有のパスワードを作成および保存し、自動入力を使用して再利用を減らし、パスキーを管理し、電子メール、スプレッドシート、チャットスレッド、またはブラウザに保存されたパスワードに頼ることなく、認証情報を安全に共有できます。
組み込みの2要素認証は、チームがパスワードと検証コードを1つの安全なワークフローに保持するのにも役立ちます。アクセスを異なるアプリや個人デバイスに分散させるのではなく、摩擦を増やし、人々をショートカットに誘導するのを防ぎます。
ITチーム向けパスワードマネージャーとして、Proton Passはそれらの慣行を実施しやすくするために必要な可視性と制御を追加します。チームは、パスワード要件を構成し、2要素認証ポリシーを実施し、保管庫アクセスを管理し、役割ベースの権限を割り当て、SCIMでユーザーをプロビジョニングし、シングルサインオン（SSO）をサポートし、コンプライアンスまたはインシデント対応レビューにログを使用できます。これらの機能は、MFA、パスワード管理、共有認証情報、特権アクセス、オンボーディング、オフボーディング、アクセスレビューに関する一般的な引受質問をサポートできます。
より広範なサイバー保険申請書には、セキュリティプログラムの残りの部分にわたる文書化が依然として必要です。しかし、評価の認証情報部分については、Proton Passは企業がより明確な回答を提供するのに役立ちます ： 誰がアクセス権を持っているか、認証情報がどのように保護されているか、共有がどのように制御されているか、そして引受担当者が尋ねたときにどのような証拠が利用可能かです。
ビジネスパスワードマネージャーで、サイバー保険のすべての項目をチェックしましょう。
