リカバリー・ブレティン 第2号
サイバーインシデントの真のコストは、身代金ではなくダウンタイムにある
役員室でサイバーインシデントによるコストについて尋ねてみれば、身代金や弁護士費用、フォレンジック調査会社への支払い、被害者への通知費用といった話が出てくるでしょう。しかし、そうした費用を負担する保険会社は誰よりも詳細な記録を残しており、彼らが指摘するのは別の点です：
サイバーインシデントによるコストの大部分は、ダウンタイム、つまり事業が十分な水準で運営できない日や週にかかる費用です。
この知見は、Fenix24の『2026年 復旧可能性に関するレポート』における保険金請求分析から導き出されたものであり、セキュリティ責任者の支出に対する考え方を変えることになるはずです。サイバー攻撃による保険金請求にかかるあらゆるコストのうち、攻撃者がシステム内に侵入した後でも削減が可能であるのは、ダウンタイムに関するコストだけです。保険金請求データは、この両方の点を裏付けています。
請求書を支払っている人たちは、その意見に同意している
サイバーインシデントの真のコストについて、最も信頼できる証人の一部は、それらを補償する保険会社であり、その保険金請求データは一つの結論に収束しています。 世界最大級の独立系保険金請求データセットを分析すると、事業中断が損失の主要な構成要素であり、その額は身代金支払い、フォレンジック調査、弁護士費用、通知費用の合計を上回っています。アリアンツ・コマーシャルの2025年の分析によると、大規模なサイバー保険金請求額の50％以上を事業中断が占めています。ミュンヘン再保険は、自社の保険引受実績に基づき、ランサムウェア関連コストの51％を事業中断が占めると推定しています。2つの保険会社、2つのデータセット、そして1つの結論です。
NetDiligenceの5年間にわたる保険金請求に関する調査は、その割合が総額にどのような影響を与えるかを示しています。事業中断の要素を含む保険金請求は、含まない請求に比べて平均で650％高い費用がかかっており、事業中断の要素を含む中小企業（SME）の保険金請求のうち、81％はランサムウェアが原因でした。 これらの保険金請求における平均値を分析すると、市場の双方における実態が浮き彫りになる。中小企業の場合、総インシデントコスト180万ドルのうち、事業中断による損害は平均120万ドル、危機対応サービス費用は29万7,000ドルであった。大企業の場合、総コスト3,610万ドルのうち、事業中断による損害は平均2,600万ドル、危機対応サービス費用は350万ドルであった。いずれの規模においても、事業中断による損害額は、保険金請求に含まれるその他のすべての項目を合計した額の数倍に達している。
依然として変動要素となっている唯一のコスト
これらの数値がセキュリティ責任者にとって重要である理由は、単にその規模だけにとどまりません。事業中断は、他のあらゆる損害要素とは異なる性質を持つからです。
インシデントが発生すると、フォレンジック調査、法務、および通知にかかる費用は概ね固定されます。調査員は所定の料金を請求し、弁護士は実費を請求し、影響を受けた人数全員に通知書が送付されます。発生初日以降、組織がどのような対応をとっても、これらの費用はそれほど変動しません。一方、業務中断による損失は事情が異なります。 これは変動費であり、その変動要因となるのは復旧のスピードです。アリアンツ社の保険金請求アナリストたちは、事業中断による損失は、対応の質や事業継続計画の実行状況と直接相関していると指摘しています。決断の遅れや調整の不備は、その損失を長期化させます。
CFOの視点で読み解いてください。 その他のセキュリティ対策の成果はすべて確率的なものです。予防策に費用を投じても、不測の事態が発生する確率は、誰にも検証できない程度に低下するに過ぎません。一方、復旧能力への投資は決定論的に成果をもたらします。事業が3週間ではなく40時間で復旧できれば、その差は単純な算術的なものであり、それは損害賠償請求額の中で最も大きな項目に直結します。事前に確保した復旧時間の1時間ごとに、発生することのない損害賠償請求額が生み出されるのです。損失計算書上の最大の数字とこれほど直接的な関係を持つセキュリティ投資は、他にありません。
だからこそ、「サイバー保険に加入している」というだけでは問題は解決しないのです。保険会社は、支払う保険料に見合った価格設定を行います。短期間で、証拠に基づいた復旧スケジュールを提示できる組織は、それができない組織に比べて、保険金請求のリスクが数分の1に抑えられます。保険契約は損失を転嫁するものであり、損失そのものを縮小するものではありません。損失を縮小させるのは、復旧のスピードなのです。
予算案に記載されている数字は間違っています
セキュリティ予算の申請書の多くは、報告されているランサムウェアによる被害額を根拠としていますが、その統計を公表している機関は、そうすべきではないとしています。FBIのIC3は、2025年に3,600件のランサムウェアに関する苦情を受け付け、報告された被害額は3,200万ドルでした。同機関の調査方法に関する説明によると、この総額には通常、営業機会の損失、時間的損失、賃金、ファイル、機器、および第三者による復旧費用は含まれていません。また、この集計には、被害者がFBIに報告した事案のみが含まれています。
サイエンティア・インスティテュートは、運用コストを含めたインシデント全体を推計し、2023年のランサムウェアによる年間損失額を約950億ドルと算出した。この2つの数値は測定対象が異なり、まさにそこが問題なのだ。見出しの数字が意図的に除外している項目こそが、保険金請求データが示すように、損失額の大部分を占めるダウンタイムコストそのものである。 報告された損失額に基づいた予算案には、最大の経費項目が欠落しており、「全米で3,200万ドルのランサムウェアによる損失」という報告を耳にした取締役会には、支出を増やすのではなく、削減する理由が与えられてしまうことになる。
サイバーリスクの評価は、漏洩した記録の数ではなく、業務中断の時間数で測定すべきである。保険金請求データでは、すでにこの基準で測定されている。
1時間の料金はいくらか、そしてその確認方法
「稼働時間」を時間単位で測定するのは、実際に数値を出そうとするまでは簡単そうに思えます。というのも、「事業」自体には時間単価が存在しないからです。一方、ビジネスサービスには時間単価があり、その金額は大きく異なります。Eコマースプラットフォームが利用できない1時間には、それに伴う収益額が存在します。給与計算システムが利用できない1時間は、火曜日であればコストはわずかですが、給与支払いの締め切りである金曜日になると莫大なコストがかかります。製造実行システムが利用できない1時間は、工場が稼働停止状態となり、その間も人件費や契約上の違約金は発生し続けます。
エクスポージャーの算出は3つのステップで行われますが、そのいずれもが、ほとんどの組織ではこれまで行われてこなかった作業です。まず、環境がダウンした際に停止するビジネスサービスを、サーバー単位ではなくサービス単位で特定します。次に、収益、遊休労働力、SLA違反による違約金、そして二度と戻ってこない顧客といった要素をもとに、各サービスについて1時間あたりの数値を算出します。 第三に、これは単なる推定と実証的な根拠を分ける重要なステップですが、誰かが計画書に書き込んだ目標値ではなく、実際にテストされた結果に基づいて、各サービスの復旧に要する時間を特定します。
その3つ目の数値こそ、ほとんど誰も把握していないものです。Fenix24が関与した案件において、文書化された復旧時間目標は通常、24時間から48時間が約束されていました。800社以上のクライアントのうち、業務の一部を再開できたのは4社のみでした。実際の時間単価に、約束されたスケジュールと実際の復旧期間との差を掛け合わせれば、真のリスク額が算出されます。ほとんどの組織にとって、これはリスク登録簿の中で最も見過ごされがちな数値なのです。
必要な数時間前に購入する
事前に購入した復旧時間の1時間ごとに、決して発生することのない請求価値であるとするなら、現実的な疑問として、その時間は一体どこで販売されているのかという点が挙げられます。500件以上のランサムウェア対応事例における復旧側の視点から見れば、その答えは明確です。その時間は、攻撃者が現れるはるか以前から存在していた状況の中で失われてしまうのです。 事案発生中にチームがアプリケーションの依存関係を再構築しなければならないのは、最新の依存関係マップが存在しなかったためだ。「成功」と報告されたバックアップも、実際には運用上復元できないことが判明する。環境全体の復元に必要なストレージを誰も準備していなかったため、復元されたデータを格納する場所がない。午前3時に誰が復元手順を指示するかについて、事前に合意が得られていなかったため、意思決定が停滞してしまう。
これらはすべて平時において測定・改善が可能であり、それぞれが直接「時間」という単位に換算されます。これが、このクレームデータによって可能になる予算に関する議論です。セキュリティ責任者は、発生確率に対する対策の資金を取締役会に求めるのではなく、各重要なビジネスサービスにおける1時間のダウンタイムに価格を付け、約束された復旧時間と実際の復旧時間の差を示し、復旧への投資をその差を埋めるための投資として提示することができるのです。 これは、CFOが他の資本投資の決定と同様に評価できる数少ないセキュリティ提案です。なぜなら、今回に限っては、リターンが損失と同じ単位で表されているからです。
レポート全文を入手する
「2026年 復旧可能性に関するレポート」は、現在すべての取締役会が抱いている疑問、「実際にシステムがダウンする期間はどれくらいになるのか」という問いを軸に構成されています。本レポートでは、アリアンツ、ミュンヘン再保険、アクセンチュアといった主要機関からの保険金請求データ、規制分析、経営幹部向けアンケート調査を統合し、それらすべてを、Fenix24が500件以上の実際のランサムウェア復旧事例を通じて得た知見と照らし合わせて検証しています。 業界分析と、世界で最も多くの復旧実績を持つチームによる実地データを組み合わせたレポートは、他に類を見ません。これは、組織が自らのレジリエンスについて語る内容と、実際にシステムがダウンした際に何が起こるかとの間の違いを浮き彫りにするものです。
