米国最先端のサイバー保険　CoalitionとAt-Bay

「保険金を支払う保険」から「企業を止めない保険」へ

サイバー攻撃のスピードが、人間の対応能力を上回り始めている。

CrowdStrikeの「2026 Global Threat Report」によれば、攻撃者が最初の端末から別の端末へ横展開するまでの平均時間「breakout time」は、2024年の48分から2025年には29分へ短縮した。最速では、わずか27秒。初期侵入から4分でデータ流出が始まった事例も確認されている。

企業が異常を認識し、担当者を集め、対応方針を決めている間に、攻撃者はすでにネットワーク内部へ拡散し、データを持ち出している可能性がある。この変化を受け、米国のサイバー保険は大きく進化している。

従来の、「事故が発生した後に、損害を確認して保険金を支払う」という仕組みから、

「契約時から企業のサイバーリスクを監視し、脆弱性を改善し、攻撃を早期に発見・封じ込め、事故が起きても損失を最小限にする」という「能動型保険」への転換である。

その代表が、CoalitionとAt-Bayである。

1．Coalition――保険とセキュリティを統合した「Active Insurance」

Coalitionは2017年に米国で設立され、「Active Insurance」という新しい保険モデルを提唱してきた。現在、米国、カナダ、英国、オーストラリア、ドイツなどで、10万社を超える保険契約者のデータを蓄積している。

Coalitionの最大の特徴は、保険契約を締結して終わりではないことである。

契約企業には、サイバーリスク管理プラットフォーム「Coalition Control」が提供される。企業の外部公開資産、脆弱性、設定不備、認証情報の漏洩などを継続的に確認し、重大な問題が見つかれば企業へ警告する。

さらに、必要に応じて以下の機能を組み合わせる。

·       ・継続的な攻撃対象領域の監視

·       ・脆弱性と設定不備の通知

·       ・セキュリティ改善の助言

·       ・自動検知・対応サービス

·       ・24時間365日のMDR

·       ・インシデント発生時のフォレンジック調査

·       ・ランサムウェア交渉

·       ・盗難資金の回収

·       ・事業中断、復旧費用、賠償責任などの保険補償

つまり、Coalitionは「保険会社」であると同時に、サイバーリスクを監視し、事故を防ぎ、事故発生時には被害を抑えるリスクマネジメント企業でもある。

Coalitionは、どのように企業の損失を減らしているのか

Coalitionの仕組みでは、事故が発生する前から企業の弱点を把握する。

例えば、インターネットに公開された機器に重大な脆弱性が見つかった場合、契約企業へ警告し、攻撃される前の修正を促す。2024年には8万5,000件のアラートを発信し、契約企業は3万2,000件を超えるセキュリティ上の問題を解消したとしている。

事故が発生した場合には、専門チームが直ちに対応し、被害調査、封じ込め、復旧、法律対応、身代金交渉、盗難資金の回収までを支援する。

Coalitionが2026年に公表したCyber Claims Reportでは、2025年について次の実績が示されている。

·       ・ランサムウェア被害企業の86％が身代金を支払わなかった

·       ・終結した保険金請求の64％が、契約者の自己負担なしで解決

·       ・盗難された資金2,180万ドルを回収

·       ・ランサムウェアの当初要求額（初回提示額）は前年比47％増加し、100万ドルを超える水準となった

·       ・ランサムウェア事案の70％が「暗号化＋データ窃取」の二重恐喝型

·       ・データ窃取を伴う事案は、暗号化だけの事案より2倍以上高コスト

またCoalitionは、同社契約者のサイバー保険請求頻度が業界平均より73％低いと公表している。ただし、この比較はCoalitionとNAICに報告された2023年の米国データに基づくものであり、すべての国・企業にそのまま当てはまるものではない。

それでも、この結果は「保険会社が事故後に保険金を支払うだけでなく、契約後もリスクを監視し、事故の発生確率と被害額を減らす」という考え方が、実際の保険データに表れ始めていることを示している。

Coalition 2026 Cyber Claims Report

2．At-Bay――InsuranceとSecurityを一体化する「InsurSec」

At-Bayも、米国を代表するサイバー保険会社の一つである。同社は、InsuranceとSecurityを組み合わせた「InsurSec」という考え方を掲げている。

At-Bayは現在、4万社を超える保険契約者、合計8,000億ドル相当の事業規模を保護し、150万件の監視対象資産を持つ。さらに、2026年版InsurSec Reportは、10万契約年を超える保険・事故データを基盤としている。

なお2026年8月19日、大手再保険グループMunich Reは、At-Bayを買収することで合意したと発表した。買収完了後もAt-Bayはブランドと事業を維持する見込みだが、資本面では独立系から大手再保険グループの傘下へと立場が変わることになる。

At-Bayの強みは、保険契約とセキュリティ対策を同じデータで結びつけていることである。

統合セキュリティプラットフォーム「At-Bay Stance」では、以下の機能を提供している。

·       ・脆弱性スキャン

·       ・ダークウェブ上の認証情報監視

·       ・AIを活用したメール詐欺対策

·       ・セキュリティ専門家による助言

·       ・従業員教育

·       ・インシデント対応・復旧支援

·       ・エンドポイントとメールのMDR

·       ・24時間365日の専門家による監視

At-Bayは、MDR利用時の脅威修復時間を平均15分と公表している。

重要なのは、MDRが単なる付帯サービスではなく、保険条件にも結びついている点である。

一定の条件を満たす企業が承認されたMDRを導入した場合、保険料の割引、ランサムウェア事故の自己負担額や免責時間の縮小などを受けられる場合がある。つまり、「セキュリティ対策を強化した企業は事故が減る可能性が高く、その改善を保険条件にも反映する」という仕組みである。

なお、At-BayのMDRは関連会社At-Bay Securityが別途提供するサービスであり、すべての保険契約に自動的に含まれるわけではない。しかし、保険とセキュリティの利用データを連携させ、契約条件にも反映する点に、従来型保険との大きな違いがある。

保険事故データが、セキュリティを進化させる

At-Bayは、保険金請求データから「どの機器、設定、セキュリティ製品で事故が発生したか」を分析し、その結果を商品設計と企業の対策へ還元している。

2025年にAt-Bayが確認したSonicWall関連のAkiraランサムウェア事案では、91％が完全暗号化に至った。一方、暗号化を免れた企業は、すべて適切に設定され、専門家が継続監視するManaged EDRを利用していた。

これは、単にEDRを導入しているだけでは十分ではなく、

誰かが24時間監視し、アラートが出た瞬間に封じ込めを実行できるか

が被害を左右することを示している。

At-Bayの保険データは、セキュリティ製品の導入有無だけでなく、「実際に管理され、迅速な対応につながっていたか」まで評価する方向へ進化している。

At-Bay InsurSec／Stance

3．CoalitionとAt-Bayは、何がすごいのか

両社の本当の強みは、個別のセキュリティ機能だけにあるのではない。最大の特徴は、

「保険契約・セキュリティ監視・インシデント対応・保険金請求のデータが、一つの循環になっている」ことである。

保険とセキュリティのPDCAサイクル

保険契約・リスク評価 → 継続監視・脆弱性改善 → 検知・封じ込め

復旧・事故対応・補償 → 保険金請求データの分析 → 次のリスク評価へ

多数の企業を保険契約者として抱えることで、どの脆弱性が事故につながったか、どの対策が有効だったか、どの初動が損害額を抑えたかというデータが蓄積される。そのデータを、次の引受審査、警告、保険料、補償条件、MDR、事故対応へ戻す。

契約数が増えるほど事故データが増え、事故データが増えるほどセキュリティと保険引受の精度が上がる。この「データ・フライホイール」が、CoalitionとAt-Bayの競争力である。

4．日本のサイバー保険との違い

日本の保険会社も、サイバー保険を大きく進化させている。

東京海上日動、損保ジャパン、三井住友海上、AIG損保などは、情報漏洩に伴う賠償責任だけでなく、フォレンジック調査、法律相談、危機管理、データ復旧、事業中断などを幅広く補償している。24時間365日の事故受付や、専門事業者の紹介、初動対応支援を提供する商品もある。したがって、日本のサイバー保険を「事故後に保険金を支払うだけ」と評価するのは正確ではない。本質的な違いは、個々のサービスの有無ではなく、次の機能が一つの商品・データ基盤としてどこまで統合されているかにある。

日本の保険会社には、全国の代理店網、大企業との長期的な関係、豊富な事故対応経験、日本の法制度や商慣行への理解という大きな強みがある。今後の課題は、その強みを生かしながら、保険とセキュリティをさらに深く統合することである。

5．TW Consultingの視点――日本にも「Cyber Resilience Insurance」を

TW Consultingが提言するのは、CoalitionやAt-Bayと同じサイバー保険会社を、日本で一から設立することではない。AIとサイバー攻撃が急速に進化するなか、新たな保険会社とセキュリティ機能をすべて自前で構築するには、多くの時間と投資を要するからである。

日本が目指すべきなのは、CoalitionやAt-BayのActive Insurance、InsurSecの考え方を学びながら、日本の保険会社が持つ商品開発力、事故対応力、代理店網と、CrowdStrikeなどのMDR、Rubrikなどのサイバーリカバリーを結びつけることである。

保険会社とサイバーセキュリティ会社が、それぞれの強みを持ち寄り、「予防・検知・封じ込め・復旧・補償」を一つの仕組みとして企業に提供する。これがTW Consultingの提言する、日本型「Cyber Resilience Insurance」である。

その機能は、次の5段階で構成される。

① 防ぐ――Identity／Protect

MFA、ID・権限管理、脆弱性管理、メールセキュリティによって、攻撃者を簡単にログインさせない。現在の攻撃では、マルウェアだけでなく、盗まれた認証情報や正規ツールが利用される。CrowdStrikeによれば、2025年に検知された事案の82％は、マルウェアを使用しない攻撃だった。

② 見つける――Detect

EDRと24時間365日の監視により、侵入、異常なID利用、横展開、データ窃取を早期に発見する。ただし、アラートを出すだけでは企業は守れない。

③ 止める――Respond／Contain

CrowdStrikeなどのMDRを活用し、感染端末、侵害されたID、クラウドセッションを直ちに隔離する。現代のサイバー攻撃では、「検知率」だけでなく「何分で封じ込めたか」が企業の生死を分ける。

④ 元に戻す――Recover

封じ込めに失敗した場合でも、Rubrikなどのイミュータブルなバックアップとクリーンな復旧環境から、重要な業務を安全に再開する。

Sophosの調査では、バックアップが無傷だった企業の復旧コスト中央値は37万5,000ドルだったのに対し、バックアップが侵害された企業では300万ドルに達した。約8倍の差である。ただし、バックアップで解決できるのは主としてシステムとデータの可用性であり、すでに外部へ盗まれたデータを取り戻すことはできない。そのため、データ窃取前の検知・封じ込めが同時に必要になる。

⑤ 経営を守る――Insure／Compensate

それでも残る事業中断、復旧費用、フォレンジック費用、賠償責任、通知費用、恐喝対応費用などを保険で支える。

さらに保険会社は、保険金を支払うだけでなく、事故発生直後からセキュリティ会社、法律事務所、フォレンジック会社、金融機関、警察などをつなぐ司令塔になるべきである。

「保険金を支払う保険」から「企業を止めない保険」へ

これまでのサイバー保険は、事故によって発生した経済的損失を補償することを中心に発展してきた。しかし、攻撃者が数分で横展開し、データを持ち出す時代には、保険金だけで企業の事業継続を守ることはできない。

CoalitionとAt-Bayが示しているのは、サイバー保険会社の役割が、事故後の保険金支払いから、企業のリスクを日常的に減らすパートナーへ変わり始めているということである。日本には、世界有数の保険会社、優れたセキュリティ企業、強固な代理店網がある。

これらを分断したまま提供するのではなく、一つのデータとサービスで結びつけることができれば、日本独自のサイバーレジリエンス保険を構築できる。サイバー保険の価値は、「事故が起きた後にいくら支払うか」だけではない。「事故をいかに防ぎ、何分で止め、どれだけ早く事業を再開できるか」によって決まる。

「防ぐ」「見つける」「止める」「元に戻す」「保険で経営を守る」。

この5つを一つに統合することが、AI時代に日本の保険会社が目指すべき次のサイバー保険ではないだろうか。

TW Consultingは、保険会社とサイバーセキュリティ会社をつなぎ、日本企業の事業継続を支える新しい「Cyber Resilience Insurance」の実現を目指したい。保険会社、サイバーセキュリティ会社の皆さま、日本型の「サイバーレジリエンス保険」を一緒に創りませんか。

出典・参考資料

CrowdStrike「2026 Global Threat Report」（2026年2月24日発表）

Coalition「2026 Cyber Claims Report」（2026年3月5日発表）

At-Bay「2026 InsurSec Report」（2026年4月22日発表）

Munich Re「Munich Re Group to Acquire Cyber Insurtech At-Bay」（2026年8月19日発表）

Sophos「The impact of compromised backups on ransomware outcomes」

東京海上日動火災保険、損保ジャパン、三井住友海上、AIG損保 各社サイバー保険商品ページ

本資料はTW Consultingが作成したものであり、内容の正確性には万全を期していますが、最終判断にあたっては原典をご確認ください。

用語解説

MDR（Managed Detection and Response／マネージド検知・対応）
セキュリティ専門家が24時間365日、企業のシステムを監視し、攻撃を検知した際に調査、端末の隔離、封じ込め、脅威の除去などを行うサービス。

EDR（Endpoint Detection and Response／端末の検知・対応）
パソコンやサーバなどの端末の動きを記録・監視し、不審な挙動を検知して調査や隔離につなげる技術。EDRは道具であり、それを24時間監視・運用するサービスがMDRである。

イミュータブルバックアップ
一定期間、管理者や攻撃者でも変更・削除できないように設計されたバックアップ。ランサムウェアに本番データを暗号化されても、安全なデータから復旧できる可能性を高める。

Cyber Resilience（サイバーレジリエンス）
攻撃を完全に防ぐことだけを目指すのではなく、被害を早期に発見・封じ込め、迅速に復旧して事業を継続する能力。

ID（Identity／デジタル上の本人情報）
利用者が誰であるかをシステム上で識別するための情報。ユーザー名、社員アカウント、権限などを含む。IDを盗まれると、攻撃者が正規の利用者としてログインする危険がある。

MFA（Multi-Factor Authentication／多要素認証）
パスワードに加え、スマートフォンへの確認通知、認証アプリ、生体認証など、異なる二つ以上の要素で本人を確認する仕組み。パスワードが盗まれても不正ログインを防ぎやすくなる。

エンドポイント
企業ネットワークにつながるパソコン、サーバ、スマートフォンなどの端末。攻撃者の侵入口やランサムウェアの感染対象になりやすいため、EDRなどで監視する。

ダークウェブ
通常の検索エンジンでは表示されず、専用ソフトなどを使ってアクセスする匿名性の高いインターネット領域。盗まれたID、パスワード、企業データなどが売買されることがあり、漏洩情報の監視対象となる。