同じページにはサイバー保険の契約件数の推移も載っていて、こちらも同じく日本損害保険協会の調査です。この2つが並んでいることに、この記事の意味があります。

ひととおり眺めると、上位はいかにも「反省の言葉」です。備えが不足していた、体制を整えられていなかった、教育が足りなかった——被害に遭えば誰でもそう言うでしょう。

ですが、色を分けて見るとまったく性質の違う項目が混ざっているのが分かります。

12項目のうち3つは、「〜が足りなかった」ではなく「〜と思っていた」という形をしています。

この3つは、事後の反省ではありません。被害に遭う前、その企業が実際に何を考えていたかの記録です。

そして「現状の対策で十分だろうと思っていた」47.7%。これは何もしていなかった企業の話ではありません。対策はしていた。していたからこそ「十分だ」と思っていた——そう読むのが自然です。

つまり12項目は、大きく3つの束に分けられます。

この調査には回答企業数が書かれていません。「63.6%」と言われても、それが100社中の64社なのか、10社中の6社なのかで、意味がまったく違います。

ただし、割合の数字そのものが手がかりになります。12項目の値を並べると——

12項目すべてが、きれいに「44分の整数」になります。10から200までのすべての数を試すと、条件を満たすのは44、88、132、176——つまり44の倍数だけでした。

では、この数字に意味がないかというと、そうではありません。統計的な代表性はなくても、「被害に遭った企業が、自分の何を悔やんでいるか」という証言としての価値は残ります。この記事では、そういうものとして扱います。

被害企業が「まさか起こらないと思っていた」と語る一方で、サイバー保険の市場はまったく違う動きをしています。

H28年度からR6年度で12.2倍。しかも直近1年（R5→R6）だけで1.72倍と、伸びが加速しています。

グラフの中で1か所だけ、線が下がっている年があります。R2年度（2020年度）です。前年比0.78倍、22.1%の減少。9年間で唯一の減少年でした。

同じ報告書の次のページ（統計編P158）には、警察庁自身が行っている別の調査——「民間企業等における不正アクセス行為対策等調査」の結果が載っています。

「マルウェア設置や感染を受けた」企業は、H28の54.0%からR7の10.0%へ。約5分の1に減っています。DDoS攻撃も半分ほどになりました。

攻撃を受ける率は下がっている。なのに保険は12倍に増えている。この2つは、素直には噛み合いません。

そのうえで、保険の伸びをどう読むか。ひとつの説明は、企業が見ているものが「確率」から「金額」に移った、というものです。

実際、被害企業の61.4%が「被害額がこんなにも高くなると思っていなかった」と答えています。そして警察庁の別の集計では、ランサムウェア被害で業務に影響が出た組織は90.6%にのぼります。起こる回数が減っても、1回あたりが重くなれば、保険の必要性は上がります。

備えのほうも、ゆっくりですが動いています。「情報セキュリティ侵害事案発生時の対応マニュアルを策定している」企業は、H28の34.9%からR7の55.3%へ、20.4ポイント増えました。ただしR5の56.8%が最高で、そこからはほぼ横ばいです。半数を超えたあたりで足踏みしている、という形になっています。

ここまで見てきたことを、もう一度まとめます。

この12項目を最初に見たとき、いちばん印象に残ったのは79.5%の「備えが不足していた」ではありませんでした。47.7%の「業績が順調だったので、リスクに目を向けていなかった」のほうです。

備え不足を悔やむのは、被害の後なら誰でもできます。でも「うまくいっていたから見なかった」というのは、被害に遭う前の自分を、かなり正確に言い当てた言葉だと思います。そしてそれは、いま調子がいい会社ほど、今日の自分に当てはまる言葉でもあります。