アジア太平洋地域のサイバーセキュリティへの取り組みが成果を挙げる

アジア太平地域における多くの企業がサイバーセキュリティの成熟度を向上させています。AonのCyberQuotient（CyQu）データによると、2024年のエーオンのクライアント全体の平均リスク成熟度スコアは4点満点中2.73で、管理可能なレベルに近づいており2、北米のクライアントのリスク成熟度スコアに迫る水準となっています。前年比で、サイバー領域全体のリスク成熟度スコアは16％改善され、回答企業はネットワークセキュリティとデータセキュリティ（ガバナンス、ユーザー意識向上、トレーニングを含む）で最も高いスコアを記録しました。

アジア太平洋地域企業のトレンドはグローバルベースのトレンドと一致しており、サイバー保険請求の通知件数が2023年比で22％増加しました。一方、サイバーインシデントの発生頻度は前年比29％増加し、過去4年間（2020～2024年）では134％増加しました。

インシデントの増加にもかかわらず、アジア太平洋地域の保険会社は利益を維持しており、年間を通じて重大な損失を被りませんでした。これは、企業がサイバー侵害後 に迅速にシステムと業務を回復できたためです。これは、積極的なサイバーリスク管理の成功、サイバー保険の保険料軽減措置の役割、保険会社の厳格な引受基準、および高額な免責金額設定の普及が要因です。

地政学的要因と規制がリスクプロファイルを形作る

「選挙の年」である2024年3、アジア太平洋地域ではバングラデシュ、ブータン、カンボジア、インド、インドネシア、日本、パキスタン、韓国、スリランカ、台湾、タイ、オーストラリアを含む12か国以上で国または州レベルの選挙が行われました4。 この記録的な政治活動は、選挙への混乱と不信感を煽る目的と見られる国家が支援するディープフェイクの活用が大幅に増加する要因となりました。これにより、ソーシャルエンジニアリング関連のインシデントが前年比53％増加する結果となりました。

貿易紛争や緊張、領土紛争、サプライチェーンの再編など、地政学的要因も企業がサイバーリスクをどう考えるかに影響を与えました。外交問題評議会（CFR）によると、国家が支援していると疑われるサイバー攻撃の63％が同地域から発せられました5。 アジア太平洋地域は、地政学的緊張関係の活発な温床となっています。多くの重要産業は、国家の目標を支援し、非 友好国を不安定化させ、影響力を強化するための高度な脅威キャンペーンの標的となっています6。 2024年には、重要産業、重要インフラ事業者、戦略的に重要なサプライチェーンを標的としたサイバーキャンペーンの激化が観察されました7。  これらのキャンペーンの激化は、公共部門、金融機関、製造業、テクノロジーを標的としたインシデントの増加に反映されています。APAC地域は、主要な製造業とテクノロジー産業においてますます重要な役割を果たしており、製造業の経済的重要性と保有する知的財産は、サイバー諜報活動と知的財産盗用にとって魅力的な標的となっています8。 増加するリスクに対応するため、企業は物理的セキュリティと第三者セキュリティ、レジリエンスに関する主要なコントロールに投資しました。

サイバー領域 | 2024年アジア太平洋地域データ

総合リスクスコア 2.73

プライバシー、セキュリティ、人工知能（AI）に関する規制環境は、アジア太平洋地域全体で継続的に進化し、リスク管理担当者はサイバーリスクガバナンスとデータセキュリティのアプローチを適応させる必要に迫られています。現在、アジア太平洋地域の14カ国で、25のサイバーセキュリティとデータプライバシーに関する規制が施行中または提案されています9。 さらに、AIの開発と展開に関連するリスクに対応するため、11の立法や規制が施行中または提案されており、多くの企業もAIガバナンスフレームワークや規制ガイドラインを発行しています10。 これらの規制フレームワークの一部（例えばオーストラリアやインドネシア）は、欧州連合のリスクベースモデル（一般データ保護規則、ネットワークと情報セキュリティ指令2、EU AI法など）をモデルにしています。インドネシアはプライバシー法導入の地域リーダーであり、2022年に「個人データ保護法（PDP法）」（法律第27号）を導入し、全セクターにおける個人データ保護のための包括的な法的枠組みを確立しました11。

地域がサイバーセキュリティ、データプライバシー、AIリスク管理に関するより強固な規制モデルを実施するにつれ、ガバナンス、データ分類、重要なテクノロジーベンダーの第三者リスク管理など、主要なコントロールにおける成熟度が向上しています。

シャドウリスク — AIと拡大するデジタル攻撃面

アジア太平洋地域では、AIと生成AI技術（AI駆動システム向けのソフトウェア、サービス、ハードウェアを含む）の採用が急速に加速しています12。 パロアルトネットワークスは、2025年にAI駆動型サイバー脅威の「完璧な嵐」が襲来し、その規模、高度化、影響力が急激に拡大すると警告しています13。  AIがセキュリティ攻撃における役割を拡大していることが、ディープフェイクを活用したソーシャルエンジニアリングや詐欺に関するインシデントと請求件数の大幅な増加（233％）を説明しています14。 アジア太平洋地域では、2022年から2023年にかけてディープフェイク事例が1,530％急増し、この懸念すべき傾向において2番目に高い地域となっています15。 香港で起きた注目すべき事例では、サイバー犯罪者がAIディープフェイク（上級幹部のデジタル操作された動画）を利用して、財務部門の従業員に$25.6百万ドルの送金転送を誘導しました16。 　ハッキンググループ、特に高度持続的脅威（APT）や国家支援グループに対する脅威分析では、ジェネレーティブAI（GenAI）を含むAI技術が、地域全体でキャンペーンを拡大・展開するためにますます活用されていることが明らかになりました17。

さらに、新たなAI技術に関連する経済的機会を捉えるための緊急性から、新製品やサービスの市場投入が急がれています。残念ながら、これらはしばしば、リリース前に十分な法的、セ キュリティ、リスク管理の審査を実施しないまま行われています。承認されていないまたは未知のAIの活用は、広範で未保護のデジタル攻撃面を生み出しています。Aonの2024年「無形リスク対有形リスク比較報告書」18 で調査された企業のうち、79％がAI製品やサービスの利用または利用計画を報告した一方、生成AIの実装に関する正式なインベントリー管理を実施している企業は32％に留まっています。このリスクは、Aonの分析によると、AIリスクの管理に「ある程度」または「準備ができていない」と回答した最高リスク責任者が98％に上る点でさらに深刻化しています19。

高度な詐欺や資金洗浄の増加傾向も、進化する詐欺パターンに対処し戦う必要性を浮き彫りにしています。2023年、アジア太平洋地域および世界全体で最も高い詐欺率を記録したのはバングラデシュとパキスタンで、それぞれ5.44％と4.59％でした。シンガポールは詐欺率の削減に成功し、日本、オーストラリア、タイは2021年から2023年にかけて詐欺率を2％未満に維持しています20。

これらの傾向に対抗するため、アジア太平洋地域の企業はユーザー意識向上トレーニングへの投資を拡大し、ソーシャルエンジニアリング攻撃の管理、アプリケーションセキュリティへの投資を拡大し、新たなAI技術のセキュリティ強化、および第三者改善への投資を拡大し、により、AIベンダーの展開に伴うリスク管理を支援しています。

成長志向のサイバー保険マーケットプレイス

アジア太平洋地域はサイバー保険の成長領域として注目されています。全体として、組織の成熟度はグローバル市場が歴史的に予想していたよりも高い一方、同地域のサイバー保険の採用率は著しく低く、市場の約6％に留まっています。このため、地域内では多くの国際的な保険会社間の激しい保険契約引受け競争が展開されており、ロンドン市場から参入するサイバー保険事業者の数も増加しています。これに対応し、地元の保険市場は保険商品とサービスの改善に動き出しています。これにより、サイバー保険の買い手市場が形成されています。新たなリスクや拡大するリスクに対応するため、財務損失から保護するためのサイバー保険契約が必要とされており、保険会社は顧客がサイバーリスクを適切に理解し、管理し、移転するための支援を強化しています。

推奨される対応策:

• サイバーリスク保険の購入を検討し、買い手市場のメリットを享受しましょう。当社のCyQuデータによると、アジア太平洋地域の企業はグローバル市場と比べてより有利な保険条件で保険加入できています。
• データと分析を活用して組織のサイバーリスクを評価し、保険の最大限の活用を図ってください。損失シナリオの予測、リスクエクスポージャーの評価、リスク総コストなどは、リスク移転メカニズムを評価する際の重要なデータポイントです。
•  AIへの投資を検討する際は、適切なサイバーリスク管理と保険保護でその投資を保護するようにしてください。