[論文レビュー] Aggregate Cyber-Risk Management in the IoT Age: Cautionary Statistics for (Re)Insurers and Likes

Ranjan Pal, Ziyuan Huang+7 more|RePEc: Research Papers in Economics|May 4, 2021

Insurance and Financial Risk Management被引用数 6

ひとこと要約

本稿は、IoT駆動型スマート社会における集約的サイバー・リスク管理の持続可能性を評価する厳密な理論的枠組みを構築し、重尾的で尾部依存性を示すサイバー・リスクが、保険会社・再保険会社にとって従来のリスクプール戦略を無効にすることを示している。極端に高い損失を伴う、相関の強いリスクは、リスク分散が信頼できず、年間6000億ドルに上る世界的なサイバー損失が増加する中で、サイバー保険市場の成長が鈍い理由を説明している。

ABSTRACT

In this paper, we provide (i) a rigorous general theory to elicit conditions on (tail-dependent) heavy-tailed cyber-risk distributions under which a risk management firm might find it (non)sustainable to provide aggregate cyber-risk coverage services for smart societies, and (ii)a real-data driven numerical study to validate claims made in theory assuming boundedly rational cyber-risk managers, alongside providing ideas to boost markets that aggregate dependent cyber-risks with heavy-tails.To the best of our knowledge, this is the only complete general theory till date on the feasibility of aggregate cyber-risk management.

研究の動機と目的

• IoT駆動型スマート社会における集約的サイバー・リスク管理の実現可能性を評価する一般理論的枠組みの構築を目的とする。
• 尾部依存性を示す重尾的サイバー・リスク分布が、保険会社・再保険会社によるリスクプールの収益性および持続可能性に与える影響を分析することを目的とする。
• 制限的合理性を示すサイバー・リスク管理者を想定し、実データ駆動の数値的分析を通じて理論的知見を検証することを目的とする。
• 特に極端で依存性を示すサイバー・リスクに対して、リスクプールが（非）持続可能となる条件を同定することを目的とする。
• 集約的サイバー・リスク管理サービス市場の拡大に向けた実務的インサイトを提供することを目的とする。

提案手法

• 極値理論およびコプーラベースの依存構造モデリングを用いて、重尾的で尾部依存性を示すサイバー・リスク分布下でのリスクプール持続可能性の理論的分析。
• リスク回避的保険会社・再保険会社にとって集約的サイバー・リスク保険が保険的意味で持続不能となる数学的条件の導出。
• 極端な損失をモデル化するため、独立同一分布に従うパレート分布に従うサイバー・リスクを用い、尾指数（α）とスケールパラメータ（k）を変化させる。
• 理論的予測の妥当性を検証するため、実世界のサイバー損失データを用いた数値シミュレーションを通じて期待効用とリスク集約性能を評価。
• 期待効用最大化の応用により、異なるリスク分布タイプにおけるリスクプールの有効性を評価。
• 現実の組織におけるサイバー・リスク管理意思決定を反映させるために、行動的仮定（制限的合理性）を統合。

Figure 1 : Conceptual illustration of statistical utility of cyber-risk aggregation as a function of the number of i.i.d. cyber-risks. For a given ‘n’, cyber-risk valuation ’z’, there always exists a ‘dipping’ statistical utility region for cases B and C, and the region expands as $a$ increases (ref

実験結果

リサーチクエスチョン

• RQ1 重尾的で尾部依存性を示すサイバー・リスク分布のどの条件下で、保険会社・再保険会社による集約的リスクプールが保険的に持続可能となるか？
• RQ2 世界的なサイバー損失が増加する中で、サイバー保険およびその他の第三者サイバー・リスク管理サービス市場の成長が鈍いのは、なぜか？
• RQ3 サイバー・リスクの依存構造（尾部依存性）が、集約的カバレッジにおけるリスク分散の有効性に与える影響は何か？
• RQ4 独立同一分布に従う重尾的サイバー・リスクは、効果的にプール可能か？ その条件は何か？
• RQ5 極端で依存性を示すサイバー・リスクが、スケーラブルなサイバー・リスク管理製品の設計に与える影響は何か？

主な発見

• 極端で独立同一分布に従う重尾的サイバー・リスクのプールは、損失が尾部に集中し続けるため、保険会社・再保険会社にとって効果的なリスクプール戦略とはならない。
• 極端でない、独立同一分布に従う重尾的リスクは、プールによって効果的に分散可能であり、特定のリスクタイプに対しては実現可能な道筋を示している。
• 極端で尾部依存性を示す重尾的サイバー・リスクは、標準的なリスクプール戦略では効果的に管理できず、集約的カバレッジの持続可能性が損なわれる。
• 理論的モデルは、尾部依存性が分散の利点を顕著に損なうことを示しており、特に複数のセクターがシステミック・リスクにさらされている場合に顕著である。
• 数値的分析では、尾部依存性および重尾的性質の増加に伴い、リスクプールの期待効用が急激に低下することが確認されており、現実的な行動的仮定のもとで顕著である。
• 年間6000億ドルものサイバー損失が発生する中、世界のサイバー保険市場は依然として未発達（年間60億ドル）であり、主に依存性を示す重尾的リスクのプールが持続不能であることがその理由である。

Fig. 2: Cyber-Risk Aggregation Performance (on the VaR Metric) for i.i.d. Risks of Pareto, Log-Normal, and Normal Distributions.