サイバー攻撃や情報漏えいのニュースを目にする機会が増え、「自社も何か対策をしなければ」と感じている中小企業の方は多いのではないでしょうか。
しかし、セキュリティ対策にはさまざまな種類があります。
ウイルス対策ソフト、EDR、UTM、バックアップ、クラウドの設定見直し、従業員教育、監視サービスなど、すべてを一度に導入しようとすると、費用も時間もかかります。
そのような中で、選択肢の一つとなるのがサイバー保険です。
サイバー保険は、サイバー攻撃を防ぐための製品ではありません。保険に加入しても、不正アクセスやランサムウェア感染を防げるわけではなく、情報漏えいの責任がなくなるわけでもありません。
一方で、事故が発生した後には、原因調査、システム復旧、法律相談、取引先対応、損害賠償など、短期間に多くの費用が発生する可能性があります。
サイバー保険は、こうした事故後の経済的な負担や専門家対応に備える「最後の備え」として検討するものです。
今回は、サイバー保険の基本的な補償内容と、中小企業が加入前に確認しておきたいポイントについて解説します。
サイバー保険とは、情報漏えいやサイバー攻撃などによって企業に生じる、さまざまな損害や費用を補償する損害保険です。
一般的には、次のような事故が対象として想定されています。
✖️ 不正アクセスによる顧客情報の漏えい
✖️ ランサムウェアなどのマルウェア感染
✖️ 従業員によるメールの誤送信
✖️ ノートパソコンや記録媒体の紛失・盗難
✖️ クラウドサービスや社内システムへの不正侵入
✖️ サイバー攻撃によるシステム停止
✖️ 自社のシステムを経由した取引先への被害
外部からのサイバー攻撃だけでなく、従業員の操作ミスや内部不正など、社内に原因がある事故を補償対象とする商品もあります。ただし、対象となる事故や補償範囲は、保険会社や契約するプランによって異なります。
サイバー保険で重要なのは、単に「情報が漏えいした場合の損害賠償」に備えるだけではないという点です。
実際のサイバー事故では、損害賠償が発生する前の段階から、原因調査や復旧作業、法律相談などの費用が必要になります。サイバー保険には、こうした初動対応の費用を補償する役割もあります。
サイバー事故によって企業に発生する費用は、大きく次の3つに分けられます。
| 1．事故対応にかかる費用 |
サイバー事故が疑われる場合、最初に必要になるのが、被害状況や原因の調査です。
具体的には、次のような費用が考えられます。
| ✅ 外部の専門事業者による原因調査 ✅ 被害を受けた端末やサーバーの調査 ✅ ログの解析 ✅ 漏えいした情報の範囲の特定 ✅ システムやデータの復旧 ✅ 弁護士への法律相談 ✅ 個人情報保護委員会などへの報告支援 ✅ 顧客や取引先への通知 ✅ コールセンターの設置 ✅ 謝罪文や公表資料の作成 ✅ 再発防止策の策定 |
特に原因調査では、フォレンジックと呼ばれる専門的な調査（デジタル鑑識）が必要になることがあります。
フォレンジック調査では、「どこから侵入されたのか」「どの端末が感染したのか」「どの情報が閲覧・持ち出された可能性があるのか」などを確認します。
社内に専門家がいない中小企業では、自社だけでこうした調査を行うことは困難です。サイバー保険には、調査費用を補償するだけでなく、保険会社を通じて専門事業者の紹介を受けられる商品もあります。
| 2．損害賠償や争訟にかかる費用 |
顧客情報や取引先の情報が漏えいした場合、企業が法律上の損害賠償責任を負う可能性があります。
例えば、次のような損害です。
| ✴️ 情報が漏えいした顧客への損害賠償 ✴️ 取引先の業務を停止させたことによる損害賠償 ✴️ 訴訟や示談交渉にかかる弁護士費用 ✴️ 争訟費用 ✴️ 被害者への見舞金や見舞品の費用 |
ただし、事故が発生したからといって、必ず法律上の損害賠償責任が生じるとは限りません。
企業にどのような責任があるのか、どこまで補償の対象となるのかについては、事故の状況や契約内容に基づいて個別に判断されます。
| 3．休業や事業中断による損失 |
ランサムウェアなどによって基幹システムや業務用パソコンが使用できなくなると、復旧するまで事業を継続できなくなる可能性があります。
例えば、次のような影響が考えられます。
| ❌ 受発注システムが使えず、注文を受けられない ❌ 生産設備が停止し、製造を継続できない ❌ 会計システムが使えず、請求書を発行できない ❌ 顧客情報を確認できず、問い合わせに対応できない ❌ WebサイトやECサイトが停止し、売上が減少する ❌ 復旧期間中に追加の人件費や外注費が発生する |
商品やプランによっては、サイバー事故による利益の減少や、営業を継続するための追加費用が補償される場合があります。
日本損害保険協会も、サイバー事故で発生する可能性のある費用を「事故対応費用」「損害賠償費用」「利益損害・営業継続費用」の3つに整理しています。
また、特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）がまとめた「サイバー攻撃被害組織アンケート調査」によると、ランサムウェア感染被害を受けた組織にて生じた被害金額のアンケート回答の平均値は6,019万円（2022年7月～2024年6月）という結果も出ています。
サイバー保険に加入していても、サイバー事故によって生じたすべての損害が自動的に補償されるわけではありません。
保険会社、商品、プラン、特約によって、補償範囲や支払限度額、免責金額などが異なります。
加入してから後悔しないために、以下の注意点は特に頭に入れておきましょう。
| 注意点① | ハッカーへの「身代金」は原則出ない（または厳しい制限がある） |
ランサムウェア（身代金要求型ウイルス）に感染した際、「データを元に戻してほしければ〇千万円支払え」と要求されることがあります。
しかし、多くの日本のサイバー保険では、犯人に支払う身代金そのものは補償対象外となっています（国際的なテロ資金供与防止の観点や、道徳的リスクによるものです）。あくまで補償されるのは「システムの復旧費用」や「調査費用」です。
| 注意点② | 重大な過失や法令違反がある場合 |
OS（Windowsなど）のアップデートを何年も放置していた、パスワードを「1234」のような極めて推測されやすいものにしていたなど、企業側に「明らかなセキュリティ義務違反・重大な過失」があった場合、保険金の支払いが減額されたり、拒否されたりすることがあります。
| 注意点③ | 自然災害によるシステムダウンは対象外 |
地震や台風、落雷などの自然災害によって社内サーバーが壊れ、データが消失した場合は、サイバー保険の対象外です（これらは火災保険や動産総合保険の領域になります）。
| 注意点④ | 機会損失（目に見えない将来の損害）の立証は難しい |
「サイバー事故のせいで、将来入るはずだった大口の契約が白紙になってしまった」というような間接的な機会損失は、因果関係の証明が難しく、満額の補償を受けられないケースが多いです。
事故によって失われた社会的信用や、取引先からの評価低下なども、必ずしも金銭的な損害としてすべて補償されるものではありません。
「サイバー保険に入っているから、事故が起きてもすべて元に戻せる」と考えるのは危険です。
「EDRや監視サービスなどを導入するには時間がかかるため、まずサイバー保険に入り、その後で対策を整えていく方法もある」という考え方があります。
これは、状況によっては一つの現実的な選択肢です。
セキュリティ対策の検討や導入には、一定の時間がかかります。
自社の情報資産を整理し、複数のサービスを比較し、予算を確保し、社内の運用ルールを決めている間にも、サイバー事故が発生する可能性はあります。
そのため、対策がすべて整うまで何もしないのではなく、先にサイバー保険へ加入し、重大な事故が発生した場合の調査費用や復旧費用、損害賠償などに備えておくことには意味があります。
特に、社内にセキュリティやインシデント対応の専門家がいない企業では、事故発生時に専門事業者へ相談できるルートを確保するという点でも有効です。
ただし、先にサイバー保険へ加入することは、セキュリティ対策を後回しにしてよいという意味ではありません。
サイバー保険によって、原因調査や復旧、専門家への相談、損害賠償などの費用に備えることはできます。しかし、停止した業務や失われたデータ、顧客や取引先からの信用まで、すべてを保険で元に戻せるわけではありません。
重要なのは、保険への加入を一つの備えとして確保したうえで、自社のリスクを整理し、アカウント管理、バックアップ、ソフトウェアの更新、従業員教育など、優先度の高い対策から順番に進めることです。
つまり、保険で時間を買いながら、セキュリティ対策を止めずに進めるという考え方です。
| 1．自社でどのような事故が起こり得るか |
最初に、自社が保有する情報や利用しているシステムを整理します。
「どの情報が漏えいすると困るのか」「どのシステムが止まると事業を継続できないのか」を確認することで、必要な補償が見えやすくなります。
| 2．事故対応費用がどこまで補償されるか |
中小企業では、損害賠償よりも先に、原因調査や復旧の費用が大きな負担になる場合があります。
調査費用だけでなく、システム復旧、法律相談、顧客への通知、コールセンター、広報対応、再発防止などが、どこまで補償されるかを確認しましょう。
| 3．休業損失が補償されるか |
システムが停止すると、売上の減少だけでなく、復旧のための残業代や外注費、代替設備の利用料などが発生することがあります。
自社の事業がITシステムに大きく依存している場合は、利益損害や営業継続費用の補償が必要か検討します。
| 4．支払限度額と免責金額 |
補償対象になっていても、支払われる保険金には限度額があります。
「事故対応費用は1,000万円まで」「損害賠償は1億円まで」など、補償項目ごとに限度額が異なる場合もあります。
また、事故ごとに一定金額を自社で負担する免責金額が設定される場合もあります。
補償項目の名称だけでなく、実際にどの程度まで補償されるのかを確認することが重要です。
| 5．委託先やクラウドサービスの事故 |
中小企業でも、業務の多くを外部サービスに依存しています。
例えば、クラウドサービス、Webサイトの管理会社、システム開発会社、データ処理の委託先などです。
委託先で情報漏えいが起きた場合、自社にも顧客対応や取引先への説明が必要になる可能性があります。委託先やクラウドサービスに起因する事故が、どの範囲まで補償されるかを確認しましょう。
| 6．事故発生時の連絡方法 |
事故が発生したとき、最初にどこへ連絡すべきか確認しておきます。
慌てて自社だけで専門会社へ依頼すると、その費用の一部が補償対象外となる可能性もあります。
保険会社や代理店の事故受付窓口、連絡先、受付時間を、社内のインシデント対応手順に記載しておくことが大切です。
| 7．現在のセキュリティ対策を正確に伝える |
保険を検討する際には、現在のセキュリティ対策や過去の事故歴などについて確認を受ける場合があります。
「本来は実施していない対策を、実施していると回答する」「事故の兆候を把握しているのに伝えない」といった対応は避けなければなりません。
現在の状況を正確に伝えたうえで、今後改善する予定の対策についても保険会社や代理店に相談しましょう。
（参考）インシデント対応とは？サイバー攻撃を受けたとき中小企業が最初にすべきこと
サイバー保険に加入した後も、最低限のセキュリティ対策は並行して進める必要があります。
まず優先したいのは、次のような対策です。
| 重要なアカウントで多要素認証を設定する | |
| 退職者IDや不要なアカウントを削除する | |
| 管理者権限を必要最小限にする | |
| OSやソフトウェアを更新する | |
| 重要データをバックアップする | |
| バックアップから復元できるかテストする | |
| ウイルス対策ソフトやEDRを導入する | |
| 異常を発見した場合の報告先を決める | |
| 保険会社や外部専門家の連絡先を整理する | |
| 従業員に不審メールへの注意を周知する |
特に、アカウント管理・権限管理と、破壊されにくいバックアップは、比較的早い段階から取り組みやすい対策です。
また、大手取引先からセキュリティチェックシートへの回答を求められている企業や、SCS評価制度への対応を検討している企業では、保険の加入だけでなく、社内規程、アカウント管理、バックアップ、インシデント対応などを一体的に整備する必要があります。
サイバー保険は、こうした対策の代わりではなく、対策を実施しても残るリスク（残余リスク）を金銭面から補うものです。
IPAも、サイバー保険を、技術では抑えきれないリスクを経済面から補い、事業継続を支える財務的なセーフティネットの一つとして位置付けています。
（参考）アカウント管理とは？退職者ID・共用ID・管理者権限を放置するリスク
（参考）バックアップがあっても安心できない？｜破壊されるバックアップと対策の考え方
（参考）SCS評価制度とは？サプライチェーンセキュリティ対策を中小企業向けに解説
サイバー保険は、サイバー攻撃を防ぐものではありません。
保険に加入していても、パスワード管理、バックアップ、アップデート、従業員教育、監視、インシデント対応などの対策は必要です。
一方で、どれだけ対策をしても、サイバー事故の可能性を完全にゼロにすることはできません。
万が一事故が起きた場合には、原因調査、復旧、法律相談、顧客対応、損害賠償、休業など、想定以上の費用が発生する可能性があります。
中小企業にとってサイバー保険は、単に損害賠償に備えるだけのものではありません。
という役割もあります。
セキュリティ対策がまだ十分に整っていない企業が、まず保険で重大な費用リスクに備え、その後、優先順位を付けて対策を整えていく方法も考えられます。
ただし、保険への加入をゴールにしてはいけません。
「事故を防ぐためのセキュリティ対策」と、「事故後の費用や専門家対応に備えるサイバー保険」を組み合わせること。
これが、サイバー攻撃を受けても事業を継続できる「守れる会社」に近づくための、現実的な考え方です。
LYSTは、三井住友海上火災保険株式会社の保険代理店として、情報漏えいやサイバー攻撃による事故で企業に生じた損害を補償する「サイバープロテクター」を取り扱っています。
また、保険のご提案だけでなく、サイバーリスクの現状診断、セキュリティ製品・サービスの導入など、中小企業の状況に合わせた対策の整理をご支援しています。
「まず保険で備えるべきか、セキュリティ対策を優先すべきか分からない」「現在の補償内容で十分なのか確認したい」という企業様は、お気軽にLYSTへご相談ください。
※本コラムは、サイバー保険に関する一般的な情報を提供するものです。実際の補償内容、保険金をお支払いする条件、支払限度額、免責金額、対象外となる事故などは、保険会社、商品、プランおよび契約条件によって異なります。ご契約にあたっては、最新のパンフレット、重要事項説明書、保険約款などをご確認ください。