サイバー保険とは？補償される費用と会社の保険でカバーされない所を解説

サイバー保険とは、サイバー事故によって会社に生じる損害賠償、調査や通知などの事故対応費用、事業が止まった間の利益の損害を補償する保険です。事故の費用を補うだけでなく、何から手を付ければよいか分からないときの相談先という役割もあります。

今日やることは、今の保険証券を全部集めて、代理店に「サイバー事故で次の費用は出ますか⁠」⁠と聞くことです。聞く費用の一覧は、この記事の中に載せました。答えは書面でもらいます。加入を決めるのはそのあとで間に合います。

この記事は公開情報を整理したものです。私たちは保険会社でも代理店でもなく、各社の約款を比べた結果は載せていません。関連する記事は情報セキュリティの基礎のカテゴリ⁠にあります。

補償される費用は何？

日本損害保険協会のサイバー保険の解説は、サイバー事故で発生する可能性のある費用を3つ⁠に分けています。事故対応費用、損害賠償費用、利益損害・営業継続費用です。ただし、補償の内容は保険会社やプランによって異なります。

商品の例として、東京海上日動のサイバーリスク保険は、損害賠償責任、サイバーセキュリティ事故対応費用の2つ⁠を基本とし、コンピュータシステム中断をオプションとしています。サイバー攻撃の「おそれ」⁠が見つかった時点の外部機関への調査依頼費用や、システムの修理費用、再発防止費用も補償の対象と説明しています。支払限度額の上限は、損害賠償が1請求・保険期間中10億円⁠、事故対応費用が1事故・保険期間中5億円で、保険期間は1年です。実際の金額は契約で決まります。

保険料については、損保協会が年間売上高、業種、セキュリティの状況で決まると説明しています。

補償されないものは？

はっきり書かれているものが1つあります。ランサムウェアの被害で支払った身代金は、サイバー保険の対象になりません。損保協会の解説に明記されています。

そのほかの対象外の範囲は、商品ごとの約款で決まります。契約前に、次の点を「保険金をお支払いしない場合」⁠の欄で確かめてください。

• 古いまま放置していた機器やソフトが原因の事故の扱い
• クラウドや委託先が被害に遭ったときの扱い
• 工場の設備が止まったときの扱い
• 納期遅れで取引先に払う違約金の扱い
• 免責金額（自己負担）⁠がいくらか

補償を情報漏えいに限定したプランもあります。たとえば東京海上日動には、損害賠償と事故対応費用を情報の漏えいまたはそのおそれに限定するプランがあります。個人情報をあまり持たない工場で、心配しているのが生産停止なのに漏えい限定のプランを選ぶと、心配している損害が対象外になるおそれがあります。

今の保険で出ない費用はどこ？

答えは契約ごとに違います。そのため、ここでは「出ない」⁠と断定せず、確かめ方を書きます。

考え方の軸になるのは、誰に対して払うお金かです。賠償責任保険は、他人に与えた損害の賠償を想定した保険です。一方で、サイバー事故の費用には、自社のために払うお金が多く含まれます。原因の調査、サーバーの復旧、お客様への連絡、止まった間の利益です。賠償責任保険に入っていても、ここまで出るとは限りません。

代理店には、次の表をそのまま渡して聞いてください。

火災保険や事業休業の保険に入っていると、止まった間の利益が出ると思いがちです。サイバー攻撃が原因でも対象になるかは、別に聞いてください。

実際に困る費用の感覚をつかむなら、損保協会の解説にある想定額が参考になります。JNSAのレポートからの抜粋で、従業員50名⁠、年間売上10億円⁠の製造業が、業務委託先のランサムウェア被害で顧客情報約1万件⁠を流出させた場合の想定が1,050万円です。内訳はメディア対応等の相談150万円⁠、詫び状やコールセンター800万円⁠、訴訟費用100万円です。実際の被害額を保証するものではないと断り書きがあります。

この想定には、生産停止の損失は入っていません。部品の製造業なら、次の費用も自社の場合で計算してみてください。

• 受注や生産管理のシステムが止まって出荷できない日の粗利
• 納期を守るための外注費や残業代
• 取引先のラインを止めた場合の請求

事故のときの窓口としてどう使える？

事故の直後は、何が起きたのか、誰に頼めばよいのかも分からないことがあります。損保協会は、付帯サービスの例として、事前の情報セキュリティ診断と、事故後の専門事業者の紹介を挙げています。内容は保険会社によって異なります。

警察庁と損保協会の対談の記録（2024年5月）でも、損保協会はサイバー保険について、費用の補償に加えて、付帯サービスによる未然防止や損害の軽減の機能が大きいと説明しています。

調査の依頼先を普段から持っていない会社にとって、ここは金額と同じくらい見ておく点です。契約前に、次のことを聞きます。

1. 事故に気づいたときの連絡先と、受付の時間帯
2. 紹介される調査会社や復旧の会社を、自社で選べるか
3. 保険会社に連絡する前にかかった費用の扱い
4. 事前の連絡や承認が必要な費用があるか

連絡先は、情報セキュリティのルールの1ページ目に書いておきます。作り方は数ページで作る情報セキュリティポリシー⁠にまとめています。

保険とは別に、調査会社を自分で比べておきたい場合はフォレンジック調査サービスの比較で候補を確かめられます。サイバー犯罪の被害について、損保協会は警察への通報も呼びかけています。

入るかどうかはどう判断する？

判断の材料は2つです。事故の費用を手元の資金で払えるか、事故のときに頼れる先があるかです。

規模が小さいから関係ない、とは言えません。警察庁の令和8年上半期の情勢⁠によると、ランサムウェア被害を受けた企業のうち、中小企業が約6割⁠、業種別では製造業が約3割です。被害組織へのアンケートでは、復旧に総額1,000万円以上⁠を要した組織が全体の6割⁠を占め、1か月未満で復旧した組織は5割弱でした。

同様に、日本損害保険協会の中小企業におけるリスク意識・対策実態調査2025（中小企業の経営者と従業員1,050名）⁠で⁠は⁠、サイバー被害を受けた企業の回答で、生じた不利益の上位は次のとおりでした。

• 原因・影響調査や関係者対応にかかる事故対応費用：56.8%
• システムやメールの停止による納期遅れ・営業機会損失：45.5%
• 取引先・顧客からの損害賠償：38.6%

実際に保険に入っている会社はまだ多くありません。同じ調査では、行っているサイバーリスク対策として「サイバー保険の加入」⁠を挙げたのは1割程度でした。2024年⁠の対談でも、損保協会は国内の中小企業の加入率を5％程度と説明しています。調査によって数字に差がありますが、ほかの会社が入っているかで決める話ではありません。

どこで入る？対策との順番は？

サイバー保険の取扱いは、損保協会のサイトに保険会社の一覧があります。IPAの中小企業の情報セキュリティ対策ガイドライン 第4.0⁠版は、中小企業が加入しやすい団体型の商品として、日本商工会議所の「サイバー保険制度」⁠や全国商工会連合会の「商工会の情報セキュリティサポート保険⁠」⁠を挙げています。同じ箇所で、SECURITY ACTIONの宣言やプライバシーマーク、ISMSなどの認証があると保険料が割引になる制度があると説明しています。割引の有無と率は、制度ごとに確かめてください。

対策と保険は順番の話ではなく、役割の違いです。第4.0版は、保険をリスクを移転する方法の一例として挙げています。事故を減らすのは対策で、起きたあとの費用を補うのが保険です。保険料がセキュリティの状況で決まる以上、対策を進めることは保険の条件にも関わります。

商品を比べる段階に来たら、サイバー保険の比較で各社の補償の違いを確かめられます。自社にどの程度の対策と保険が要るのかを外部に見てほしいなら、セキュリティコンサルティングの比較が入り口になります。

保険で備える前に、守るものの範囲を確かめたいときは紙と人まで含めた情報セキュリティの範囲を、日々の確認を始めたいときは兼任担当者が毎週見るセキュリティ情報の決め方⁠を読んでみてください。