サイバー保険の比較の見方は？補償額より先に確かめる5つ⁠の項目を解説

サイバー保険を比べるときは、補償額より先に、事故対応費用の範囲、休業損害、免責金額、緊急対応の窓口、支払われない場合の5項目⁠を確かめます。補償額は上限で、受け取れる金額はこの5項目⁠で変わるからです。

今日やることは2つです。今の保険証券を出して、サイバー事故の補償が付いているかを見ます。次に、止まると出荷できなくなるシステムを書き出し、社内に置いているかクラウドかを横に書きます。日本損害保険協会の2025年の調査では、サイバー保険に入っている中小企業は8.8%です。自社がどちらかは、証券を見れば分かります。

この記事は、セキュリティの基本⁠のうち、保険を選ぶ場面に絞ります。入るかどうかから考える場合は、サイバー保険が要らない会社と入るべき会社の条件⁠を先に読んでください。

補償額から比べると何がずれる？

金額の欄だけでは、何に使えるお金かが分かりません。日本損害保険協会のサイバー保険の説明は、事故で生じる費用を、事故対応費用、損害賠償費用、利益損害・営業継続費用の3つ⁠に分けています。どこまで補償されるかは、保険会社とプランで異なります。

例として、東京海上日動のサイバーリスク保険⁠の公開ページを見ます（2026年11月7日確認）⁠。設定できる上限は次のとおりです。

同じページには、費用の種類によって個別の限度額や縮小支払割合が適用されることがあると書かれています。「費用5億円」⁠は⁠、どの費用にも5億円まで出るという意味ではありません。

必要な額の見当は、実際の費用から考えます。警察庁の令和8年上半期の資料⁠によると、ランサムウェアの被害組織へのアンケートで、復旧に総額1,000万円以上かかった組織は全体の6割です。1か月未満で復旧した組織は5割弱にとどまります。警察に報告した組織への調査なので、すべての被害を表す数字ではありません。

1. 事故対応費用：調査費用はどの段階から出る？

確かめたいのは、攻撃が確定する前の調査です。

サーバーの動きがおかしいとき、侵入かどうかは調べないと分かりません。東京海上日動のページは、サイバー攻撃の「おそれ」⁠が見つかった時の外部機関への調査依頼費用も補償すると説明しています。

条件が細かい例もあります。あるセキュリティサービスに付く東京海上日動のサイバーリスク保険の解説（2026年3月）⁠がその例です。結果として攻撃が生じていなかった場合は、おそれが外部通報で見つかったときの費用に限るとしています。社内で気づいて調べ、攻撃ではなかったという場合の扱いは、商品ごとに聞かないと分かりません。

調査を頼む先の違いは、フォレンジック調査サービスの比較で確かめられます。保険の指定業者でなくても費用が出るかも、あわせて聞いておきます。

2. 休業損害：売上の穴は基本の補償で埋まる？

埋まらない商品があります。

損保ジャパンのサイバー保険の資料（2023年4月改定）⁠は⁠、基本補償を第三者への賠償責任と事故対応費用で構成しています。利益損害と営業継続費用はオプションです。東京海上日動も同じくオプションです。見積もりの金額が安いときは、ここが外れていないかを見ます。

たとえば、金属部品の加工会社で、生産管理サーバーを社内に置き、受注だけクラウドのサービスを使っている場合を考えます。サーバーが暗号化されると、作業指示も出荷伝票も出せません。賠償請求が来ていなくても、納められなかった分の利益は消えます。この穴を埋めるのが利益損害の補償です。

ここで、システムの書き出しが役に立ちます。東京海上日動の中断補償のページは、使っているクラウドサービスの停止・障害を支払わない場合に挙げています。自社か委託先だけが管理するシステムの停止・障害に起因するものは例外です。上の例なら、社内の生産管理サーバーと、クラウドの受注サービスとで、扱いが変わる可能性があります。電気や通信などのインフラの供給停止も除外に並びます。

いつまでの損失が対象かも商品で確かめます。損保ジャパンの資料では、営業継続費用はシステムの機能が復旧するまで、収益減少防止費用は収益が回復するまでの期間に支出した費用です。

3. 免責金額：いくらから保険が出る？

免責金額は、事故のときに会社が自分で負担する額です。日本損害保険協会の説明では、設定することもできるものです。

金額だけでなく、補償ごとに免責が分かれているかを聞きます。利益損害に別の免責がある商品なら、短い停止では保険が出ないこともあり得ます。東京海上日動の公開ページだけでは利益損害の免責は確かめられなかったので、約款と重要事項説明書で確かめる項目です。

もう一つの見方が、サービスに付く簡易な保険との違いです。上の300万円⁠の例と、警察庁の調査の1,000万円以上⁠を並べると、ランサムウェアで長く止まった場合は足りない可能性があります。逆に、調査の入口の費用を助ける役には立ちます。役割が違うので、優劣ではなく、足りない所を見ます。

4. 緊急対応の窓口：いつ、どの条件で使える？

事故の直後に誰に電話するかが決まっていないと、専門の業者を探すところから始まります。窓口が付く保険はその手間を減らせますが、使う条件があります。

• 損保ジャパンの資料では、緊急時サポート総合サービスは、保険金を支払える場合に限って使え、日本国内での対応に限ります
• 東京海上日動の契約時の注意では、緊急対応費用について、最初に発見した日の翌日から30日以内で、かつ費用の負担より前に連絡するよう求めています。連絡がないと、発見の翌日から30日以内⁠に生じた費用だけが対象です
• 同じページによると、この保険に示談交渉サービスはありません。保険会社の承認なしに示談すると、示談金の全部または一部が支払われないことがあります

実務で言えば、業者に発注する前に保険会社へ電話する順番を、社内の手順に書いておくということです。夜間や休日の受付時間は、公開資料では確かめられない商品もあるので、見積もりのときに聞きます。

保険に入っていない場合や、保険の対象か分からない段階で相談したい場合は、IPAのインシデント対応の手引き⁠が企業向けの相談窓口を案内しています。

5. 支払われない場合：何が外れている？

身代金は対象外と考えてください。日本損害保険協会は、ランサムウェアの被害で支払った身代金はサイバー保険の対象にならないと説明しています。損保ジャパンの資料も、サイバー攻撃の実行者に支払う身代金を費用に含めていません。

東京海上日動の中断補償のページには、次のものが支払わない場合として並びます。

• 戦争、外国の武力行使、重要インフラや安全保障に重大な影響を及ぼす国家関与型のサイバー攻撃など
• 地震、噴火、これらによる津波
• 契約者や記名被保険者の故意、重大な過失、法令違反
• クラウドサービスや、直接の管理下にないインフラの停止・障害

読むときの要点は、自社で起こりそうな形に当てることです。更新を止めたままの機器から侵入された場合に「重大な過失」⁠に当たるのか、といった問いは、一般論では答えが出ません。保険会社の判断になるので、代理店に聞いて、答えを記録に残します。

もう一つ、申告の内容です。日本損害保険協会によると、保険料は年間売上高、業種、セキュリティの状況で決まります。東京海上日動の注意事項は、告知事項を正確に答える義務があるとしています。安くするために実施していない対策を実施したと書くと、事故の後で問題になり得ます。

代理店には何を聞く？

見積もりは、売上高、限度額、免責金額を同じ条件にして取ります。そのうえで、次の表を各社に埋めてもらいます。

各社の違いは、サイバー保険の製品比較で並べて見られます。自社のどのシステムが止まると困るのかを整理しきれない場合は、セキュリティコンサルティングの比較から、外部の支援を探す方法もあります。

私たちは保険会社でも代理店でもありません。ここに書いたのは公開資料を読んだ結果で、実際に支払われるかは約款と保険会社の判断によります。