サイバー保険はいらない？入らなくてよい会社と入るべき会社の条件を解説

サイバー保険は全社に必須ではなく、預かる情報の量と、止まったときの損失で要否が分かれます。情報が少なく、数日止まっても手作業で回り、1,000万円規模の出費を手元資金で払える会社は、急がなくて構いません。

今日やることは、3つ⁠の数字を出すことです。預かっている個人情報の件数、主なシステムが1週間止まったときに失う粗利、すぐに動かせる現金です。経理と現場の責任者に聞けば、概算は出ます。この3つ⁠で下の表に当てはめると、保険の話を聞く前に、自社の立ち位置が分かります。

セキュリティの基本⁠の中でも、保険は被害を防ぐものではありません。お金で受け止める手段の一つです。そのため、入らない判断があってもおかしくないと私たちは考えます。

入らなくてよい会社の条件は？

次の4つが、左の列にすべて当てはまる会社です。

表の線は公的な基準ではなく、下の統計と制度をもとにした私たちの判断の目安です。

たとえば、従業員5名⁠の工務店で、顧客の情報は紙の台帳が中心、見積もりは表計算ソフトで作り、パソコンが止まっても電話で仕事を受けられる場合です。こうした会社なら、単独の保険料を払うより、先にバックアップに使うほうが筋が通ります。保険が役に立たないという意味ではなく、順番の話です。

入るべき会社の条件は？

表の右の列に1つでも当てはまる会社は、見積もりを取って検討します。中でも、当てはまると重いものが2つあります。

一つは、顧客の個人情報を多く持つ会社です。個人情報保護委員会の案内では、不正アクセスなど故意によるものや、1,000人⁠を超える漏えいなどが報告の対象です。速報は知った日から概ね3〜5日以内⁠、確報は30日以内（不正の目的のおそれがある場合は60日以内）⁠で⁠、本人への通知も必要です。原因の調査や問い合わせの窓口を、短い期間で用意することになります。

もう一つは、止まると取引先の生産まで止める会社です。たとえば、完成品メーカーに部品を毎日納めている会社で、生産管理サーバーが止まった場合を考えます。自社の売上だけでなく、納入先への賠償の話が出る可能性があります。IPAの2024年度の中小企業の実態調査では、サイバーインシデントで取引先に影響があった企業は約7割です。

日本損害保険協会の説明には、製造業の想定例があります。従業員50名・年間売上10億円⁠の会社で、委託先のランサムウェア被害により顧客情報約1万件⁠が流出し、損害額は1,050万円という想定です。JNSAの調査をもとに作られた想定で、実際の被害額を保証するものではありません。自社は攻撃されていなくても、預けた情報から費用が発生する形です。

被害額の数字はどう読む？

小さい数字と大きい数字の両方があります。どちらか一方だけを見ると判断を誤ります。

IPAの数字は、軽いものを含むサイバーインシデント全体です。警察庁の数字は、ランサムウェアに絞っています。平均73万円なら保険料と大差ないと見ることもできますし、起きた時の最悪の形を見れば資金繰りの問題になります。

保険は、平均的な損失のために入るものではありません。めったに起きないが起きると払えない損失を移すためのものです。だから判断の軸は「起きる確率」⁠よ⁠り「起きたときに払えるか」⁠に置きます。

警察庁の同じ資料では、ランサムウェアの被害企業のうち中小企業が約6割⁠、製造業が約3割です。令和8年上半期の被害報告は123件で、半期としては過去最多です。「うちは小さいから狙われない」⁠は根拠になりません。一方で、報告された件数は全国で半期123件です。一社あたりの確率を計算できる数字ではないので、ここから「必ず入るべき」⁠と⁠も言えません。

他社はどのくらい入っている？

少数派です。日本損害保険協会の2025年の調査では、中小企業の経営者と従業員1,050名⁠のうち、勤務先がサイバー保険に加入しているとの回答は8.8%でした。製造業では10.0%です。火災保険の58.6%（製造業67.5%）⁠と⁠は大きな差があります。

入っている会社が少ないことは、要らないという根拠にも、入るべきという根拠にもなりません。周りに合わせる話ではないからです。参考になるのは同じ調査の別の数字です。サイバー被害があったという44名⁠の回答で、不利益の上位は事故対応費用56.8%⁠、納期遅れ・営業機会の損失45.5%⁠、取引先や顧客からの損害賠償38.6%でした。母数は少ないものの、保険で備えられる費目と重なります。協会は損害保険の業界団体なので、販売を後押しする立場であることも踏まえて読んでください。

保険料はいくらなら割に合う？

個別に計算されるので、見積もりを取らないと分かりません。公開されている例では、損保ジャパンの2023年4月改定の資料⁠に例があります。売上高5億円⁠の製造業で、賠償1億円・費用3,000万円⁠・自己負担10万円⁠のプランが65,960円です。対策が半分程度の想定で、利益損害のオプションは別です。

判断の材料は、同じ金額で他に何ができるかです。保険料と同じ額で、データを戻せるバックアップが整うなら、まだ整っていない会社は先にそちらです。バックアップが無いまま保険だけ入っても、復旧に時間がかかれば取引先は待ってくれません。

単独の保険に入らないなら何を備える？

4つあります。

• データを戻せる状態にする。 IPAの解説は、コピーを本体を含め3つ以上、2種類の媒体に持ち、1つ⁠は別の拠点に置く考え方を紹介し、戻せるかの定期的な確認も挙げています。製品の違いは法人向けバックアップの比較で確かめられます
• パスワードを10文字以上にし、使い回さず、使えるサービスでは多要素認証を使う
• 事故のときの連絡先を決める。IPAのインシデント対応の手引きに、IPAや警察庁の相談先が載っています
• 今の契約を確かめる。情報漏えい賠償責任保険など、近い補償に入っていないかを証券で見ます。分からなければ代理店に聞きます

中間の選択肢もあります。サイバーセキュリティお助け隊サービスの基準（2.1版）⁠は⁠、相談窓口、異常の監視、初動対応の支援、簡易サイバー保険をまとめたサービスの条件です。価格の上限はネットワーク監視で月額1万円⁠、端末監視で1台あたり月額2,000円です（いずれも税抜き）⁠。補償の内容はサービスごとに異なり、契約に明記することになっています。単独の保険と同じ額まで補償されるとは限らないので、限度額を見て判断します。

入る判断に傾いたら、補償額より先に見る項目をサイバー保険の比較の見方⁠にまとめています。製品の並びはサイバー保険の製品比較、自社の条件を外部の目で整理したい場合はセキュリティコンサルティングの比較から探せます。

私たちは保険の販売をしていません。契約内容と支払いの可否は、約款と保険会社の判断によります。