サイバーリスク保険はどんなときに役立つか｜補償される費用と免責の境目

2026年8月30日

朝比奈蒼

この記事のポイント

✓サイバーリスク保険は情報漏えいやランサムウェア被害の何を補償するのか
✓個人事業主が加入すべきかの判断基準を整理しました

結論から書きます。サイバーリスク保険がもっとも効くのは、情報漏えいが起きた後の「対応費用」の部分です。損害賠償を払うための保険だと思われがちですが、実際の支払い実績を見ると、賠償金よりも原因調査や通知、コールセンター設置といった事故対応の費用のほうが件数も金額も多い。ここを押さえておくと、補償内容の読み方が変わります。

理由ははっきりしています。2022年の個人情報保護法改正で、一定の漏えいが起きたときの個人情報保護委員会への報告と、本人への通知が義務になりました。つまり、賠償請求を受けるかどうかに関係なく、漏えいが起きた時点で必ず支出が発生する構造になった。フォレンジック調査に数百万円、通知の郵送に数十万円、問い合わせ窓口の設置に数十万円。この費用は、相手が訴えてこなくても出ていきます。

この記事では、サイバーリスク保険が何を補償し、どこで線を引いているのかを整理します。中小企業の担当者だけでなく、受託開発やWeb制作を手がける個人事業主が加入を検討する場面も想定して書きました。

サイバーリスク保険が包括するもの

まず、この保険の設計思想から押さえます。

サイバーリスク保険は、事業活動を取り巻くサイバーリスクに起因して発生した各種損害を1つの保険で包括的に補償します。出典: tokiomarine-nichido.co.jp

重要なのは「1つの保険で包括的に」という部分です。サイバー事故が起きたとき、発生する損害は性質の異なる複数の種類に分かれます。従来はそれぞれ別の保険で手当てするしかなく、間に穴が空きやすかった。それを一本にまとめたのがこの商品です。

補償の柱は三つあります。

ひとつめが損害賠償責任です。顧客の個人情報を漏えいさせ、損害賠償を請求された場合の賠償金と、争うための弁護士費用、訴訟費用が対象になります。取引先の営業秘密を漏らしてしまった場合の賠償も含まれます。日本では一人あたりの慰謝料が低く抑えられる傾向がありますが、漏えい件数が数万件に達すれば総額は大きくなります。

ふたつめが事故対応費用です。ここが実務上もっとも重要です。原因調査、つまりデジタルフォレンジックの費用、被害拡大を防ぐための緊急対応費用、本人への通知にかかる郵送費、問い合わせ対応のコールセンター設置費用、お詫びの品や金券の費用、記者会見や新聞広告といった広報費用、弁護士やコンサルタントへの相談料。これらが一括して対象になります。

みっつめが利益損害と営業継続費用です。ランサムウェアでシステムが止まり、事業が継続できなくなった期間の逸失利益と、復旧までの間に代替手段を用意するための費用が対象になります。工場の生産ラインが止まる、ECサイトが停止する、といった形で売上が直接消えるケースを想定しています。

この三つのうち、自社にとってどれが効くかは業態で変わります。個人情報を大量に保有しているなら賠償と事故対応、オンラインで売上が立っているなら利益損害。両方に該当する事業なら、当然ながら両方を厚くします。

実際に支払われる場面を具体的に並べる

抽象的な説明だけでは判断できないので、想定される事故の型を具体的に並べます。

もっとも件数が多いのがランサムウェアです。業務用のサーバーやファイルが暗号化され、復旧と引き換えに金銭を要求される攻撃です。この場合に保険が担うのは、原因調査、システムの復旧作業、事業停止期間の利益損害、そして顧客や取引先への説明にかかる費用です。近年は暗号化するだけでなくデータを窃取して公開すると脅す二重恐喝が主流になっており、情報漏えいの側面も同時に発生します。

次に標的型攻撃による情報漏えいです。業務メールを装った添付ファイルからマルウェアに感染し、顧客情報が外部に送信されるパターンです。ここでは調査費用と通知費用、そして賠償請求への対応が中心になります。侵入経路の特定に時間がかかるほど調査費用は膨らみ、数百万円規模に達することも珍しくありません。

三つめが、クラウドサービスの設定ミスによる情報の公開です。ストレージの公開設定を誤り、外部から誰でも閲覧できる状態になっていた、という事故です。攻撃を受けたわけではないので防御の問題ではなく、運用の問題ですが、漏えいには違いなく、通知義務も発生します。設定ミス起因の事故が補償対象かどうかは商品によって扱いが分かれるため、確認すべき点のひとつです。

四つめが、委託先で起きた事故です。データ処理を外部に委託していて、委託先から漏えいした場合、委託元にも監督責任が問われます。自社のシステムが堅牢でも、委託先が原因で損害を負う。この場合に自社の保険が使えるかどうかは、契約内容の確認が必要です。

一方で、よく誤解されるのがビジネスメール詐欺です。取引先を装ったメールにだまされて偽の口座に送金してしまう事故ですが、これは一般にサイバーリスク保険の標準補償には含まれません。不正送金や詐欺による直接の金銭損失は、別の商品や特約で手当てする領域です。サイバーという言葉でひとくくりにせず、自社が恐れているのがどの型のリスクなのかを言語化してから商品を見るべきです。

私が以前、小さな制作会社の取材をしたときに聞いた話が印象に残っています。ノートパソコンを紛失しただけの事案だったのに、中に顧客データが入っていたことで対応に追われ、調査と通知と問い合わせ対応で想定外の出費になった。攻撃を受けたわけでもなんでもない、単なる置き忘れです。正直なところ、サイバー保険というと高度な攻撃を想定しがちですが、現実の事故の入り口は驚くほど地味です。紛失や誤送信が補償対象に含まれているかは、必ず見てください。

支払われないケース。身代金と罰金の扱い

免責の範囲を知らないまま加入すると、いざというときに期待が外れます。代表的なものを整理します。

まず、身代金そのものです。ランサムウェアの攻撃者に支払う金銭は、標準の補償には含まれないのが一般的です。犯罪者への資金提供にあたる可能性があり、国によっては違法にもなり得るためです。特約で付帯できる商品も存在しますが、日本国内では限定的です。したがって、ランサムウェア対策で保険が担うのは「払わずに復旧するための費用」であって、「払うためのお金」ではありません。ここは明確に分けて理解してください。

次に、行政上の罰金や課徴金です。法令違反に対する制裁金は、保険で填補すると制裁の意味が失われるため、原則として対象外になります。ただし、行政対応にかかる弁護士費用は対象になる商品が多くあります。

三つめが、契約開始前にすでに発生していた事故です。侵入されていたことに気づかないまま加入し、後から発覚したケースでは、事故の発生時点が契約前であれば支払われません。サイバー攻撃は侵入から発覚までの期間が長く、数か月から一年以上潜伏している例もあります。この潜伏期間の扱いは商品によって差があり、遡及日という概念で線が引かれています。

四つめが、既知の脆弱性を放置していた場合です。修正プログラムが公開されているのに適用せず、その脆弱性を突かれた場合、重過失として支払いを拒絶される可能性があります。すべての商品が厳格に運用しているわけではありませんが、基本的な対策を怠っている状態は引受の段階で断られることもあります。

五つめが、戦争や国家が関与する攻撃です。国際的にサイバー戦争免責と呼ばれる条項で、近年は各社が明文化を進めています。どこまでが国家関与と判断されるのかは争いになりやすい領域ですが、条項自体は存在します。

そして、自社のシステム自体の復旧費用がどこまで含まれるかも確認が必要です。

こちらは、サイバーリスク保険の概要について紹介したものです。詳細は保険約款によりますが、ご不明な点がありましたら、代理店または東京海上日動までお問い合わせください。ご契約に際しては、ご契約手続き時にご確認いただきたいことや保険金をお支払いしない場合等を必ず約款、重要事項説明書でご確認ください。出典: tokiomarine-nichido.co.jp

商品パンフレットの記載はあくまで概要で、実際の支払い可否は約款で決まります。パンフレットの「包括的に補償」という言葉を信じて約款を読まないのは、契約書を読まずに発注するのと同じです。

保険料の水準と、補償額の決め方

費用感の話をします。サイバーリスク保険の保険料は、売上高、業種、保有している個人情報の件数、システムの構成、過去の事故歴といった要素で決まります。

中小企業向けの標準的なプランでは、年間の保険料が数万円から十数万円という水準に収まることが多くあります。売上規模が小さく、個人情報の保有件数も限られる事業であれば、年間3万円前後から加入できる商品もあります。一方、数十万件規模の個人情報を扱う事業者や、システム障害が直接売上を止める業態では、保険料は一桁上がります。

補償額の決め方は、事故対応費用から逆算するのが実務的です。個人情報の漏えい事故では、一件あたりの通知コストが郵送費と印刷費で数百円かかります。1万件の顧客データを保有しているなら、通知だけで数百万円です。これにフォレンジック調査の費用、コールセンターの設置費用が乗ります。保有件数から必要な補償額を計算して、そこに賠償の想定を足す。この順番で決めると、感覚ではなく根拠のある金額になります。

免責金額の設定でも保険料は動きます。自己負担額を大きくすれば保険料は下がりますが、小さな事故では保険が使えなくなります。事故対応費用は数十万円規模でも発生するため、免責金額を高くしすぎると、実際に起きる確率の高い事故で保険が機能しません。ここは慎重に決めるべきです。

引受の際に、セキュリティ対策の実施状況を問うアンケートが課される商品もあります。多要素認証を導入しているか、バックアップを取得しているか、従業員教育を実施しているか。対策が整っている事業者は保険料が優遇される仕組みで、これは保険を検討する過程そのものがセキュリティの棚卸しになるという副次的な効果を生みます。実際、加入検討をきっかけに対策の穴が見つかった、という話はよく聞きます。

個人事業主やフリーランスは加入すべきか

ここからは、規模の小さい事業者に向けた話です。結論を先に書くと、扱っているデータの種類によって答えが変わります。

加入を強く検討すべきなのは、顧客のシステムやデータに触れる仕事をしている人です。受託開発でクライアントの本番環境にアクセスする、ECサイトの運用代行で購入者データを扱う、データ入力や名簿整理の業務を受けている、といった立場です。自分のミスや自分の端末経由の感染が、クライアント側の大きな損害につながり得ます。賠償請求を個人で受けたときの影響は、法人よりむしろ深刻です。

加えて、近年は契約条件として保険加入を求められるケースが増えています。大手企業が業務委託先を選定する際に、情報セキュリティに関する要件を定め、その一項目として保険の付保を挙げる。加入していないことが受注機会の損失につながる場面が出てきました。保険料を守りのコストと見るか、営業上の要件と見るかで、判断は変わります。

逆に、自分の作品を納品するだけで顧客データに触れない仕事、たとえばイラストや写真の納品が中心であれば、優先度は下がります。その場合は、納品物の権利侵害や納期遅延といった別のリスクのほうが現実的です。

判断に迷う場合は、自分が預かっているデータを紙に書き出してみてください。クライアントの管理画面の認証情報、顧客名簿、購入履歴、原稿や設計図、まだ公開されていない製品情報。これらが自分の端末やクラウドから流出したとき、誰にどんな損害が出るかを具体的に想像する。損害を金額で見積もって、それが自分の年間売上を超えるようなら、保険で移転すべき領域です。年間売上の範囲内で収まるなら、対策を固めて自己保有するという判断もあり得ます。

個人事業主が加入する場合、いわゆるフリーランス向けの賠償責任保険にサイバー関連の補償が含まれている形のほうが、単体の商品より入りやすいことがあります。業界団体や職能団体が用意している共済型の仕組みに含まれている場合もあるので、まずは自分が所属している団体の制度を確認してください。単体で申し込むより保険料が安くなることが多いです。

なお、支払った保険料は事業に必要な支出として必要経費になります。一方、自分自身にかけた生命保険や医療保険は経費ではなく所得控除で、処理がまったく違います。この区別を仕訳の例つきで整理した個人事業主の保険料は経費にできる？仕訳と確定申告の方法は、申告前に一度確認しておくと取りこぼしが減ります。どの欄に何を書くかまで載っているので実務的です。

事故が起きた直後の動き方。保険を使える形で対応する

加入していても、初動を間違えると保険が使えなくなることがあります。順番を整理しておきます。

異常に気づいたら、まず被害の拡大を止めます。感染が疑われる端末をネットワークから切り離す、不正アクセスが疑われるアカウントを停止する。ここで大事なのが、証拠を壊さないことです。感染した端末を初期化して使える状態に戻したくなりますが、それをやると原因の特定ができなくなります。原因が特定できないと、漏えいの範囲も確定できず、報告も通知もできない。そして保険の請求にも、原因と範囲を示す資料が必要です。慌てて初期化するのは最悪の手です。

次に、保険会社または代理店への連絡です。多くの商品では、事故の発生を知ったら遅滞なく通知することが条件になっています。この通知が遅れると、支払いに影響する場合があります。加えて、保険会社が提携しているインシデント対応の窓口を使えることが多く、フォレンジック業者の手配や弁護士の紹介を受けられます。自分で業者を探して契約してから連絡すると、その費用が対象外になるケースもあるため、先に連絡するのが正解です。

三つめが、法令上の対応です。個人データの漏えいが発生し、要配慮個人情報が含まれる場合、不正アクセスによるものである場合、1,000人を超える場合などに該当すると、個人情報保護委員会への報告と本人への通知が義務になります。報告には速報と確報があり、速報は事実を知った時点から概ね3日から5日以内、確報は原則30日以内という枠組みで運用されています。この期限に間に合わせるには、社内で誰が判断し誰が提出するのかを事前に決めておく必要があります。

四つめが、取引先への説明です。委託を受けて扱っていたデータであれば、委託元への報告が先になります。契約に報告の期限が書かれていることも多いので、契約書の該当条項は事前に確認しておくべきです。

五つめが、対外的な公表の判断です。公表すべきかどうか、どのタイミングで出すか。ここは弁護士と広報の領域ですが、判断を遅らせて外部から先に指摘される展開がもっとも損害を広げます。事実が固まった部分から順に出すという方針を、事前に決めておくのが現実的です。

これらの初動を、事故が起きてから考えるのは無理があります。一枚の手順書にまとめて、関係者がすぐ見られる場所に置いておいてください。紙で持っておくことも有効です。システムが止まっている状況では、クラウド上の手順書が読めないという笑えない事態が起こります。

商品を比べるときに見るべき項目

複数の見積もりを並べるとき、保険料だけで比べると判断を誤ります。確認すべき項目を挙げておきます。

第一に、事故対応費用の内訳と支払限度額です。フォレンジック調査、通知、コールセンター、お詫び費用、広報費用のそれぞれに個別の限度額が設定されているのか、合算の枠なのかで、実際に使える金額が変わります。調査費用だけ限度額が低い商品は、実務で足りなくなりがちです。

第二に、利益損害の補償が始まるまでの待機時間です。システム停止による利益損害は、一定時間以上の停止を条件にしている商品が多く、その閾値が8時間なのか24時間なのかで、対象になる事故の範囲が大きく変わります。

第三に、遡及日の設定です。契約開始前に発生していた事故をどこまでさかのぼって対象にするかという条件です。サイバー攻撃の潜伏期間の長さを考えると、この条件は無視できません。

第四に、設定ミスや誤送信、端末の紛失といった、攻撃ではない原因が対象に含まれるかです。実際の事故の多くはここに集まります。

第五に、委託先で発生した事故の扱いです。外部に業務を委託している事業者であれば、この条件は必ず確認してください。

第六に、事故対応の支援体制です。保険金が出るかどうかと同じくらい、対応を支援してくれる窓口の質が重要になります。24時間受付なのか、フォレンジック業者との提携があるのか、弁護士を紹介してもらえるのか。実際に事故が起きた場面では、この部分が保険料の差より大きく効きます。

正直なところ、これらを自分で読み解くのは骨が折れます。代理店に「この項目について他社と比べてどうか」と具体的に聞くほうが早い。抽象的に「おすすめはどれか」と尋ねると抽象的な答えしか返ってきませんが、項目を指定して質問すれば具体的な回答が得られます。

保険を掛ける前にやるべき対策がある

正直なところ、保険だけで安心するのはいちばん危険な状態です。保険は損害を金銭で埋めるものであって、失った信用や、流出したデータを取り戻すものではありません。

最低限やっておくべき対策を、費用対効果の高い順に挙げます。

第一に、多要素認証の有効化です。メール、クラウドストレージ、開発環境、SNSの管理アカウント。パスワードだけで守られているアカウントをゼロにするだけで、実際の侵入経路の大半が塞がります。費用はほぼかかりません。

第二に、バックアップです。ランサムウェアへの最大の対抗手段は、暗号化されても復旧できる状態を持っておくことです。重要なのは、バックアップを本番環境から切り離して保管することと、実際に復元できるかを定期的に試すことです。取っているつもりで復元できなかった、という事故は本当によくあります。

第三に、端末の暗号化と紛失時の対応手順です。先に書いたとおり、事故の入り口は盗難や紛失であることが多い。ディスクが暗号化されていれば、紛失しても情報漏えいと判断されない場合があります。

第四に、アクセス権限の整理です。退職した人や契約が終わった外注先のアカウントが生きたままになっている状況は、驚くほど多く見かけます。権限の棚卸しを半年に一度行うだけで、リスクは大きく下がります。

第五に、保有しているデータそのものを減らすことです。見落とされがちですが、これがもっとも根本的な対策です。過去の案件で受け取った顧客リスト、もう使っていない検証環境のデータベース、退会した会員の情報。持っていなければ漏れません。案件が終わったら受領データを削除し、削除した旨を委託元に報告する。この運用を習慣にしている事業者は、事故が起きたときの被害範囲が決定的に小さくなります。保険の補償額を上げるより、保有件数を下げるほうが費用はかかりません。

第六に、従業員や協力者への教育です。不審なメールを開かない、というだけでは足りません。何かおかしいと感じたときに、すぐに報告できる空気があるかどうかが分かれ目になります。怒られるのを恐れて報告が遅れると、被害は指数関数的に広がります。

経営層が何をすべきかについては、経済産業省がサイバーセキュリティ経営ガイドラインを公開していて、押さえるべき項目が体系的に整理されています。中小規模の事業者でも参考になる内容です。

セキュリティの知識は、仕事の単価に直結する

最後に、市場の側から見た話を書きます。

セキュリティ対応ができる人材の不足は、この数年でさらに深刻になりました。専門のセキュリティエンジニアだけでなく、開発や運用の現場で最低限の設計ができる人が足りていない。結果として、セキュリティの知見を持つ人の単価は他の領域より高い水準で推移しています。

どういう依頼が実際に発生しているのかはAI・マーケティング・セキュリティのお仕事に案件の型がまとまっていて、求められるスキルの組み合わせが具体的に見えます。純粋な防御の仕事だけでなく、生成AIを業務に導入する際のデータの取り扱い設計や、社内ルールの整備といった依頼が増えているのが近年の特徴です。

基礎を体系的に固めたい人には、ネットワークの構造を理解することが遠回りに見えて近道になります。どこを通ってデータが流れているかが分からないと、どこを守るべきかも分かりません。CCNA（シスコ技術者認定）は、ルーティングやスイッチング、アクセス制御の基本を段階的に押さえられる資格で、受験までの学習範囲がそのまま実務の土台になります。開発側の単価水準を確認したい場合はソフトウェア作成者の年収・単価相場が参考になり、経験年数と領域で年収帯がどう変わるかが分かります。

20年この市場を見てきた立場から言えば、単価が安定して高い人に共通しているのは、技術力の高さそのものより、事故が起きたときに逃げないという評価を取引先から得ていることです。障害や漏えいは、どれだけ備えても確率ゼロにはなりません。起きたときに、原因を隠さず、対応の手順を示し、収束まで付き合う。この一回の対応で信頼が決まり、以後の依頼が続くかどうかが決まります。

そして、仲介を挟まない直接の取引では、こうした信頼がそのまま条件に反映されます。中間マージンが乗らないぶん、依頼する側は同じ予算でより多く頼めて、受ける側は手数料0%のぶん手取りが厚くなる。セキュリティのように事故対応が発生し得る仕事ほど、間に人が入らない関係のほうが対応も速く、双方にとって合理的です。

サイバーリスク保険は、対策をやり切ったうえで、それでも残るリスクを移転するための道具です。順番を間違えないでください。まず対策、それから保険です。

よくある質問

Q. サイバーリスク保険は身代金も補償されますか？

標準の補償には含まれないのが一般的です。犯罪者への資金提供にあたる可能性があるためで、特約で付帯できる商品も限定的です。この保険が担うのは、身代金を払わずに復旧するための費用、つまり原因調査、システム復旧、事業停止期間の利益損害、顧客への説明にかかる費用です。ここを分けて理解しておく必要があります。