個人向けサイバー保険の選び方

2026年5月29日

朝比奈蒼

この記事のポイント

✓個人向けサイバー保険は選択肢が限られます
✓個人事業主やフリーランスが実際に加入できる商品
✓クレジットカード付帯の補償や個人賠償責任保険といった代替手段

結論から書きます。個人向けサイバー保険という名前の商品は、日本の保険市場にはほとんど存在しません。存在するのは法人向けのサイバー保険で、そのうち小規模事業者向けのプランに個人事業主が乗る形が現実的な選択肢になります。それとは別に、個人としての被害を埋める手段（クレジットカードの不正利用補償、ネット銀行の補償制度、個人賠償責任保険、一部のフリーランス向け団体制度）があり、この2系統を混同したまま比較サイトを回ると、いつまでも答えが出ません。この記事では、まず「個人が受ける損害」を4つに分解し、それぞれをどの制度で埋められるのかを表の形で整理します。そのうえで、保険料の目安、契約前に読むべき条項、そして保険より先に手を付けたほうが費用対効果の高い技術的対策の順番まで書きます。

個人向けサイバー保険が少ない理由を先に理解する

サイバー保険は、企業の情報漏えい事故に備える保険として2010年代に広がりました。設計の前提は、事業者が顧客の個人情報を預かっていて、漏えいしたときに調査費用、通知費用、見舞金、賠償金、再発防止費用がまとまって発生する、というものです。保険料の算出も、売上規模と取り扱う個人情報の件数、業種のリスク区分から計算されます。

この設計を個人にそのまま当てはめると、引受側にとって採算が合いません。保険料は売上に連動するので、個人事業主の規模では数千円から数万円にしかならない一方、事故が起きたときの対応コスト（フォレンジック調査、コールセンター開設、弁護士対応）は、規模に関係なく数十万円から数百万円かかります。1件の事故で数十年分の保険料が飛ぶ構造では、単体の個人向け商品として売り出しにくい。だから「個人向けサイバー保険」は、パンフレットとしてはほぼ流通していません。正直なところ、比較サイトが「個人向けおすすめ5選」のような見出しを付けているのを見ると、中身は法人向け商品の並列紹介か、保険ではないサービスの紹介です。

ただし、個人事業主やフリーランスが直面するリスクそのものは、企業と変わらず現実的です。

個人事業主やフリーランスとして事業を行っていると、サイバー攻撃やウイルス感染、情報漏えいといった事故が他人事ではなくなります。実際、業務用メールの不正アクセスや顧客情報の漏洩が発生した場合、対応費用や賠償責任が発生することもあり、事業継続に大きな影響を及ぼします。出典: xn--gmqp1a146dk3ad35itmj.net

つまり、需要はあるが専用商品が少ない領域です。だからこそ、既存の制度をどう組み合わせるかという発想に切り替える必要があります。以降はその組み合わせ方の話です。

個人が受ける損害を4つに分解する

保険を比較する前に、自分が何を守りたいのかを分けます。混ぜたまま探すと、必要のない補償に保険料を払い、本当に痛い部分が空きます。

1つ目は、自分自身の財産的損害です。ネットバンキングから不正送金される、事業用のクレジットカードを不正利用される、暗号資産を抜かれる、業務データが暗号化されて復旧できなくなる。これは自分のお金と資産が減るタイプの損害です。

2つ目は、他人に対する賠償責任です。預かっていた顧客リストを漏えいさせた、自分の端末を経由してマルウェアを取引先に持ち込んだ、納品したシステムの脆弱性が原因で発注者に損害が出た。相手から損害賠償を請求される可能性があるのはこの類型です。個人事業主にとって金額的な上限が読めず、最も怖いのがここです。

3つ目は、事故対応そのものにかかる費用です。何が漏れたのかを特定する調査、影響を受けた人への通知、問い合わせ対応、弁護士への相談、必要に応じた公表。賠償金が1円も発生しない事故でも、この費用は確実に発生します。企業向けサイバー保険の主戦場は、実はここです。

4つ目は、業務が止まることによる収入減です。端末が使えない、アカウントを凍結された、納品が遅れて契約を切られた。個人の場合、これが即座に売上ゼロにつながります。

この4つを並べたうえで、次の節の比較表を見てください。埋まる枠と埋まらない枠が、はっきり分かれます。

個人事業主が使える制度を並べて比較する

手段	主に埋まる損害	費用の目安	個人の加入可否
小規模事業者向けサイバー保険	賠償責任、事故対応費用、一部の利益損害	年間1万円台から数万円	事業者として可（開業届が前提の商品が多い）
フリーランス向け団体保険・業務賠償責任保険	業務に起因する賠償責任、情報漏えい	年間数千円から2万円台	団体の会員であれば可
個人賠償責任保険（火災・自動車保険の特約）	日常生活の賠償。業務起因は原則対象外	年間1,000円台から3,000円程度	可
クレジットカードの不正利用補償	カードの不正利用分	カード年会費に含まれる	可
ネット銀行の不正送金補償	不正送金された預金	無料（規約で範囲が決まる）	可
端末・データの復旧サービス	端末の物理故障、データ復旧の実費	月数百円から	可

読み取ってほしいのは、無料や低額で使える手段は1つ目の損害（自分の財産）にしか効かない、という点です。カード付帯の補償について、次のような整理が現実に近いと考えます。

事故対応サービスや業務停止リスクまでカバーするものではありませんが、事業用カードの不正利用など、サイバー攻撃によって実際に発生しやすいリスクへの対策になり得ます。出典: xn--gmqp1a146dk3ad35itmj.net

一方、2つ目と3つ目（賠償責任と事故対応費用）を埋めるには、事業者としての保険が必要になります。ここを勘違いして「自宅の火災保険に個人賠償責任特約が付いているから大丈夫」と考える人が多いのですが、個人賠償責任保険は日常生活に起因する賠償を対象としており、業務に起因する賠償は原則として対象外です。仕事で預かったデータを漏えいさせた場合、火災保険の特約は動きません。ここは約款の「業務遂行に起因する損害賠償責任」の除外条項を実際に読んで確かめてください。

現実的な結論としては、顧客の個人情報を預かる仕事をしているなら小規模事業者向けのサイバー保険か業務賠償責任保険、預からない仕事なら無料の補償制度と技術的対策で足りる、という線引きになります。自分がどちら側かは、業務委託契約書の秘密保持条項と、実際に手元にあるデータを見れば判断できます。

保険料の相場と、比較で見るべき5項目

小規模事業者向けのサイバー保険は、年間保険料が1万円台から数万円のレンジに収まる商品が中心です。売上規模を申告して料率を掛ける形が多く、売上1,000万円未満の個人事業主なら下限に近い価格になります。フリーランス向けの団体制度に付随する賠償保険は、年間数千円から2万円台で、情報漏えいを含む業務起因の賠償を対象にしているものがあります。

比較のときに見る項目は5つです。

第1に、支払限度額です。1事故あたりと保険期間中の通算で分かれているのが普通で、通算額のほうが実質的な天井になります。個人であっても、顧客データの漏えい事故では通知や調査で数百万円が動くため、限度額1,000万円未満のプランは実務上の安心感が薄いと感じます。

第2に、免責金額（自己負担額）です。1事故につき10万円の免責が付いていると、小さな事故は自腹です。保険料が安いプランはここが大きく設定されている場合があるので、必ず見比べてください。

第3に、事故対応サービスの有無です。これが個人にとって実は最大の価値です。24時間の事故受付窓口、初動のアドバイス、フォレンジック業者や弁護士の紹介。個人で事故を起こしたとき、何から手を付けるかを教えてくれる相手がいるかどうかで、被害の広がりが変わります。金銭補償だけを比べて安いプランを選ぶと、この部分が抜けます。

第4に、補償対象となる原因の範囲です。外部からの不正アクセスだけを対象にする狭い商品と、従業員や自分自身の過失による誤送信、書類の紛失、USBメモリの置き忘れまで含む商品があります。統計的に、個人の情報漏えいで最も多い原因は攻撃よりも誤送信と紛失です。ここが対象外なら、実用性は大きく落ちます。

第5に、利益損害や営業継続費用の扱いです。業務が止まった期間の収入減を補償する特約があるかどうか。個人の場合、この補償の算定根拠として確定申告書の控えを求められることが一般的なので、青色申告で帳簿を整えているかどうかが実際の受取額に影響します。保険料や関連費用の経費処理の考え方については、勘定科目と按分の実務をまとめた個人事業主の保険料は経費にできる？仕訳と確定申告の方法が参考になります。事業に紐づく保険料は原則として経費に落ちるので、実質負担は税率分だけ軽くなります。

契約前に読むべき条項と、申込時の告知

申込書を書く前に、約款で次の箇所を確認してください。ここを飛ばして加入すると、事故のときに「対象外」と言われます。

告知義務が1つ目です。過去に情報漏えい事故を起こしたことがあるか、現在把握している脆弱性や侵害の兆候があるか。これを正しく申告しないと、契約が解除されるおそれがあります。すでに不審なログインの痕跡を見つけている状態で加入しても、その事故は既発事故として対象外になるのが原則です。保険は「まだ起きていないこと」にしか効きません。

2つ目は、再委託先の扱いです。自分が受けた仕事の一部を別の個人に外注している場合、その外注先が原因で漏えいしたときに補償されるかは商品によって違います。デザインや開発、ライティングを分担している人は、この条項を必ず確認してください。

3つ目は、クラウドサービスの障害や侵害の扱いです。自分の端末は無事でも、使っているクラウドストレージやメール基盤が侵害されてデータが流出することがあります。委託先のサービス事業者に起因する事故を含むかどうかは、明示的に書かれています。

4つ目は、対象となるデータの範囲です。個人情報に限定されるのか、取引先の営業秘密や技術情報まで含むのか。受託開発や技術文書を扱う仕事なら、個人情報だけの限定は物足りません。

5つ目は、地域と裁判管轄です。海外のクライアントと取引している場合、海外で提起された請求が対象になるかを確認します。ここが日本国内限定の商品は珍しくありません。海外案件を持つ人は、英文契約の準拠法条項と合わせて見てください。カードの不正利用については、実際に次のような規模の事故が公表されています。

会員サイトが不正アクセスを受け顧客のクレジットカード情報約3,400件が流出。カード不正利用の被害が発生。出典: sompo-japan.co.jp

自分でECサイトや会員制サービスを運営しているなら、これは規模を縮めればそのまま自分に起こりうる事故です。決済情報を自分のサーバーに保存しない設計にするだけで、想定される最悪の損害は大きく下がります。

保険より先にやると費用対効果が高い対策

はっきり書きますが、年間1万円の保険料を払うより先に、無料でできる対策を終わらせたほうが期待損失は下がります。順番を間違えないでください。

第1に、2要素認証です。メール、クラウドストレージ、SNS、決済サービス、ドメイン管理。この5つに認証アプリまたはパスキーを設定します。個人事業主の事故で圧倒的に多いのは、パスワードの使い回しによるアカウント乗っ取りです。2要素認証を入れるだけで、この経路はほぼ閉じます。作業時間は1時間もかかりません。

第2に、パスワード管理ツールの導入です。サービスごとに異なるランダムな文字列を使い、記憶に頼らない状態にします。使い回しをやめることが、ここでの本質です。

第3に、バックアップの3本立てです。作業中の端末、クラウド、そしてネットワークから切り離した外付けストレージ。ランサムウェアで暗号化されたとき、身代金を払わずに復旧できるかはオフラインのバックアップがあるかだけで決まります。復旧できるなら、被害は「数日の作業停止」で止まります。

第4に、業務用と私用の分離です。メールアドレス、ブラウザのプロファイル、端末のユーザーアカウント。私用のSNSから侵入されて業務データに届く経路を、構造的に断ちます。

第5に、受領したデータの棚卸しです。顧客リストや個人情報を、いつまで、どこに置いておくのか。納品が終わったデータを削除するルールを決めるだけで、漏えいしたときの件数が減り、賠償のリスクも減ります。この「持たない」という対策が、個人にとって最も強い防御です。

私自身、編集の仕事で取材音源と個人情報をクラウドに置きっぱなしにしていた時期がありました。案件が終わってもフォルダを消さず、2年分が溜まっていた。共有リンクの権限設定を見直したときに、リンクを知っていれば誰でも開ける状態のフォルダが複数あって、背筋が冷えました。侵入された話ではなく、自分の設定ミスです。保険に入るより先に、この棚卸しを終わらせるべきだと痛感しました。技術的な守りの考え方を体系的に押さえたい人は、ネットワークの基礎とアクセス制御を試験範囲として扱うCCNA（シスコ技術者認定）の学習範囲を眺めると、どこに穴が空くのかの見取り図が手に入ります。

セキュリティを仕事として扱う視点から見た保険の位置づけ

受託する側の実務に踏み込みます。発注者から「情報漏えいが起きたときの賠償はどうなっていますか」と聞かれる場面は、年々増えています。特に、個人情報を扱う業務、社内システムに触る業務、AIツールに社内データを投入する業務では、契約書のなかに賠償の上限額と保険加入の有無を書く欄が用意されていることがあります。

このとき、保険に入っていること自体が受注の条件になるケースが出てきました。賠償責任の上限を契約で定めて、その範囲を保険でカバーしていると示せれば、発注者は安心して発注できます。逆に「保険には入っていません、損害が出たら誠意で対応します」では、企業のリスク管理部門は通しません。つまり、個人にとってのサイバー保険は、事故に備える道具であると同時に、仕事を取るための資格証明に近い役割を持ち始めています。

どういう業務でこの要求が強いのかを知りたい場合は、セキュリティやデータ活用を含む業務の全体像を整理したAI・マーケティング・セキュリティのお仕事が参考になります。業務改善やツール導入の設計を請け負う立場での責任範囲はAIコンサル・業務活用支援のお仕事の内容が近く、どこまでを自分の責任として引き受けるかを考える材料になります。技術側の報酬水準と照らして保険料を見たい場合は、ソフトウェア作成者の年収・単価相場に職種としての単価の目安が載っており、年間1万円台の保険料が売上のどのくらいの比率かを計算できます。売上300万円の個人事業主にとって年間2万円の保険料は0.67%です。受注条件を満たすためのコストとして見れば、高くはありません。

事故が起きた直後にやることを時系列で決めておく

保険に入っていても、初動を間違えると受け取れる金額が減ります。個人の場合は判断する人が自分だけなので、手順を紙に書いて端末の脇に置いておくくらいの準備が要ります。実務上の順番は次のとおりです。

最初の30分でやるのは、被害の拡大を止めることです。不審なログイン通知を受け取ったら、そのアカウントのパスワードを変更し、全デバイスからのサインアウトを実行し、アプリ連携（OAuth連携）の一覧を確認して見覚えのない連携を解除します。同じパスワードを使い回している他のサービスも順に変えます。マルウェア感染が疑われる場合は、その端末をネットワークから切り離します。ただし電源は落とさないほうがよい場面があります。メモリ上にしか残っていない痕跡が消えると、後の調査で原因を特定できなくなるからです。

次の数時間でやるのは、記録の保全です。受信した通知メール、アクセスログ、画面のスクリーンショット、送金や決済の明細。これらを別の場所に保存します。証拠がないと、保険会社もカード会社も銀行も判断できません。特にネット銀行の不正送金補償やカードの不正利用補償は、届出の期限が規約で定められており、気づいてから一定期間を過ぎると補償されません。多くは60日以内といった期限が設定されているため、金額が小さくても気づいた日に届け出るのが原則です。

同じ日のうちに、保険の事故受付窓口へ連絡します。約款は事故の発生を知ったら遅滞なく通知することを求めており、通知が遅れると減額や不払いの理由になります。連絡時に聞かれるのは、いつ何に気づいたか、どのデータが影響を受けた可能性があるか、すでに何をしたか、取引先に影響があるかです。答えられる範囲で構いません。分からない部分は「未確認」と正直に伝えます。ここで推測を断定的に話すと、後の調査結果と食い違って話が複雑になります。

翌日までにやるのは、関係者への連絡です。影響を受けた可能性のある取引先には、判明していることだけを短く伝えます。原因が未確定な段階で「攻撃を受けました」「情報が漏れました」と断定するのは避け、「不審なアクセスの痕跡を確認したため、影響範囲の調査を開始しました」という事実ベースの表現にします。個人情報の漏えいが確認された場合は、個人情報保護委員会への報告と本人への通知が法律上の義務になる場合があります。義務の有無は漏えいの内容と件数で決まるため、判断は保険の窓口経由で弁護士に確認するのが安全です。

そして1週間以内に、事故の経緯をまとめた文書を作ります。時系列、影響範囲、原因、実施した対策、再発防止策。保険金請求の添付書類になり、取引先への説明資料にもなります。この文書の質が、取引継続の判断に直結します。

発注者に提出を求められる書類と、説明の仕方

企業から仕事を受けるとき、セキュリティに関する書類の提出を求められる機会が増えました。個人だから免除されるわけではなく、むしろ「個人だから確認したい」という理由で聞かれます。よく求められるのは次の4つです。

1つ目は、情報セキュリティに関する確認書やチェックシートです。端末の暗号化、ウイルス対策ソフトの導入、2要素認証の有無、データの保管場所、再委託の有無、退避後のデータ削除の手順。数十項目のシートを渡されることもあります。ここで「未実施」が並ぶと発注が止まります。逆に言えば、前の節で挙げた対策を終えておけば、ほとんどの項目に「実施済」と書けます。

2つ目は、秘密保持契約（NDA）です。個人が署名する場合も、賠償の上限が定められているか、無制限になっていないかを必ず読みます。上限が無制限で、かつ自分が保険に入っていないなら、それは家計ごと引き受ける契約です。上限額の設定を交渉する余地は、実際にあります。

3つ目は、保険の加入証明です。加入している保険の種類と支払限度額を示す書面を求められることがあります。契約後に代理店へ依頼すれば発行されます。提出を求められてから加入すると間に合わないため、受注の見込みが立った段階で用意しておくのが実務的です。

4つ目は、作業環境の申告です。自宅で作業するのか、共有スペースを使うのか、家族が同じ端末を使うのか。公共のWi-Fiを使わないことを条件にされる場合もあります。ここは正直に書きます。虚偽の申告は、事故が起きたときに契約違反として扱われます。

説明の仕方についても一言添えます。技術的な用語を並べるより、「どのデータをどこに置き、いつ消すか」を平易な日本語で書いたほうが通ります。相手は情報システムの専門家ではなく、発注部門の担当者であることが多いからです。文書としての整え方に自信がないなら、依頼文や報告書の構成と敬語の型を体系的に扱うビジネス文書検定の出題範囲が骨組みの参考になります。伝わる書類を出せること自体が、個人が企業と取引するうえでの差になります。

個人がサイバー保険を検討する順番についての考察

この市場を20年運営してきた立場から見えているのは、個人事業主の事故対応が長引く最大の理由が、技術の問題ではなく「相談できる相手がいないこと」だという点です。企業なら情報システム部門と法務がいて、初動の判断を分担できます。個人は、深夜に不審なログイン通知を受け取った瞬間から、判断から通知文の作成まで全部を自分でやることになります。このとき事故受付窓口の電話番号を1本持っているかどうかで、被害の広がりが変わります。金銭の補償額より、この初動支援の価値を高く見積もるべきだと考えます。

もう1つ、運営者として見てきた限りでは、情報管理がしっかりしている個人ほど、同じ発注者から繰り返し仕事を受けています。納品後にデータを削除した報告を送る、共有リンクに期限を付ける、パスワードを別経路で渡す。こうした所作は技術的には些細ですが、発注者側の担当者からすると「この人に任せると社内の承認が通しやすい」という意味を持ちます。単発の作業を安く速くこなす力より、こちらのほうが長期の関係を作ります。

金額の話も1つ加えます。中間マージンが乗らない直接取引では、同じ予算で依頼者はより多くを頼めて、受け手の手取りは厚くなります。手数料0%の取引が効くのは、単価が上がるという意味だけではありません。保険料やツール代といった「安全のための固定費」を、堂々と経費として見込める余裕が生まれるという意味でもあります。手取りが薄い状態では、年間1万円の保険料さえ後回しになります。長く続けている人は、この固定費を先に確保してから受注量を組んでいます。

検討の順番をもう一度まとめます。第1に、2要素認証とバックアップとデータの棚卸しを終わらせる。第2に、自分が顧客の個人情報を預かる仕事をしているかを判定する。第3に、預かるなら小規模事業者向けのサイバー保険か業務賠償責任保険を、支払限度額と事故対応サービスの2点で選ぶ。第4に、預からないなら、カードとネット銀行の補償規約を読んで範囲を把握し、そこで止める。この4段階で、個人が取れる選択はほぼ尽きます。比較サイトを何十ページ読むより、自分がどの段にいるかを決めるほうが早く終わります。