サイバー保険とは｜補償範囲・身代金の扱いと保険料の比較、加入判断の手順

サイバー保険は、情報漏えいやサイバー攻撃に伴う費用・賠償責任・利益の損失等に備える保険です。対象になる損害は商品・契約ごとに異なり、加入しただけで侵入を防止したり業務を復旧させたりできるわけではありません。2026年10月26日に確認した保険会社の公式案内と国内調査を基に、補償範囲、ランサムウェア対応、保険料の読み方、加入・見直しの手順を整理します。

サイバー保険の役割と、加入判断の前に調べる損害

サイバー事故では、被害の調査、データや業務の復旧、顧客・取引先への対応に費用がかかる場合があります。自社の損失と、他者へ法律上の賠償責任を負う損害は分けて整理します。サイバー保険という商品名が同じでも、これらがすべて自動で付くとは限りません。保険会社の概要で候補を把握し、最終的な補償内容は約款・特約・重要事項説明書と見積書を対応させて確認します。

加入判断の出発点は、企業の規模だけでなく、止まる業務と守る情報です。顧客・従業員の情報、受注・決済、生産・物流、予約等について、どのシステムと委託先に依存するかを調べます。停止中に続く支出、失う利益、代替作業、調査・復旧や顧客対応の費用を別に見積もると、自社で負担できる範囲と、保険へ移転したい損失を比較しやすくなります。

必要性を考える際には、発生する確率と、発生した場合の影響を分けます。他社の大きな被害額をそのまま自社の想定損害額にせず、重要な業務がどのくらい止まる想定か、どこまで代替できるか、費用をどう算定したかを残します。保険金額の合計だけで安心とせず、自己負担、補償されない損害、支出から保険金の受領までの資金も検討の対象にします。

国内の加入状況を示す資料として、日本損害保険協会の「中小企業におけるリスク意識・対策実態調査2025」があります。2025年8月29日～9月1日のインターネット調査で、中小企業の損害保険契約の決定・選定に関わる経営者・従業員1,050人が対象です。報告書36～38ページのQ16では、勤務先のサイバー保険加入を回答した割合は8.8%でした。

この8.8%は、日本企業全体を数えた加入率でも、2026年の現在値でもありません。同調査の時系列欄は2021年4.1%と2025年8.8%を示しますが、同一企業群の加入を追った結果とは区別します。対象・年度・質問の異なる海外の顧客調査と単純に比べ、自社の未加入を直ちに不適切と評価する根拠にもできません。市場の成長予測と、自社が引き受ける損失・必要な補償は別に判断します。

取引先の保険加入要件や適用する法令がある場合も、何が要求されるかを個別に確認します。報告・通知の義務と、特定の保険への加入条件は同じではありません。契約書や規程の対象、必要な保険金額、対象地域を担当部署・保険会社等へ確認し、一般的な規制名だけから一律の加入義務や罰金の補償を推定しないようにします。

補償範囲は費目ごとに確認し、身代金と対応費用を分ける

補償の比較では、自社に起こる事故の想定と、必要になる費目を対応させます。以下は見積依頼で確認するための分類です。すべての商品に付く補償一覧ではなく、自社の損害、第三者への賠償、対応支援サービスの利用条件を分けて照合するために使います。支払限度額や自己負担額も、契約全体の表示だけでなく費目や事故ごとの扱いを確認します。

分類	確認する費用・条件の例
事故調査・復旧	原因・被害の調査、遮断、データ修復等。疑いの段階、手配先と事前連絡の条件
第三者への賠償	対象となる法律上の賠償責任、争訟費用等。対象事故・地域と除外
顧客対応・危機対応	通知、コールセンター、広報等。費用の範囲と支援サービスの利用条件
事業中断・継続	利益の損失、収益減少防止、営業継続費用。特約、対象期間と算定方法
恐喝への対応	専門家の対応費用と、実行者への身代金そのものを分けて確認する

具体例として、損保ジャパンの2026年2月1日以降保険始期の公式案内は、各種対応費用と賠償責任の説明に加え、喪失利益・営業継続費用を追加条項によるオプションとして示しています。同オプションの営業継続費用に、サイバー攻撃等の実行者へ支払う身代金は含まれないと明記しています。「ランサムウェアに対応する保険だから身代金も必ず出る」とは判断できません。

一方、同社の2026年2月改定の解説は、自社で攻撃が疑われる突発的な事象を検知した段階の「サイバー攻撃緊急初動費用」を紹介しています。商品概要側にも、客観的な情報がある場合の調査費用という説明があります。疑いの段階で何が必要か、外部へ作業を依頼する前にどう連絡するかは、現在の契約と窓口で確認します。調査の実施を、保険金の支払い確定と同一にしません。

海外商品との比較にも注意が必要です。MSIG香港の中国語の案内は、第三者への補償、復旧関連費用、業務中断やネットワーク恐喝費用を列挙しています。これは香港の当該商品の概要で、日本の契約に同じ補償があるという根拠ではありません。海外ページの罰金等の記載から、日本でもすべての行政上の支払いが補償されると拡張しないようにします。

被害が生じた場合は、契約の事故連絡先と社内の対応手順を確認し、調査・復旧、顧客対応、必要な報告を並行して管理します。身代金の支払い可否や補償は、対象地域・契約と関係する法令を含め専門家へ確認する事項です。本記事を個別の支払い判断に使わず、事故対応を依頼する相手、指示・承認と費用の記録を残せる準備をしておきましょう。

保険料の動向と個別見積もりは、同じ条件で比較する

「市場の保険料収入が増える」という見通しと、「自社の保険料が上がる」という判断は分けます。収入総額は契約数や補償の組合せにも左右され、特定年の世界市場予測から日本の一契約の料率変化を確定できません。2026年の契約を比べる際も、過去の予測を現在の実績に書き換えず、自社の前年・今回の見積もりで何が変わったかを確認します。

損保ジャパンの前掲の商品概要には、売上高5億円の小売業で月額9,880円という試算例があります。条件は、賠償の支払限度額1億円・費用3,000万円、自己負担額10万円、2026年2月1日以降保険始期、期間1年、12分割払い、海外売上高なし等です。セキュリティ対策の申告項目を半分程度実施する想定も付いています。この条件付きの一例を、年商だけで決まる共通相場や、他社・他商品でも使える料金にはしません。

見積依頼では、被保険者と対象事業、売上高・海外売上、扱うデータ、利用するシステム・委託先、事故歴、対策の実施状況を、質問票に沿って正確に伝えます。不明な項目を実施済みにせず、対象外の機器・アカウントや未確認のバックアップ等を区別します。提出する構成・対策情報は機密性にも配慮し、必要な範囲と共有方法を確認します。

保険会社の改定解説は、多要素認証やバックアップ等の取り組みを確認シートで申告し、評価を保険料へ反映すると説明しています。これを、すべての商品でMFAやEDRが共通の加入必須条件である、導入するだけで一定額の割引が確定するという説明へ広げません。保険ごとの引受条件と割引条件、対象となる対策・証明、見積もりへの反映を分けて確認します。

比較表には、保険始期、補償・特約、支払限度額、自己負担額、対象期間・地域、免責事項、サポートを並べます。保険料だけ下がっても、補償する費目や限度が減っていれば、同じ条件での値下げではありません。逆に総額が増えた場合も、対象事業の拡大や特約追加が含まれるかを確認します。税・払込方法を含む請求条件も見積書で合わせます。

最終的には、年間保険料と保険で残る自己負担、補償されない損失、予防・復旧へ投じる費用を併せて検討します。対策強化によって必ず保険料が安くなる、加入すれば財務上のリスクがすべて消えるとは評価しません。必要な補償と予算が合わない場合は、限度や特約、対策と自社負担の組合せを保険会社・代理店等と確認し、判断の理由を残します。

事故時の連絡と復旧の準備を具体化する際は、インシデント対応計画・CSIRTとBCP連携の作り方も参照できます。事実と未確認の区分、停止・再開を判断する担当、証拠と実行記録、業務の復旧条件、訓練後の改善を整理しています。保険窓口の利用条件と、技術調査・事業判断の役割を分け、社内外の対応を引き継げる計画にする際の確認に利用してください。

導入の四段階と、ランサムウェア対策・事業継続の連携

保険の検討は、予防・検知・復旧の整備と合わせて進めます。IPAの「事業継続・復旧体制の整備」は、経営への影響に沿った復旧目標と体制、既存BCPとの連携、優先するシステムの手順と演習を扱っています。保険金で費用を補える可能性と、自社が業務を再開できる状態は別に確かめる必要があります。

1．業務停止と漏えいの想定を、損害・担当へ対応させる

主要な業務、データ、接続先と委託先を確認し、中断・漏えいした場合の影響を整理します。BIAで調べた停止時間と代替手段を、費用の見積もりへ対応させます。BCPの重要業務・復旧目標と訓練の決め方も参照し、システムの起動と業務の再開を区別して計画します。想定した損害額の根拠と不確実な範囲も残します。

2．対策と復旧の実施状況を確認する

認証・権限、外部接続、更新、端末、バックアップと復元、連絡・停止判断を対象に、自社の現状を整理します。保険会社の質問票で求める範囲と、実際に使える対策を照合します。取得ログがあることと復元して業務に使えることを分け、未確認の条件は担当と確認方法を決めます。加入手続きを待って必要な修正・備えを止めないようにします。

3．商品と対応体制を同じ想定で比較する

必要な補償、特約、免責・自己負担、限度、初動・復旧の支援を確認します。保険会社・代理店には、事故の疑いの段階での連絡、外部業者を使う場合の条件、記録・請求資料、休日等の連絡経路を質問します。窓口を知っていることと、すべての対応が無条件に利用できることは区別し、社内の判断者と保守・専門業者の役割も決めます。

4．契約後も、変更と訓練を補償の見直しへつなげる

新しい事業、海外拠点、データ、システムや委託先の変更、事故・訓練の結果を見直しの材料にします。対象や補償の変更が必要かを確認し、契約の通知・申告等の条件に沿って対応します。訓練には、保険窓口への連絡と費用の記録を誰が担うかも含めます。実際に外部へ連絡する訓練は、相手と対象・実施日時・内容を合わせて行います。

予防・復旧の技術面と社内の判断を具体化したい場合は、renueのAI脆弱性診断・システム刷新支援へ相談できます。公開案内は、対象を合意したコード分析・侵入テスト、改善点の報告、別途範囲を合意した改修・移行と運用の整備、停止・復旧の手順を扱っています。保険の販売・引受審査・保険金査定の代行とは区別し、加入や割引・支払いを保証するサービスとして案内しません。

相談前には、重要業務と対象システム、外部接点と権限、保守状況、バックアップ・復旧で確認できていること、既存の対応手順と課題を整理します。保険の条件は保険会社・代理店等へ、診断・改修や運用の対象は支援先へ確認し、双方の担当と成果物を対応させます。補償と実際の防御・復旧能力をそれぞれ維持することが、継続的な備えにつながります。