サイバー保険は何を埋めて、何を埋めないのか——契約前に確認すべきこと

「うちはサイバー保険に入っているので、もしものときも大丈夫です」——取締役会や金融機関との面談でこの一言が出ると、場の空気が少しやわらぎます。加入している、というだけで「対策済み」の箱に入れてしまう感覚は、決して珍しいものではありません。

ところが「その保険は、具体的に何をどこまで戻してくれますか」と聞き返すと、答えに詰まる経営者のほうが多数派です。契約したのは総務の担当者で、経営者自身は約款を読んでいない。あるいは読んだが、専門用語が並んでいて途中で止めた。これは怠慢ではなく、保険という商品の説明の順序そのものに原因があります。

この記事は、特定の保険商品への加入をすすめるものではありません。一般名称としての「サイバー保険」が、仕組みとしてどこまでの範囲を埋め、どこから先は埋めないのかを整理し、契約前・更新前に自社で確かめておく観点をまとめたものです。補償の範囲は商品によって大きく異なるため、個別の判断は必ず契約する保険会社・代理店との間で、約款に基づいて確認してください。

経営者が期待していることと、保険が実際にやることのズレ

結論から書きます。保険は、事故が起きるのを防ぐ道具ではありません。事故が起きた後に、そこで生じた金銭的な損害の一部を、契約で定めた範囲まで埋め合わせる道具です。防ぐ機能は最初から持っていません。

火災保険に置き換えるとわかりやすくなります。火災保険に入っていても火は自動的に消えませんし、燃えている間、工場は動きません。保険が動くのは火が消えたあとの再建の段階です。サイバー保険も構造はまったく同じで、システムが暗号化されて止まっている間、業務を代わりに動かしてくれる契約はどこにもありません。止まった業務そのものは、保険では動かせません。動かすのは、日頃からの備えと、事故発生後の自社およびベンダーの復旧作業です。

「業務が止まる」という言葉は、経営者が思い描くより広い範囲を指します。基幹システムが暗号化されれば、受注も出荷も請求も同時に止まる。紙とメールに切り替えればしのげると考えていた会社が、そもそも取引先のコードも単価も社内システムの中にしかないことに気づく。電話で注文を受けても、それを誰にどう渡せばよいかの手順が、誰の頭にも入っていない。保険金がどれだけ下りても、この数日を取り戻す手段はありません。

それでも「保険＝守ってくれるもの」というイメージが根強いのは、加入するときの説明の多くが、補償される項目の一覧から始まるからでしょう。一覧を見せられると、そこに並んでいるものが自動的に自社を助けてくれるように感じられます。実際に機能するのは、事故の内容がその一覧のどの項目に当てはまり、どこまで支払われるかが確定したあとです。確定には調査と書類のやり取りがいります。業務が止まっている当日・翌日に現金が動くわけではありません。資金繰りが苦しい局面ほど、この時間差は重く効いてきます。

ここを混同したまま契約すると、実際に事故が起きたときに二重の失望が生まれます。想像していたよりも早く業務が止まり、想像していたよりも復旧に時間がかかること。そして、それでも保険金の支払いには一定の手続きと期間が必要だということ。保険は経営を止めないための道具ではなく、止まったあとの財務的な打撃を和らげるための道具だと理解しておくと、この失望はかなり小さくできます。

もう一つ見落とされがちなのが、保険が扱うのは基本的に「金額として算定できる損害」に限られるという点です。信用や評判、社員の疲弊、経営者自身が対応に費やした時間は、実際には大きな損失でありながら、金銭に換算しにくいという理由で補償の外に置かれやすくなります。

一般に補償の対象になりやすいもの・なりにくいもの

商品設計は保険会社ごとに違いますが、多くの商品に共通して見られる傾向はあります。以下は断定を避けた一般的な傾向で、実際の契約は必ず個別の約款・重要事項説明書で確認してください。

表を眺めると、ひとつの共通点が見えてきます。直接の実費として発生し、金額を積み上げて証明できるものは対象になりやすく、間接的で将来にわたる損害、あるいは金銭に換算しづらいものは対象になりにくい、という傾向です。経営者が最も心配している「会社の信用が傷つくこと」「大事な取引先を失うこと」は、残念ながら後者に近い位置にあります。

支払いの条件に「対策の実施」が組み込まれていることがある

申し込みの段階で、自社のセキュリティ対策の状況について申告を求められるのが一般的です。管理者権限を持つアカウントに多要素認証をかけているか、重要なデータのバックアップを取得しているか、取得したバックアップを本番環境から切り離して保管しているか。この申告内容は保険料の算定に使われるだけでなく、契約そのものの前提条件として扱われます。

ここで問題になるのが、申告した内容と、事故が起きた時点の実態がずれているケースです。申込時には多要素認証を導入予定と答えていたが、実際には一部の部署でしか運用されていなかった。バックアップを取っていると答えていたが、直近の数か月は担当者の異動で取得が止まっていた。悪意をもって偽ったわけではなく、日々の業務に追われるうちに実態のほうが変わってしまった、というごく普通の経緯で生まれます。

このずれは、事故が起きて保険金を請求する段になって初めて表面化します。復旧の対応に追われている最中に、保険会社側の調査で「告知していた対策が実施されていなかった」と指摘を受け、支払いをめぐって交渉が長引く。保険会社が意地悪をしているのではなく、告知内容を前提にリスクと保険料を計算しているという、仕組み自体の性質によるものです。

やれることは単純です。申込みや更新のタイミングで、告知書に書いた内容を情報システム担当者と一緒にひとつずつ読み合わせ、実際の運用と食い違っている項目がないかを確かめる。多要素認証もバックアップも、導入した時点で終わりではなく、運用が続いているかどうかが問われます。年に一度の更新を、社内の対策状況を棚卸しする機会として使うのが、実務的には最も無理のないやり方です。

もうひとつ、告知書を書いた担当者が異動・退職し、次に更新の手続きをする人が、そもそも何をどう申告したかを知らないまま前年の内容をそのまま引き継いでしまう、という形もよく見かけます。担当が代わるたびに、告知書の控えとその時点の運用実態を照らし合わせる引き継ぎを一回挟むだけで、このずれはかなり防げます。

通知期限を、事故対応の手順書にあらかじめ組み込んでおく

自社の契約は、何を起点として、何日以内の連絡を求めていますか。

サイバー保険には、事故を認識してから保険会社へ連絡するまでの期限が定められているのが一般的です。期限の長さは商品によって異なりますが、「事故に気づいたら速やかに」といった抽象的な表現ではなく、具体的な日数や時間の枠で定められている商品が少なくありません。この期限を過ぎてから連絡すると、補償の対象外とされたり、支払いをめぐる交渉が不利になったりする可能性があります。

やっかいなのは、その期限を守るべき時間帯が、事故対応でいちばん混乱している最中だということです。システムが止まり、取引先への説明に追われ、社内の誰が何をすべきかも定まっていない。その中で「保険会社にいつまでに連絡するか」という項目は、優先順位のかなり下に落ちます。保険に入っていること自体は覚えていても、証券番号や連絡先の控えがどこにあるかを誰も知らないまま初動の数日が過ぎてしまう例は、珍しくありません。

防ぐ方法は技術的なものではなく、運用上の工夫で足ります。事故が起きたときに最初に見る手順書――誰に連絡し、何を止め、何を残すかを書いた文書――の中に、保険会社または代理店の連絡先と、証券番号、通知期限の目安を組み込んでおくことです。手順書を実際に持っている担当者が休みの日に事故が起きる可能性も考え、経営者自身のスマートフォンにも同じ情報を控えておくことをおすすめします。

あわせて注意したいのが、事故の痕跡を残したまま保険会社の調査を受けられる状態を保っておくことです。復旧を急ぐあまり、ログや暗号化されたファイルを先に消してしまうと、原因調査そのものができなくなり、結果として補償の判断材料も失われます。「早く元に戻すこと」と「先に記録を残すこと」は、順番を間違えると両方とも取り返しがつかなくなります。手順書には、通知期限とあわせて「何を消す前に、まず何を残すか」も明記しておく。

そして、期限が走るのは保険会社への連絡だけではありません。個人データの漏えいが疑われる事故では、個人情報保護法にもとづく報告と本人への通知が別に定められています。保険の通知期限と法律上の報告期限はそれぞれ独立して進むため、手順書には二つを並べて書いておくほうが安全です。

契約前に保険会社・代理店へ聞いておきたい質問

保険の資料には補償される項目が並んでいる一方で、対象外となる条件は約款の後半に細かい文字で書かれていることが多く、読み込むだけでもかなりの時間がかかります。次のような質問を口頭で直接ぶつけて確認しておくと、資料を読むだけでは見落としがちな論点を先に洗い出せます。

1. どのような損害が対象になり、どのような損害が明確に対象外とされているか。具体例で説明してもらう。
2. 免責金額はいくらで、事故の種類によって金額が変わるか。
3. 申込み時にどのような対策の実施状況を申告する必要があるか。多要素認証・バックアップ・資産管理の3点は必ず確認する。
4. 身代金の支払いは補償の対象か、対象外か、それともケースバイケースの判断になるか。
5. 事故を認識してから、いつまでに、誰に連絡すればよいか。休日・夜間の連絡先はあるか。
6. 事故調査を委託する会社や弁護士は保険会社側の指定になるか、自社で選んだ専門家を使うこともできるか。
7. 利益の減少に対する補償は、どの時点からどの時点まで計算の対象になるか。
8. 取引先や委託先の情報システムが原因で自社に損害が生じた場合も、補償の対象になるか。
9. 実際に事故が起きた際、最初の連絡から保険会社の担当者が動き出すまで、どの程度の日数を見込んでおけばよいか。

この9つに担当者がその場で具体的に答えられるか、それとも「持ち帰って確認します」が続くか。それ自体がひとつの判断材料になります。契約後にトラブルが起きたときの対応の速さは、契約前の質疑応答の質にかなりの程度あらわれます。

この席には、情報システムの担当者を同席させてください。対策の実施状況に関わる質問は、経営者と代理店の二者だけでは精度が出ません。担当者がその場にいれば「その項目は今こういう運用です」という答え合わせができ、告知書を書く段階でのずれが先に潰れます。

保険を対策の代わりにしないための考え方

サイバー保険は「お金で戻せる損害」を扱う道具です。裏を返せば、お金で戻せないものには手が届きません。保険は、事故が起きたあとの財務的な打撃を和らげる最後の一枚であって、事故そのものを起こさない、あるいは早く気づくための道具ではない、ということになります。

保険が戻すのは費用です。事故の対応のあいだに冷えてしまった取引先の信用、そのあいだに競合へ流れた案件、決まりかけていた商談——このあたりは戻ってきません。しかも約款のどこにも「復旧しない部分」の一覧は載っていないので、それがどれくらいの大きさになるかは自社で見積もるしかない。売上のどれだけが、どの取引先に乗っているか。その取引先は、自社が事故を起こしたという事実をどう受け止めるか。一度この見積もりを紙の上でやってみると、保険に期待していた範囲の意味が変わって見えてきます。

経営として投じる順番は決まっています。第一に、止まらない仕組みをつくること。重要なシステムほど、ひとつの弱点が全体停止に直結しない構成にしておくことです。第二に、早く気づく仕組みを持つこと。侵入されてから被害が広がるまでの時間を使って、異常を検知し対応に入れるかどうかで、最終的な損害の大きさは大きく変わります。自社にどのような弱点が実際に存在するかを、想像ではなく確かめる方法として、外部の専門家による侵入テストのような手段を定期的に使っている企業もあります。そして第三に、それでも起きてしまった事故の金銭的な後始末として、保険を置くことです。

この順番を逆にして、「保険に入っているから、対策への投資は最小限でよい」と考えてしまうと、二重の意味で危うくなります。ひとつは、告知事項と実態のずれが支払いの局面で問題になり得ること。もうひとつは、保険が埋めるのはあくまで金銭の一部であり、業務の停止時間そのもの、失われた信用、経営者や社員が費やした時間は、保険金の有無にかかわらず自社が引き受けることになるという事実です。保険は経営リスクを消してしまう道具ではなく、経営リスクの一部を金銭という形に変換して分散する道具——そう捉えておくと、対策への投資判断を誤りにくくなります。

参考になる公的資料

保険会社が示す資料に加えて、以下のような公的機関の資料も、社内での説明や取締役会向けの資料づくりに役立ちます。

• 経済産業省・IPA「サイバーセキュリティ経営ガイドライン」——経営者が指示すべき対策項目が整理されており、保険で埋められる範囲とそうでない範囲を切り分けて考える土台になります。
• 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」——保険を検討する前提となる基本的な対策の考え方が示されています。
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」および漏えい等報告に関する解説——通知や報告の義務は保険の通知期限とは別に法律上定められており、両方を初動の手順に組み込む必要があります。
• NISC「サイバーセキュリティ関係法令Q&Aハンドブック」——事故発生時に関係する法令を横断的に確認する際の参考になります。