「うちはサイバー保険に入っているので、もしものときも大丈夫です」——取締役会や金融機関との面談でこの一言が出ると、場の空気が少しやわらぎます。加入している、というだけで「対策済み」の箱に入れてしまう感覚は、決して珍しいものではありません。
ところが「その保険は、具体的に何をどこまで戻してくれますか」と聞き返すと、答えに詰まる経営者のほうが多数派です。契約したのは総務の担当者で、経営者自身は約款を読んでいない。あるいは読んだが、専門用語が並んでいて途中で止めた。これは怠慢ではなく、保険という商品の説明の順序そのものに原因があります。
この記事は、特定の保険商品への加入をすすめるものではありません。一般名称としての「サイバー保険」が、仕組みとしてどこまでの範囲を埋め、どこから先は埋めないのかを整理し、契約前・更新前に自社で確かめておく観点をまとめたものです。補償の範囲は商品によって大きく異なるため、個別の判断は必ず契約する保険会社・代理店との間で、約款に基づいて確認してください。
経営者が期待していることと、保険が実際にやることのズレ
結論から書きます。保険は、事故が起きるのを防ぐ道具ではありません。事故が起きた後に、そこで生じた金銭的な損害の一部を、契約で定めた範囲まで埋め合わせる道具です。防ぐ機能は最初から持っていません。
火災保険に置き換えるとわかりやすくなります。火災保険に入っていても火は自動的に消えませんし、燃えている間、工場は動きません。保険が動くのは火が消えたあとの再建の段階です。サイバー保険も構造はまったく同じで、システムが暗号化されて止まっている間、業務を代わりに動かしてくれる契約はどこにもありません。止まった業務そのものは、保険では動かせません。動かすのは、日頃からの備えと、事故発生後の自社およびベンダーの復旧作業です。
「業務が止まる」という言葉は、経営者が思い描くより広い範囲を指します。基幹システムが暗号化されれば、受注も出荷も請求も同時に止まる。紙とメールに切り替えればしのげると考えていた会社が、そもそも取引先のコードも単価も社内システムの中にしかないことに気づく。電話で注文を受けても、それを誰にどう渡せばよいかの手順が、誰の頭にも入っていない。保険金がどれだけ下りても、この数日を取り戻す手段はありません。
それでも「保険＝守ってくれるもの」というイメージが根強いのは、加入するときの説明の多くが、補償される項目の一覧から始まるからでしょう。一覧を見せられると、そこに並んでいるものが自動的に自社を助けてくれるように感じられます。実際に機能するのは、事故の内容がその一覧のどの項目に当てはまり、どこまで支払われるかが確定したあとです。確定には調査と書類のやり取りがいります。業務が止まっている当日・翌日に現金が動くわけではありません。資金繰りが苦しい局面ほど、この時間差は重く効いてきます。
不正アクセスやランサムウェア被害、情報漏えいなど、サイバー攻撃に関連して企業が被る金銭的な損害の一部を補償する保険の一般的な呼び名です。対象となる事故の種類、補償の上限、免責となる条件は商品ごとに大きく異なり、法律で内容が統一されているわけではありません。加入前に必ず個別の約款を確認する必要があります。
ここを混同したまま契約すると、実際に事故が起きたときに二重の失望が生まれます。想像していたよりも早く業務が止まり、想像していたよりも復旧に時間がかかること。そして、それでも保険金の支払いには一定の手続きと期間が必要だということ。保険は経営を止めないための道具ではなく、止まったあとの財務的な打撃を和らげるための道具だと理解しておくと、この失望はかなり小さくできます。
もう一つ見落とされがちなのが、保険が扱うのは基本的に「金額として算定できる損害」に限られるという点です。信用や評判、社員の疲弊、経営者自身が対応に費やした時間は、実際には大きな損失でありながら、金銭に換算しにくいという理由で補償の外に置かれやすくなります。
一般に補償の対象になりやすいもの・なりにくいもの
商品設計は保険会社ごとに違いますが、多くの商品に共通して見られる傾向はあります。以下は断定を避けた一般的な傾向で、実際の契約は必ず個別の約款・重要事項説明書で確認してください。
| 費用・損害の種類 | 一般的な扱い | 備考 |
|---|---|---|
| 事故原因の調査費用 | 対象になりやすい | 原因究明のための専門調査は、多くの商品で手厚く設計されています。 |
| システムの復旧費用 | 対象になりやすい | 元の状態への復旧が中心で、これを機に行う増強・改良分は対象外になりやすい傾向があります。 |
| 第三者への損害賠償 | 対象になりやすい | 情報が漏れた相手や取引先からの請求に対応する費用です。 |
| 通知・お見舞いにかかる費用 | 対象になりやすい | 漏えい通知の発送やコールセンター設置などの初動対応費用です。 |
| 弁護士・広報対応の費用 | 対象になりやすい | 法的な対応と、対外的な説明を専門家に依頼する費用です。 |
| 利益の減少に対する補償 | 対象になりやすいが条件付き | 停止期間の起算点や免責期間が商品ごとに定められていることが多くあります。 |
| 自社の信用の回復 | 対象になりにくい | 失った信用そのものは、金額として算定しにくく補償の外に置かれやすい項目です。 |
| 失われた受注・将来の契約 | 対象になりにくい | 事故との因果関係を証明することが難しいためです。 |
| 取引先からの契約解除 | 対象になりにくい | 間接的な損害として扱われ、対象外とする商品が多く見られます。 |
| 経営者・従業員が対応にあてた時間 | 対象になりにくい | 人件費相当として金銭に換算しにくいためです。 |
| 身代金の支払い | 商品によって異なる | 対象とする商品もあれば、明確に対象外とする商品、支払い自体を推奨しない立場を取る商品もあります。 |
| 既知の弱点を放置していた場合の損害 | 対象になりにくい・免責されうる | 告知していた対策状況と実態がずれていた場合、支払いの可否が争われる典型的な論点です。 |
表を眺めると、ひとつの共通点が見えてきます。直接の実費として発生し、金額を積み上げて証明できるものは対象になりやすく、間接的で将来にわたる損害、あるいは金銭に換算しづらいものは対象になりにくい、という傾向です。経営者が最も心配している「会社の信用が傷つくこと」「大事な取引先を失うこと」は、残念ながら後者に近い位置にあります。
約款で本当に読む価値があるのは、補償対象がずらりと並んだ一覧ではありません。その先にある「ただし」「〜の場合を除く」から始まる数行です。一覧のほうは営業資料にもパンフレットにも載りますが、「ただし」以下は約款にしか書かれていない。代理店との面談では、対象の説明を一度止めて「では、除外されるのはどこですか」と聞くほうが、輪郭は早くつかめます。
事故が起きたときに、保険金が支払われる前に契約者自身が負担する金額のことです。免責金額の設定は保険料の水準と連動しており、自己負担を大きくとるほど毎年支払う保険料は下がる傾向にあります。事故の種類ごとに免責金額が異なる設計になっている商品もあり、確認を怠ると想定より受け取れる金額が少ないという事態が起こります。
支払いの条件に「対策の実施」が組み込まれていることがある
申し込みの段階で、自社のセキュリティ対策の状況について申告を求められるのが一般的です。管理者権限を持つアカウントに多要素認証をかけているか、重要なデータのバックアップを取得しているか、取得したバックアップを本番環境から切り離して保管しているか。この申告内容は保険料の算定に使われるだけでなく、契約そのものの前提条件として扱われます。
ここで問題になるのが、申告した内容と、事故が起きた時点の実態がずれているケースです。申込時には多要素認証を導入予定と答えていたが、実際には一部の部署でしか運用されていなかった。バックアップを取っていると答えていたが、直近の数か月は担当者の異動で取得が止まっていた。悪意をもって偽ったわけではなく、日々の業務に追われるうちに実態のほうが変わってしまった、というごく普通の経緯で生まれます。
申込書の告知欄は、情報システムの担当者に一度も確認しないまま、総務の担当者が埋めていることがあります。責められる話ではありません。書式は保険の言葉で書かれていて、社内の誰に聞けばよいのかが読み取れないのです。ただ、そこに記入された「実施しています」が現場の運用とずれていると、支払いの段階で話が止まります。記入する人と実施する人が違う書類だ——その一点だけは、経営者の側が覚えておいてください。
保険契約を結ぶ際に、契約者がリスクの評価に関わる重要な事実を、正確に保険会社へ伝える義務のことです。サイバー保険では、社内のセキュリティ対策の実施状況がこれにあたります。告知した内容と実際の状況に重要な食い違いがあった場合、保険金の支払いが減額されたり、契約自体の効力が争われたりすることがあります。
このずれは、事故が起きて保険金を請求する段になって初めて表面化します。復旧の対応に追われている最中に、保険会社側の調査で「告知していた対策が実施されていなかった」と指摘を受け、支払いをめぐって交渉が長引く。保険会社が意地悪をしているのではなく、告知内容を前提にリスクと保険料を計算しているという、仕組み自体の性質によるものです。
やれることは単純です。申込みや更新のタイミングで、告知書に書いた内容を情報システム担当者と一緒にひとつずつ読み合わせ、実際の運用と食い違っている項目がないかを確かめる。多要素認証もバックアップも、導入した時点で終わりではなく、運用が続いているかどうかが問われます。年に一度の更新を、社内の対策状況を棚卸しする機会として使うのが、実務的には最も無理のないやり方です。
もうひとつ、告知書を書いた担当者が異動・退職し、次に更新の手続きをする人が、そもそも何をどう申告したかを知らないまま前年の内容をそのまま引き継いでしまう、という形もよく見かけます。担当が代わるたびに、告知書の控えとその時点の運用実態を照らし合わせる引き継ぎを一回挟むだけで、このずれはかなり防げます。
通知期限を、事故対応の手順書にあらかじめ組み込んでおく
自社の契約は、何を起点として、何日以内の連絡を求めていますか。
サイバー保険には、事故を認識してから保険会社へ連絡するまでの期限が定められているのが一般的です。期限の長さは商品によって異なりますが、「事故に気づいたら速やかに」といった抽象的な表現ではなく、具体的な日数や時間の枠で定められている商品が少なくありません。この期限を過ぎてから連絡すると、補償の対象外とされたり、支払いをめぐる交渉が不利になったりする可能性があります。
やっかいなのは、その期限を守るべき時間帯が、事故対応でいちばん混乱している最中だということです。システムが止まり、取引先への説明に追われ、社内の誰が何をすべきかも定まっていない。その中で「保険会社にいつまでに連絡するか」という項目は、優先順位のかなり下に落ちます。保険に入っていること自体は覚えていても、証券番号や連絡先の控えがどこにあるかを誰も知らないまま初動の数日が過ぎてしまう例は、珍しくありません。
五分で終わる確認をひとつ。自社の証券を開き、事故の「認識」がいつの時点を指すのか、そこから何日以内の連絡を求められているのかを読んで、その二つを事故対応の手順書の一行目に書き写してください。一行目です。三ページ目に書いても、混乱の中で誰もそこまで到達しません。連絡先と証券番号を並べて置いておけば、初動でやることは受話器を取るだけになります。
防ぐ方法は技術的なものではなく、運用上の工夫で足ります。事故が起きたときに最初に見る手順書――誰に連絡し、何を止め、何を残すかを書いた文書――の中に、保険会社または代理店の連絡先と、証券番号、通知期限の目安を組み込んでおくことです。手順書を実際に持っている担当者が休みの日に事故が起きる可能性も考え、経営者自身のスマートフォンにも同じ情報を控えておくことをおすすめします。
あわせて注意したいのが、事故の痕跡を残したまま保険会社の調査を受けられる状態を保っておくことです。復旧を急ぐあまり、ログや暗号化されたファイルを先に消してしまうと、原因調査そのものができなくなり、結果として補償の判断材料も失われます。「早く元に戻すこと」と「先に記録を残すこと」は、順番を間違えると両方とも取り返しがつかなくなります。手順書には、通知期限とあわせて「何を消す前に、まず何を残すか」も明記しておく。
そして、期限が走るのは保険会社への連絡だけではありません。個人データの漏えいが疑われる事故では、個人情報保護法にもとづく報告と本人への通知が別に定められています。保険の通知期限と法律上の報告期限はそれぞれ独立して進むため、手順書には二つを並べて書いておくほうが安全です。
契約前に保険会社・代理店へ聞いておきたい質問
保険の資料には補償される項目が並んでいる一方で、対象外となる条件は約款の後半に細かい文字で書かれていることが多く、読み込むだけでもかなりの時間がかかります。次のような質問を口頭で直接ぶつけて確認しておくと、資料を読むだけでは見落としがちな論点を先に洗い出せます。
- どのような損害が対象になり、どのような損害が明確に対象外とされているか。具体例で説明してもらう。
- 免責金額はいくらで、事故の種類によって金額が変わるか。
- 申込み時にどのような対策の実施状況を申告する必要があるか。多要素認証・バックアップ・資産管理の3点は必ず確認する。
- 身代金の支払いは補償の対象か、対象外か、それともケースバイケースの判断になるか。
- 事故を認識してから、いつまでに、誰に連絡すればよいか。休日・夜間の連絡先はあるか。
- 事故調査を委託する会社や弁護士は保険会社側の指定になるか、自社で選んだ専門家を使うこともできるか。
- 利益の減少に対する補償は、どの時点からどの時点まで計算の対象になるか。
- 取引先や委託先の情報システムが原因で自社に損害が生じた場合も、補償の対象になるか。
- 実際に事故が起きた際、最初の連絡から保険会社の担当者が動き出すまで、どの程度の日数を見込んでおけばよいか。
この9つに担当者がその場で具体的に答えられるか、それとも「持ち帰って確認します」が続くか。それ自体がひとつの判断材料になります。契約後にトラブルが起きたときの対応の速さは、契約前の質疑応答の質にかなりの程度あらわれます。
この席には、情報システムの担当者を同席させてください。対策の実施状況に関わる質問は、経営者と代理店の二者だけでは精度が出ません。担当者がその場にいれば「その項目は今こういう運用です」という答え合わせができ、告知書を書く段階でのずれが先に潰れます。
保険を対策の代わりにしないための考え方
サイバー保険は「お金で戻せる損害」を扱う道具です。裏を返せば、お金で戻せないものには手が届きません。保険は、事故が起きたあとの財務的な打撃を和らげる最後の一枚であって、事故そのものを起こさない、あるいは早く気づくための道具ではない、ということになります。
保険が戻すのは費用です。事故の対応のあいだに冷えてしまった取引先の信用、そのあいだに競合へ流れた案件、決まりかけていた商談——このあたりは戻ってきません。しかも約款のどこにも「復旧しない部分」の一覧は載っていないので、それがどれくらいの大きさになるかは自社で見積もるしかない。売上のどれだけが、どの取引先に乗っているか。その取引先は、自社が事故を起こしたという事実をどう受け止めるか。一度この見積もりを紙の上でやってみると、保険に期待していた範囲の意味が変わって見えてきます。
経営として投じる順番は決まっています。第一に、止まらない仕組みをつくること。重要なシステムほど、ひとつの弱点が全体停止に直結しない構成にしておくことです。第二に、早く気づく仕組みを持つこと。侵入されてから被害が広がるまでの時間を使って、異常を検知し対応に入れるかどうかで、最終的な損害の大きさは大きく変わります。自社にどのような弱点が実際に存在するかを、想像ではなく確かめる方法として、外部の専門家による侵入テストのような手段を定期的に使っている企業もあります。そして第三に、それでも起きてしまった事故の金銭的な後始末として、保険を置くことです。
この順番を逆にして、「保険に入っているから、対策への投資は最小限でよい」と考えてしまうと、二重の意味で危うくなります。ひとつは、告知事項と実態のずれが支払いの局面で問題になり得ること。もうひとつは、保険が埋めるのはあくまで金銭の一部であり、業務の停止時間そのもの、失われた信用、経営者や社員が費やした時間は、保険金の有無にかかわらず自社が引き受けることになるという事実です。保険は経営リスクを消してしまう道具ではなく、経営リスクの一部を金銭という形に変換して分散する道具——そう捉えておくと、対策への投資判断を誤りにくくなります。
- サイバー保険は事故を防ぐ道具ではなく、事故後の金銭的な損害を契約の範囲内で埋める道具である。止まった業務そのものは保険では動かない。
- 事故調査費用・復旧費用・第三者への賠償・通知費用・弁護士や広報の費用・利益減少の一部は、一般に対象になりやすい。信用の回復・失注・契約解除・対応にあてた時間・身代金の支払いは、対象になりにくいか条件が付きやすい。
- 申込み時の告知事項（多要素認証・バックアップの実施状況など）と実態がずれていると、支払いをめぐって交渉が長引くことがある。更新のたびに実態と告知内容を読み合わせる。
- 事故を認識してから保険会社へ連絡するまでの期限が定められているのが一般的。初動の手順書に連絡先と証券番号を組み込んでおく。
- 契約前には、対象外の条件・免責金額・告知事項・身代金の扱い・通知期限・調査会社の選定・支払いまでの日数を具体的に質問する。
- 保険は最後の一枚。その前に「止まらない仕組み」と「早く気づく仕組み」への投資を優先する。
参考になる公的資料
保険会社が示す資料に加えて、以下のような公的機関の資料も、社内での説明や取締役会向けの資料づくりに役立ちます。
- 経済産業省・IPA「サイバーセキュリティ経営ガイドライン」——経営者が指示すべき対策項目が整理されており、保険で埋められる範囲とそうでない範囲を切り分けて考える土台になります。
- 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」——保険を検討する前提となる基本的な対策の考え方が示されています。
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」および漏えい等報告に関する解説——通知や報告の義務は保険の通知期限とは別に法律上定められており、両方を初動の手順に組み込む必要があります。
- NISC「サイバーセキュリティ関係法令Q&Aハンドブック」——事故発生時に関係する法令を横断的に確認する際の参考になります。
