「取引先から、サイバー保険に加入しているか確認された」
「ランサムウェアに感染すると、復旧にどのくらい費用がかかるのか分からない」
「ウイルス対策ソフトを導入しているため、保険までは必要ないのではないか」
このような疑問を持つ中小企業の経営者や総務担当者は少なくありません。
サイバー保険は、攻撃や情報漏えいを防ぐための製品ではありません。事故が発生した後の原因調査、データ復旧、顧客対応、損害賠償、事業停止による損失などに備えるための保険です。
中小企業がサイバー保険の必要性を判断するときは、保険料だけを見るのではなく、次の3点を整理する必要があります。
- 自社でどのようなサイバー事故が起こり得るか
- 事故が起きた場合にどのような費用が発生するか
- その費用を自己資金で負担できるか
この記事では、専任のIT担当者がいない中小企業向けに、サイバー保険の役割、必要性が高い会社、加入前に確認したい補償内容を整理します。
この記事の結論
中小企業のサイバー保険は、法律上一律に加入が義務付けられているものではありません。
一方で、次のような会社は検討の優先度が高いと考えられます。
- 顧客や従業員の個人情報を多く扱っている
- 基幹システムやクラウドが止まると業務を継続できない
- 取引先のシステムやネットワークへ接続している
- ECサイト、予約サイト、受発注システムを運用している
- 情報漏えい時の調査費用や休業損失を自己資金で負担しにくい
- 事故発生時に相談できるセキュリティ事業者を確保していない
ただし、保険へ加入すればセキュリティ対策が不要になるわけではありません。
まず、OSやソフトウェアの更新、多要素認証、バックアップ、従業員教育、緊急連絡先の整備を進めます。そのうえで、対策をしても残る損失を保険で補う、という順番で考えます。
| 最初の一歩 社長と総務担当者が「システムが停止した場合に発生する費用」を書き出すことです。 |
サイバー保険とは
サイバー保険とは、情報漏えいやサイバー攻撃などによって会社が負担する費用や損害を補償する保険です。一般的には、次のような費用が補償の対象として検討されます。
| 費用の種類 | 具体例 |
| 事故対応費用 | 原因調査、被害範囲の確認、弁護士への相談、顧客への通知 |
| 復旧費用 | データ復元、システム復旧、機器の復旧 |
| 損害賠償費用 | 顧客や取引先に対する損害賠償、争訟費用 |
| 利益損害 | システム停止による売上や利益の減少 |
| 営業継続費用 | 代替設備や臨時システムを利用して業務を続けるための費用 |
| 信頼回復に関する費用 | 広報対応、コールセンター、再発防止に関する支援 |
日本損害保険協会は、サイバー事故によって発生する可能性のある費用を「事故対応費用」「損害賠償費用」「利益損害・営業継続費用」の3つに整理しています。ただし、実際の補償範囲は保険会社や契約プランによって異なります。
| 社長と担当者の会話 社長「保険に入れば、ランサムウェアに感染しても全部補償されるのか？」 担当者「商品ごとに対象や上限が違います。身代金は対象にならないと案内されているため、復旧費用などを分けて確認する必要があります。」 |
日本損害保険協会は、ランサムウェア被害によって攻撃者へ支払った身代金はサイバー保険の対象にならないと説明しています。
中小企業にサイバー保険が必要とされる理由
1．事故対応では複数の費用が同時に発生する
サイバー事故が起きた場合、単にパソコンを修理すれば終わるとは限りません。例えば、不審な通信が見つかった場合には、次のような対応が必要になる可能性があります。
- どの端末が影響を受けたか調査する
- 情報が外部へ送信されたか確認する
- 感染した端末やサーバーを隔離する
- バックアップからデータを復元する
- 顧客や取引先への説明内容を整理する
- 必要に応じて弁護士などへ相談する
- 停止した業務を代替手段で継続する
専任担当者がいない中小企業では、これらを社内だけで実施するのは簡単ではありません。外部の専門事業者へ調査や復旧を依頼すると、事故対応費用と業務停止による損失が並行して発生します。
2．自社だけでなく取引先へ影響する可能性がある
自社の端末やアカウントが攻撃者に悪用され、取引先への攻撃に使われる場合があります。経済産業省は、2024年度の実態調査について、サイバー攻撃の被害を受けた中小企業の約7割が、取引先にも影響が及んだと回答したことを公表しています。
取引先のシステムへ接続している会社や、取引先から機密情報を預かっている会社は、自社の復旧費用だけでなく、取引先への影響も含めて検討する必要があります。
3．セキュリティ対策だけでリスクをゼロにはできない
多要素認証やバックアップを整備しても、人為的なミス、未知の脆弱性、委託先での事故まですべて防げるとは限りません。日本損害保険協会も、セキュリティ対策だけではサイバーリスクをゼロにできないと説明しています。
| 区分 | 主な内容 |
| 事故を防ぐ対策 | 更新管理、多要素認証、アクセス制御、社員教育 |
| 被害を小さくする対策 | バックアップ、ログ保存、緊急対応手順 |
| 損失に備える対策 | 予備資金、サイバー保険 |
保険は、このうち「損失に備える対策」です。
サイバー保険の必要性が高い企業
次の項目に複数当てはまる場合は、見積もりや補償内容の確認を進める価値があります。
顧客情報や機密情報を預かっている
顧客の氏名、住所、連絡先、決済情報、従業員情報、取引先の設計データなどを保有している会社です。情報漏えいが疑われる場合、実際に漏えいしたかどうかを確認する調査が必要になることがあります。「漏えい件数が少ないから費用も少ない」とは限りません。
ITが停止すると売上も止まる
次のような会社は、システム停止が事業停止へ直結しやすくなります。
- ECサイトで商品を販売している
- Web予約を受け付けている
- クラウド上の受発注システムを使用している
- 工場設備をネットワークで制御している
- 電子カルテや業務システムを利用している
- Microsoft 365やGoogle Workspaceが使えないと業務を継続できない
この場合は、データ復旧費用だけでなく、利益損害や営業継続費用が補償に含まれるかを確認します。
取引先のネットワークへ接続している
リモート保守、システム開発、データ連携などのために、取引先の環境へ接続している会社です。自社のアカウントが不正利用されて取引先に被害が及んだ場合を想定し、第三者への損害賠償や争訟費用が対象になるかを確認します。
緊急時に相談できる相手がいない
事故が発生してから調査会社や弁護士を探すと、初動が遅れる可能性があります。サイバー保険には、商品によって、情報セキュリティ診断や事故発生後の専門事業者紹介などの付帯サービスがあります。サービス内容は保険会社によって異なるため、連絡窓口、対応範囲、利用条件を確認してください。
サイバー保険の優先度が相対的に低いケース
次の条件に当てはまる場合は、直ちに加入するより、基本対策を先に整える判断も考えられます。
- 取り扱うデータや利用システムを把握できていない
- バックアップを一度も復元確認していない
- 管理者アカウントに多要素認証を設定していない
- 退職者のアカウントが残っている
- 緊急連絡先や事故対応責任者が決まっていない
- どの業務が停止すると売上に影響するか整理していない
これは「保険が不要」という意味ではありません。事故の起こり方や想定損失が分からない状態では、必要な補償額や補償内容も判断しにくいためです。まず基本対策とリスクの整理を行い、その結果を使って保険を検討します。
IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」は、個人事業主や小規模事業者を含む中小企業を対象に、経営者が認識すべき内容と、実務担当者が段階的に進める対策を整理しています。
サイバー保険へ加入する前の5つの手順
手順1．重要な情報とシステムを一覧にする
目的：保険で備える対象を明確にするためです。
総務担当者が、各部門と外部IT業者へ確認し、次の内容を一覧にします。
- 顧客情報や従業員情報
- 会計、給与、販売管理などの業務システム
- Microsoft 365やGoogle Workspaceなどのクラウド
- Webサイト、ECサイト、予約サイト
- 取引先と接続しているシステム
- システムの管理会社と連絡先
| 完了基準 重要な情報、利用システム、管理担当者、外部業者の連絡先が一覧になっていること。 |
手順2．想定する事故を決める
自社で起こり得る事故を、最低でも3つ程度選びます。
- ランサムウェアでファイルが暗号化された
- メールアカウントが乗っ取られた
- 顧客情報を誤送信した
- ノートパソコンを紛失した
- 委託先の事故で自社サービスが停止した
- Webサイトから顧客情報が漏えいした
| 完了基準 各事故について、停止する業務と影響を受ける相手を説明できること。 |
手順3．事故時に必要となる費用を整理する
正確な金額が分からなくても、まず費用の種類を整理します。
| 確認する費用 | 自社で確認する内容 |
| 調査費用 | 誰へ調査を依頼するか |
| 復旧費用 | バックアップから戻せるか |
| 休業損失 | 1日停止するとどの業務が止まるか |
| 顧客対応費用 | 通知や問い合わせ対応が必要か |
| 損害賠償 | 取引先との契約に事故時の規定があるか |
| 代替手段の費用 | 紙や別システムで業務を続けられるか |
| 完了基準 自己資金で負担する費用と、保険で備えたい費用を区別できること。 |
手順4．同じ条件で複数の見積もりを比較する
保険料だけで比較すると、補償範囲の違いを見落とします。少なくとも、次の条件をそろえて確認します。
- 支払限度額
- 免責金額
- 事故対応費用の範囲
- 利益損害の有無
- 営業継続費用の有無
- 委託先で起きた事故の扱い
- 誤送信や内部不正の扱い
- 海外事故や海外訴訟の扱い
- 事故発生時の連絡窓口
- 付帯サービスの内容
| 完了基準 同じ前提条件で補償範囲と保険料を比較できること。 |
手順5．契約後の対応方法を社内へ共有する
保険証券を社長の机へ保管するだけでは、事故発生時に活用できません。次の内容を1枚にまとめます。
- 保険会社または代理店の緊急連絡先
- 証券番号
- 最初に連絡する社内責任者
- 外部IT業者の連絡先
- 連絡前に勝手に実施しない方がよい作業
- 保存しておくログや画面
- 社外へ説明する担当者
| 完了基準 社長が不在でも、担当者が連絡先と初動手順を確認できること。 |
日本損害保険協会によると、保険料は年間売上高、業種、セキュリティ状況などによって決まり、保険金額には支払限度額を設定します。免責金額が設定されることもあります。
加入前に確認したい補償内容
| 確認項目 | 保険会社・代理店への質問例 |
| 調査費用 | 「情報漏えいの疑いだけでも、調査費用は対象になりますか」 |
| データ復旧 | 「バックアップからの復元作業は対象ですか」 |
| 事業停止 | 「何時間以上停止した場合に補償されますか」 |
| 委託先事故 | 「クラウド事業者や保守会社で起きた事故も対象ですか」 |
| 誤送信 | 「従業員によるメール誤送信も対象ですか」 |
| 内部不正 | 「従業員の故意による情報持ち出しはどう扱われますか」 |
| 賠償責任 | 「取引先の業務を止めた場合の賠償は対象ですか」 |
| 免責金額 | 「事故1件につき自社負担はいくらですか」 |
| 支払限度額 | 「調査費用と賠償費用で限度額は分かれていますか」 |
| 初動支援 | 「夜間や休日も相談できる窓口がありますか」 |
商品によっては、利益損害や営業継続費用が基本補償ではなく、オプションになっています。契約時はパンフレットだけで判断せず、重要事項説明書や約款で対象条件を確認してください。
よくある失敗と勘違い
「保険へ加入すれば対策しなくてもよい」
サイバー保険は攻撃を防ぐものではありません。基本的な対策がない場合、事故が起きやすくなるだけでなく、申込時に申告したセキュリティ状況と実態が異なる問題も生じます。申込書では、実際の運用状況を確認して回答してください。外部IT業者に任せている場合も、「多要素認証を設定していますか」「バックアップはどこに保存していますか」などと具体的に確認します。
「情報漏えいだけ確認すればよい」
サイバー事故では、情報漏えいだけでなく、システム停止、データ破壊、取引先への業務阻害なども発生します。個人情報が少ない会社でも、製造、受発注、予約、決済などが止まる場合は、利益損害や営業継続費用が重要になります。
「最も安い保険を選べばよい」
保険料が安くても、自社で必要な補償が含まれていなければ十分な備えになりません。見積もりを比較するときは、支払限度額、免責金額、利益損害、委託先事故などの条件をそろえてください。
「事故が起きたら、まず自分たちで復旧すればよい」
事故発生後に端末を初期化したりログを削除したりすると、原因調査に必要な情報が失われる可能性があります。契約時に、事故を発見したときの連絡先と、連絡前に行う作業を確認し、社内の対応手順へ記載しておきます。
よくある質問
Q1．従業員10人程度の会社でも必要ですか？
会社の規模だけでは判断できません。従業員が少なくても、顧客情報を多く保有している、ECサイトを運営している、取引先のネットワークへ接続している場合は、検討の優先度が高くなります。
Q2．サイバー保険には法律上の加入義務がありますか？
中小企業に対して一律に加入を義務付けるものではありません。ただし、取引条件や業務委託契約などで、取引先から加入を求められる場合があります。契約書やセキュリティチェックシートも確認してください。
Q3．ウイルス対策ソフトがあれば保険は不要ですか？
ウイルス対策ソフトとサイバー保険は役割が異なります。ウイルス対策ソフトは攻撃の検知や防止に使います。サイバー保険は、対策をしても発生する可能性が残る事故の費用や損失に備えるものです。
Q4．Microsoft 365だけを使っている会社にも必要ですか？
クラウドを利用しているだけで、直ちに必要または不要とは判断できません。アカウントの乗っ取り、メール誤送信、設定ミス、端末の感染など、自社側で起こり得る事故を整理して判断します。
Q5．保険料の相場はいくらですか？
年間売上高、業種、セキュリティ状況、補償限度額、免責金額などによって変わるため、一律には示せません。自社の条件をそろえたうえで、複数の保険会社や代理店へ見積もりを依頼してください。
Q6．外部IT業者に任せている場合、社内での確認は不要ですか？
社内での確認も必要です。少なくとも、契約対象、バックアップの保存場所、緊急連絡先、事故発生時の役割分担は、自社でも把握しておきます。
まとめ
中小企業のサイバー保険は、攻撃を防ぐ製品ではなく、事故後に発生する調査、復旧、賠償、事業停止などの損失へ備える手段です。
特に、顧客情報を預かる会社、IT停止が売上停止につながる会社、取引先のシステムへ接続する会社は、必要性を具体的に検討する価値があります。
ただし、保険を基本的なセキュリティ対策の代わりにはできません。
