大企業の情報流出やサービス停止のニュースを見ると、「自社で起きたら、調査や復旧にいくらかかるのだろう」と不安になることがあります。システムを任せている業者がいても、顧客への説明や、売上が止まった間の資金繰りまで任せられるとは限りません。
サイバー保険は、そうした事故後の金銭負担に備える保険です。ただ、加入しているだけで、復旧費も休業損失もすべて補償されるわけではありません。事故対応費用、賠償、営業停止による損失を分けて見ると、自社に必要な補償が見えやすくなります。
この記事では、実際の事故から負担の広がりを確認し、主な補償、保険料の目安、主要商品の比較、加入判断までを整理します。
サイバー保険とは？情報漏えい・ランサムウェア事故に備える保険
サイバー保険は、不正アクセスや情報漏えいなどによって企業に生じる損害を、契約した範囲で補償する損害保険です。外部からの攻撃だけでなく、設定ミスやメールの誤送信、内部不正による漏えいを対象に含む商品もあります。
大きく分けると、顧客や取引先への「損害賠償」、調査や復旧などの「事故対応費用」、営業停止による「利益損失」の三つです。三つのうち何を基本補償にし、何をオプションにするかは商品・プランによって異なります。
セキュリティ対策は、事故の確率や被害を下げるための支出です。保険は、対策をしても残る損失の一部を、保険会社に引き受けてもらうための支出と考えると理解しやすくなります。
アサヒ・アスクルの事故から見える、復旧以外の負担
アサヒグループは、2025年9月29日のサイバー攻撃について、個人情報の漏えいやそのおそれの範囲を継続して調査し、2026年7月にも追加の公表を行っています。システムを動かせば、それだけで情報流出への対応が終わるわけではないことが分かります。
アスクルは、2025年10月19日にランサムウェア被害を受け、サービスが停止するとともに顧客・取引先の情報が流出したと公表しています。調査、安全性の確認、段階的なサービス再開という複数の対応が重なりました。
ここから中小企業が考えたいのは、大企業と同じ被害額になるかよりも、調査・顧客対応・復旧・業務停止が同時に発生したときに耐えられるかです。例えばECサイトの顧客情報が流出すれば、原因調査を頼む一方で、顧客への連絡や問い合わせに対応し、注文を再開する準備も進めることになります。
両社の事例は事故対応の理解に用いており、保険加入や保険金受け取りの事例として紹介しているものではありません。復旧の長期化については、ランサムウェアの復旧期間を解説した記事で詳しく扱っています。
サイバー保険の補償内容｜事故対応費用・賠償・休業の違い
同じ事故でも、お金の使い道は異なります。賠償額だけを想定すると、賠償請求が来る前から発生する費用を見落としやすくなります。
| 補償の区分 | 負担の例 | 比較するときの着眼点 |
|---|---|---|
| 事故対応費用 | 原因・被害範囲の調査、通知、問い合わせ窓口、データ復旧 | どの作業が対象か、外部委託の承認や費目別上限はあるか |
| 損害賠償 | 法律上の賠償金、弁護士・訴訟対応費用 | 契約で約束した違約金まで含むのか、海外の請求も対象か |
| 利益損失・営業継続費用 | 停止による利益減少、代替運用などの追加費用 | 追加契約が必要か、対象期間・免責・対象となる停止原因は何か |
「休業補償あり」でも、売上減少の全額が戻るとは限らない
売上と利益は別です。営業停止で販売できなくなった売上のすべてを、そのまま保険金として受け取る仕組みとは限りません。対象となる利益や経常費、免責時間・金額、補償する期間、支払限度額を確認することで、どの程度の負担が残るかを見積もりやすくなります。
情報漏えいだけを対象にしたプランと、システム停止に伴う利益損失まで含む契約も異なります。製造や物流、ECなど、停止が収益に直結する事業では、この違いが重要になります。
対象外・条件付きの費用は、何がある？
「事故が原因の支出」というだけでは補償対象と決まりません。例えば損保ジャパンの賠償部分では、罰金・課徴金や違約金、特別な約束で加重された賠償金は含まれません。また、同社の営業継続費用などの説明では、攻撃者へ払う身代金を対象に含めていません。
復旧に合わせてシステムを全面刷新する場合も、元の状態へ戻す費用と、機能拡張や更新の費用を分けて考えると整理しやすくなります。再発防止費用を含む商品でも、予定していたIT投資がすべて保険で賄えるという意味ではありません。
調査や外部委託には、保険会社の事前承認を求める条件もあります。緊急時の封じ込めを止めるということではなく、事故受付へ早く相談し、委託先や支出の扱いを確認できる連絡経路を持っておくことが役立ちます。
サイバー保険の費用はいくら？年間保険料・月額の目安
保険料は、同じ売上規模・補償額でも業種によって変わります。業種ごとに扱う情報やシステムへの依存度が異なり、事故が起きたときの賠償・調査・復旧などの損害の内容と規模も変わるためです。さらに、補償を広げるほど引き受ける損失が増え、対策状況や自己負担の設定も保険料に影響します。
月額保険料と、補償される金額を一緒に見る
損保ジャパンが公開する、売上5億円の企業の例です。月額は業種で違いますが、表の補償条件は共通です。
| 業種 | 月額保険料 | この例の補償上限・自己負担 |
|---|---|---|
| 卸売業 | 6,460円 | 賠償1億円／事故対応費用3,000万円。自己負担10万円 |
| 製造業 | 7,180円 | 賠償1億円／事故対応費用3,000万円。自己負担10万円 |
| 小売業 | 9,880円 | 賠償1億円／事故対応費用3,000万円。自己負担10万円 |
| 物流業 | 14,370円 | 賠償1億円／事故対応費用3,000万円。自己負担10万円 |
賠償は顧客・取引先などへの賠償責任、事故対応費用は調査や復旧などに備える枠です。自己負担とは、補償対象の損害のうち、自社で支払う部分をいいます。自己負担10万円なら、対象費用100万円の単純な例では自社10万円・保険90万円という考え方です。
この公開例は休業補償の価格を示したものではありません。受注・製造・物流が止まった間の利益損失にも備えたい場合は、追加した条件で見積もりを比べるとよいでしょう。
試算条件は、2026年2月1日以降の契約開始、海外売上なし、12分割払い、申告する対策の半分程度を実施した想定です。
休業補償を追加すると、何が増え、いくら変わる？
三井住友海上のワイドプランでは、同じ業種・同じ基本補償に、利益損害補償を追加した公開例があります。売上10億円、60％割引適用、自己負担なしという共通条件です。
食料品製造業の例
| 比較項目 | 休業補償なし | 休業補償あり |
|---|---|---|
| 年間保険料（一時払い） | 104,240円 | 339,900円 |
| 賠償の補償上限 | 1億円 | 1億円 |
| 事故対応費用の補償上限 | 1億円 | 1億円 |
| 利益損害の補償上限 | 補償なし | 1,000万円 |
| 自己負担 | なし | なし |
スーパーの例
| 比較項目 | 休業補償なし | 休業補償あり |
|---|---|---|
| 年間保険料（一時払い） | 224,570円 | 406,780円 |
| 賠償の補償上限 | 1億円 | 1億円 |
| 事故対応費用の補償上限 | 1億円 | 1億円 |
| 利益損害の補償上限 | 補償なし | 1,000万円 |
| 自己負担 | なし | なし |
追加によって増えるのは、停止中の利益損失に備える枠です。調査や復旧が補償されても、停止中の利益損失まで自動的に含むわけではないことが表から分かります。
表の金額は支払限度で、事故時に定額でもらえる額ではありません。実際の対象損害や費目別の条件によって支払額が決まります。また、損保ジャパンと三井住友海上の例は算出条件が違うため、会社間の安さの順位には使えません。
サイバー保険を比較｜主要商品の補償と事故対応支援
価格を比べる前に、「情報漏えいを中心に備えるか」「復旧や営業停止まで備えるか」をそろえると、比較しやすくなります。
| 提供会社・商品 | 補償設計の見方 | 事故対応支援・相談先 |
|---|---|---|
| 東京海上日動：サイバーリスク保険 | 賠償・事故対応費用に加え、システム中断補償を追加可能。情報漏えい限定プランもある | 事故対応サービスの範囲と利用手順を代理店・同社へ確認 |
| 三井住友海上：サイバープロテクター | エコノミー・ベーシック・ワイドで範囲が異なり、利益損害補償などを追加 | 専門事業者紹介、事故コーディネーター、専用相談窓口など |
| 損保ジャパン：サイバー保険 | 賠償・事故対応費用に、利益・営業継続費用を追加可能 | 緊急時の調整支援と24時間365日の事故受付 |
| 全国中小企業団体中央会のサイバー保険制度 | 団体制度の加入対象、選べるプラン、補償内容を確認 | 所属組合・都道府県中央会などを通じて確認 |
保険を引き受ける保険会社と、販売・相談を担当する代理店は役割が違います。団体制度についても、所属しているだけで自動的に補償されるわけではなく、加入対象や手続きの確認が前提になります。
商品比較では、調査会社を紹介してもらえることと、その委託費用が全額無料になることも分けて見るとよいでしょう。支援サービスの利用条件や、保険金の対象となる費用を確認すると、事故時の資金負担が見えます。
補償上限はどう選ぶ？停止中の損失と対応費用から考える
サイバー保険は小規模事業だけの商品ではありません。東京海上日動の公開条件では、設定上限は賠償10億円、事故対応費用5億円、オプションのシステム中断による利益損失1億円などです。ただし各補償を足し合わせた額が受け取れるのではなく、契約全体の総支払限度もあります。
自社に必要な額は、従業員数だけでは決まりません。少人数でも大量の顧客情報を持つ会社や、システム停止で収益が途絶える会社では、大きな補償が必要になることがあります。加入時に選ぶ上限と、費目ごとの内側の上限を両方見ることで、不足を見つけやすくなります。
サイバー保険の加入審査では何を確認される？
見積もりや加入手続きでは、会社の事業と対策状況について質問されます。あらかじめ整理しておくと相談しやすい内容は、次のとおりです。
- 事業の規模・内容：売上高、業種、海外事業など。どの程度の損害を引き受けるかを判断する情報です。
- 過去の事故：情報漏えいや攻撃被害、事故対応の履歴など。
- 情報管理の状況：どんな情報を持ち、誰がアクセスでき、どのように管理しているか。
- 実施している対策：質問書や割引確認シートで、実際の運用状況を回答します。
国内では、対策状況を保険料の割引に反映する商品もあります。三井住友海上は25項目への回答による最大60％割引を案内し、損保ジャパンも対策状況に応じた割引を設けています。対策が不完全だから一律に加入できない、という仕組みではありません。
さらに、海外の審査実務を説明するAonは、次のような技術面の評価項目を公開しています。
- 多要素認証：遠隔接続や管理者権限など、どこまで適用しているか。
- バックアップ：保存頻度、保管場所、復元できる状態か。
- アクセス管理：利用者や業務用アカウントの権限をどう制限しているか。
- 端末防御・更新：端末の監視・防御と、システムの弱点を修正する運用。
- 事故対応体制：重要業務を続ける計画や、ランサムウェア対応の訓練。
これらが国内のすべての商品で必須ということではありません。ただ、「導入済み」の一言より、適用範囲や運用まで確認する理由が分かります。現場や委託先と情報をそろえ、未実施の部分や例外も伝えると、実態に合う契約を相談しやすくなります。
サイバー保険はいらない？デメリットと加入の判断軸
保険料は継続してかかり、補償に上限や対象外があり、事故後には証拠や費用の記録なども求められます。契約しても、失った顧客の信頼がそのまま戻るわけではありません。こうした点は、加入の利点と合わせて考えたいところです。
それでも、会社が単独で抱えにくい支出や、専門家に依頼する資金に備えられることには意味があります。加入判断の起点は、次の三つです。
| 自社で整理すること | 判断につながる問い |
|---|---|
| 持っている情報 | 顧客・従業員・取引先情報が漏れたら、誰への対応が発生するか |
| 止まると困る業務 | 受注、決済、製造、物流が止まると、資金繰りにどんな影響が出るか |
| 負担できる資金・人員 | 調査と顧客対応を同時に外注する費用を出せるか、対応先を知っているか |
既存の総合保険や情報漏えい保険に対象の補償が含まれているなら、足りない部分を追加する選択肢もあります。自社で負担できる小さな損失まで保険に任せるのか、大きな事故に絞って備えるのかによっても設計は変わります。
見積もりでは、「顧客情報が漏れ、受注システムを2週間止める場合」のように自社の場面を伝え、調査・通知・復旧・休業のどこが対象になるかを聞くと、金額だけの比較より理解が進みます。日数は説明例で、自社の想定に合わせて考えるためのものです。
漏えいには攻撃以外の原因もあります。情報漏えいの原因を整理した記事も、事故の想定に役立ちます。
サイバー保険が普及しない理由と、攻撃が増えても成立する仕組み
加入率8.8％：保険を知らず、判断できない企業もある
日本損害保険協会の2025年調査では、中小企業の保険契約に関わる経営者・従業員1,050人のうち、サイバー保険に加入しているという回答は8.8％でした。調査は2025年8月29日～9月1日のインターネット調査です。
同協会の2020年調査では、サイバー保険の非加入理由の最多は「補償内容や保険料についてよく知らないため」の40.7％でした。この理由の割合を現在の値として扱うことはできませんが、加入判断以前の理解不足を示すデータです。
Swiss Reの2025年分析も、中小企業の予算制約に加え、商品や審査質問の複雑さ、販売・相談体制の課題を指摘しています。普及の低さを経営者の意識だけに帰すより、何にいくら備えられるのかを分かりやすくすることが重要と考えられます。
攻撃の増加に合わせて、保険の条件も変わる
保険会社が負担するのは、全世界の攻撃による損失ではなく、加入企業で起きた補償対象の損失です。過去の実績に加え、今後の事故頻度や損失額を見込み、料率・自己負担・上限・引受条件を調整します。
米国NAICの2025年報告書では、2024年に米国内保険会社が報告したサイバー保険の請求件数は約5万件で、約40％増加したとされています。一方、米国市場全体の収入保険料は2023年の約98.4億ドルから2024年の約91.4億ドルに減っています。請求の件数だけでなく、一件の支払額や契約条件も収支を左右することが分かります。
ただ、同じクラウドやソフトウェアを使う多くの会社が同時に被害を受けると、損失が集中します。Swiss Reは、2024年のCrowdStrike障害を例に、この集積リスクと予測の難しさを指摘しています。保険が成立することと、企業の損失をすべて引き受けられることは別であり、だからこそ補償の範囲と上限を見る意味があります。
サイバー保険についてよくある質問
中小企業や少人数の会社にもサイバー保険は必要ですか？
人数より、保有情報、停止する業務、事故対応に使える資金で考えると判断しやすくなります。少人数でもECや顧客データを扱う事業なら、調査・通知・休業の負担が大きくなることがあります。
サイバー保険に入れば、セキュリティ対策を減らせますか？
保険と対策は役割が異なります。事故を防ぎ被害を減らす対策があり、そのうえで残る金銭負担を保険で補う関係です。付帯サービスが対策や事故対応を支える商品もあります。
ランサムウェアの身代金も補償されますか？
復旧費用や利益損失と、攻撃者へ払う身代金は別です。国内の主要商品には身代金を補償対象から除くものがあり、ランサムウェア対応という表示だけで身代金まで対象と考えることはできません。
サイバー保険の比較では、何をそろえるとよいですか？
事故対応費用・賠償・休業の範囲、上限、自己負担をそろえたうえで、費目別上限、承認手続き、緊急時支援を比べると違いが見えます。価格だけの比較では、自社に残る損失が分かりにくくなります。
まとめ：サイバー保険は、事故後の資金と対応先を考える入口
サイバー保険を知る意味は、単に加入商品を一つ増やすことではありません。事故が起きた際の調査・顧客対応・復旧・営業停止を想定し、自社で負担できる部分と、保険で補いたい部分を整理できることにあります。
情報流出のニュースをきっかけに不安を感じたとき、まず自社で止まる業務と対応する相手を考えると、必要な補償の相談につながります。補償額だけでなく、事故時に誰へ連絡し、どの費用をどんな条件で引き受けてもらえるかまで理解できれば、保険は事業を続けるための備えとして検討しやすくなります。
参考資料
- アサヒグループ：2026年7月の情報漏えい関連公表 — 2025年の事故後の継続調査。
- アスクル：サイバーセキュリティと事故経過 — 情報流出・サービス停止・段階的再開。
- 損保ジャパン：サイバー保険 — 2026年2月以降始期の補償、月額例、支援。
- 損保ジャパン：基本補償の詳細 — 賠償金の対象外、承認など。
- 三井住友海上：サイバープロテクター／パンフレット — プラン、割引、保険料例、専門事業者紹介条件。
- 東京海上日動：サイバーリスク保険 — 各補償の設定上限と総支払限度。
- 全国中小企業団体中央会：サイバー保険制度 — 団体経由の制度。
- 日本損害保険協会：中小企業調査2025 — Q16加入状況、対象・期間。
- 日本損害保険協会：調査2020 — 非加入理由。
- Aon：審査データと評価項目 — 海外の評価項目。
- Swiss Re：中小企業の補償不足の背景 — 2025年の商品・価格・審査・販売上の課題。
- NAIC：2025年サイバー保険市場報告 — PDF3～4ページの2024年請求・市場収入保険料。
- Swiss Re：2025～2026年保険市場展望 — 共通基盤を通じた損失集中の課題。
本記事の文章・表・図解・グラフは、Skill Business Architecture Labが独自に編集・作成しています。引用・紹介する場合は、引用箇所が分かる形で、記事名・サイト名・記事URLをご記載ください。
コメント