サイバー保険はいくらか｜保険料を決める3つと、見積もりで聞かれること

2026年9月9日 13:54

サイバー保険の見積もりを頼むと、売上高を書いて終わり。
そう思っている方は多いと思います。

実際には、商品によっては数十項目のセキュリティの質問に答えることになります。
しかも聞かれるのは「何を買ったか」ではなく「どう運用しているか」です。

先に答えを書きます。
保険料を左右する3つのうち、補償を削らずに動かせるのは1つだけでした。
年間売上高と業種は変えられません。
変えられるのは「セキュリティ状況」で、それが質問書の回答という形で見積もりに反映されます。
そして質問書に答えられないなら、単独で入るのとは別の道があります。

質問書の中身も確かめました。
ある保険会社の様式は、必須が28問、任意の追加が14問。
バックアップは「取っているか」だけでなく「復元テストをしているか」まで分けて聞かれ、しかもそれは任意側でした。
任意に答えると割引率が広がる、と様式に書いてあります。

支払われない場合の一覧も読みました。
「対策していなかったから払わない」という項目は、そこには並んでいませんでした。

この記事は、日本損害保険協会・警察庁・IPA・保険法の条文と、東京海上日動の質問書様式、三井住友海上・損害保険ジャパンの公式資料をもとに、2026年9月時点の内容にしています。

保険料を決める3つのうち、補償を削らずに動かせるのは1つ

「年間売上高、業種、セキュリティ状況」

保険料の決まり方について、日本損害保険協会は次のように書いています。

保険料は年間売上高、業種、セキュリティ状況により決まります。

保険会社の資料でも、同じ要素が先に挙がります。
損害保険ジャパンのサイバー保険のパンフレットには、保険料について次のように書かれています。

貴社の業種、売上高、セキュリティ対策状況などにより個別に計算いたします。

協会が挙げた3つのうち、年間売上高と業種は動かせません。

契約の設計で動かせるものもあります。
同じ協会のページには、保険料の説明に続けて「保険金額は、支払限度額を設定します。」「また、免責金額を設定することもできます。」とあります。
支払限度額を下げる、免責金額（自己負担額）を上げる。
一般に、どちらも保険料を下げる方向に働きますが、これは補償を削る調整です。

残る「セキュリティ状況」だけが、補償を減らさずに保険料を下げられる項目になります。

火災保険で建物の構造によって料率が変わるのと同じ考え方です。
ただしサイバー保険の場合、その「構造」にあたるものが社内の運用なので、書類に書いて申告することになります。

実装していない状態で見積もりを取ると、どうなるか

順序を間違えると損をします。

何も実装していない状態で見積もりを取れば、高い保険料が提示されるか、条件が付きます。
そのあとで対策を進めても、更新のタイミングまでは、通常、料率は変わりません。

保険を検討することと、社内の対策を点検することは、切り離せない作業だということです。

見積もりの質問書で、実際に何を聞かれるのか

質問書という様式がある

東京海上日動のサイバーリスク保険には、「ご質問書」という様式があります。
代理店を通じて配布されているもので、大阪府中小企業団体中央会がそのPDFを掲載しています。
様式番号の末尾は 202410 で、2024年10月のものと読めます。

冒頭に、この書類の位置づけが明記されています。

ご回答内容は、保険料およびご契約条件の決定に関して使用させていただきますので、正確にご記入いただきますよう、お願いいたします。

答えた内容が、そのまま見積もりに反映されるということです。

必須が28問、任意が14問

質問書は段に分かれています。

まず必須の段です。
「貴社記名被保険者の情報セキュリティ対策について、以下のご質問事項にご回答ください」という見出しの下に、28問が並んでいます。

そのあとに任意の段があります。
見出しがこうです。

【任意回答】記名被保険者の情報セキュリティ対策について、追加質問（全14問）にご回答いただくと、保険料の割引率が拡大する可能性がございます。

任意なのに、答えると安くなる。
ここが実務では効いてきます。

必須の28問に並んでいるもの

すべては挙げませんが、性格が分かる範囲で引きます。
原文のままです。

サイバー攻撃等のサイバーセキュリティリスクを経営リスクの１つとして認識し、サイバーセキュリティリスクに対する対応方針を組織外に宣言していますか。
従業員（派遣社員・協力会社社員を含む）へ実施しているサイバーセキュリティ教育について、最も当てはまるものを選択してください。
経営戦略に基づき、守るべき情報資産（例：顧客データ・知的財産等の情報、基幹情報システム・制御システム等のデジタル環境、利用または提供しているクラウドサービス等のサービス）とその場所を特定していますか。
組織内にSOC、CSIRTを設置する等、インシデントの発生時に迅速に対応できる体制が構築されていますか。
すべての重要なサーバの通信を、IDS/IPSやWAFの導入等により、監視および制限していますか。
社員用端末やサーバにインストールされたOSやミドルウェアの更新状況について、最も当てはまるものを選択してください。
社外から社内のサーバへのリモートアクセスについて、最も当てはまるものを選択してください。
アクセス状況を確認するために、サーバのログを収集・管理する仕組みを構築していますか。
収集したログを分析する等、インシデントを特定するためのプロセス・仕組みが存在していますか。

体制、教育、資産の把握、監視、更新、リモートアクセス、ログ。
並びを見ると、製品の名前を聞いているのではないことが分かります。

答え方の形にも特徴があります。
「はい／いいえ」だけではなく、「最も当てはまるものを選択してください」という設問が多くあります。
たとえばルールについての設問の選択肢は、次の3つです（原文は3行に分かれています。
ここでは読みやすさのために「／」でつなぎました）。

ルールが存在し、定期的な見直しにより、変更している。／ルールは存在するが、定期的な見直しを行う決まりは無い。／ルールは存在しない。

やっているかどうかではなく、どの段階まで来ているかを聞いています。

リモートアクセスの設問も、この形です。
選択肢の先頭は「全てのリモートアクセスについて、多要素認証を導入している。」で、以下「全てのリモートアクセスについて、認証処理を行っている。」「社外から社内のサーバにリモートアクセスを行うケースは存在しない。」「上記以外、または、特に認証処理は行っていない。」と続きます。
一部の経路だけ対応している状態では、いちばん上を選べません。

任意の14問に、バックアップとEDRがある

割引率が広がるという任意の段には、次のような設問が入っています。

脆弱性スキャンとペネトレーションテストを定期的に（少なくとも１年に１回）実施し、結果に応じて必要な対策を講じていますか。
重要なデータについて、バックアップを定期的に取っていますか（オンライン、オフライン、クラウド上を問いません）。
バックアップデータからの復元テストを定期的に実施していますか。
パターンマッチングでは検知できないマルウェアへの対策ツール（例：EDR）を導入していますか。
インシデントを24時間/365日監視する体制を自社または外部委託により構築していますか。
システム管理者がシステム操作を行うための特権アカウントについて、一般アカウントよりもセキュリティレベルの高い手順（例：多要素認証）を必須要件としていますか。

バックアップが2問に分かれているところに注目してください。
取っているかと、戻せるかを確かめているかは、別の設問です。

多要素認証は、この様式では2か所で問われています。
必須側はいま見たリモートアクセスの設問で、任意側は管理者の特権アカウントについての設問です。
全社の入り口は必須の側で、管理者の入り口は割引の側で見られている、という置き方になっています。

書類を前にして、初めて分かること

ここまで具体的だと、記入の段階で自社の状況が把握できていないことに気づく、ということが起こります。

誰がログを見ているのか。
リモートアクセスの経路を本当に全部把握できているのか。
最後にバックアップから戻したのはいつか。

社内で答えを持っていなければ、その項目は空欄か「いいえ」になります。
回答が保険料と契約条件の決定に使われる以上、答えられない項目が多いほど条件は不利になり得ます。

裏返せば、対策に費用をかけている会社は、その分を保険料で回収できる可能性があります。
セキュリティ投資は経営に説明しにくいと言われますが、保険料は数少ない、金額で見える指標のひとつです。

中小企業向けの商品は、入り口の設計が違う

告知事項が2項目、という商品もある

すべての商品が28問を聞くわけではありません。

三井住友海上の「サイバープロテクター」のパンフレットには、「告知いただきたい主な事項」という欄があります。

ご契約にあたっては、次の事項について告知いただきます。
①保険料算出の基礎
記名被保険者の把握可能な最近の会計年度（１年間）における売上高
②過去の事故について
現時点から起算して過去３年間において、この保険の対象となる事由の発生または発生が予想される状況の有無。

番号が振られているのは、この2項目です。
パンフレットが「主な事項」と書いているとおり網羅ではありませんが、少なくともここに、セキュリティ対策そのものを細かく問う項目は置かれていません。

ただし、これは「聞かれない」という意味ではありません。
同社の商品ページには、別枠でこう書かれています。

貴社の情報管理体制の状況等を専用のシート（全25項目）にご回答いただくことで、ご回答内容により保険料を最大60％割り引くことができます。

主な告知事項は2項目、割引のためのシートは25項目、という切り分けです。
告知義務がかかる範囲と、割引を取りにいく範囲が分けてあると読めます。

対策と保険が、商品として一体になっているもの

もう一歩進んだ形もあります。

三井住友海上の「見守るサイバー保険」について、同社はこう書いています。

「見守るサイバー保険」は、ウイルス感染対策サービスである「防検サイバー・見守るサイバーモード」と事業者向けのサイバー保険「サイバープロテクター」を一体化させたパッケージ商品です。

組み合わせる側のサービスについては、こう説明されています。

「防検サイバー・見守るサイバーモード」は一般的にEDR（Endpoint Detection and Response）と呼ばれるセキュリティサービスであり、業務に使用しているパソコンなどの端末に1台ずつ専用ソフトをインストールすることでサイバー攻撃の被害拡大を防止する効果があります。

機能は監視・検出、防御、隔離、ログ保全の4つと書かれています。
料金も公開されていて、1インストーラー（ライセンス）で15,840円（税込）の年額です。
21ライセンス以上で割引があるとも書かれています。

細かく審査する代わりに、必要な対策をあらかじめ組み込んでおく。
そういう設計です。

保険法が定めている、告知のこと

告知義務は法律に書かれている

質問書に何を書くかは、契約書のマナーの話ではありません。
法律の話です。

保険法第4条は、こう定めています。

保険契約者又は被保険者になる者は、損害保険契約の締結に際し、損害保険契約によりてん補することとされる損害の発生の可能性（以下この章において「危険」という。）に関する重要な事項のうち保険者になる者が告知を求めたもの（第二十八条第一項及び第二十九条第一項において「告知事項」という。）について、事実の告知をしなければならない。

「保険者になる者が告知を求めたもの」とあります。
質問書で聞かれた項目が、これに当たります。

そして第28条第1項です。

保険者は、保険契約者又は被保険者が、告知事項について、故意又は重大な過失により事実の告知をせず、又は不実の告知をしたときは、損害保険契約を解除することができる。

要件は「故意又は重大な過失」です。
単なる記載ミスのような軽い過失では解除されません。

解除されると、いつの事故まで払われないのか

ここが実務でいちばん重い部分です。

第31条第1項は、解除の効力についてこう定めています。

損害保険契約の解除は、将来に向かってのみその効力を生ずる。

将来に向かってのみ、と読むと、解除より前の事故は大丈夫そうに見えます。
ところが同じ条の第2項があります。

保険者は、次の各号に掲げる規定により損害保険契約の解除をした場合には、当該各号に定める損害をてん補する責任を負わない。
一　第二十八条第一項　解除がされた時までに発生した保険事故による損害。ただし、同項の事実に基づかずに発生した保険事故による損害については、この限りでない。

保険者が責任を負わないのは「解除がされた時までに発生した保険事故による損害」です。
始期の限定がありません。
契約したときまでさかのぼって、解除の時点までのあいだに起きた事故が、免責の対象になります。

危険増加を理由に解除する場合（第2号）は「危険増加が生じた時から解除がされた時まで」と始期が限定されているので、対比すると違いがはっきりします。
告知義務違反の解除だけ、範囲が広いということです。

ただし、ただし書があります。
告知しなかった事実と因果関係のない事故については、免責されません。
ある項目を偽って書いていたとしても、それと関係のない原因で起きた事故の損害は、支払われます。

だから、質問書は正直に書く

保険料の割引率は大きいので、実施していない対策を「実施している」と書きたくなる動機は、たしかにあります。

しかしこれをやると、事故が起きて調査が入った段階で表に出ます。
質問書の章で挙げた設問を思い出してください。
「バックアップデータからの復元テストを定期的に実施していますか」に「はい」と答えたのに、一度も戻したことがなかった。
この種の食い違いは、事故対応の過程で必ず分かります。

保険料を下げるために、保険金をゼロにするようなものです。
安く見せたければ、申告を偽るのではなく、対策のほうを上げるのが筋になります。

契約したあとも、書いた内容は古くなる

契約時に正しく書いたからそれで終わり、とはいかない事情もあります。

担当者が代わって運用が変わった。
システムを入れ替えて設定が変わった。
契約したときは本当に「はい」だった項目が、いつのまにか実態と離れていくことがあります。

保険法第28条第1項が問うのは、告知の時点で「故意又は重大な過失」があったかどうかなので、契約後に運用が変わったこと自体が直ちに告知義務違反になるわけではありません。
それでも、更新のたびに質問書の回答を読み返して、今も同じ答えになるかを確かめておく価値はあります。
次の契約では、それが新しい告知になるからです。

免責事由という、もう1つの経路

告知とは別に、契約そのものが定める免責事由があります。

「お支払いできない主な場合」は3つに分かれている

損害保険ジャパンのサイバー保険のパンフレット（2026年2月1日以降に保険期間を開始する契約向け）を見ると、「保険金をお支払いできない主な場合」という欄があり、そこが3つに分かれています。
「共通」が13項目、「事故発生時の各種対応費用部分」が3項目、「喪失利益・営業継続費用部分」が8項目です。

補償ごとに、支払われない場合が違うということです。
同じ事故でも、対応費用は出るが喪失利益は出ない、ということが起こり得ます。

回線やクラウドの障害は、両方に入っている

中小企業にとって見落としやすいのが、次の項目です。

事故発生時の各種対応費用部分では、こうなっています。

電気、ガス、水道、通信もしくはインターネット接続サービスの中断、停止、または障害が発生し、記名被保険者に対して、それらが提供されなかったこと

喪失利益・営業継続費用部分にも、ほぼ同じ項目が別に置かれています。

電気、ガス、水道、通信もしくはインターネット接続サービスの中断、停止、または障害が発生し、被保険者に対して、それらが提供されないこと

自社が攻撃を受けたのではなく、契約している回線やクラウド側の障害で業務が止まった場合。
この商品では、対応費用の側も喪失利益の側も対象外になり得るということです。

喪失利益・営業継続費用部分には、ほかに「労働争議」「政変、国交断絶、経済恐慌、物価騰貴、外国為替市場の混乱または通貨不安」「衛星通信の機能の停止」なども並んでいます。

「お支払いできない主な場合」に、対策の不備を理由とする項目はない

ここで、よくある誤解を1つ整理しておきます。

「セキュリティ対策を怠っていたら保険金は出ない」と説明されることがあります。
しかしこのパンフレットの「保険金をお支払いできない主な場合」に並んでいる24項目を読むと、対策の不備、サポートが終了したソフトウェアの使用、既知の脆弱性の放置、修正プログラムの未適用を理由とする項目はありません。
この資料で「セキュリティ対策」の語が目立つのは、保険金の支払いではなく、保険料の算出を説明している箇所です。

ただし、これは「主な場合」の列挙です。
各リストの末尾には「など」が付き、欄の最後に「上記以外にも保険金をお支払いできない場合があります。」と書かれています。
パンフレットは概要を説明したもので、詳しい内容は普通保険約款・特約条項を見ることになります。

それでも、少なくともこのパンフレットの範囲では、支払いを左右するのは対策の水準そのものよりも、申告した内容と実態が一致しているかどうかに見えます。
対策をしていないこと自体は免責事由に並んでいなくても、していないのに「している」と書けば、それは告知の章で見たとおり、告知の問題になります。

ソフトウェアを更新した直後の事故は、扱いが変わった

免責の項目の中に、1つ、覚えておくと得なものがあります。

喪失利益・営業継続費用部分には、新しいソフトウェアや改定したソフトウェアを使った場合の事故についての項目があります。
テストをしていないソフトウェアの瑕疵による事故、正式使用前の事故、そして正式使用後10日以内の事故です。
更新した直後に起きた事故は、この項目に当たり得るということです。

そのうち3つ目に、2026年2月1日以降始期の契約向けのパンフレットでは、ただし書きが付いています。

ただし、改定したソフトウェアを使用した場合でその改定が緊急性のあるセキュリティ対策のみであるときを除きます。

改定の中身が緊急のセキュリティ対策だけであるときに限り、その理由では免責にしない、という書き方です。
機能追加などが混ざった更新は、この除外に当たらないと読めます。
急いでパッチを当てる側を守る向きの記述だといえます。

免責の内容は保険会社と商品で違います。
検討している商品の資料で確かめてください。
とくに、自社で起こりそうな事態が支払わない場合に入っていないかは、契約の前に見ておく価値があります。

質問書に答えられないときの、別の道

監視と駆けつけと保険を、まとめて持つ

質問書の項目に「いいえ」が並んでしまう会社は、単独加入だけが選択肢ではありません。

IPAが運営する「サイバーセキュリティお助け隊サービス」は、中小企業に必要なサービスをワンパッケージにまとめたものを認定する制度です。
現行の基準は2.1版（令和7年9月8日）です。

この基準は、1類サービスの要件の1つとして、保険を挙げています。

インシデント対応時に突発的に発生する各種コストを補償するサイバー保険が付帯されていること。

保険を単体で買うのではなく、相談窓口、異常の監視、緊急時の対応支援とセットで持つ、という考え方です。

価格に上限が定められている

この制度の特徴は、価格に上限があることです。
基準の原文はこうなっています。

お助け隊サービスの月額価格は以下の金額を超えないこと。
・【ネットワーク監視の場合】月額１万円（税抜き）。
・【端末監視の場合】端末１台あたり月額２,０００円（税抜き）。

初期費用にも上限があり、ネットワーク監視の場合と端末監視の場合がそれぞれ50万円（税抜き）、両方を併用する場合は100万円（税抜き）とされています。

単独加入の保険料は、年間売上高と業種と対策の状況、さらに支払限度額と免責金額の設定でも変わるため、一律の相場を示せる性質のものではありません。
実際に見積もりを取って比べるしかない世界です。
それに対して、こちらは上限が公表されています。
専任のIT担当を置けない会社にとっては、判断しやすい形だと思います。

ただし、簡易な保険である

注意点も基準に書かれています。

なお、サイバー保険の補償内容（補償対象となる事項、補償回数、補償限度額、免責金額等）とユーザーにおいて自己負担が生じる場合は、サービス契約に明記するとともに、ユーザーにとって分かりやすい説明資料を別途用意すること。

補償の範囲や限度額は、単独加入の商品と同じではありません。
基準が「明記すること」を求めているのは、逆に言えば、そこに差があるからです。
契約の前に読んでください。

とくに、取引先からサイバー保険への加入を求められている場合は、先方が求める補償内容と支払限度額を先に確認する必要があります。
簡易な保険では要件を満たさないことがあります。

2026年9月時点の最新状況

関心はあるのに、加入率は8.8パーセント

日本損害保険協会の「中小企業におけるリスク意識・対策実態調査2025」が、2025年12月に公表されています。
2025年8月29日から9月1日にかけて実施され、1,050サンプルの回答を得たものです。
2026年9月時点で、これが最新です。

企業向け・法人向けの損害保険の加入状況を聞いた設問で、サイバー保険と答えたのは8.8パーセントでした。

一方で、今後の損害保険でカバーしたいリスクを聞いた設問では、サイバーリスクが25.5パーセントで、自然災害の39.5パーセントに次ぐ2番目に来ています。
協会はこれについて、こう書いています。

損害保険でカバーしたいリスクとして、「サイバーリスク」が上位にあがっていることからも、サイバーリスク・保険への関心の高さがうかがえる。

関心を持っているのは4社に1社なのに、加入しているのは11社に1社。
ここに開きがあります。

数字の読み方に注意が要る項目もあります。
事業活動を行ううえでサイバーリスクを認識しているという回答は32.7パーセントでした。
報告書は、この数字についてこう書いています。

2024年調査で大幅に増加した「サイバーリスク」は今回調査では32.7%と10pt程度低下したものの、2023年以前と比べると高水準。

前年からは下がっています。
数年単位で見れば上がっている、という書き方をされることもある数字なので、どちらの期間の話かを確かめたほうがよさそうです。

被害の側は増えています。
何らかのリスクによって被害を受けた企業のうち、サイバーリスクによる被害は16.8パーセントで、報告書は「増加傾向が続く」としています。

被害の規模と、中小企業の比率

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月公表）によると、令和7年のランサムウェアの被害報告件数は226件で、依然として高水準で推移しているとされています。
組織の規模別では、前年と同様に中小企業が約6割を占めています。
侵入経路は、被害組織へのアンケート結果としてVPN機器が6割以上を占める状況です。

金額と期間についても、同じ資料にあります。

復旧に総額1,000万円以上を要した組織の割合は全体の５割を超えている。また、復旧に要した期間については、１か月未満で復旧した組織の割合は全体の５割強に留まる

ここでいう「全体」は、このアンケートに回答した組織の全体です。
回答数は資料に明示されていません。

半数以上が復旧に1,000万円以上を要し、半数近くが1か月以上止まっている。
この規模は、月々の利益から捻出できる性質のものではありません。
サイバー保険が「あれば助かるもの」から「なければ会社が傾くもの」として扱われるようになった背景は、ここにあります。

補助金が使えるかどうか

お助け隊サービス型を選ぶ場合、費用の一部に補助制度が使える可能性があります。

「デジタル化・AI導入補助金2026」のセキュリティ対策推進枠は、「サイバーセキュリティお助け隊サービスリスト」に掲載され、かつIT導入支援事業者によりITツール登録されたサービスを対象としています。
補助率は小規模事業者が3分の2以内、中小企業が2分の1以内、補助額は5万円から150万円、対象はサービス利用料の最大2年分です。

2026年9月時点で公表されている直近の締切は、5次締切分の2026年9月29日（火）17時です。
交付決定日は2026年11月9日（月）の予定、事業実施期間は交付決定から2027年4月30日（金）17時までの予定とされています。
6次以降の日程はまだ出ていません。
公募には要件と期限がありますので、条件は必ず公式の公募要領で確認してください。

読む資料の版が、2026年2月に切り替わっている

細かいようで実務に効く話があります。

保険会社が出している商品資料は、始期の日付で版が分かれます。
損害保険ジャパンのサイバー保険のパンフレットは、2026年2月1日以降に保険期間を開始する契約向けのものと、2026年1月31日以前に開始する契約向けのものが、いま同じページに並んでいます。

免責事由の文言は版によって変わります。
ソフトウェア更新についての項目が、その例でした。
検索して出てきたPDFがどちらの版かは、掲載ページの区分と契約の始期を突き合わせて確かめてください。
日付の入っていないファイル名で並んでいることもあります。

では、見積もりを取る前に何を確かめるか

質問書を渡される前に、社内で答えを用意しておける項目があります。
どれも費用がかかりません。

体制について

インシデントが起きたとき、誰が最初に動くかが決まっているか
従業員へのセキュリティ教育を、いつ、何をやったか記録があるか
守るべき情報資産とその置き場所を、一覧にしてあるか

運用について

サーバのログを収集しているか。収集しているなら、誰かが見ているか
OSやミドルウェアの更新を、どういう基準で当てているか
社外から社内へのリモートアクセスの経路を、全部把握できているか

割引を取りにいく項目について

バックアップを定期的に取っているか
そのバックアップから、実際に戻してみたことがあるか
社外から社内へのリモートアクセスに、多要素認証をかけているか。かけていない経路が残っていないか
管理者の特権アカウントに、多要素認証をかけているか

契約の形について

単独で入るか、監視と駆けつけとセットで持つか
取引先から求められている補償内容と支払限度額があるか
回線やクラウドの障害による停止が、免責事由に入っていないか

最後に1つ。
保険は対策をしなくてよくするための道具ではありません。
対策をしても残ってしまう損害を引き受ける道具です。
質問書は、その線引きを保険会社が見るための書類だと考えると、答えやすくなると思います。

見積もりを取る前の確認を書面にするなら、書式があります。
事前準備チェックリストと緊急連絡先シートを含む、6種をまとめています。

まとめ

保険料は「年間売上高、業種、セキュリティ状況」で決まる（日本損害保険協会）。支払限度額と免責金額でも動くが、それは補償を削る調整。補償を減らさずに動かせるのはセキュリティ状況だけ
東京海上日動のサイバーリスク保険には「ご質問書」という様式があり、必須28問と任意14問で構成されている。回答は「保険料およびご契約条件の決定に関して使用」される
任意の14問に答えると「保険料の割引率が拡大する可能性」があると様式に書かれている。バックアップの取得と復元テストは、この任意側に別々の設問として置かれている
聞かれるのは製品名ではなく運用。多くの設問が「最も当てはまるものを選択してください」の形で、どの段階まで来ているかを問う
多要素認証は2か所で問われる。必須側はリモートアクセス全般、任意側は管理者の特権アカウント
中小企業向けの商品では、「告知いただきたい主な事項」が売上高と過去3年の事故の有無の2項目、というものもある（三井住友海上サイバープロテクター）。ただし別枠の25項目のシートで最大60パーセントの割引がある
対策と保険が一体の商品もある。三井住友海上「見守るサイバー保険」はサイバープロテクターと「防検サイバー・見守るサイバーモード」を「一体化させたパッケージ商品」。同社はこのサービスをEDRと説明しており、1インストーラー15,840円（税込）の年額
告知義務は保険法第4条、違反による解除は第28条第1項。要件は「故意又は重大な過失」なので、契約後に運用が変わったこと自体が直ちに違反になるわけではない。それでも更新のたびに、書いた答えが今も同じかを読み返しておく
解除の効力は将来に向かってのみだが（第31条第1項）、告知義務違反による解除では「解除がされた時までに発生した保険事故による損害」がてん補されない（同条第2項第1号）。ただし告知しなかった事実と因果関係のない事故は除かれる
「保険金をお支払いできない主な場合」には、電気・ガス・水道・通信・インターネット接続サービスの中断が入っている（損保ジャパンのパンフレット、2026年2月1日以降始期用）。回線やクラウド側の障害による停止は対象外になり得る
同じ欄に並ぶ24項目に、対策の不備、サポート終了ソフトの使用、既知の脆弱性の放置、修正プログラムの未適用などを理由とする項目はない。ただし「主な場合」の列挙で、詳しくは普通保険約款・特約条項を見ることになる
ソフトウェアを更新した直後の事故は免責の項目に当たり得るが、改定の中身が緊急のセキュリティ対策だけであるときは除く、というただし書きが新しい版で付いた
保険会社の商品資料は始期の日付で版が分かれ、免責の文言も変わる。損保ジャパンのパンフレットは2026年2月1日で切り替わっている
質問書に「いいえ」が並ぶ会社には、お助け隊サービス型という道がある。月額はネットワーク監視で1万円、端末監視で1台2,000円（いずれも税抜き）を超えないことが基準で定められている
ただしそちらは簡易な保険で、補償の範囲と限度額は単独加入と同じではない。基準は、その内容をサービス契約に明記することを求めている
中小企業の加入率は8.8パーセント。カバーしたいリスクとしてサイバーリスクを挙げたのは25.5パーセント（日本損害保険協会、2025年12月公表）
令和7年のランサムウェア被害報告は226件で、組織の規模別では中小企業が約6割。復旧に総額1,000万円以上を要した組織は5割を超え、1か月未満で復旧した組織は5割強にとどまる（警察庁）
お助け隊サービス型を選ぶ場合、デジタル化・AI導入補助金2026のセキュリティ対策推進枠が使える可能性がある。補助率は小規模事業者3分の2以内、中小企業2分の1以内、補助額5万円から150万円、対象はサービス利用料の最大2年分

皆さんの会社では、あの質問書を渡されたとき、何項目に迷わず答えられそうでしょうか。

参考・引用元

保険会社・業界団体の資料

一般社団法人日本損害保険協会「企業のための保険ナビサイバー保険」 https://www.sonpo.or.jp/sme_insurance/cyber-hoken/
一般社団法人日本損害保険協会「中小企業におけるリスク意識・対策実態調査2025 調査結果報告書」（2025年12月公表。調査は2025年8月29日から9月1日、1,050サンプル） https://www.sonpo.or.jp/sme_insurance/assets/pdf/survey/sme_report2025.pdf
東京海上日動火災保険「サイバーリスク保険」 https://www.tokiomarine-nichido.co.jp/hojin/baiseki/cyber/
東京海上日動火災保険「サイバーリスク保険ご質問書」（代理店等を通じて配布されている様式。様式番号 1760-ER04-15064-202410。掲載は大阪府中小企業団体中央会） https://www.osakadaikyo.or.jp/cms/wp-content/uploads/2024/12/0eb1a2b8940744b1a96ec22937e4e8f7.pdf
三井住友海上火災保険「サイバープロテクター」 https://www.ms-ins.com/business/indemnity/pd-protector/
三井住友海上火災保険「サイバープロテクター」パンフレット（2024年4月1日以降始期契約用） https://www.ms-ins.com/pdf/business/indemnity/pd-protector.pdf
三井住友海上火災保険「見守るサイバー保険」 https://www.ms-ins.com/business/indemnity/pd-protector/option.html
損害保険ジャパン「サイバー保険」パンフレット（2026年2月1日以降に保険期間を開始する契約向け） https://www.sompo-japan.co.jp/-/media/SJNK/files/hinsurance/contents1/cyber_2602.pdf
損害保険ジャパン「サイバー保険」パンフレット（2026年1月31日以前に保険期間を開始する契約向け） https://www.sompo-japan.co.jp/-/media/SJNK/files/hinsurance/contents1/cyber_2402.pdf
損害保険ジャパン「商品パンフレット」一覧（上記2版の掲載区分） https://www.sompo-japan.co.jp/hinsurance/contents1/

法令

保険法（平成20年法律第56号）第4条・第28条・第31条 https://laws.e-gov.go.jp/law/420AC0000000056

国の資料

IPA「サイバーセキュリティお助け隊サービス基準」2.1版（令和7年9月8日） https://www.ipa.go.jp/security/sme/otasuketai/nq6ept000000faii-att/000092713.pdf
IPA「サイバーセキュリティお助け隊サービス制度」 https://www.ipa.go.jp/security/sme/otasuketai/index.html
警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月公表） https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
デジタル化・AI導入補助金2026「セキュリティ対策推進枠」（中小企業庁監督、独立行政法人中小企業基盤整備機構） https://it-shien.smrj.go.jp/applicant/subsidy/security/
デジタル化・AI導入補助金2026「事業スケジュール」 https://it-shien.smrj.go.jp/schedule/

書籍

日刊工業新聞社「サイバーリスクマネジメントの強化書経団連『サイバーリスクハンドブック』実践の手引き」（梶浦敏範・佐藤徳之監修／CRMJ研究会編著／2023年1月30日／216ページ／2,750円税込） https://pub.nikkan.co.jp/book/b10026544.html

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40