メインコンテンツへスキップ
見出し画像

サイバー保険とは？補償される範囲と、保険金が支払われない条件

    梟 〜GLEANINGS〜

    ランサムウェアに感染したら、いくらかかるのか。
    この問いに数字で答えられる会社は多くありません。
    そして、その金額を保険で埋められるのかどうかも、たいていは分からないままです。

    サイバー保険は「入っていれば安心」という商品ではありません。
    何が補償され、何が補償されないのか。
    どういう条件で保険金が減額されたり、契約そのものが解除されたりするのか。
    この線引きを知らないまま加入すると、いざというときに機能しません。

    この記事では、補償の中身、保険料の決まり方、そして支払われないケースを、保険会社の約款と公式資料をもとに整理します。
    読み終えたときに、自社が加入すべきかどうかを自分で判断できる状態を目指します。

    この記事は、警察庁・日本損害保険協会などの一次資料をもとに、2026年9月時点の統計と保険商品の動きを反映しています。

    サイバー保険は何を補償するのか

    補償は、一般に3つに整理されます。
    会社によって呼び方は違いますが、中身はおおむね共通しています。

    1つ目が、事故対応にかかる費用です。
    損保ジャパンは「各種対応費用」、東京海上日動は「費用損害」と呼んでいます。
    三井住友海上のパンフレットで具体的な項目を見ると、事故の原因や被害範囲を調べるための調査費用、被害者への見舞金や見舞品の購入費用、コンピュータシステムの復旧費用、状況説明や謝罪のための社告・記者会見の費用、法律相談の費用、クレジットカードの不正使用を監視するモニタリング費用などが並びます。

    2つ目が、損害賠償責任です。
    サイバー攻撃によって顧客や取引先に損害を与え、賠償責任を負った場合の賠償金と、訴訟や弁護士の費用です。

    3つ目が、利益損害と営業継続費用です。
    システムが止まって事業が中断し、得られるはずだった利益を失った場合の損失や、営業を続けるために追加で支出した費用が対象になります。

    ここで1つ注意があります。
    3つ目の利益損害は、損保ジャパン、東京海上日動、三井住友海上のいずれもオプション、つまり特約の扱いです。
    基本の補償に自動的に含まれているわけではありません。
    「システムが止まった間の売上を補償してくれる」と思い込んでいると、契約内容によっては対象外だった、ということが起こります。

    身代金は補償されない

    ここは誤解が多いところなので、はっきり書きます。

    ランサムウェアで身代金を要求され、それを支払った場合、その身代金はサイバー保険では補償されません。

    損保ジャパンの公式サイトには「ただし、サイバー攻撃などの実行者に支払う身代金は含みません」と明記されています。
    日本損害保険協会も「ランサムウェアの被害によって支払った身代金はサイバー保険の対象になりません」と書いています。

    もう一点、書き方として正確を期すと、身代金は「免責事由として除外されている」というより、「そもそも補償の対象として定義されていない」という形で書かれていることが多いです。
    約款の免責条項を探しても見つからないのは、補償内容の説明のほうに書いてあるからです。

    保険がカバーするのは、あくまで事故が起きたあとの対応費用、賠償、利益の損失です。
    犯罪者への支払いそのものではありません。

    なぜ今、サイバー保険が話題になるのか

    背景には、被害額の実態があります。

    警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和7年のランサムウェアの被害報告件数は226件でした。
    令和6年は222件で、依然として高い水準です。

    金額のほうがより深刻です。
    復旧に1,000万円以上を要した組織の割合は、令和6年に37パーセントから50パーセントへ増え、令和7年上半期の統計では50パーセントから59パーセントへとさらに上がっています。
    令和7年の通年統計では「5割を超えている」と記載されています。

    被害に遭っているのは大企業だけではありません。
    警察庁が令和8年1月に作成した対策リーフレットによると、被害企業の内訳は中小企業が66.4パーセント、大企業が30.2パーセント、団体等が3.4パーセントです。
    3分の2が中小企業です。

    侵入経路も同じリーフレットに出ています。
    VPN機器経由が62.2パーセント、リモートデスクトップ経由が22.2パーセント、その他が15.6パーセント。
    この2つで8割を超えます。
    さらに、VPN機器の最新パッチを適用していなかった組織が52パーセントでした。

    身代金を払わなくなった代わりに残るもの

    一方で、身代金を支払う企業は減っています。

    JIPDEC（日本情報経済社会推進協会）とITRが実施した「企業IT利活用動向調査2026」の報告書には、「身代金支払い率は2024年調査の57.0パーセントから2026年調査では43.8パーセントへと3年連続で低下しており」と書かれています。
    この調査は2026年1月に実施され、従業員50名以上の国内企業1,107件から回答を得たものです。

    この数字を読むときの注意を1つ。
    これは国内企業への自己申告アンケートで、分母はランサムウェアに感染した企業です。
    海外のセキュリティベンダーが実際の交渉案件をもとに算出している支払い率は20パーセント台で、水準がかなり違います。
    調査の性質が違うので、そのまま比べることはできません。

    いずれにせよ、払わない方向に動いているのは確かです。
    そして払わないということは、復旧費用と事業停止の損失がそのまま自社に残るということでもあります。
    ここを埋める手段として保険が見直されている、というのが今の構図です。

    日本の加入率は、上がっているとは言い切れない

    日本企業のサイバー保険の加入率は高くありません。

    日本損害保険協会が2020年に実施した「サイバーリスク意識・対策実態調査」では、加入率は全体で7.8パーセントでした。
    大企業が9.8パーセント、中小企業が6.7パーセントです。

    比較対象としてよく引かれるのが米国の47パーセントという数字です。
    これは米国会計検査院の報告書（GAO-21-477、2021年5月）に出てくる数値で、大手保険ブローカー1社の既存顧客のうち補償を選んだ割合、いわゆるテイクアップ率です。
    2016年の26パーセントから2020年に47パーセントへ上がったとされています。

    ただし、日本の7.8パーセントは全国の企業へのアンケート、米国の47パーセントはブローカー顧客の中での選択率で、測定の仕方がまったく違います。
    「日本は米国の6分の1」といった単純な比較は、あまり意味がありません。

    そして、日本の中小企業の加入率が順調に伸びているかというと、そうでもありません。
    日本損害保険協会の「中小企業におけるリスク意識・対策実態調査」の推移はこうです。
    2023年が6.9パーセント、2024年が10.0パーセント、2025年が8.8パーセント。
    上がったり下がったりしています。
    2025年の調査は同年8月末に実施され、12月11日に公表されたもので、これが2026年9月時点で最新です。

    「加入率が右肩上がりで伸びている」という説明を見かけたら、元のデータを確認したほうがよさそうです。

    保険料はどう決まるのか

    保険料を左右する要素は複数あります。
    東京海上日動は「保険料は、売上高を基準に算出され、業種、支払限度額、免責金額などによって決定します」と説明しています。

    整理すると、次のようになります。

    • 動かしにくい要素：業種、売上規模、従業員数、保有する個人情報の件数、過去のインシデント履歴

    • 自社で調整できる要素：補償限度額、免責金額（自己負担額）、セキュリティ対策の実施状況、第三者認証の取得状況

    実際の保険料の例

    保険会社が公式に出している例を挙げます。

    損保ジャパンの公式サイトには、売上高5億円の企業の月額保険料として、建設業6,460円、製造業7,180円、小売業9,880円という例が載っています。
    年額に直すとおよそ8万円から12万円です。
    ただしこの例には「記載の保険料は、任意でご申告いただくセキュリティ対策について、申告項目の半分程度行われている想定です」という前提が付いています。

    東京海上日動の公式サイトには、年間売上高100億円の企業の例として、教育機関で約176万円、インターネット小売・通信販売事業者等で約166万円という数字が出ています。
    こちらは各種の割増引を適用する前の標準的なケースです。

    ここで強調しておきたいのは、業種による差が非常に大きいことです。
    同じ売上5億円でも、扱う個人情報の量が多い業種やITサービス業では、保険料が製造業の十数倍になる例もあります。
    「売上規模で決まる」と理解していると、見積もりを取ったときに驚くことになります。

    セキュリティ対策が保険料を下げる

    ここがこの記事でいちばん実利のある部分かもしれません。

    損保ジャパンの公式サイトには「保険料最大60パーセント割引」という記載があります。
    東京海上日動が引き受けている制度型のサイバー保険のパンフレットには、団体割引20パーセントとリスク評価割引最大60パーセントを合わせて「最大約68パーセント割引」とあります。

    つまり、セキュリティ対策の実施状況によって、保険料は倍以上変わります。

    具体的にどの対策がどれだけ効くのか。
    総務省が2018年2月に公開した資料には、ISMS認証の取得で保険料割引60パーセント、プライバシーマークで35パーセント、IPAのSECURITY ACTION二つ星で最大30パーセントという例が挙げられています。
    ただしこれは8年以上前の資料なので、現在も同じ割引率かどうかは分かりません。
    認証の取得が割引の対象になり得る、という程度に受け取ってください。

    なお、保険会社の公式ページが名前を挙げて割引の材料としているのは、ISMSやプライバシーマークといった第三者認証です。
    多要素認証やEDR、バックアップは、告知書が問う「技術的対策」の中で評価されると考えられますが、個別の項目名までは公開されていません。

    いずれにせよ、対策と保険はどちらかを選ぶものではありません。
    対策を進めるほど保険料が下がるという、補完の関係にあります。

    保険金が支払われる場面、支払われない場面

    想定事故例で見る金額の規模

    損保各社は「想定事故例」として、どのような場面でいくら支払われるかの試算を公開しています。
    各社が金額つきで出しているのは、いずれもこの想定事例の形です。
    以下も、実際の支払実績ではなく保険会社の試算として読んでください。

    損保ジャパンが公開している例では、売上高約5億円の教育支援事業者が、教育コンテンツ配信用のクラウドサービスに不正アクセスを受け、100万人規模の情報が流出したケースで、想定される保険金の合計が約5億4,100万円と試算されています。

    内訳を見ると、個人情報漏えいについての賠償金が1,000万円、見舞金が5億円、調査費用が1,000万円、ネットワーク復旧費用が100万円、コールセンター設置費用が1,000万円です。

    賠償金1,000万円に対して見舞金5億円という比率は、一見おかしく見えます。
    私も最初に見たときは金額の取り違えを疑いました。
    ただ計算してみると、100万人に1人あたり500円の見舞金を配ると5億円です。
    日本の実務では、漏えいした人数に比例して見舞金が積み上がる一方、損害賠償請求は実際に請求に至った一部の人に限られます。
    この逆転は構造的に起こります。

    つまり、情報漏えいの金銭的インパクトは、賠償金より「頭数 × 見舞金」で決まる、ということです。

    支払われない・減額される場合

    損保ジャパンの約款などで確認できた主な免責事由は次のとおりです。

    • 戦争、外国の武力行使、革命、内乱、暴動などに起因する損害賠償請求

    • 税金、罰金、科料、過料、課徴金。これらはそもそも「法律上の損害賠償金」に含まれません

    • 保険期間の開始日より前に、被保険者が損害賠償請求を受けるおそれのある状況を知っていた場合

    • 遡及日より前に行われた行為に起因する一連の損害賠償請求

    • 経済制裁の対象となる場合。国連決議や各国の経済措置により、保険金の支払いが制限されることがあります

    • 身代金。前述のとおり、補償の対象として定義されていません

    ひとつ、よく言われるわりに約款に書かれていない話があります。
    「既知の脆弱性を放置していたことによる損害は対象外」という説明です。
    損保ジャパンの約款集、三井住友海上のパンフレット、東京海上日動の制度パンフレットのいずれにも、これを免責事由とする条項はありません。
    もちろん脆弱性の放置が告知の内容や引受の判断に響く可能性はありますが、それは免責事由とは別の話です。

    もうひとつ、「事故が起きたときの通知を怠ると保険金が支払われない」という説明もよく見かけます。
    損保ジャパンの約款は、実際にはこう定めています。

    「保険契約者または被保険者が、正当な理由なく通知を行わない場合は、当会社は、それによって当会社が被った損害の額を差し引いて、損害をてん補します」

    つまり、全額不払いではなく減額です。
    東京海上日動の制度パンフレットにも「通知義務違反時の保険金削減」とあります。
    もちろん減額されないに越したことはありませんが、「通知を忘れたら一円も出ない」というのは正確ではありません。

    PR

    いちばん重い落とし穴は、契約のときにある

    事故が起きたあとの話より、契約するときのほうが危ういかもしれません。
    告知義務違反です。

    三井住友海上の公式資料には、こう書かれています。

    「故意または重大な過失によって、告知がなかった場合や告知した事項が事実と異なる場合には、ご契約を解除し、保険金をお支払いできないことがあります。」

    東京海上日動の公式ページにも同旨の記載があります。
    損保ジャパンの約款第9条も、故意または重大な過失によって事実を告げなかった場合、または事実と異なることを告げた場合に、契約を解除できると定めています。

    サイバー保険の申込時には、セキュリティ対策の実施状況を申告します。
    総務省の資料によれば、告知書は人的対策、組織的対策、物理的対策、技術的対策という分野にわたる設問で構成されています。
    実際に使われている様式の一例では、必須28問と任意14問が並んでいます。
    設問の中身と、その回答が保険料にどう跳ね返るかは、別の記事で扱っています。

    ここで起こりがちなのが、保険料を下げたくて、実施していない対策を「実施している」と申告してしまうことです。
    前述のとおり割引率は最大60パーセント前後と大きいので、動機は十分にあります。
    しかしこれをやると、いざ事故が起きたときに契約を解除され、保険そのものが機能しません。
    保険料を半分にするために、保険金をゼロにするようなものです。

    ただし、いくつか救いもあります。
    要件は「故意または重大な過失」なので、単なる記載ミスのような軽い過失では解除されません。
    また損保ジャパンの約款には、告知の内容が危険に関係ない場合、保険会社が事実を知ってから1か月が経過した場合、契約締結から5年が経過した場合には解除できない、という定めもあります。

    正直に申告すると保険料は上がります。
    でもそれは、自社の対策がその水準だという事実の値段です。
    安く見せたければ、申告を偽るのではなく、対策のほうを上げるのが筋になります。

    加入すべきかを判断する軸

    次のような条件に当てはまるなら、検討する価値があります。

    • 顧客の個人情報やクレジットカード情報など、漏えいすると見舞金が人数分積み上がる情報を扱っている

    • テレワークやクラウドサービスの利用が広がり、社外からのアクセス経路が増えている。とくにVPN機器を使っている場合、警察庁の統計では侵入経路の6割以上がここです

    • 取引先とシステムやネットワークで連携しており、自社が原因で取引先に被害を及ぼす可能性がある

    • 想定される被害額が、自社のキャッシュフローで吸収しきれない規模になり得る

    逆に、機微な情報をほとんど扱わず、外部とのシステム連携もない小規模な事業者であれば、優先度は相対的に下がります。

    加入前のチェックリスト

    • 自社が扱う情報の種類と件数を洗い出す。とくに「何人分か」は、見舞金の規模に直結します

    • 複数の保険会社から見積もりを取り、補償内容、免責金額、支払限度額を比較する

    • 利益損害の補償が特約になっていないか、必要なら付けるかを確認する

    • 告知事項について、実態を正確に申告できる状態にしておく

    • 加入前に、保険料が下がりやすい対策から先に着手する。認証の取得や、告知書で問われる技術的対策がこれにあたります

    • 免責事由を約款で確認する。とくに遡及日の設定と、経済制裁条項は見落としやすい部分です

    保険金の請求にも要る、被害が出た朝の記録と報告の手順を、別の記事で配っています。
    時間帯ごとのフローと、書式6種をまとめています。

    2026年9月時点の最新状況

    保険商品の側にも動きがあります。

    東京海上日動は2026年6月8日、「サプライチェーンサイバーリスク対策強化プログラム」の提供を発表しました。
    委託先のリスクを外部から可視化するASMツールと、経済産業省のSCS評価制度への適合性診断、脆弱性診断、CSIRT構築支援などを、保険とパッケージで提供するものです。
    委託元だけでなく、中堅・中小を含む委託先も対象になっています。
    保険が「事故のあとにお金を出すもの」から、「事故の前に対策を組み込むもの」へ寄ってきている動きと読めます。

    損保ジャパンは2026年8月4日、船舶向けのサイバー保険で業界初となる新しい補償を発表しました。
    電波干渉によって入港禁止や拘留、出港延期といった処分を受けた場合の逸失利益を補償するもので、物理的な損害がない運航停止をカバーします。
    付帯には、日本海事協会の船員向けサイバーセキュリティ教育プログラムの受講が条件になっています。

    また2026年5月11日には、業務委託先へのサイバー攻撃被害について、損保各社が相次いでリリースを出しています。
    自社が守りを固めても、委託先経由で影響を受ける構図が現実になっているということです。

    まとめ

    • サイバー保険の補償は、事故対応費用、損害賠償責任、利益損害の3つに整理される。ただし利益損害は各社ともオプション扱いなので、契約内容の確認が要る

    • ランサムウェアの身代金は補償されない。免責事由として除外されているというより、そもそも補償の定義に入っていない

    • 被害の3分の2は中小企業。侵入経路はVPN機器が62.2パーセント、そのうち52パーセントが最新パッチ未適用（警察庁、令和8年1月）

    • 復旧に1,000万円以上かかった組織は、令和6年に50パーセント、令和7年上半期には59パーセント

    • 情報漏えいの金銭的インパクトは、賠償金より「人数 × 見舞金」で決まる。100万人規模なら見舞金だけで5億円という試算が公表されている

    • 保険料はセキュリティ対策の状況で最大60パーセント前後変わる。対策と保険は補完関係にある

    • いちばん重い落とし穴は告知義務違反。契約を解除され、保険金が支払われない可能性がある。ただし要件は「故意または重大な過失」で、軽い記載ミスでは解除されない

    • 事故発生時の通知義務違反は、全額不払いではなく減額

    自社の対策状況を正直に申告できるかどうかが、この保険が機能するかどうかを決めます。
    皆さんの会社は、告知書の技術的対策の欄を、いま埋められる状態にありますか。

    参考・引用元

    実務で使う書式について

    この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
    規程のひな形、対応フロー、チェックシート、報告書式などです。

    実務で使う書式・キット
    https://note.com/yunta_fukurou/m/mfc25857fab40

    関連する記事

    ランサムウェアの被害が実際にどう起きるかは、別の記事で扱っています。
    NASを狙った攻撃と、メーカーが挙げている対策をまとめています。
    https://note.com/yunta_fukurou/n/n3da1f48b059c

    事故が起きたときの報告義務は、2026年の法改正で変わりました。
    改正個人情報保護法とサイバー対処能力強化法を、別の記事で扱っています。
    https://note.com/yunta_fukurou/n/n8144638b8dec

    取引先から対策状況を問われる場面で使われる評価の仕組みは、こちらで扱っています。
    SCS評価制度の星の数の意味と、必要な対応をまとめています。
    https://note.com/yunta_fukurou/n/n5d7f3ef6199f

    保険に入っていなかった会社が、どこで費用に直面するかは、別の記事で扱っています。
    ランサムウェアに感染したあとの3日間を追い、調査費用と逸失利益の目安をまとめています。
    https://note.com/yunta_fukurou/n/n10bc6d66e71e

    見積もりの段階で何を聞かれるかは、こちらで扱っています。
    保険料を決める3つと、質問書の必須28問・任意14問の中身、告知を誤ったときに何が起きるかをまとめています。
    https://note.com/yunta_fukurou/n/n7d055d350f79

    この記事で触れた攻撃の手口と技術的な対策については、別の記事にまとめています。

    https://note.com/yunta_fukurou/n/n888367434664

     
     

    梟 〜GLEANINGS〜

     
     
    Digital Workplace Architect｜社内外のIT・AIの導入と運用 IT・AI・セキュリティと周辺機器の「今さら聞けない」を一次情報で解説。書式・キットも。 Amazonのアソシエイトとして、梟 〜GLEANINGS〜は適格販売により収入を得ています。

    あなたへのおすすめ