サイバー保険のカバー範囲と落とし穴

公開日：2025年10月　カテゴリ：中小企業向け実践ガイド

「サイバー保険に入っていれば安心」――そんな空気が広がっていますが、実は“保険は運用の代替になりません”。
被害額の一部を補填してくれるのは事実。でも、支払われないケースや免責・上限が原因で赤字になる企業は少なくありません。

本記事では、中小企業が押さえておくべきカバー範囲／支払い条件／よくある落とし穴を整理し、実務で使えるチェックリストと選び方のコツを提供します。

1. サイバー保険で一般的にカバーされるもの

商品名や約款は各社で異なりますが、多くの保険で共通する“カバー対象”は次のとおりです。

• 事故対応費用：デジタル・フォレンジクス、原因調査、復旧支援、外部CSIRT支援
• 通知・見舞金関連：個人情報漏えい時の通知費用、コールセンター、見舞金・お詫び品
• 第三者賠償：取引先・顧客からの損害賠償請求への対応（示談・弁護士費用含む）
• 営業停止による逸失利益：一定期間の売上減少を補填（支払基準・上限あり）
• 身代金・恐喝対応費用：ランサム要求への対応費（支払可否や条件は要確認）
• 広報・ブランド回復：危機管理PR、メディア対応、サイト告知対応など

2. 逆に“対象外”になりがちなもの

ここを誤解すると「入っていたのに払われない」悲劇が起こります。

• 重大な過失：初期パスワード未変更、MFA未実装、EOL製品の長期放置など
• 契約外システム：約款上の「補償対象外ネットワーク／端末」
• 物理的損壊：サーバの物理破損・自然災害（別保険領域）
• 罰金・制裁金：公的ペナルティは対象外のことが多い
• 経年劣化・設計不良：ソフト/ハードの欠陥そのものは対象外になりがち
• 継続的な運用コスト：恒常的な監視費用や人件費

結論：「基本対策をサボると免責」になりやすい。保険は“安全運転を続ける会社”を守る仕組みです。

3. 典型的な事故パターンと支払イメージ

ケース	主な費用項目	支払の傾向	落とし穴
ランサムウェアで暗号化	原因調査、復旧、逸失利益、PR	調査・復旧は支払対象が多い	バックアップ不備・MFA未導入で減額/免責
誤送信による漏えい	通知、コールセンター、見舞金	人的過失は対象のことが多い	対象人数・単価の上限で不足しがち
取引先への二次被害	賠償金、弁護士費用	第三者賠償条項がカギ	契約上の賠償限度額を超過し赤字

4. 契約前に必ずチェックすべき8項目

1. 免責条項：「MFA未設定」「脆弱性放置」などの免責条件を全文確認
2. 支払上限：対物／対人／通知費／逸失利益など項目別の上限額
3. 待機期間：営業損害が出ても「支払開始までの日数」
4. インシデント定義：保険会社が“事故”と認める条件
5. 対象範囲：自社・委託先・クラウドのどこまでをカバーか
6. 事前の最低要件：MFA、バックアップ、パッチ適用、教育の有無
7. 駆けつけ支援体制：24/365の一次受け・初動のSLA（何分以内？）
8. 更新時の条件変更：支払発生後の翌年、条件が厳しくならないか

5. “保険で赤字”にならないための補償設計

補償金額は「最大損失額の想定」から逆算します。ざっくり算出フレームは以下。

• 売上損失：平均日商 × 復旧に要する日数（待機期間を考慮）
• 通知・見舞金：顧客・社員数 × 単価（封書/コール/見舞金）
• 外部対応費：フォレンジクス・PR・弁護士の想定工数
• 第三者賠償：主な取引先の要求規定や契約条項

加えて、バックアップ復旧力（RTO/RPO）で必要な「営業損害」の上限を圧縮できます。
つまり、技術的対策の強化は“保険料の最適化”にも効くのです。

6. よくある“落とし穴”トップ5

1. 約款を読んでいない：免責・上限・待機期間を知らずに想定外の自己負担
2. 委託先のミスがカバー外：委託先管理条項やクラウドの責任分界を未確認
3. 年1回の見直しをしない：従業員数・顧客数が増えても補償額が昔のまま
4. 事故受付の一本化がない：夜間に誰が通報するのか決めていない
5. 基本対策を怠る：MFAなし・脆弱性放置で減額や不払いのリスク

7. 実装と運用：保険は“最後のネット”、土台はコントロール

保険の前提として、次の最低4点セットは必須です。

• MFAの全社適用：特に管理者・VPN・外部公開システム
• バックアップ＆リストア演習：年2回の実復旧テスト
• パッチ運用：OS/ミドル/クラウド設定の定期点検
• 教育と演習：年1回の研修＋擬似フィッシング

これらは保険の支払い条件を満たす意味でも、実被害を小さくする意味でも両方効きます。

8. ベンダー選定のポイント（見積依頼時に訊くべきこと）

• 初動SLA（受付〜専門家着手までの時間）
• 事故時に利用できる提携フォレンジクス企業の有無と実績
• 身代金対応の方針（支払可否・条件・法的チェック体制）
• 通知費・見舞金の単価設定と上限、対象人数の扱い
• 第三者賠償の範囲（委託先／下請け起因の取り扱い）
• クラウド/SaaS利用時の補償（マルチテナント事故の扱い）

9. 料金相場の目安（中小企業イメージ）

実務感覚のレンジ感（参考）：

• 従業員30〜50名・顧客5,000件規模：年額30〜120万円（補償1,000万〜5,000万円）
• 従業員100〜200名・顧客2〜5万件：年額80〜300万円（補償5,000万〜1億円）

※ リスクプロファイル（業種・取扱データ・体制）により大きく変動します。

10. 事故時の“実動”フロー（テンプレ）

1. 社内通報・保険窓口へ連絡（受付番号を取得）
2. 初動の隔離（ネット遮断／EDR隔離）、ログ保全
3. 社内対策本部の設置（役割分担：技術・法務・広報・営業）
4. 外部CSIRT/フォレンジクスの受け入れ準備
5. 関係者・顧客へのフェーズ配信（誤情報の拡散防止）
6. 復旧後の再発防止計画と経営報告

まとめ：保険は“逃げ道”ではなく“立て直しの資金”

サイバー保険は、被害をゼロにする魔法ではありません。
重要なのは、基本対策で被害を小さくし、保険で“立て直す”という設計思想。

補償額と免責を正しく設計し、事故時の連絡・初動フローまでセットで整えておきましょう。
それが、最短で事業を守るための現実的な方法です。

その他SNSでも
様々な情報をお届けしていますので
ぜひチェックしてください！↓