中小企業のサイバー保険入門｜補償範囲・費用相場・申請実態から選ぶ情シス実践ガイド

「サイバー保険に入るべきか？」——インシデントのニュースを見るたびに検討しながら、「うちの規模には早いかも」と後回しにしていませんか。

実際、中小企業を狙ったランサムウェア被害の復旧費用は数百万円から数千万円に達することが珍しくなく、場合によっては事業継続そのものを左右します。サイバー保険は万が一の損害を補填する「最後の防衛ライン」ですが、補償範囲の誤解や加入要件の不備で、いざというときに保険金が支払われないケースも起きています。

この記事では、中小企業の情シス担当者に向けて、サイバー保険の仕組み・補償範囲の落とし穴・費用相場・保険会社の選び方・申請時の注意点を解説します。加入前に整えておくべきセキュリティ対策のチェックリストも掲載しています。

サイバー保険とは？中小企業に必要な理由

サイバー保険（Cyber Insurance）とは、サイバー攻撃や情報漏洩などの被害を受けた際の損害を補填する損害保険です。物損・火災・賠償といった従来の保険でカバーできないデジタル資産の損害やインシデント対応費用を補償します。

中小企業がサイバー保険を検討すべき理由は3点あります。

・被害コストの急騰: パロアルトネットワークスの2026年調査では、国内企業のランサムウェア被害の平均損害額は数億円規模に達するケースも報告されています。中小企業でも数百万円規模の復旧費用が現実です。
・賠償リスクの増大: 顧客情報を漏洩させると、被害者への通知費用・弁護士費用・損害賠償が発生します。個人情報保護法の改正により、企業の法的責任が年々厳格化されています。
・インシデント対応のリソース不足: 情シス1人体制の企業では、フォレンジック調査・広報対応・法律相談を自力でこなすのは困難です。保険に付帯するインシデント対応支援は、実質的に「外部専門チームの即時動員」を意味します。

主な補償範囲と「補償されない落とし穴」

補償される主なリスク

国内のサイバー保険が一般的にカバーする範囲は以下の通りです。

【注意】補償対象外になりやすいケース

保険金が支払われなかった事例で多いのが以下のパターンです。加入前に必ず約款を確認してください。

・セキュリティ対策の申告と実態の乖離: 申込時に「MFA導入済み」「パッチ適用済み」と申告した状態が実際と異なる場合、免責になることがあります。
・内部不正・従業員の故意: 従業員によるデータ持ち出しや故意の破壊行為は多くの保険で対象外です。別途「内部不正補償」オプションが必要になります。
・既知の脆弱性を放置していた場合: パッチが公開されているにもかかわらず未適用で侵害された場合、「重大な過失」として免責適用の判断が下ることがあります。
・戦争・国家関与のサイバー攻撃: 国家主導のサイバー攻撃（ネーション・ステート・アクター）は、戦争免責条項で補償対象外とする保険があります。契約前に確認が必要です。
・事前承認なしのインシデント対応費用: 攻撃発覚後、保険会社に連絡する前に独自で業者を手配した費用は補償されないケースがあります。

中小企業向けサイバー保険の費用相場

保険料は「従業員数・売上高・扱う個人情報量・補償限度額」によって大きく変わります。以下はあくまでも目安です。

個人情報を大量に扱う医療・小売・EC事業では、同規模でも保険料が1.5倍～2倍になることがあります。MFAの導入状況・エンドポイントセキュリティの有無・バックアップ体制などを申込時に詳細申告するプロセスがあり、対策が充実しているほど保険料が下がる傾向があります。

保険会社の選び方・3つの比較ポイント

1. 補償範囲と免責事項を細かく確認する

「補償範囲が広い」と聞いて選んだものの、免責事項が多くて実際の被害はカバーされなかった——という事態を避けるには、以下を契約前に必ず確認してください。

・事業中断損失の待機時間: 攻撃発覚から何時間後から損失補償が始まるかを確認します。一般的には8時間程度ですが、12時間以上の場合は注意が必要です。
・身代金交渉・支払いの扱い: 交渉費用のみ補償するか、支払い自体も補償するかを確認します。不明点は保険会社に書面で確認してください。
・クラウドサービス障害の扱い: AWSやMicrosoft 365の障害に起因するインシデントが補償対象かどうかを確認します。

2. インシデント対応支援の質を見極める

補償金額と同等以上に重要なのが、インシデント発生時に動ける「支援チームの質」です。

・24時間対応の専用ホットライン: 平日昼間しか連絡できない保険では、夜間・休日の攻撃発覚時に初動が大幅に遅れます。
・フォレンジック業者との提携: 提携業者のリストを事前に確認し、国内対応実績があるかを調べておきます。
・法律事務所・広報会社の提携: インシデント後の法的対応や顧客への説明対応は、提携事務所の質が復旧速度を左右します。

3. セキュリティ対策要件を事前に把握する

多くの保険会社は加入条件として「最低限のセキュリティ対策」を求めています。代表的な要件は以下の通りです。

・MFA（多要素認証）の導入（特に管理者アカウント・VPNアクセス）
・定期的なバックアップの実施と、バックアップのオフライン保管
・エンドポイントセキュリティ（EDRまたはEPP）の全端末導入
・OSおよびミドルウェアへの月次パッチ適用
・重要データへのアクセス制御（最小権限の原則）

これらを満たしていない場合、引受拒否または保険料が大幅に高くなります。

加入前に整えておくべきセキュリティ対策チェックリスト

保険加入を「目的」ではなく「結果」として捉え、まず基本対策を整えることが先決です。加入審査でも問われる重要項目を一覧にしました。

Linuxサーバーを運用している場合のセキュリティ強化については、姉妹サイトLinuxMaster.JPで実践的な設定ガイドを公開しています。

申請時のリアル｜保険金支払いまでの流れ

実際に保険を申請する場面を事前に把握しておくことで、インシデント時の混乱を最小化できます。

1. 発覚・初動（0～24時間）

インシデントを発覚した時点で、まず保険会社の緊急ホットラインへ連絡します。この連絡前に外部業者を独自手配すると、その費用が補償対象外になる可能性があります。インシデント対応手順書に「保険会社への連絡が最優先」と明記しておくことが重要です。

2. フォレンジック調査（数日～数週間）

保険会社が提携するフォレンジック業者が侵害経路・被害範囲・漏洩データを調査します。調査期間中は攻撃を受けたシステムを保全し、証拠隠滅にあたる操作をしないことが求められます。フォレンジックレポートが保険金算定の基礎となります。

3. 保険金算定・支払い（調査完了後1～3ヵ月）

調査レポートと費用明細を保険会社に提出し、審査を経て保険金が支払われます。免責事由の確認が入るため、申告内容と実態に差異があると支払い拒否や減額の対象になります。

よくある誤解と注意点

・「保険に入れば対策しなくていい」は危険: 保険はあくまでも事後の損害補填です。インシデント発生後の精神的・業務的ダメージは保険では補えません。予防対策と保険は車の両輪と考えてください。
・「安い保険でいい」は後悔のもと: 補償限度額が低い保険や、インシデント対応支援のない保険は、実際の被害額をカバーできないことが多いです。保険料よりも「支援の質と補償の実効性」を優先する視点が重要です。
・「申請すれば全額出る」は甘い認識: 免責事由・控除・上限額のいずれかで全額支払われないケースが多数あります。約款の不明点は代理店や保険会社に書面で確認してください。
・保険料はセキュリティ対策の指標になる: 保険料が高い＝自社のセキュリティ対策が不十分というシグナルでもあります。対策を改善して再見積もりを取ることで、コスト削減と安全性向上が同時に実現できます。
・「100%カバー」する保険は存在しない: 「絶対に補償される」と断言する代理店には注意が必要です。約款の内容を自分で確認する姿勢が不可欠です。

本記事のまとめ