サイバー保険は"入れば安心"ではない ── 損害保険の基礎とグローバル概況【CySec復習ログ 3IN#5】

Last updated at 2026-11-11Posted at 2026-10-27

はじめに

少し前の私は、サイバー保険を「入っておけば、いざというとき守ってもらえるお守り」くらいに考えていました。ランサムウェアに暗号化されても、個人情報を漏らしても、保険に入ってさえいれば損害は保険会社が埋めてくれる。だから技術的な対策は「保険でカバーできない範囲を埋めるための、ほどほどの努力」でよい ── どこかでそう思っていた気がします。

その思い込みが崩れたのは、サイバー保険を「作る側」の話を聞いたときでした。講義では、国内でサイバー保険が本格的に立ち上がったのは2015年ごろと紹介されました。まだ歴史の浅い商品です。その業界の当事者(保険会社側)から学んで分かったのは、次のような現実でした。保険金は思ったほど簡単には下りません。「サイバー攻撃を受けた」という立証(フォレンジック調査)の壁があります。身代金は日本では原則として補償されません。戦争や国家が支援した攻撃は免責されることがあります。そもそも保険は、リスクをゼロにする道具ではなく、ゼロにできなかった残りのリスクを、お金の面だけ肩代わりしてもらう「移転」の手段にすぎません。

サイバー保険は「入れば安心」の免罪符ではなかったのです。

この記事は、CySec(東京電機大学が提供する社会人向けのサイバーセキュリティ教育プログラム「国際化サイバーセキュリティ学特別コース」)で学んだ内容を、自分の言葉で再構成した復習ログです。今回は、損害保険の基礎と、サイバー保険のグローバル概況・国内の現在地を扱った回を、開発者・運用者の視点で整理し直します。「3IN」はこの復習ログのシリーズ名で、番号は通し番号です(講義の回数とは一致しません)。

想定読者は、少し前の私と同じように「サイバー保険は入っておけば守ってもらえる」くらいに考えていた開発者・情シス担当・運用者です。保険の細かい約款の話ではなく、「保険で何ができて、何ができないのか」「それが自分たちの開発・運用にどうつながるのか」を地図として持ち帰ってもらうことを狙います。

この記事の軸を、先に1行と5点(TL;DR)でまとめておきます。本文はこれをほどいていく形です。

サイバー保険は「入れば安心」の免罪符ではありません。リスク移転は、リスク対応(回避・低減・保有・移転)の"最後の一手"にすぎず、保険金は立証の壁・免責・対象外(身代金・戦争)で簡単には下りません。だから、保険に入っても、開発・運用でやるべきことは1ミリも減りません。

サイバー保険は「リスク移転」。 回避・低減・保有でどうしても消せない残りのリスクを、お金の面だけ肩代わりしてもらう最後の手段です。対策の代わりにはなりません。
補償の3本柱は「損害賠償責任・事故対応費用・利益損害」。 ただし身代金・行政上の罰金・失った信用そのものは、日本では対象外が一般的で、海外とは守備範囲が違います。
保険金は簡単には下りない。 「サイバー攻撃を受けた」ことをフォレンジックで立証する壁があり、しかも侵害の6割近くは外部から気づかされるのが現実です(M-Trends 2025)。
市場は米国中心。 世界のサイバー保険料の約7割を北米が占め、米国の「漏えい→訴訟」文化が普及を牽引してきました。日本は中小企業の加入率10.0%とまだ低く、改正個人情報保護法やSCS評価制度が地図を変えつつあります。
保険の真価は「お金」より「動線」。ただし動線を活かすのは平時の備え。 保険金が下りること以上に、初動を速め・専門家につなぎ・稟議で止まらない"動線"が効きます。とはいえ身代金・戦争/国家支援免責・立証困難という限界がある以上、保険は「攻撃されても事業が続く」ための備えの一部です。攻撃を防ぐ道具ではなく、その手前の守りはいつも技術側の仕事です。

なお、はじめに2つおことわりします。本記事は法的助言でも保険の勧誘でもありません。 保険商品の内容・特約・支払限度額は保険会社や時期によって大きく異なるため、実際の判断は必ず約款と専門家に当たってください。そして 数値・制度・判例は執筆時点(2026年7月現在)の一次情報で確認・最新化し、確認しきれなかったものや講義の口頭補足は「講義では〜と紹介された」と帰属を明示しています。特に市場規模・制度の開始時期は動きが速いので、末尾の一次情報もあわせてご確認ください。私自身まだ学習中の身なので、間違いがあれば指摘していただけると助かります。

サイバー保険とは何か ── リスク対応4分類の「移転」

まず、保険がリスクマネジメントの中でどこに位置するのかを押さえます。ここがずれると、「保険に入る=対策した」という勘違いが生まれます。

情報セキュリティのリスク対応は、次の4つに分類されることがよくあります。CISSP 系の教材などで使われる整理です。なお ISO 31000:2018 はリスク対応の選択肢をもっと細かく挙げており、保険はそこでは「リスクの共有」に含まれます。

対応	意味	例
回避	リスクの源そのものをやめる	その事業・機能を持たない、その技術を使わない
低減	発生確率や影響を下げる	脆弱性対応、認証強化、暗号化、バックアップ
保有	リスクを受け入れる	影響が小さいものを許容範囲として受容する
移転	第三者に肩代わりさせる	保険への加入、契約による責任分担

サイバー保険は、このうち最後の行の 「移転」 に当たります。ここで大事なのは、移転が 最後に出てくる選択肢 だという点です。まず回避できるものは回避し、低減できるものは低減し、それでも残ってしまうリスク(残余リスク)のうち、「保有(自分で受け止める)」には重すぎるものを、お金の面だけ保険会社に引き受けてもらう ── これが保険の位置づけです。

裏を返すと、保険に入っても、その手前の「低減」(脆弱性対応・認証・暗号化・バックアップ)がなくなるわけではありません。 保険は、火を消す消火器ではなく、家が燃えたときの火災保険です。消火器を捨てて火災保険だけ手厚くする人はいません。サイバーも同じで、保険は「低減をやり切ってなお残るリスク」の受け皿であって、低減の代わりにはならないのです。

では、技術者はどのレバーを握っているのか。 リスク対応4分類のうち、私たちが手を動かして効かせられるのは、ほとんどが「低減」です。保険(移転)は経営・法務・リスク管理の領域で、技術者が直接握るレバーではありません。だからこそ、「保険があるから、この脆弱性対応は後回しでいい」という発想は本末転倒です。ISO 31000 の枠組みで見たリスク対応の選択肢(そこでは保険は「共有」として出てきます)は、ISMSの歴史と2022年の大改定 ── ISO 31000 とリスクマネジメント【CySec復習ログ】で扱っています。あわせて読むと「保険はリスク対応の一手」という位置づけが立体的になります。

2026年11月12日追記: 公開時はリスク対応の4分類を「ISO 31000 などで整理される考え方」と書き、関連記事の説明でも CySec#2 を「4分類(回避・低減・保有・移転)の土台」と紹介していましたが、4分類は CISSP 系の整理で、ISO 31000 では保険は「共有」に入ります。該当箇所を直しました。

何が補償され、何が補償されないのか ── 3つの柱と海外との差

では、サイバー保険は具体的に何を補償するのでしょうか。国内のサイバー保険は、おおむね次の3つの柱で組み立てられています。

補償の柱	内容	位置づけ
①損害賠償責任	第三者への賠償金、争訟・弁護士費用	基本補償
②事故対応費用	フォレンジック調査、コールセンター、見舞金、法律相談、データ復元・Web 復旧、再発防止費用	基本補償
③利益損害・営業継続費用	ネットワーク中断による逸失利益、事業を続けるための追加費用	オプション・特約が多い

①と②が基本補償、③はオプションや特約として付けるという組み立てが一般的です。②の事故対応費用は、実際のインシデント対応でいちばん幅広く効く部分で、たとえば漏えいした顧客へのお見舞金(1名あたり数百円〜数千円といった単価)、原因を突き止めるフォレンジック調査、問い合わせ対応のコールセンター設置などが含まれます。

支払限度額は商品によって幅があります。ただし上限は、数億円規模で設計されるのが一般的です(特定商品の細目は改定で変わりやすいので、ここでは規模感だけにとどめます)。

海外にはあって、日本にはない補償

ここで見落としがちなのが、海外(米英など)のサイバー保険にはあるのに、日本では対象外になりやすい補償 があることです。

補償項目	海外(米英など)	日本
身代金(サイバー恐喝)	付保する商品が一般的	原則として対象外(制裁規制・公序上の理由)
行政上の罰金・課徴金	法が認める範囲で付保する商品あり	一般に対象外
レピュテーション(信用回復)	ブランド毀損・風評対応を明示補償する商品あり	危機管理・広報費用の一部にとどまり限定的

とくに 身代金(ランサムウェアのサイバー恐喝)は、日本のサイバー保険では原則として補償対象外 です。海外では「サイバー恐喝(cyber extortion)」補償として身代金相当をカバーする商品が一般的ですが、日本では、後述する制裁規制(外為法など)や公序上の理由から、身代金そのものは対象にしないのが通例です。ただし、ランサムウェア被害でも「調査・復旧・顧客対応の費用」は②でカバーされます。「ランサム=全部対象外」ではなく、「身代金だけが対象外」という切り分けが重要です。

身代金は"自腹"前提で設計する。 「保険に入っているから、漏えいの罰金も、失った信用も、身代金も、全部保険で埋まる」というのは幻想です。とくに身代金は、日本では自腹になる前提で考える必要があります。だからこそ、「そもそも身代金を払わずに復旧できる状態」(オフラインバックアップ、復旧手順の訓練)を技術側で用意しておくことが、保険の穴を埋める現実的な備えになります。

保険金は簡単には下りない ── 発動要件と立証の壁

サイバー保険でいちばん誤解されているのが、「事故が起きれば自動的に保険金が下りる」という点だと感じました。実際には、保険金が下りるまでには 立証の壁 があります。

損害保険は基本的に、「保険事故が起きたこと」を契約者側が示す必要があります。サイバー保険の場合、これは「サイバー攻撃を受けたこと」の立証を意味します。ところが、サイバー攻撃を受けたかどうかは、目で見て分かるものではありません。そこで フォレンジック調査(ログや端末を解析して、攻撃の痕跡を突き止める作業)が必要になります。

ここに構造的なジレンマがあります。調査した結果「これは攻撃ではなく、ただの障害だった」と分かった場合、その調査費用が出ないとしたら、企業は調査すること自体をためらってしまいます。すると、そもそも「攻撃かどうか分からない」段階で動けなくなります。そこで多くの商品には、緊急対応費用に関する特約(何らかの兆候を発見した日の翌日から一定期間内に保険会社へ連絡すれば、初動の調査費用などが出る仕組み)が用意されています。「まず保険会社に連絡する」ことが、立証の入口になっているわけです。

そもそも「攻撃に気づけない」現実

立証の前に、もっと手前の問題があります。多くの侵害は、自分たちで気づけていない のです。Mandiant「M-Trends 2025」(2024年のデータ)によると、侵害の発覚経路は次のようになっています。

発覚の経路	全体	ランサムウェア事案
外部からの通知(法執行機関・セキュリティ企業など)	43%	21%
攻撃者からの通知(ランサムノートなど)	14%	49%
内部での検知	43%	30%

全体では 外部からの通知が合わせて57% と過半を占め、内部検知は43%にとどまります。とくにランサムウェア事案では、攻撃者本人からの通知(「暗号化した、払え」というランサムノート)が49%で最多 です。つまり、「攻撃されたことに、攻撃者から教えられて初めて気づく」ケースが半分近くある、ということです。

なお、外部から通知される場合は、「第三者に指摘された」という客観的な事実が残るため、企業側が事故を偽ることが難しく、保険金の支払対象として扱いやすいという側面もあります。逆に、内部でこっそり気づいた中小企業などは、判断基準がないと隠蔽に走りやすい、という指摘もありました。

では、技術側は何をすべきか。 「攻撃されたら分かるはず」という前提は、データ上は成り立っていません。半分近くは、外部か攻撃者に教えられて気づくのです。ここから導かれる実装の優先度ははっきりしています。侵入を100%防ぐことより、侵入されたことに自力で気づける検知(ログ集約、異常検知、EDR)と、気づいたあとに事実を保全できる状態(改ざんされにくいログ、保全手順)です。フォレンジックで立証できるかどうかは、平時のログ設計にかかっています。

保険料はどう決まるのか ── 申告制の難しさ

保険料の決まり方にも、サイバー保険ならではの難しさがあります。一般的な損害保険と共通する要素として、売上高・業種・補償内容・支払限度額・免責金額(自己負担額)があります。ここに、サイバー保険に特有の要素として 「リスク対策の申告」 が加わります。

保険会社は引受(加入審査)にあたって、いわゆる「ご質問書」で、契約者のセキュリティ対策を細かくヒアリングします。講義では40問を超える設問が紹介されました。たとえば次のような項目です。

CISO や CSIRT といった、セキュリティの責任者・対応チームがいるか
IDS/IPS(侵入検知・防御)や WAF を導入しているか
EDR(端末での検知・対応)を入れているか
多要素認証(MFA)を使っているか
バックアップを取得し、復旧できる体制があるか

ここで問題になるのが、中小企業では「1問目から答えられない」ことが珍しくない という現実です。そもそも自社に何が導入されているか把握できていない、担当者がいない、という状態では、申告そのものが成り立ちません。保険に入ろうとして初めて、自社のセキュリティ体制の空白に気づく ── という順序になりがちなのです。

「ご質問書」は、そのまま守りのチェックリスト。 この40問超は、裏を返せば 保険会社が考える"最低限の対策リスト" です。CISO/CSIRT、IDS/IPS/WAF、EDR、MFA、バックアップ ── これらは保険に入るかどうかに関係なく、そのまま守りのチェックリストとして使えます。申告書に自信を持って「はい」と答えられる状態を作ることは、保険料を下げるためだけでなく、実際にリスクを下げることそのものです。

グローバル概況と日本の現在地 ── 市場・法規制・制度

ここで視野を広げ、サイバー保険が世界と日本でどうなっているかを見ておきます。この背景を知ると、「なぜ米国では保険が普及したのか」「なぜ日本ではまだ薄いのか」が見えてきます。

世界市場は北米が約7割

世界のサイバー保険市場(グロス保険料)は、Munich Re の推計("Cyber Insurance: Risks and Trends 2025"、2025年4月公表)で、2024年約153億ドル → 2025年約163億ドル と見込まれ、2030年には約324億ドル へ倍増する見通しです。そして、北米が世界の保険料の約7割 を占めます。

米国で普及が進んだ背景には、法規制と訴訟の環境があります。米国では、2002年に成立したカリフォルニア州法(SB 1386、2003年7月施行)が全米初のデータ侵害通知法 となり、その後 CCPA(2020年施行)などが続きました。CCPA の制裁金は違反1件あたり最大2,500ドル、故意なら7,500ドルです。米国は「漏えいが起きると集団訴訟・賠償に発展しやすい」土壌があり、その 訴訟リスクそのものが企業のリスク になっています。だから保険で移転したい需要が強く、市場が育ったわけです。

米国だけでなく、EU の動きも市場の背景として押さえておきます。EU では GDPR(EU一般データ保護規則) が2018年に適用開始し、個人データの侵害は原則 72時間以内 に監督機関へ通知する義務があります(第33条)。制裁金は違反の軽重で2区分あり、通知義務違反などは最大 1,000万ユーロまたは全世界売上高の2%、より重大な違反は最大 2,000万ユーロまたは全世界売上高の4%(いずれも高い方)です(第83条)。高額な制裁と厳しい通知義務が、欧州でもサイバーリスクを「お金で測れる経営リスク」に押し上げ、保険需要を支えてきました。米国・EU・日本を並べると、制度が厳しく訴訟に発展しやすい地域ほど、保険が先に育つ という構図が見えてきます。

日本の現在地 ── 加入率と制度の整備

日本のサイバー保険市場については、実は 単独で切り出した公式統計が乏しい のが実情です。損害保険協会の種目別データでもサイバー保険は独立に計上されておらず、民間調査会社の推計も定義がまちまちで、数百億円から1,000億円超まで幅があります。講義では「約300億円程度」という数字が紹介されましたが、これを裏付ける一次統計は確認できませんでした。確かなのは、世界市場に比べればまだ小さい という点です(この点は末尾の「※補足・注記」で正直に補足します)。

加入率については、一次情報で確認できました。日本損害保険協会「中小企業におけるリスク意識・対策実態調査2024」(2025年3月公表、n=1,050)によると、中小企業の サイバー保険の加入率は10.0% です。火災保険64.6%、傷害保険34.4%などと比べると、まだかなり低い水準です。

法制度の面では、日本でも整備が進んでいます。おもなものを挙げます。

改正個人情報保護法(令和2年=2020年改正、2022年4月施行)。 一定の漏えい等が起きた場合、個人情報保護委員会への報告が義務化されました。報告対象は施行規則で4類型に整理されています ── ①要配慮個人情報を含む、②不正利用で財産的被害のおそれ、③不正の目的による行為(不正アクセスやランサムウェア暗号化など)、④本人が1,000人を超える、のいずれかです。報告期限は、速報が「速やかに」(ガイドラインの目安は概ね3〜5日以内)、確報が原則30日以内(③の不正アクセス等の場合は60日以内)とされています。
SCS評価制度(サプライチェーン強化に向けたセキュリティ対策評価制度)。 経済産業省と内閣官房国家サイバー統括室が主導し、IPA が運営する新しい制度です。NIST サイバーセキュリティフレームワーク(CSF)をベースに、企業のセキュリティ対策を★の水準で評価します(★1〜★5の5段階で、新設されるのは★3・★4)。制度構築方針は2026年3月27日に公表され、★3・★4の申請受付は2026年度末(2027年3月ごろ)の開始が目標とされています。委託元が委託先にセキュリティ水準を求める「共通のものさし」を国が用意する狙いです。
サイバーセキュリティお助け隊サービス(IPA/経済産業省)。 中小企業向けに、相談窓口・見守り(異常監視)・駆けつけ(初動対応支援)・簡易サイバー保険(初動対応費用の補償)などをワンパッケージで安価に提供するサービスを審査・登録し、マークを付与する制度です。

改正個人情報保護法の報告義務には、「報告しなかったこと」それ自体に直接の刑事罰はない という点に注意が必要です。罰則が科されるのは、個人情報保護委員会の是正命令に従わなかった場合などで、その場合は個人に1年以下の拘禁刑または100万円以下の罰金、法人には重科として最大1億円の罰金があります(この「拘禁刑」や「1億円」の詳細は末尾の「※補足・注記」で整理します)。

この整備は、技術側に何を迫るのか。 制度の整備は、「セキュリティ対策をやっているか」が、社外から見える指標になってきた、ということを意味します。SCS評価制度の★は、取引先から「おたくは★いくつ?」と問われる未来を示唆します。改正個人情報保護法の報告義務は、「漏えいしたら、速報3〜5日・確報30日という時計が動き出す」という運用課題を突きつけます。つまり、インシデント対応手順(誰が・いつ・どこへ報告するか)を平時に決めておくことが、そのまま法令順守になります。

なぜサイバーリスクは「保険泣かせ」なのか ── 被害5形態とシステミックリスク

サイバーリスクは、保険会社にとって扱いにくいリスクです。なぜかを理解すると、「保険で全部は引き受けられない」理由が腑に落ちます。

従来の保険(火災・自動車など)は、過去の膨大な事故データから発生確率を統計的に見積もって料率を決めます。ところがサイバーリスクには、こうした前提が当てはまりません。

日々変化する。 攻撃手法が絶えず進化するため、過去のデータがそのまま将来に使えません。
人の悪意が働く。 火災や地震のような偶発的な事故ではなく、意図を持った攻撃者が仕掛けてきます。
過去データが乏しい。 歴史が浅く、料率算定の土台になる統計が十分にありません。
1つのトリガーが波及する。 共通の製品やサービスの脆弱性が、同時多発的に多数の契約者へ被害を広げます。
目に見えない。 被害の有無や範囲を判定しづらいのが実情です。

保険対象になる被害の5形態

サイバー攻撃による被害は、保険の観点から次の5つに整理できます。

形態	具体例	保険での扱い(一般論)
窃取・漏えい	個人情報・機密情報の流出、ダークウェブでの売買	事故対応費用・賠償で中心的にカバー
改ざん	Web サイトの改ざん	復旧費用などでカバー
麻痺	DoS/DDoS によるサービス停止	攻撃か障害か判別が難しく、支払判断が割れやすい
破壊	ランサムによる暗号化、IoT・制御システムの物理破壊	調査・復旧・顧客対応はカバー、身代金は日本では対象外
詐欺	BEC(ビジネスメール詐欺)	被害の実在・因果の立証が難しく、扱いが限定的な場合がある

窃取・漏えいの規模感を示す例として、Yahoo は2013年の侵害で最終的に 全30億アカウント が影響を受けたとされます(当初は10億超と発表され、2017年10月に Verizon 買収後の調査で全30億と訂正公表されました)。単一事案として史上最大級です。

「破壊」に関しては、IT(情報システム)と OT(制御システム)で守るべき優先順位が逆になる、という重要な違いがあります。

観点	IT(情報システム)	OT(制御システム)
最優先	機密性(Confidentiality)	可用性・安全性(Availability / Safety)
優先順位	C → I → A(CIA)	A → I → C(AIC)、かつ安全性が最上位
止めること	隔離・再起動など一時停止も選択肢	生産やインフラが動き続け、止められない
更新	パッチを比較的自由に当てられる	稼働中は止められず、更新が難しい
事故の影響	情報漏えい・サービス停止	物理的な損壊、人命に関わりうる

IT では機密性を最優先(CIA)しますが、OT では 可用性と安全性が最優先 され、機密性は後ろに回ります(いわゆる AIC)。この違いは NIST SP 800-82 Rev.3(2023年)でも整理されています。工場や電力・水道のような制御システムは「止めないこと」が最優先なので、IT の常識(すぐ隔離する、強制再起動する)をそのまま持ち込むと、かえって危険になりうるのです。

システミックリスク ── 保険が最も嫌う連鎖

保険会社がとくに嫌うのが、被害が一気に集中するタイプのリスクです。

BI(事業中断)。 自社のシステムが止まって事業が停止します。
CBI(受託者側の事業中断)。 委託先など第三者が止まって、その連鎖で自社も止まります。
システミックリスク。 多くの企業が共通で使うベンダー・サービスが停止し、同時多発的に被害が広がります。

とくにシステミックリスクは、1つの事象で保険会社が同時に巨額の支払いを迫られるため、制度として支えきれなくなる怖さがあります。対応として、保険会社は特定被害への上限(サブリミット)を設けたり、支払いまでの待機期間を置いたり、免責を厚くしたり、複数社で分担(レイヤリング)したりします。医療・小売・教育・交通など、被害が広がりやすい業種は、引受を避けられがちだとも紹介されました。

ここは、そのまま設計の話につながります。 システミックリスクや CBI の話は、そのまま「サプライチェーンと依存関係の設計」の話です。共通で使っているクラウド・SaaS・ライブラリが1つ落ちると、自社も連鎖して止まります。保険が引き受けを渋る領域は、裏を返せば 保険では埋めきれない領域 です。だからこそ、単一障害点を減らす、依存先の障害を前提にした縮退運転を用意する、といった設計が効いてきます。OT を持つ現場では、IT の常識をそのまま当てはめない(可用性・安全性を最優先する)という視点も欠かせません。

インシデント対応の現実 ── 3か月の実像と身代金の法律問題

保険の話をここまでしてきましたが、実際にインシデントが起きたとき、現場では何が起きるのでしょうか。ここで、保険の「効能」も見えてきます。

多くの企業には、専門家が常駐していません。攻撃側は1か所の穴を見つければ勝ちで、守る側はすべての穴を塞いで初めて引き分けです。この非対称のもとでは、「いつか入られる」前提で構えるほかありません。

実際のインシデント対応は、数日で終わるものではありません。たとえば VPN 機器の脆弱性から侵入され、暗号化と情報流出が起きたようなケースでは、発生当日から数か月にわたる長いプロセスになります。

この過程で、フォレンジック調査には相応の費用がかかります。対象台数やデータ量で大きく変動し、公開されている相場では1台あたり数十万〜数百万円、大規模な事案では数百万〜1,000万円超に達することもあります(講義では「端末1台あたり150〜200万円」という目安が紹介されました)。しかも、調査を任せられるベンダーを探すこと自体が難しい、という現実もあります。復旧のタイミングも悩ましく、高額ゆえに全端末を調査しきれず、バックドアが残っている可能性を抱えたまま「安心して復旧できるか」を判断しなければなりません。

身代金は払ってよいのか ── 直接の禁止法はないが

ランサムウェア被害で必ず論点になるのが、「身代金を払うか」です。結論から言うと、日本には身代金の支払いを直接禁じる法律はありません。 しかし、間接的に抵触しうる法令が複数あります。

米 OFAC(外国資産管理室)の規制。 米財務省 OFAC は2020年10月、2021年9月に、ランサムウェアの支払いに関する勧告(advisory)を出しています。制裁対象(SDN リスト掲載者)への支払いや、その仲介は制裁違反となりうるとされ、しかも「相手が制裁対象だと知らなかった」場合でも民事責任を負いうる厳格責任の考え方が示されています。米ドル決済や米国の関与があれば、日本企業にも及びうる点に注意が要ります。
外為法(外国為替及び外国為替管理法)。 日本では、財務大臣などが資産凍結の対象者を指定し、その対象者への「支払」を許可制にすることで制裁を実施します。北朝鮮のラザルスグループのように、資産凍結対象とされた攻撃者へ身代金を支払えば、外為法に抵触するおそれがあります。
会社法上の善管注意義務。 身代金の支払いという意思決定が、結果的に会社に不利益をもたらすと判断されれば、経営者が株主代表訴訟のリスクを負う可能性があります。支払いの合理性は、弁護士に相談して慎重に判断することになります。

なお、テロ資金提供処罰法は「公衆等脅迫目的」という要件があり、一般的なランサムウェア集団への支払いに直ちに当てはまるとは限りません。周辺法令(犯罪収益移転防止法など)も文脈次第で関わりうる、という程度に押さえておくのが無難です。身代金・ランサムウェアの倫理と法については、シリーズの別記事「ランサムの身代金は払うべきか」で掘り下げます。

保険の「効能」── お金以外の価値

こうして見ると、サイバー保険の価値は「保険金が下りること」だけではないと分かります。むしろ、お金以外の効能が重要でした。

社内稟議を待たずに、調査に着手できる。 「まず保険会社に連絡する」ことで、初動が早くなります。
セキュリティベンダーが動きやすくなる。 保険が付いていることは、支払いの「与信」として働きます。
付帯サービスが効く。 契約者向けの緊急時ホットライン(24時間365日)や、リモートでの初期支援から専門家へのエスカレーションといった、インシデント時の相談・初動支援が用意されています。「インシデントが起きたら、まず保険会社に連絡する」という動線そのものが価値なのです。

保険の真価は「お金」ではなく「動線」。 保険を「お金が下りる仕組み」としてだけ見ると、その真価を見誤ります。実際に効くのは、初動を速くし、専門家につなぎ、稟議で足踏みしないための「動線」です。とはいえ、その動線を活かすには、平時から「事故を発見したら、誰が・いつ・どこへ(保険会社・当局・顧客へ)連絡するか」を手順化しておく必要があります。保険は、その手順を回すための燃料であって、手順そのものを肩代わりしてはくれません。

責任は誰にあるのか ── ケーススタディで見る「保険でできないこと」

最後に、「では、事故が起きたとき責任は誰にあるのか」を、ケーススタディで考えます。ここに、サイバー保険で「できないこと」がくっきり現れます。

ケース① SI に丸投げした開発 ── ベンダーの責任は?

日本では、システム開発を SI ベンダーに委託する文化が強く、事故が起きると「悪いのは作ったベンダーだ」となりがちです。では、ベンダーはどこまで責任を負うのでしょうか。

象徴的なのが、東京地裁平成26年(2014年)1月23日判決(平成23年(ワ)第32060号) です。EC サイトの開発を受託したベンダーが SQL インジェクション対策(バインド機構やエスケープ処理)を怠り、クレジットカード情報が漏えいした事案です。裁判所は、経済産業省の注意喚起(平成18年=2006年)や IPA の資料(平成19年=2007年)で対策が広く知られていたことから、契約時点でベンダーは対策済みのプログラムを提供する債務を負っていたと認定しました。そのうえで、対策を全く行わなかったことを 重過失 とし、「損害賠償額を契約金額の範囲に制限する」という契約上の条項は重過失の場合には適用されないと判断。3割の過失相殺の後、約2,262万円(2,262万3,697円) の賠償を命じました。

ただし、常にベンダーだけが悪いわけではありません。発注側の企業役員も、リスクを認識せず放置すれば 善管注意義務違反 を問われうる立場にあります。そもそも契約書は「セキュリティが完璧であること」を約束できず、この論点が 無記載(サイレント) のまま曖昧になっていることが多いのです。だから責任は一方的には決まらず、ユーザー・ベンダー双方の過失次第で分かれます。しかも「何が過失か」の基準は日々変化します。この「責任を誰が負うか、どう経営に翻訳するか」は、シリーズの別記事「『正しく作れば、セキュリティは守られる』は本当か」で扱います。

ケース② 踏み台にされた中小企業 ── SCS制度が変える基準

契約が曖昧なまま、中小企業が攻撃の踏み台にされ、その先の大企業が攻撃された ── という連鎖も起こります。従来、こうした中小企業の過失は認定されにくいものでした。「どこまでの注意を払うべきか」という基準が、そもそも存在しなかったからです。

ここに、前述の SCS評価制度 が効いてきます。国が「共通のものさし」(★の水準)を示すことで、「通常払うべき注意」の基準が明確になります。すると、その基準を大きく下回っていた中小企業は、これまでより過失を認定されやすくなる方向へ動く可能性があります。委託元が委託先にセキュリティを求める根拠を、国が用意した ── という意味でもあります。

ケース③ 物的損壊とサイレントサイバー

サイバー攻撃が、情報の被害にとどまらず、物理的な破壊(たとえば設備の暴走や爆発)まで引き起こしたら、どの保険がカバーするのでしょうか。基本的に、物的損壊は火災保険や賠償責任保険が持つ領域で、サイバー保険の守備範囲ではありません。ところが、従来の火災保険は「サイバー攻撃を起因とする物理破壊」を想定して作られていません。すると、どちらの保険でも担保が曖昧になり、被害が宙に浮く ── これが サイレントサイバーリスク(約款に明記がないまま担保が曖昧になる問題)です。

ケース④ 戦争免責 ── 「これは戦争だ」で外される

そして、サイバー保険の最大の弱点が 戦争免責 です。多くの損害保険には「戦争・敵対行為による損害は補償しない」という除外条項が古くから入っています。国家が関与したとされるサイバー攻撃が、この「戦争」に当たるのか ── が正面から争われたのが、2017年のマルウェア NotPetya をめぐる裁判でした。製薬大手 Merck のケース(損害は約14億ドルとされます)では、ニュージャージー州の裁判所が戦争免責の適用を否定し、控訴審(2023年5月)もこれを支持しましたが、州最高裁の審理直前(2024年1月)に和解となり、最高裁の先例は形成されませんでした。同種の Mondelez のケースも和解で終わっています。さらに近年は、戦争免責とは別に 国家支援型サイバー攻撃を免責する条項 が明確化される動きもあります。

この戦争免責・サイレントサイバー・NotPetya をめぐる攻防は、それ自体で1本の記事になる深いテーマです。シリーズの別記事「あなたのサーバーは戦場の最前線にいる」で詳しく掘り下げます。

まとめると ── サイバー保険で「できないこと」

4つのケースから見えてくる、サイバー保険の限界を一覧にします。それぞれの詳しい理由は、本文の該当セクションで述べたとおりです。

身代金 ── 日本では原則、対象外。
立証できない攻撃 ── フォレンジックで「攻撃」と示せなければ支払対象外。
戦争・国家支援型の攻撃 ── 戦争免責・国家支援型免責で外れる可能性。
責任の宙に浮く隙間 ── サイレントサイバーのように、どの保険も担保しない領域。

加えて、業界の負の側面として、保険金目当てに被害を過剰に煽り、調査費用や再発防止費用を膨らませて回収しようとする事業者が存在する、という指摘もありました。ここは私見ですが、こうした構造があるからこそ、契約者側にも「本当に必要な対応は何か」を見極めるリテラシーが要ると感じます。保険は万能の免罪符ではなく、限界と癖を理解して使う道具なのです。

まとめ

CySec「3IN」シリーズとして、損害保険の基礎とサイバー保険のグローバル概況・国内の現在地を、開発者・運用者の視点で整理してきました。タイトルに掲げた「サイバー保険は"入れば安心"ではない」は、脅し文句ではなく、保険を作る側の現実からの結論です。幹を3点、持ち帰ってください。

サイバー保険は「リスク移転」の一手にすぎない。 回避・低減・保有でどうしても消せない残余リスクを、お金の面だけ肩代わりしてもらうもので、低減(脆弱性対応・認証・暗号化・バックアップ)の代わりにはなりません。保険に入っても、開発・運用でやるべきことは減りません。
保険金は簡単には下りない。 攻撃の立証(フォレンジック)の壁があり、そもそも侵害の6割近くは外部から気づかされます。身代金は日本では対象外、戦争・国家支援型は免責されうる ── 「できないこと」を知ることが、賢い使い方の第一歩です。
保険の真価は「動線」にある。 お金が下りること以上に、初動を速くし、専門家につなぎ、稟議で止まらないための動線が効きます。ただしその動線を活かすには、平時にインシデント対応手順(誰が・いつ・どこへ報告するか)を用意しておく必要があります。

いちばん伝えたかったのは、保険は「攻撃を防ぐ道具」ではなく、「攻撃されても事業が続くための備えの一部」だ ということです。少し前の私は、保険を「入っておけば守ってもらえるお守り」だと思っていました。でも保険が引き受けるのは、あくまで低減をやり切った後の残りのリスクだけで、その手前の守りは、いつも私たち技術者の手の中にあります。

少し前の私に、問いを1つ残します。次に「保険に入っているから大丈夫」と言われたら、「では、身代金が出ず、戦争免責で外され、そもそも立証できなかったら、うちは事業を続けられますか?」と問い返してみてください。その問いに技術と運用で答えられる状態を作ることが、保険を本当に活かす前提になります。保険は最後の受け皿であって、最初の防波堤ではありません。

ここまで読んでいただき、ありがとうございました。私自身まだ学習中の身なので、より正確な捉え方や最新の動きがあれば、指摘していただけると助かります。同じ「3IN」シリーズの他の回(身代金、サーバーの悪用、コンサルの思考)も、順に公開していく予定です。

参考

本記事で挙げた数値・制度・判例は、次の一次情報・公的情報などで確認できます。内容は執筆時点(2026年7月現在)のもので、最新は各サイトでご確認ください。

※補足・注記

読者を誤解させないために、講義で紹介された内容を一次情報で確認・補正した点や、断定を避けた点を、正直に明示します。このシリーズの信頼性の要と考えている部分です。

世界市場「2025年約200億ドル(約3兆円)」について。 講義では「2025年に約20.2 US$ bn(円換算で約3兆円)」という数字が紹介されましたが、これは2018〜2020年ごろに各社が出していた 古い予測値 に一致します。直近の実勢は、Munich Re の推計で2024年約153億ドル・2025年約163億ドルで、20億ドルほど低い着地です。本文では実勢値を採用しました。円換算するなら、実勢では約2.3〜2.5兆円(1ドル150円換算)にとどまります。
日本市場「約300億円」について。 講義では日本のサイバー保険市場を「約300億円程度」と紹介していましたが、サイバー保険を単独で切り出した公式統計は存在せず、一次情報での裏付けは取れませんでした。民間調査会社の推計も数百億円〜1,000億円超と幅が大きいため、本文では金額を断定せず「世界市場に比べて小さい」という表現にとどめました。
加入率10.0%の出典設問について。 本文の10.0%は、日本損害保険協会「中小企業におけるリスク意識・対策実態調査2024」の設問Q17(保険種目別の加入率)に基づきます。同じ報告書には別のQ26(サイバーリスク対策として保険に加入している割合=14.5%)もあり、設問が異なるので混同しないよう注記します。
SCS評価制度の名称・所管・水準・時期について。 講義では略称の英語を「Security Certification System」、水準を「★1〜★4」、公表日を「2026年3月21日」と紹介していましたが、一次情報で確認したところ、正しくは英語が Supply Chain Security、水準が ★1〜★5の5段階(新設は★3・★4。★1・★2は既存の SECURITY ACTION 相当、★5は今後)、制度構築方針の公表日が 2026年3月27日 でした。所管は経済産業省と内閣官房国家サイバー統括室、運営は IPA です。なお「NIST CSF の6機能+取引先管理=7分類」という内訳は二次情報止まりのため、本文では「NIST CSF をベースにした」という表現にとどめています。
改正個人情報保護法の罰則について。 講義では「1年以下の懲役 or 100万円以下の罰金、法人重科最大1億円」と紹介されましたが、金額・条番号は正しい一方、刑名は2025年6月1日以降、刑法改正により「懲役」が 「拘禁刑」 に一本化されています。また、この罰則は「漏えい報告をしなかったこと」自体に科されるものではなく、個人情報保護委員会の是正命令に従わなかった場合などのルートで科される点に注意が必要です(漏えい報告義務それ自体には直罰がありません)。
SQLインジェクション判例の認容額について。 講義では「約2,300万円」と紹介されましたが、正確には 2,262万3,697円(3割の過失相殺後) です。本文では「約2,262万円」と表記しました。判決文の原典(判例時報2221号71頁)には到達できず、複数の独立した解説で一致を確認しています。
GDPR の制裁金について。 講義では下位区分の「最大1,000万ユーロ or 全世界売上2%」だけが紹介されましたが、これは第83条4項(通知義務違反など)にあたります。正確には制裁金は2区分あり、第83条5項の重大な違反には、より重い 2,000万ユーロ or 全世界売上4% の区分があります。本文の「グローバル概況」では、この2区分を区別して補いました。
フォレンジック費用「1台150〜200万円」について。 これは講義で紹介された目安です。公的な統計はなく、民間の相場は1台あたり数十万〜数百万円と幅があるため、本文では幅で記述しました。
BEC(詐欺)の保険での扱いについて。 「対象外」と断定できる一次情報は確認できませんでした。被害の実在や因果関係の立証が難しく、扱いが限定的な場合がある、という表現にとどめています。
引受の設問数について。 講義では「42問」という数字も出ましたが、内訳の合計と整合しない箇所があったため、本文では「40問を超える」という幅で記述しました。
戦争免責・NotPetya の詳細について。 Merck / Mondelez の裁判の経緯や国家支援型攻撃免責は、本記事では概観にとどめ、シリーズの別記事(3IN#3)で掘り下げます。被害額(約14億ドル)は報道で広く引かれる数字です。
講義メタの抽象化について。 講師個人・所属・講義の実施回などは、シリーズの方針として本記事には書いていません。「業界の当事者(保険会社側)から学んだ」というレベルに抽象化しています。