はじめに
「当社には狙われるような機密情報がない」「大企業ほど目立たないため攻撃対象にはならない」と考えている中小企業は、今も少なくありません。
しかし、サイバー攻撃者が狙うのは、価値の高い情報を持つ企業だけではありません。セキュリティ対策が比較的弱い企業を侵入口として利用し、取引先や委託元へ侵入するサプライチェーン攻撃も深刻化しています。
IPAが公表した「情報セキュリティ10大脅威 2026」の組織向けランキングでは、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」でした。さらに、2026年は「AIの利用をめぐるサイバーリスク」が初めて選出され、3位に入っています。
サイバー保険は、このような攻撃そのものを防ぐ商品ではありません。事故発生後の調査費用、損害賠償、事業中断による利益損失などを補い、企業の再建を支えるリスク移転の手段です。
本記事では、中小企業がサイバー保険を導入する際の確認項目と、2026年時点で押さえておきたい制度動向を解説します。
中小企業にもサイバー保険が必要な理由
自社が被害者と加害者の両方になる可能性がある
サイバー攻撃を受けた企業は、単なる被害者にとどまらないことがあります。
自社の端末やサーバーが踏み台として利用され、取引先への攻撃に使われた場合、取引先から損害賠償を求められる可能性があります。従業員の誉送信やUSBメモリの紛失、アクセス権限の設定ミスなど、内部に原因がある情報漏えいにも注意が必要です。
特に、取引先のシステムへ接続している企業や、顧客データを預かる企業、システム開発・保守を受託している企業は、自社だけでなく取引先へ与える損害も想定しなければなりません。
復旧には複数の費用が同時に発生する
サイバー事故が発生すると、原因調査だけでなく、次のような費用が短期間に発生します。
- フォレンジック調査や被害範囲の特定費用
- システムやデータの復旧費用
- 弁護士やセキュリティ専門家への相談費用
- 顧客、取引先、行政機関への対応費用
- コールセンター設置費用
- 謝罪広告や記者会見などの広報費用
- 事業停止中の利益損失
- 取引先などに対する損害賠償金や争訟費用
日本損害保険協会の2025年調査では、サイバー被害を経験した企業が受けた不利益として「原因・影響調査や関係者対応等にかかる事故対応費用」が56.8％で最も多くなっています。
人員や資金に余裕のない中小企業ほど、初動対応費用と事業停止による売上減少が同時に発生した場合の影響は大きくなります。
サイバー保険の主な補償内容
日本損害保険協会は、サイバー事故によって発生する費用を、主に「事故対応費用」「損害賠償費用」「利益損害・営業継続費用」の3つに整理しています。
事故対応費用
事故発生後の原因調査や被害拡大防止、顧客対応などに必要な費用です。
保険商品によっては、外部のセキュリティ事業者、弁護士、広報会社、コールセンターなどへの依頼費用も補償対象になります。
確認したい主な項目は次のとおりです。
- 不正アクセスの疑いがある段階から調査費用が補償されるか
- フォレンジック調査費用の支払限度額
- データやシステムの復旧費用
- 顧客への通知や見舞金に関する費用
- 弁護士、広報、コールセンターなどの費用
損害賠償費用
個人情報や機密情報を漏えいさせた場合や、自社のシステムが原因で取引先の業務を停止させた場合などに、法律上負担する損害賠償金や争訟費用を補償します。
海外の顧客や取引先を持つ企業は、日本国内だけでなく、海外で提起された訴訟が補償地域に含まれているかも確認が必要です。
利益損害・営業継続費用
サイバー攻撃によってシステムが停止し、売上や利益が減少した場合の損失を補償します。
ただし、すべてのサイバー保険に標準で含まれるとは限りません。オプション契約になっている場合や、一定時間以上の事業停止を支払条件としている場合があります。
ECサイト、予約システム、受発注システム、製造設備など、ITの停止が売上に直結する企業は、特に重視したい補償です。
契約前に確認したい10項目
| 確認項目 | 確認するポイント |
|---|---|
| 補償対象となる事故 | 情報漏えい、ランサム攻撃、内部不正、誤送信、委託先事故など |
| 事故対応費用 | 調査、復旧、通知、広報、法律相談などが含まれるか |
| 損害賠償 | 取引先や顧客への賠償、争訟費用が対象になるか |
| 利益損害 | 売上減少や営業継続費用が補償されるか |
| 支払限度額 | 想定最大損失に対して十分な金額か |
| 免責金額 | 事故ごとに自社が負担する金額はいくらか |
| 待機期間 | 事業停止後、何時間から利益損害が補償されるか |
| 委託先の事故 | クラウド事業者や業務委託先での事故も対象か |
| 補償地域 | 国内事故のみか、海外事故や海外訴訟も対象か |
| 事故対応支援 | 24時間窓口や専門事業者の紹介・手配があるか |
見落としやすい免責事項と告知義務
身代金は原則として補償対象にならない
ランサムウェアに感染した際、攻撃者からデータ復旧などと引き換えに金銭を要求されることがあります。
日本損害保険協会は、ランサムウェア被害によって攻撃者に支払った身代金は、サイバー保険の対象にならないと説明しています。ただし、ランサム攻撃に伴う原因調査費用、復旧費用、利益損害などは、契約内容によって補償される可能性があります。
「ランサムウェアが対象」と書かれていても、何が補償され、何が対象外なのかを分けて確認する必要があります。
契約時の申告内容は正確に伝える
サイバー保険では、契約時に次のような対策状況を確認されることがあります。
- 多要素認証の導入状況
- OSやソフトウェアの更新管理
- バックアップの頻度と保存場所
- ウイルス対策やEDRの導入状況
- 従業員教育の実施状況
- 過去のサイバー事故
- 委託先やクラウドサービスの利用状況
実際には導入していない対策を「導入済み」と回答するなど、事実と異なる申告をすると、事故発生時に保険金が支払われない可能性があります。
また、契約後にシステム構成や事業内容が大きく変わった場合は、保険会社や代理店への通知が必要か確認しておきましょう。
保険料だけで比較してはいけない理由
サイバー保険の保険料は、一般的に年間売上高、業種、取り扱う情報、セキュリティ対策の状況、支払限度額、免責金額などによって決まります。
そのため、企業名や売上高だけを基準にした一律の保険料相場は示しにくく、他社の保険料をそのまま自社に当てはめることもできません。
比較する際は、最低でも次の条件をそろえて見積もりを依頼します。
- 支払限度額
- 免責金額
- 利益損害補償の有無
- 委託先事故の補償範囲
- 内部不正や誤操作の扱い
- 海外事故・海外訴訟の扱い
- 付帯する事故対応サービス
保険料が安くても、事故調査費用の上限が低い、利益損害が含まれない、委託先で発生した事故が対象外といったケースでは、実際の被害を十分にカバーできません。
2026年に押さえておきたい3つの動向
IPAガイドラインが第4.0版へ改訂
IPAは2026年3月、「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開しました。
従来の「情報セキュリティ5か条」に「バックアップを取ろう！」を追加し、「情報セキュリティ6か条」としたことが大きな変更点です。また、不要な外部通信の遮断、ウェブサイトの安全な運用、人材確保・育成なども強化されています。
バックアップは、単にデータをコピーするだけでは十分ではありません。ランサム攻撃を想定し、通常のネットワークから切り離した保存、定期的な復元テスト、複数世代の管理まで行うことが重要です。
SCS評価制度への準備が始まる
経済産業省と内閣官房国家サイバー統括室は、サプライチェーン全体のセキュリティ対策を可視化する「SCS評価制度」の構築を進めています。
制度では、一般的なサイバー脅威に対応する「★3」と、被害拡大防止や技術検証まで求める「★4」が設けられます。★3は専門家の確認を受けた自己評価、★4は評価機関による第三者評価と技術検証を必要とします。
ただし、2026年7月時点では運用開始前です。IPAによると、★3・★4の運用開始は2027年3月頃を予定しており、★5の詳細は検討中です。
今後、発注企業が取引先選定の際にSCS評価を参考にする可能性があるため、中小企業も早めに要求事項を確認しておく必要があります。
保険とセキュリティ対策を一体で考える
サイバー保険は、セキュリティ対策の代わりにはなりません。
保険への加入を検討する過程で、自社の情報資産、想定される被害、バックアップ、アクセス管理、事故対応体制を整理することに意味があります。対策が不十分なままでは、加入条件が厳しくなったり、希望する補償を得られなかったりする可能性もあります。
「対策で事故の発生確率を下げ、保険で残った損失を移転する」という二段構えが基本です。
導入を進める5つのステップ
1．守るべき情報とシステムを洗い出す
顧客情報、従業員情報、設計図面、受発注システム、ECサイト、クラウドサービスなどを一覧化します。
2．事業停止時の損失を試算する
1日、3日、1週間と業務が停止した場合の売上減少、復旧費用、人件費、取引先への影響を試算します。
3．現在のセキュリティ対策を確認する
多要素認証、更新管理、バックアップ、アクセス権限、従業員教育、事故対応手順を確認します。IPAの「5分でできる！情報セキュリティ自社診断」も活用できます。
4．同じ条件で複数の見積もりを取る
保険金額や免責金額だけでなく、利益損害、委託先事故、事故対応サービスを同じ条件にそろえて比較します。
5．年1回以上見直す
売上高、従業員数、クラウド利用、取引先との接続状況などが変わると、必要な補償も変わります。システム変更や新規事業の開始時にも見直しましょう。
まとめ
中小企業のサイバー保険は、情報漏えいへの損害賠償だけを補償するものではありません。原因調査、システム復旧、顧客対応、事業停止による利益損失など、事故後に発生する幅広い費用に備えるための手段です。
ただし、保険商品によって補償範囲、免責事項、支払限度額、委託先事故の扱いは異なります。保険料の安さだけで選ぶのではなく、自社の事業停止リスクや取引関係に合った補償になっているかを確認することが重要です。
2026年は、IPAガイドライン第4.0版の公開やSCS評価制度の具体化によって、中小企業にも客観的に説明できるセキュリティ対策が求められ始めています。
技術的な防御とサイバー保険を組み合わせ、事故の予防から復旧までを一つの経営課題として設計することが、事業継続と取引先からの信頼につながります。
参考：IPA「情報セキュリティ10大脅威 2026」、IPA「中小企業の情報セキュリティ対策ガイドライン」、IPA「SCS評価制度」、日本損害保険協会「サイバー保険」
コメント