サイバー保険は必要？設計事務所が補償範囲を確かめる方法

サイバー保険は「事故後の費用」を移す手段で、対策の代わりにはならない

サイバー保険は、情報漏えいやサイバー攻撃が起きたときにかかる費用や損害賠償を補う保険です。日本損害保険協会は、サイバー事故が起こると①事故対応費用、②損害賠償費用、③利益損害・営業継続費用の三つの費用が発生する可能性があると説明しています。一方で、ランサムウェアの被害で支払った身代金はサイバー保険の対象にならないとも明記しています。

設計事務所にとって必要かどうかは、事故が起きたときに自己資金で調査・復旧・お詫び・賠償を賄えるかで判断します。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」では、ランサムウェア被害に遭った組織へのアンケートで、復旧に総額1,000万円以上を要した組織の割合が全体の5割を超えていました。本記事では、加入を検討するときに確かめる補償範囲と、保険会社に聞くべき質問をまとめます。

補償される費用の三分類

損保協会は、補償対象となるサイバー事故の種類として、情報の漏えいまたはそのおそれ、ネットワークの所有・使用・管理に起因する他人の業務阻害、サイバー攻撃に起因する他人の身体傷害・財物損壊を一般的な例に挙げ、補償内容は保険会社やプランによって異なるとしています。商品ごとの違いが大きいため、名前が同じ「サイバー保険」でも中身を比べる必要があります。

補償されない・確認が必要なもの

最後の項目は特に注意します。加入時の告知書で「多要素認証を設定している」「バックアップを取っている」と答えたのに実態が違えば、事故のときに問題になる可能性があります。告知の前に、パスワード管理やバックアップの実態を確かめておきます。

既に入っている保険との重なりを確認する

設計事務所は、設計業務の賠償責任保険や、事務所の火災保険などにすでに加入していることがあります。これらの保険が情報漏えいやサイバー攻撃をどこまで扱うかは約款によります。重なりや空白を見つけるため、次の表を保険の担当者と一緒に埋めます。

二つの保険で同じ損害を重ねて受け取れるとは限らず、逆にどちらにも入っていない空白が見つかることもあります。表を埋めることで、保険の追加より先に直すべき対策が見えることもあります。

事故時の支援サービスを比べる

サイバー保険には、事故が起きたときの相談窓口や、調査会社・弁護士などの紹介が付いている場合があります。専任の情報担当がいない設計事務所では、補償額よりも「事故の最初の数時間に誰に電話すればよいか」が決まることの価値が大きいことがあります。

警察庁の資料は、被害が分かった際は早期に警察や関係機関へ通報し、連絡先をBCP等に整理しておくことを勧めています。保険会社の事故受付の番号も、ランサムウェアの初動カードに書き加えておきます。

加入先の探し方

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、情報漏えいやシステム障害などの事故に伴う損失に対して保険金が支払われる保険商品への加入を、リスクを移転する方法の一つとして挙げています。同ガイドラインのコラムは、損害保険各社の「サイバーセキュリティ対策保険」に加え、日本商工会議所が会員向けに提供する「サイバー保険制度」、全国商工会連合会の「商工会の情報セキュリティサポート保険」、業界団体などの団体制度があると紹介しています。

さらに同コラムは、こうした保険ではSECURITY ACTIONの宣言やプライバシーマーク・ISMSの認証、適切な情報管理体制があると保険料が割引になる場合があるとしています。宣言の手順はSECURITY ACTIONの記事で扱います。特定の保険商品は勧めませんが、所属している団体の制度がないかを最初に確認すると比較がしやすくなります。

保険会社に聞く質問リスト

1. 事故対応費用、損害賠償費用、利益損害のそれぞれの支払限度額と、自己負担額はいくらか。
2. 利益損害には、何時間以上の停止から支払われるかという条件があるか。
3. 外注先や利用しているクラウド事業者から情報が漏れた場合も対象になるか。
4. 加入前から侵入されていた場合や、原因が特定できない場合はどう扱われるか。
5. 告知書で申告する対策は何か。実施できていない場合はどうなるか。
6. 事故時の連絡先と、連絡までの期限はあるか。
7. 設計業務の賠償責任保険など、既存の保険と重なる部分はどう扱われるか。

回答は書面で受け取り、加入した保険の証券や約款と一緒に事故対応の手順書の近くに保管します。

よくある質問

小さな事務所でもサイバー保険は必要ですか

事故時の調査・復旧・賠償を自己資金で賄えるか、相談先を持っているかで判断します。警察庁の令和7年の資料では、ランサムウェア被害の復旧に1,000万円以上を要した組織が5割を超えていました。

保険に入れば対策は簡単でよいですか

よくありません。保険は事故後の費用を移す手段で、事故そのものを防ぎません。加入時に申告する対策を実施していることが前提になります。

身代金を払った場合は補償されますか

日本損害保険協会は、ランサムウェアの被害によって支払った身代金はサイバー保険の対象にならないと説明しています。

出典・参考

• 日本損害保険協会「サイバー保険」
• IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版
• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」

重なり確認表と質問リストは、上記の資料をもとに設計事務所向けに整理した例です。補償の内容と条件は保険会社や商品で異なるため、約款と担当者の説明で確認してください。

関連記事

• ランサムウェア対策は何をする？設計事務所の備えと感染時の初動
• 情報漏洩の原因と対策は？設計事務所の図面と個人情報の守り方
• SECURITY ACTIONとは？設計事務所が宣言する手順