中小企業のサイバー保険で何が出るか、損保協会の加入率10%と警察庁の復旧費

サイバー保険で出るのは「賠償」「対応の費用」「止まった間の利益」の3つです

今回見たサイバー保険の資料は、他人への賠償、事故の対応にかかる費用、営業が止まった間の利益の3つで組み立てられていました。止まった間の利益は、どれもオプション（追加の特約）でした。

サイバー保険は、ウイルス感染や不正アクセスなどで会社が負うお金をまとめて受け持つ保険です。日本損害保険協会は特設ページで「万全のセキュリティ対策をとっていても完全には防げない」と書いています。そのうえで、保険を備えの一つとしています。

各社のパンフレットを見ると、中身はおおむね次の3つに分かれます。名前は保険会社ごとに少しずつ違います。

出典：東京海上日動「サイバーリスク保険」商品ページ。全国商工会連合会「情報セキュリティサポート保険」（引受：損害保険ジャパン）。あいおいニッセイ同和損保「サイバーセキュリティ保険」（商工会議所会員向け）。どれも2026年10月26日に見ています。区分の名前は当社が言い換えています。

3つめの利益の損害は、今回見た資料ではいずれも基本の補償に入っておらず、特約をつけたときだけ出る形でした。東京海上日動は「コンピュータシステム中断に関する補償（オプション）」と書いています。損保ジャパンの商工会向けの保険は「利益・営業継続費用補償追加条項」です。

情報処理推進機構（IPA）は、昔からある情報漏えい保険に注意をうながしています。漏えい以外の被害や、事業が止まった間の利益が出ない場合があるためです。手元の保険が「情報漏えい保険」なのか「サイバー保険」なのかで、出る範囲が変わります。

事故対応の費用は、調査からお詫びと見舞金まで細かく分かれています

事故対応の費用には、原因の調査、コールセンター、お詫び状、見舞金、データ復旧などが入ります。見舞金は1人1,000円・1社5万円のように、上限が決まっている例があります。

中小企業にとって身近なのは、2つめの事故対応の費用です。IPAは、多くのサイバー保険が「フォレンジック等の漏えい確定に必要となる調査費用」も補償の対象にしていると書いています。フォレンジックとは、パソコンやサーバーに残った記録を調べて、何が起きたかを明らかにする作業です。

出典は3つのパンフレットです。全国商工会連合会（引受：損害保険ジャパン）、あいおいニッセイ同和損保、日本商工会議所「サイバー保険制度」。どれも2026年10月26日に見ています。金額の上限は資料ごとの条件です。

東京海上日動の商品ページは、攻撃の「おそれ」が見つかった段階で外部に調査を頼む費用も対象と書いています。まだ被害がはっきりしない段階でも、調査の費用が出る作りの保険があるということです。

見舞金は、上限が決まっている点に気をつけたいところです。過去の情報漏えいでは、1人500円の金券を配った例があります。

• 情報漏洩のお詫びは何がもらえる？Yahoo!BB・ベネッセの500円から快活CLUBの補償なしまで

身代金や戦争によるものは、出ないと書かれた資料があります

今回見た資料では、攻撃者に払う身代金、戦争や国の関与した大きな攻撃、加入前から知っていた事故などが、はらわれないものとして書かれていました。

保険は「出ない場合」を先に知っておくと、事故のときに慌てずにすみます。パンフレットの「保険金をお支払いしない主な場合」に書かれていたものを、種類ごとにまとめました。

出典：商工団体むけの3つのパンフレットと、NTT東日本「サイバー保険の概要」（引受：東京海上日動）。2026年10月26日に見ています。正確な条件は各社の約款によります。

身代金は、補償の項目ごとに「含まない」と書かれていました。今回今回見た資料からは、どの項目でも一律に出ないとまでは読み取れません。加入している保険の約款でたしかめる部分です。

「古い機器の弱点（脆弱性）を放っておいたら出ない」という書き方は、今回見た資料には見あたりませんでした。ただし、加入のときに対策の状況を答える告知があり、事実と違えば保険金が出ないことがあると書かれています。

2026年のランサム被害は中小企業が約6割、復旧に1,000万円以上が6割です

警察庁によると、2026年上半期のランサムウェア被害は123件で、中小企業が約6割でした。復旧に総額1,000万円以上かかった組織は6割を占めています。

ランサムウェアは、会社のデータを使えなくして、元に戻すことと引きかえにお金を求めるウイルスです。警察庁によると、2026年上半期の被害の報告は123件でした。半期として、統計を取り始めてから最も多い数です。

出典：警察庁、IPA、日本損害保険協会の資料（くわしくは出典の一覧にあります）。2026年10月26日に見ています。

IPAの調査では、被害額の平均は73万円でした。ランサムウェアに限った警察庁の数字とは対象がちがうため、そのまま並べて比べることはできません。被害の種類で、かかるお金の桁が変わることが分かります。

IPAの「中小企業の情報セキュリティ対策ガイドライン」第3.1版には、付録の「リスク分析シート」があります。そこではリスクへの向き合い方の一つに「移転」を挙げています。例として「情報セキュリティに関連した保険商品に加入する等」と書いています。対策を減らす代わりではなく、対策で防ぎきれない分を外に移す考え方です。

関連する記事です。

• サイバー攻撃で出荷はなぜ止まるのか、日本トレクス22日・ニチレイ11日の停止とランサム被害の6割が中小企業
• 東京都の情報漏えい対策はいつまで申し込めるか、助成金500万円と無料のUTM・EDR体験、国の能動的サイバー防御

事故に気がついたら、保険会社への連絡は早めにするのが条件です

今回見た資料はいずれも、事故が起きたら「遅滞なく」連絡するよう求めています。連絡が遅れると保険金の全部または一部が出ないことがあります。

損保ジャパンの商工会向けパンフレットの書き方はこうです。「遅滞なくご通知いただけなかった場合は、保険金の全額または一部をお支払いできないことがあります」。日本商工会議所の制度は、書面での通知を求めています。

対応の費用が出る期間を、保険会社が通知を受けた日から数える例もあります。あいおいニッセイ同和損保と日本商工会議所の資料では、通知を受けてから180日（日本商工会議所のワイドプランは1年）です。連絡が遅いほど、費用の出る期間の始まりも遅くなります。

1. おかしいと気がついたら、社内の担当者と経営者に知らせる。
2. 保険証券に書かれた事故の窓口に、まず電話で連絡する。
3. 調査会社や弁護士をたのむ前に、保険の対象になるか保険会社と相談する。
4. 相手に賠償を約束したり払ったりする前に、保険会社の承認を得る。
5. 個人情報が漏れたおそれがあれば、個人情報保護委員会への速報（3〜5日以内）もあわせて進める。

今回見た資料では、相手との話しあいを保険会社が代わりにする仕組みはありませんでした。会社が保険会社と話しながら進める形です。

個人情報保護委員会への報告の期限は、次の記事で整理しています。

• 漏えい等報告はいつまで、個情委への速報3〜5日・確報30日と、1,000人超など義務になる4類型

取引先からセキュリティ対策の水準を求められることもあります。国の評価制度は次の記事にまとめています。

• 取引先に★3を求められたら費用はいくらか、経産省のセキュリティ対策評価制度とIPAの登録料1万円

よくある質問