サイバー保険の盲点、加入企業を狙う攻撃と防衛投資の最適解とは

サイバー保険が経営課題になる被害構造

警察庁が把握した2025年のランサムウェア被害は226件に達し、そのうち中小企業が143件を占めました。製造業は全体の約4割に上り、受注や生産、出荷を支えるシステムの停止が現実の経営リスクになっています。警察庁の2025年情勢資料からは、企業規模や業種を問わず被害が続く構図が読み取れます。

こうした損失に備えるサイバー保険は、事故後の資金と専門家を確保する有効な手段です。しかし、攻撃を防止する装置ではなく、発生した損失の一部を契約条件に従って移転する仕組みにすぎません。本稿では、保険の効用と死角、加入情報を攻撃者に利用される危険、経営者が防衛投資と両立させる方法を整理します。

保険が守る損失と守れない事業継続

事故対応を支える金銭補償と専門家網

サイバー事故で発生する費用は、サーバーの復旧費だけではありません。侵害範囲を調べるフォレンジック調査、弁護士への相談、顧客への通知、コールセンター、広報対応、第三者への賠償、休業中の利益減少などが重なります。システムを直せても、信用回復や取引再開まで長期化する場合があります。

サイバー保険は一般に、自社が負担する事故対応費用や事業中断損失を対象とする補償と、情報漏えいなどで第三者に負う賠償責任の補償を組み合わせています。事故受付窓口を通じて、調査会社、法律事務所、危機広報会社などへ接続するサービスも重要です。平時に専門家との契約がない企業ほど、初動時間を短縮する効果が期待できます。

英国のNCSCによる保険ガイダンスも、保険の価値を金銭だけに限定していません。事故対応や復旧計画を支援するサービスを活用する一方、保険は侵害そのものを防がないため、基礎的な防御を継続すべきだとしています。

国内でも日本損害保険協会は、情報漏えい、ネットワークに起因する業務阻害、事故対応費用などを代表的な補償として示しています。ただし、同協会の案内ではランサムウェア攻撃で支払った身代金は補償対象外です。実際の範囲は保険会社やプランで異なるため、「サイバー保険」という名称だけで判断できません。

約款の免責・限度額・通知義務の壁

契約時に見るべきなのは保険金額の大きさだけではありません。事業中断が始まってから補償が発動するまでの待機時間、クラウド障害や委託先事故の扱い、項目ごとの補償限度額、自己負担額を確認する必要があります。メール詐欺、知的財産、身体・物的損害などが別契約になる場合もあります。

国家が関与する攻撃や戦争に関する免責も争点です。経済産業省のサイバーセキュリティ経営ガイドラインは、サイバー保険で被害全体が補償されるとは限らず、国家レベルの攻撃が戦争と扱われれば対象外となる可能性を指摘しています。単一のクラウドや広く使われるソフトウェアの障害は多数の契約者へ同時に波及するため、保険会社も無制限には引き受けられません。

もう一つの盲点が、事故発生後の手順です。保険会社へ連絡する前に調査会社を独自に起用したり、攻撃者と交渉したりすると、費用が認められない可能性があります。NCSCと英国保険業界の共同指針も、被害時には保険会社やブローカー、捜査機関、技術担当者を早期に関与させるよう求めています。

加入時の質問票も軽視できません。多要素認証やバックアップ、ログ保存を実施していると申告した後、運用変更で条件を満たさなくなれば、更新や保険金請求で問題になります。質問票を総務部門だけで処理せず、CISO、情報システム、法務、財務が実態と証跡を共同確認する体制が必要です。

加入企業が狙われる説の根拠と限界

狙われやすさと要求額上昇の切り分け

「保険に入ると攻撃者に狙われる」という説明には、二つの異なる段階が混在しています。一つは加入企業を事前に選び、最初から侵入を試みる行為です。もう一つは、別の理由で侵入した後に保険証券を見つけ、身代金の要求額や交渉方針を変える行為です。

英国王立防衛安全保障研究所のRUSIによる調査では、侵入口を売買する闇市場で重視される情報は国、売上高、業種、接続方法、端末数などでした。保険加入の有無が広く使われている証拠は乏しく、多くの初期侵入は脆弱性や盗まれた認証情報を利用した機会的なものです。加入しただけで攻撃確率が上がるとは断定できません。

一方、侵入後の価格設定では保険情報が意味を持ちます。オランダ警察とトウェンテ大学の研究者が2019～2023年の500件を超える事案を分析したところ、被害企業が実際に支払った場合、保険加入企業の平均支払額は非加入企業の2.8倍でした。データ窃取と暗号化を組み合わせる二重恐喝では5.5倍となりました。トウェンテ大学の研究紹介で確認できます。

オランダのNCSCによる研究者インタビューでは、一部の攻撃者が侵入後に「insurance」や「policy」を含む文書を探す行動も報告されています。補償限度額や交渉余力を把握できれば、攻撃者は被害企業が受け入れ得る上限へ要求を近づけられます。

ただし、これらはオランダの観測事例に基づく関連性であり、保険だけが高額化の原因だとは限りません。売上高、業種、停止損失、データの機密性なども支払額を左右します。「保険が攻撃を呼ぶ」と単純化せず、初期侵入と侵入後の情報探索を分けることが重要です。

審査を防衛投資へ変える継続運用

保険には、企業の防御を弱める方向だけでなく、強める方向の作用もあります。多要素認証、EDR、脆弱性管理、分離されたバックアップなどを引受条件にすれば、加入や更新の過程が最低限の対策を整える契機になります。RUSIも、特にセキュリティ能力が不足しやすい中小企業では、最低要件と事故前支援が改善を促し得ると分析しています。

保険加入による安心感が対策を緩ませるモラルハザードは無視できませんが、必然でもありません。OECDの分析は、免責金額、共同負担、リスクに応じた保険料を使えば、他の保険より特別に深刻な問題になるとは限らないとしています。

課題は、年1回の質問票が日々変化するIT環境を映せないことです。新しいSaaS、買収した子会社、外部公開された管理画面、無効化されたログ設定が、更新後に死角を生みます。保険審査を合格時点の証明ではなく、資産・ID・脆弱性・復旧能力を継続測定する起点に変える必要があります。

保険証券と補償限度額も機密情報として扱うべきです。一般社員が検索できる共有フォルダーや侵害されやすいメールボックスには置かず、暗号化と最小権限を適用します。ただし、隠すだけでは防御にならないため、緊急時に経営、法務、事故対応責任者が確実に取り出せる経路も残します。

補償条件の厳格化と巨大損失の空白

サイバー保険市場には、個社の事故を超える集積リスクがあります。同じクラウド、認証基盤、業務ソフトウェアの脆弱性から多数の企業が同時停止すれば、通常の保険料では吸収できません。EIOPAの2025年金融安定報告によると、欧州経済領域の市場は供給能力の増加と価格低下を背景に2024年に小幅縮小し、一部の保険会社はモデルの不確実性を考慮して引受姿勢を慎重化しました。

米国のGAOも、損失データの不足と「サイバーテロ」などの定義の不統一を課題に挙げています。CISAの市場評価も、曖昧な約款、免責、項目別限度額による補償の空白を指摘しています。価格競争で保険料が下がっても、リスク評価の精度が高まったとは限りません。

海外拠点を持つ企業は、身代金が制裁対象へ渡る法的リスクにも注意が必要です。米財務省は、被害企業に代わって支払いを仲介する保険会社や専門業者にも制裁上の問題が生じ得ると注意喚起しています。補償の有無だけで支払いを決めず、関係国の法令、復旧可能性、再攻撃、犯罪資金化を含めた判断が欠かせません。

経営者が実行すべき保険と防衛の再設計

警察庁が2025年の被害組織を調べた結果、サイバー攻撃を想定したBCPを策定していた割合は約18％でした。保険金を受け取れても、復旧手順、代替業務、顧客への説明がなければ事業停止は短くなりません。IPAのランサムウェア教訓集も、経営判断、対応体制、BCP、バックアップ、ログを一体で準備する必要性を示しています。

経営会議では、次の五つを四半期ごとに確認すべきです。

1. 重要業務の停止シナリオと想定損失を作り、補償対象、限度額、免責を対応させる。
2. 多要素認証、EDR、パッチ管理、特権ID管理へ、保険料とは別の防衛予算を確保する。
3. 攻撃者が変更できないバックアップを保持し、定期的な復元試験で所要時間を測定する。
4. 保険会社、調査会社、弁護士、警察、広報への連絡順序をBCPへ組み込む。
5. 保険証券を機密管理し、更新時の申告内容と実際のシステム構成を照合する。

サイバー保険の役割は、攻撃の阻止ではなく、残ったリスクから企業の財務と復旧を守ることです。加入か防衛かの二者択一ではなく、技術対策で発生確率を下げ、BCPで停止時間を短縮し、それでも残る損失を保険へ移す設計が最適解になります。

参考資料:

• 令和7年におけるサイバー空間をめぐる脅威の情勢等｜警察庁
• ランサムウェア被害から学ぶ教訓集｜IPA
• サイバー保険｜日本損害保険協会
• サイバーセキュリティ経営ガイドライン Ver.3.0｜経済産業省
• Cyber insurance guidance｜英国NCSC
• Guidance for organisations considering payment in ransomware incidents｜英国NCSC
• Cyber Insurance and the Ransomware Challenge｜RUSI
• Veel bedrijven hebben eigenlijk geen keuze tussen betalen of niet betalen｜オランダNCSC
• Ransomware: UT PhD offers new insights｜University of Twente
• Financial Protection Against Catastrophic Risks｜OECD
• Financial Stability Report December 2025｜EIOPA
• Cyber Insurance: Insurers and Policyholders Face Challenges｜U.S. GAO
• Ransomware Advisories｜U.S. Department of the Treasury
• Cyber Insurance Market Assessment｜CISA