サイバー保険とは【基礎知識】
サイバー保険とは、サイバー攻撃や情報漏洩などのデジタルリスクによって生じた損害を補償する保険商品です。フィッシング詐欺による被害も、多くの商品で補償対象に含まれています。
サイバー保険の定義と目的
- リスク移転の考え方
- 企業がサイバーリスクに対応する方法は、大きく4つに分類されます。リスク回避（リスクのある事業をしない）、リスク低減（対策を講じる）、リスク保有（自己負担で対応）、そして**リスク移転（保険で転嫁）**です。サイバー保険は、この「リスク移転」を実現する手段として位置づけられます。
- 技術対策との補完関係
- [フィッシング詐欺対策の完全ガイド](/security/scams/phishing/column/defense/)で解説しているような技術的・組織的対策は「リスク低減」に該当します。しかし、どれほど対策を講じてもリスクをゼロにはできません。サイバー保険は、対策をすり抜けた攻撃による損害をカバーする「**最後の砦**」として機能します。
- 企業防衛における役割
- 一度の大規模なサイバー被害は、中小企業にとって事業継続を脅かす致命傷となりかねません。サイバー保険は、被害発生時の経済的ダメージを軽減し、事業継続を支える安全網として機能します。
サイバー保険の歴史
サイバーリスク保険は、2000年代初頭に米国で登場しました。当初は情報漏洩に特化した限定的な商品でしたが、サイバー攻撃の多様化・高度化に伴い、補償範囲を拡大してきました。
日本での本格展開は2015年頃からです。日本年金機構の情報漏洩事件（2015年）を契機に企業の関心が高まり、大手損害保険会社が相次いで商品を投入しました。2020年以降はランサムウェア被害の急増を背景に、加入企業が増加しています。
加入率の国際比較
| 国・地域 | 企業加入率 | 年間市場規模（推定） | 特徴 |
|---|---|---|---|
| 米国 | 約70% | 約1.5兆円 | 義務化業種あり、訴訟リスクが高い |
| 欧州 | 約40% | 約5,000億円 | GDPR対応で需要増 |
| 日本 | 約15% | 約300億円 | 中小企業の認知度が低い |
| オーストラリア | 約35% | 約800億円 | 政府主導の啓発活動 |
出典：日本損害保険協会、各国保険業界団体の公表データを基に作成。数値は推定値であり、調査時期や定義により異なる場合があります。
日本の加入率が低い背景には、「自社は狙われない」という楽観的認識や、サイバー保険の存在自体を知らない企業が多いことが挙げられます。
サイバー保険の補償範囲【何が補償されるか】
サイバー保険の補償内容は商品によって異なりますが、一般的に「自社の損害」「他者への賠償責任」「その他の費用」の3分類で整理できます。フィッシング詐欺に関連する補償項目を詳しく解説します。
1. 自社の損害（第一者損害）
自社が直接被る損害に対する補償です。
- 事故対応費用
- - **フォレンジック調査費用**：侵入経路や被害範囲を特定するための専門調査 - **システム復旧費用**：改ざんされたデータやシステムの復旧 - **弁護士・専門家への相談費用**：法的対応や危機管理のコンサルティング - **データ復旧費用**：暗号化・破壊されたデータの復元作業
- 事業中断による損失
- - **営業損失**：サイバー攻撃による業務停止期間の売上減少 - **代替手段の費用**：手作業での業務継続にかかる追加コスト - **臨時雇用費用**：復旧作業のための人員確保
- 身代金・恐喝対応
- - [ランサムウェア](/security/devices/ransomware/)の身代金 - [DDoS攻撃](/security/networking/ddos/)を盾にした恐喝への対応 ※身代金支払いの是非については議論があり、商品によって補償の可否や条件が異なります。
2. 他者への賠償責任（第三者損害）
顧客や取引先など、他者に与えた損害に対する賠償責任をカバーします。
- 情報漏洩による賠償
- - 顧客の[個人情報（PII）漏洩](/security/data-privacy/pii-leakage/)に対する損害賠償 - 取引先の機密情報漏洩による賠償責任 - 法的な訴訟費用・和解金
- 情報漏洩対応費用
- - **被害者への通知費用**：お詫び状の作成・発送 - **コールセンター設置**：問い合わせ対応窓口の開設 - **信用調査サービスの提供**：被害者への ID保護サービス提供
3. その他の費用
- 広報・危機管理対応
- - PR会社への危機管理広報委託 - 記者会見の開催費用 - ブランドイメージ回復のための広告・キャンペーン
- 行政対応
- - 個人情報保護委員会への報告対応 - 監督官庁（金融庁、厚労省等）との調整 - 行政処分への対応費用
フィッシング詐欺に特化した補償ポイント
フィッシング サイバー保険を検討する際、特に確認すべき補償項目があります。
| 被害類型 | 補償の可否（一般的傾向） | 確認ポイント |
|---|---|---|
| BEC（ビジネスメール詐欺）による送金被害 | △（特約が必要な場合あり） | 補償上限額、免責金額 |
| 役員へのなりすまし被害 | △（特約が必要な場合あり） | 役員賠償責任保険との重複 |
| 取引先偽装による損失 | ○（多くの商品で補償） | 社会的信用回復費用の有無 |
| 従業員のフィッシング被害 | ○ | 教育実施が条件の場合あり |
| 顧客情報の漏洩 | ○ | 漏洩件数による上限設定 |
ビジネスメール詐欺（BEC）による送金被害は、商品によって基本補償に含まれる場合と特約が必要な場合があります。加入前に必ず確認してください。
補償されないケース（免責事項）
以下のケースは、多くのサイバーリスク保険で補償対象外となります。
- 故意または重過失：意図的な情報漏洩、明らかな注意義務違反
- 既知の脆弱性の放置：セキュリティパッチを長期間適用しない等
- 最低限の対策未実施：ファイアウォールやウイルス対策ソフト未導入
- 契約前に発生した事故：加入前から進行していた攻撃
- 戦争・テロ行為：国家支援型攻撃を除外する動き（戦争条項）
- 罰金・課徴金：行政処分による金銭的ペナルティ
主要保険会社の商品比較【2025年版】
日本国内で提供されている主要なサイバー保険商品を比較します。なお、保険料や補償内容は企業規模・業種・対策状況により大きく異なるため、詳細は各保険会社に直接ご確認ください。
主要6社の商品概要
| 保険会社 | 商品名（例） | 補償上限（目安） | 年間保険料（目安） | 主なターゲット |
|---|---|---|---|---|
| 東京海上日動 | サイバーリスク保険 | 最大10億円 | 30万円〜 | 大手・中堅企業 |
| 損保ジャパン | サイバー保険 | 最大5億円 | 20万円〜 | 中堅企業 |
| 三井住友海上 | サイバープロテクター | 最大10億円 | 25万円〜 | 中堅・大手企業 |
| あいおいニッセイ同和 | サイバーセキュリティ保険 | 最大3億円 | 15万円〜 | 中小企業 |
| AIG損保 | CyberEdge | 最大20億円 | 50万円〜 | グローバル企業 |
| チューリッヒ保険 | サイバー保険 | 最大1億円 | 10万円〜 | 小規模企業 |
※2025年11月時点の一般的な情報です。商品名、補償内容、保険料は変更される場合があります。
各社の特徴（参考情報）
- 大手損保系（東京海上日動、損保ジャパン、三井住友海上）
- 補償範囲が広く、事故対応サポートが充実しています。24時間365日の事故受付、専門コンサルタントによる事前診断などの付帯サービスを提供する商品もあります。一方、加入審査は比較的厳格で、保険料も高めの傾向があります。
- 中堅・外資系（あいおいニッセイ同和、AIG損保、チューリッヒ保険）
- ターゲット層を明確にした商品設計が特徴です。中小企業向けの簡易審査・低価格商品や、グローバル企業向けの海外拠点対応商品など、ニーズに応じた選択肢があります。
商品選びのチェックポイント
サイバー保険を選ぶ際は、以下の項目を比較検討してください。
| チェック項目 | 確認ポイント |
|---|---|
| 補償範囲 | フィッシング・BEC被害が基本補償か特約か |
| 補償上限額 | 想定最大損害をカバーできるか |
| 免責金額 | 自己負担となる金額はいくらか |
| 事故対応サービス | 24時間対応、専門家派遣の有無 |
| 加入条件 | 必須となるセキュリティ対策は何か |
| 保険料の割引 | 対策実施による割引制度の有無 |
重要：本記事は情報提供を目的としており、特定の保険商品を推奨するものではありません。加入にあたっては、複数社から見積もりを取得し、約款を十分に確認してください。
保険料の相場と決定要因【費用の目安】
フィッシング サイバー保険の保険料は、企業規模や業種、セキュリティ対策の状況によって大きく異なります。ここでは一般的な相場と、保険料を決定する要因を解説します。
企業規模別の保険料相場
以下は、一般的なサイバーリスク保険の保険料目安です。実際の保険料は個別査定により決定されます。
| 企業規模 | 従業員数 | 補償額目安 | 年間保険料目安 | 月額換算 |
|---|---|---|---|---|
| 小規模 | 10名程度 | 3,000万円 | 10〜15万円 | 約1万円 |
| 中規模 | 50名程度 | 1億円 | 30〜50万円 | 2.5〜4万円 |
| 大規模 | 300名程度 | 10億円 | 200〜500万円 | 17〜42万円 |
保険料を決定する7つの要因
- 1. 業種・業態
- サイバーリスクの高い業種は保険料が高くなります。金融機関、医療機関、ECサイト運営企業などは高リスクとみなされ、製造業や建設業は相対的に低リスクと評価されます。業種による係数は0.8倍〜2.0倍程度の差があります。
- 2. 企業規模
- 売上高、従業員数、保有する個人情報の件数などが評価されます。規模が大きいほど被害規模も大きくなるため、保険料は高くなる傾向があります。
- 3. 希望する補償額
- 補償上限額が高いほど保険料も高額になります。1,000万円〜10億円以上まで、企業のリスク許容度に応じて設定します。[フィッシング対策の費用対効果](/security/scams/phishing/column/defense/cost-effectiveness/)を参考に、適切な補償額を検討してください。
- 4. セキュリティ対策の実施状況
- 対策を講じている企業は保険料が割引されます。 | 対策内容 | 割引率目安 | |---------|----------| | WAF導入 | △10% | | DMARC実装 | △5% | | 従業員教育実施 | △10% | | ISMS認証取得 | △15% | 複数の対策を組み合わせることで、最大30%程度の割引が適用される場合もあります。
- 5. 過去の事故歴
- 過去3年以内に大規模なセキュリティ事故を起こしている場合、保険料が20〜50%上乗せされることがあります。軽微な事故でも5〜10%程度の上乗せとなる場合があります。
- 6. 免責金額の設定
- 自己負担額（免責金額）を高く設定すると、保険料は安くなります。 | 免責金額 | 保険料への影響 | |---------|--------------| | なし | 基準額 | | 10万円 | △5% | | 50万円 | △10% | | 100万円 | △15% |
- 7. 特約の追加
- 基本補償に含まれない項目を特約で追加すると、保険料が上乗せされます。 | 特約内容 | 保険料上乗せ目安 | |---------|----------------| | BEC特約 | +10〜20% | | ランサムウェア特約 | +15〜25% | | 海外子会社補償 | +20〜30% |
加入時の審査と要件【保険に入るための条件】
サイバー保険への加入には審査があり、一定のセキュリティ対策が求められます。審査プロセスと要件を理解しておくことで、スムーズな加入が可能になります。
加入審査のプロセス
一般的なサイバーリスク保険の加入プロセスは以下のとおりです。
| ステップ | 内容 | 所要期間目安 |
|---|---|---|
| STEP1 | 申込書の提出（企業基本情報、希望補償内容） | 1〜3日 |
| STEP2 | セキュリティ調査票の記入（30〜50項目） | 3〜7日 |
| STEP3 | 保険会社による査定（リスク評価、保険料算定） | 1〜2週間 |
| STEP4 | 契約締結（約款確認、保険料支払い） | 3〜5日 |
総所要期間：2週間〜1ヶ月程度
必須のセキュリティ対策
多くの保険会社が加入条件として求める最低限のセキュリティ対策は以下のとおりです。
- ファイアウォールの設置
- ウイルス対策ソフトの導入と定期更新
- OSおよびソフトウェアの定期アップデート
- データバックアップの定期実施
- アクセス権限の適切な管理
- パスワードポリシーの策定と運用
- 従業員へのセキュリティ教育（年1回以上）
上記を満たさない場合、加入を断られるか、条件付き（高額な保険料、補償制限）での加入となる可能性があります。
推奨される対策（割引対象）
以下の対策を実施していると、保険料割引の対象となる場合があります。
- 二要素認証の導入
- WAF/CDNの利用
- DMARC/SPF/DKIMの実装
- セキュリティ監視（SOC）の導入
- インシデント対応計画の策定
- 第三者認証の取得（ISMS、プライバシーマーク）
企業のフィッシング詐欺対策体制で解説している対策を実施することで、審査通過と保険料削減の両方が期待できます。
保険金請求の手順【実際に被害に遭ったら】
フィッシング詐欺の被害に遭った場合、適切な手順で保険金を請求することが重要です。時系列に沿って、請求の流れを解説します。
発生直後（24時間以内）の対応
- 1. 保険会社への事故連絡
- 24時間対応の事故受付窓口に電話し、以下の情報を伝えます。 - 発生日時（判明した日時） - 被害の概要（フィッシング、情報漏洩等） - 被害規模の見込み（金額、件数等） - 緊急対応の必要性
- 2. 初期対応の実施
- 保険会社の指示に従いつつ、以下を実施します。 - 被害拡大の防止措置 - 証拠の保全（メール、ログ、画面キャプチャ等） - [フィッシング詐欺の通報先](/security/scams/phishing/column/incident-response/report-authorities/)への連絡（警察等）
発生後1週間以内の対応
- 3. 事故報告書の提出
- 詳細な被害状況、発生原因の分析、対応状況を文書化して提出します。
- 4. 損害額の算定開始
- 直接損害と間接損害を区分して計算します。フォレンジック調査が必要な場合は、保険会社と連携して専門業者を手配します。
発生後1ヶ月以内の対応
- 5. 保険金請求書の提出
- 損害額を確定させ、以下の書類とともに請求書を提出します。 **必要書類一覧** | 書類 | 必須/任意 | 備考 | |------|---------|------| | 保険金請求書 | 必須 | 保険会社所定の様式 | | 事故報告書（詳細版） | 必須 | 時系列での経緯説明 | | 被害額証明資料 | 必須 | 請求書、領収書、取引明細等 | | 警察への被害届コピー | 必須 | 受理番号を記載 | | フォレンジック調査報告書 | 必須 | 専門業者による調査結果 | | 弁護士意見書 | 任意 | 法的責任の整理 | | 顧客への通知文書 | 任意 | 漏洩対応の証跡 |
- 6. 保険会社による査定
- 補償対象の確認、損害額の精査、免責事項の確認が行われます。
発生後2〜3ヶ月の対応
- 7. 保険金の支払い
- 査定完了後、指定口座に保険金が振り込まれます。損害が大きい場合は分割払いとなることもあります。
- 8. 再発防止策の報告
- 改善計画を保険会社に報告します。これは次年度の契約更新時の評価にも影響します。
請求時の注意点
- 事実のみを正確に報告する（憶測や誇張は禁物）
- 証拠は時系列で整理して保管する
- 保険会社との連絡記録を残す
- 第三者との示談交渉は保険会社に任せる
- 追加損害が判明した場合は速やかに報告する
フィッシング詐欺の金銭被害回復と併せて対応することで、回復可能な被害を最大化できます。
保険と対策の最適バランス【リスク管理戦略】
サイバー保険は万能ではありません。技術的・組織的対策と組み合わせることで、初めて効果的なリスク管理が実現します。
リスク対応の4つの選択肢
| 対応方法 | 内容 | 例 |
|---|---|---|
| リスク回避 | リスクのある事業をしない | 個人情報を扱わない |
| リスク低減 | 対策でリスクを下げる | セキュリティ投資 |
| リスク移転 | 保険でリスクを転嫁 | サイバー保険加入 |
| リスク保有 | 自己負担で対応 | 小額被害は許容 |
保険と対策の正しい関係
- 誤った考え方
- - ✗ 保険に入れば対策は不要 - ✗ 完璧な対策があれば保険は不要
- 正しい考え方
- - ○ 対策で「リスクを下げ」、保険で「残ったリスクを転嫁」 - ○ 対策により保険料も下がる（Win-Winの関係） - ○ 100%の防御は不可能→保険は「最後の砦」
投資配分の推奨モデル
年間セキュリティ予算300万円の場合の配分例を示します。
| 項目 | 配分 | 金額 | 内容 |
|---|---|---|---|
| 技術対策 | 50% | 150万円 | ツール・サービス、インフラ強化 |
| 組織対策 | 33% | 100万円 | 従業員教育、体制整備、監査 |
| リスク移転 | 17% | 50万円 | サイバー保険料、顧問弁護士費用 |
企業規模別の推奨バランス
| 規模 | 対策 | 保険 | 考え方 |
|---|---|---|---|
| 小規模（10名） | 70% | 30% | 対策は最低限、保険を手厚く |
| 中規模（50名） | 80% | 20% | バランス型 |
| 大規模（300名） | 85% | 15% | 対策重視、自家保険も検討 |
小規模企業ほど一度の被害が致命的となるため、保険の比重を高めることが合理的です。中小企業のフィッシング詐欺対策も参考にしてください。
保険に加入できない・補償されないケース
サイバー保険への加入を希望しても断られるケースや、加入していても保険金が支払われないケースがあります。
加入を断られる主なケース
- セキュリティ対策が皆無：最低限の対策（ファイアウォール、ウイルス対策等）を実施していない
- 重大事故の複数回発生：過去3年以内に大規模な情報漏洩やサイバー攻撃被害を複数回経験
- 既知の脆弱性を放置：重大な脆弱性が公表されているにもかかわらず対応していない
- 超高リスク業種：法的にグレーな事業を営んでいる
- 財務状況の悪化：保険料支払い能力に疑義がある
補償されない主な事例
- 故意・重過失に該当するケース
- - 管理者権限のパスワードを「123456」や「password」に設定 - ウイルス対策ソフトを意図的に停止 - セキュリティパッチを1年以上放置 - [ソーシャルエンジニアリング](/security/scams/social-engineering/)対策の教育を一切実施していない
- 契約前の事故
- - 加入前に発生していた侵入を隠蔽 - 既に進行中の攻撃を未申告
- 補償対象外の損害
- - ブランドイメージの低下（数値化が困難） - 将来の機会損失（推定による算出） - 経営者の精神的損害 - 罰金・課徴金
- 免責金額以下の損害
- - 設定した免責金額（10万円等）を下回る被害
加入を拒否された場合の対処法
- セキュリティ対策を強化して3〜6ヶ月後に再申請
- 審査基準の異なる他社への申し込みを検討
- 補償額を下げて審査のハードルを下げる
- 保険ブローカー（代理店）に相談し、適切な商品を紹介してもらう
サイバー保険の今後の動向
サイバー保険市場は急速に変化しています。今後の動向を把握しておくことで、適切なタイミングでの加入判断が可能になります。
保険料の上昇トレンド
2020年から2024年にかけて、サイバー保険の保険料は世界的に平均30〜50%上昇しました。主な要因は以下のとおりです。
- ランサムウェア被害の急増と高額化
- 請求件数の増加による保険会社の収益悪化
- 再保険市場の引き締め
今後も上昇傾向は続くと予想されており、早期の加入が保険料負担を抑える一つの方法となります。
補償範囲の見直し
保険会社は補償範囲の見直しを進めています。
- ランサムウェアの身代金補償：制限または除外する動き
- BEC被害への補償：強化される傾向
- 国家支援型攻撃の除外：「戦争条項」の適用範囲拡大
新しい保険商品の登場
従来のサイバー保険に加え、新しいコンセプトの商品が登場しています。
- サイバーレジリエンス保険
- 企業の「回復力」を評価し、保険料に反映する商品。[事業継続計画（BCP）](/security/grc/bcp-dr/)の整備状況が重視されます。
- サプライチェーンリスク保険
- 取引先経由で発生した被害も補償対象とする商品。[サプライチェーン攻撃](/security/cloud-supply/supply-chain/)への対応として注目されています。
- IoT/OTリスク保険
- 製造業向けに、工場設備やIoT機器への攻撃被害を補償する商品。
規制による義務化の可能性
EUでは一部業種でサイバー保険加入の義務化が検討されています。日本でも将来的に、重要インフラ事業者などへの義務化が議論される可能性があります。
よくある質問（FAQ）
- Q: 保険があれば対策は不要ですか？
- A: いいえ、**サイバー保険**加入には最低限の対策実施が条件です。また、保険は「万が一」への備えであり、対策による予防が最優先です。対策を怠ると審査に通らない、または保険金が支払われないリスクがあります。[フィッシング詐欺対策の基本5原則](/security/scams/phishing/column/defense/basic-principles/)を参考に、まずは対策を整備してください。
- Q: どの程度の補償額を設定すべきですか？
- A: 一般的な目安として、**年間売上の10〜30%**、または**想定される最大損害額**を基準にしてください。情報漏洩の場合、漏洩件数×5,000〜10,000円＋対応費用が試算方法の一つです。ただし、これは参考値であり、業種や保有データによって大きく異なります。
- Q: 保険料は経費として処理できますか？
- A: はい、**損害保険料として全額損金算入**できます。税務上のメリットもあるため、経費処理の観点からも検討に値します。詳細は顧問税理士にご確認ください。
- Q: 中小企業でも加入すべきですか？
- A: 推奨します。むしろ中小企業こそ、一度の被害で倒産リスクがあるため、**保険によるリスク移転が重要**です。年間10〜30万円程度から加入可能な商品もあります。
- Q: 加入審査に落ちた場合は？
- A: 指摘された対策を実施後、**3〜6ヶ月後に再申請**できます。または、審査基準の異なる他社への申し込みも検討してください。保険ブローカーに相談すると、適切な商品を紹介してもらえる場合があります。
- Q: 保険金が支払われないことはありますか？
- A: はい。故意・重過失、最低限対策の未実施、虚偽申告等の場合は支払われません。**約款をよく確認**し、適切な対策を講じることが重要です。不明点は加入前に保険会社に確認してください。
- Q: 海外子会社の被害も補償されますか？
- A: **特約により可能**です。グローバル補償特約を付帯することで、海外拠点の被害も対象になります（保険料は+20〜30%）。グローバル展開している企業は、加入時に必ず確認してください。
まとめ
フィッシング詐欺に対するサイバー保険は、技術対策と組み合わせることで企業を守る「最後の砦」となります。本記事のポイントを整理します。
重要なポイント
- サイバー保険は、対策をすり抜けた攻撃による損害をカバーする「リスク移転」の手段
- 日本企業の加入率は約15%と低く、リスク認識の向上が必要
- 保険料は業種・規模・対策状況により異なり、対策実施で割引が得られる
- 加入には最低限のセキュリティ対策が必須条件
- 故意・重過失、既知の脆弱性放置などは補償対象外
次のステップ
- 自社のサイバーリスクを評価する
- 複数の保険会社から見積もりを取得する
- 補償範囲と免責事項を十分に確認する
- 対策と保険の最適バランスを検討する
より詳細な対策についてはフィッシング詐欺対策の完全ガイドを、費用面の検討にはフィッシング対策の費用対効果をご参照ください。被害発生時の対応についてはフィッシング詐欺被害の対応ガイドで解説しています。
【重要なお知らせ】
- 本記事は一般的な情報提供を目的としており、特定の保険商品を推奨するものではありません
- 保険商品の詳細（補償内容、保険料、加入条件等）は各保険会社の約款をご確認ください
- 記載の保険料・補償額は目安であり、実際の条件は個別査定により決定されます
- 保険金の支払い可否は、各商品の約款および個別の事故状況により判断されます
- 実際に被害に遭われた場合は、警察（#9110）や消費生活センター（188）などの公的機関にもご相談ください
- 法的な対応が必要な場合は、弁護士などの専門家にご相談ください
- 記載内容は作成時点（2025年11月）の情報であり、保険商品や市場動向は変更される可能性があります
📍 ナビゲーション
🏠 フィッシング詐欺完全ガイドTOP
現在地: TOP > 対策・防御方法
📂 主要カテゴリー
📄 対策・防御方法の詳細ページ
基本対策
対象別対策
高度な対策
💡 まず始めるなら： 基本5原則から始めることをおすすめします
更新履歴
- 初稿公開