サイバーセキュリティ保険を検討しているセキュリティ担当者のなかには「何が補償されるの？」「自社にも必要？」と考えている方もいるでしょう。サイバー事故が起きると、多額の費用が必要になり、経営にも大きな影響を与えかねません。本記事では、サイバーセキュリティ保険の必要性や各社のサービス内容を紹介します。
サイバーセキュリティ保険とは
サイバーセキュリティ保険は、サイバー攻撃などによって発生した損害を補償するための保険です。
サイバー事故の原因は、外部からの攻撃や内部の過失にあります。
次のような事例を聞いたことがあるのではないでしょうか。
- サーバーが不正アクセスやDDoS攻撃を受けた
- 取引先を装ったメールに添付されたファイルを開いたらウィルスに感染
- 社員がUSBメモリを社外に持ち出したまま紛失した
個人情報が漏洩したりシステムが停止したりすれば、自社だけでなく顧客や取引先に損害を与えることにもなりかねません。損害賠償責任に関する費用や、事故への対応費用、事故によって出た損失など、さまざまな損害が発生します。
サイバー事故によって発生する損害を包括的にカバーできるのが、サイバーセキュリティ保険です。
サイバーセキュリティ保険の必要性について
2010年代と比較するとサイバー攻撃は増加しており、大企業だけでなく中小企業も標的になっています。サイバー事故はどこの企業でも起こる可能性があり、完璧なセキュリティ対策も存在しません。ひとたびサイバー事故が起こると、多額の費用が必要になります。
トレンドマイクロ株式会社がおこなった調査によると、損害賠償費用、事故対応費用、システム等の停止による損失額といった被害額は年間平均で約1億4800万円とされています。
出典：トレンドマイクロ株式会社 法人組織のセキュリティ動向調査 2020年版
また、JCICがセキュリティ事故等の適時開示をした日本の企業16社に売上高と純利益について調査をおこなったところ、売上高は平均4%上昇したにもかかわらず、純利益は平均21%減少していました。事故対応費用や再発防止対策費用などの損失が大きいことが理由として挙げられています。
出典：JCIC 取締役会で議論するためのサイバーリスクの数値化モデル～サイバーリスクの金額換算に関する調査～
サイバー事故発生時による経済的な損失をなるべく少なくするためにも、サイバーセキュリティ保険の必要性は高いといえるでしょう。
サイバーセキュリティ保険の保険料
保険料は個別に見積もりが必要です。見積もりには、次のような事項が考慮されます。
| 補償内容や補償金額 | 補償内容や補償金額が手厚いほど保険料は高くなるのが一般的です。 |
| セキュリティ対策状況 | プライバシーマークを取得している、ハイレベルなセキュリティ対策を導入している場合は保険料が割り引かれることもあります。 |
| 業種 | ソフトウェア開発などに携わるIT系企業はサイバー攻撃の標的になりやすいため、保険料が他の業種より高い傾向があります。 |
| 売上高 | 売上高の大きい企業は保有している情報の価値が高く、サイバー攻撃の標的になりやすいため保険料は高くなります。 |
| 過去の事故状況 | 過去に情報漏洩などのサイバー事故があった企業は、保険料が高くなるのが一般的です。 |
業種、売上高、過去の事故状況は変えられません。保険料を安く抑えるための対策としてできるのは「補償内容の検討」と「セキュリティレベルの向上」です。
「何かあったときに心配だから補償はなるべく手厚いほうが安心できる」という心理も当然あるでしょう。しかし、補償内容や補償金額をむやみに手厚くすると、保険料が高くなります。とくに、事故対応費用や利益損害・営業継続費用の補償を大きくすると、保険料も高くなりがちです。
保険料を抑えたいのであれば、過剰な補償を契約するのは避け、補償金額も必要以上に大きくしすぎないようにしましょう。
また、サイバー事故が起こらないに越したことはありません。補償内容を手厚くするよりも、セキュリティ対策へ費用をかけてリスクを減らし、補償内容をやや控えめにする道も考えられます。
サイバーセキュリティ保険で補償される内容
サイバーセキュリティ保険の補償内容を大きく分けると「損害賠償責任費用」「事故対応費用」「利益損害・営業継続費用」の3つに分類されます。
具体的な補償内容は保険会社や商品によって異なりますが、どのような費用がサイバーセキュリティ保険で補償されるのか解説します。
損害賠償責任費用
第三者への損害賠償金や賠償責任に関する訴訟費用が補償されます。
自社のサイバー事故により、取引先など第三者にまで被害が及んだ場合は、損害賠償責任を負うことになりかねません。たとえば、サイバー事故により取引先の事業を停止させたり、データやプログラムを破損したりといった可能性もあるでしょう。取引先から損失分の費用を請求されることも充分考えられます。
また、損害賠償責任が発生するのは国内のサイバー事故だけとはかぎりません。海外で発生した損害によって、損害賠償責任を負った場合の費用も補償対象となるサイバーセキュリティ保険もあります。
損害賠償を求められたときには法的な知識をもって対処する必要があります。サイバーセキュリティ保険では、弁護士に払う報酬など争訟にかかる費用も損害賠償責任の範囲で補償されるのが一般的です。
事故対応費用
サイバー事故が起きてからは、次のような対応が必要です。
- 原因や被害状況の調査
- 復旧作業
- 公的調査対応
- 被害の拡大防止
- コールセンター設置
- 関係者への通知や会見
- 被害者への見舞
- 再発防止対策 など
自社で対応が難しいものも多いでしょう。専門業者へ対応依頼や、専門家のコンサルティングが必要です。サイバーセキュリティ保険の事故対応費用部分では、その際の費用をカバーします。
サイバーセキュリティ保険のなかには、サイバー攻撃を受けた”おそれ”が発生した場合に、本当に攻撃を受けたかどうかの調査費用まで補償される商品もあります。
利益損害・営業継続費用
サイバー攻撃などによってネットワークを構成するIT機器の機能が停止した場合に発生する損害や、営業継続のために必要な費用の補償が受けられます。
たとえば、サイバー攻撃によって工場のラインが停止する事態になったとします。通常よりも得られる収益が大幅に減少した場合、サイバーセキュリティ保険の補償内容に利益損害・営業継続費用がついていれば損失をカバーできます。
利益損害・営業継続費用補償は、サイバーセキュリティ保険の基本的プランに含まれないケースも少なくありません。利益損害・営業継続費用補償まで必要とする企業は、オプションとして付加することを視野に入れましょう。
各社のサイバーセキュリティ保険を比較
サイバーセキュリティ保険には、かかった費用が補償されるものだけでなく、対応に必要なサービスの提供をもって損害をカバーしてくれるものもあります。
各社のサイバーセキュリティ保険を比較して、自社に合う補償内容を検討しましょう。
1.Librus株式会社（セキュアナイト）
サイバー事故の恐ろしさは、金銭的な損失が発生することだけではありません。風評被害などによりお客様からの信用を失えば、今後の経営を揺るがしかねないのが怖いところです。
Librus株式会社のセキュアナイトでは、サイバー事故発生時に、原因調査や被害拡大防止処理はもちろん、大手法律事務所と連携した訴訟対応や法律顧問サービスが受けられます。さらに、SNSやWeb上でのソーシャルインパクトの調査、風評被害対策まで提供されるのが特徴です。月々10万円（税抜）で、サイバー事故発生時に必要な対応を5,000万円相当分、受けられるのが魅力といえます。
万が一のときの初動からお客様からの信頼を回復するところまで、ワンストップで迅速に対応してもらえる保険を探している企業に検討してほしいサービスです。
2.三井住友海上（サイバー保険）
三井住友海上の「エコノミー」「ベーシック」「ワイド」の3プランに加え、オプション特約が付帯できるサイバーセキュリティ保険です。
損害賠償のみをするエコノミープランが用意されています。さらに、情報管理体制の状況に回答することで、条件によっては保険料が最大60％まで割り引かれるのが魅力的です。
3プランのなかで最も補償が手厚いワイドプランでは、海外で損害賠償請求を受けた際の損害賠償金や現地での事故対応費用まで補償が受けられます。また、ベーシックプランまたはワイドプラン加入の場合、条件を満たせば利益損害特約の付帯も可能です。
補償の手厚いプランだけでなく、保険料を安く抑えられるプランも検討したい企業におすすめです。
出典：サイバー保険
3.損保ジャパン（サイバー保険）
損害賠償責任費用、事故対応費用の補償がセットになっているサイバーセキュリティ保険です。オプションとして利益損害・営業継続費用補償も付加できます。
損保ジャパンのサイバー保険には「緊急時サポート総合サービス」が自動付帯しています。緊急時サポート総合サービスでは、損保ジャパンがパートナー企業と連携して次のような対応を提供します（国内の対応に限る）。
- 調査や復旧支援
- 記者会見実施支援
- コールセンター設置支援
- 弁護士事務所の紹介
- 再発防止対策実施の証明書発行 など
緊急時サポート総合サービスを利用することで、サイバー事故が起こったときに「どこへ何を依頼すればよいのかわからない」といった事態を避けられます。
補償だけでなく、事故時の対応を支援してくれるサービスも欲しいと考える企業に嬉しいサイバーセキュリティ保険です。
4.あいおいニッセイ同和損保（サイバーセキュリティ保険）
あいおいニッセイ同和損保のサイバーセキュリティ保険は「ベーシックプラン」と「ワイドプラン」の2プランがあります。ベーシックプランの補償は、国内のみ適用されます。
ワイドプランではベーシックプランよりも補償内容が拡充されており、国外のサイバー事故にも適用されるところが2プランの大きな違いです。
ベーシックプラン・ワイドプランともに、損害賠償と事故対応などの費用損害が補償範囲です。ベーシックプランでは「サイバー攻撃補償特約」を付加することで、サイバー攻撃による費用損害補償が有効になります。
また、利益損害補償特約や、子会社を追加記名被保険者に加えられる特約も用意されています。
海外まで適用範囲に含めようか迷っている企業や、子会社も被保険者にしたい企業にぴったりのサイバーセキュリティ保険です。
5.東京海上日動火災（サイバーリスク保険）
ソフトウェア開発などをおこなうIT事業者向けのプランと、開発業務を取り扱わない事業者向けのプランに分かれています。いずれのプランも基本補償として、損害賠償責任費用と事故対応費用が含まれています。
損害賠償責任費用については、事故発生地・訴訟提起地ともに全世界が対象となっている点が魅力です。さらに「コンピューターシステム中断担保特約」を付加することで、利益損害・営業継続費用まで補償されます。
また、事故対応のアドバイスや専門業者手配の支援をしてもらえる「緊急時ホットラインサービス」もあります。365日24時間年中無休で相談できるのも心強いポイントです。
損害賠償責任費用の補償について海外まで含めたい企業や、サイバー事故についていつでも相談できるところがほしい企業におすすめです。
出典：サイバーリスク保険
まとめ
サイバーセキュリティ保険は、サイバー事故によって発生した損害を幅広く補償してくれます。サイバー事故発生時には、損害賠償費用や対応にかかる費用など多額の支払いをしなければなりません。
費用が補償される保険だけでなく、サイバー事故時に必要なサービスが受けられるものを備えとして検討してもよいでしょう。
【セキュリティソリューションのご紹介】
Librus株式会社では企業のサイバー攻撃被害に備え、毎月10万円でホワイトハッカー、弁護士、ブランドコンサルタントをまとめてアサインできる 「セキュアナイト」というサービスを提供しております。
またサイバーセキュリティに関するアドバイザリーやセキュリティ診断（脆弱性診断、侵入テスト）、デジタルフォレンジック（システム復旧支援中心）においても豊富な実績がございます。
ご相談は無料ですので、いつでもお気軽にお問い合わせください。