知って得する！話題のトレンドワード（第26回） ポイント解説！スッキリわかる「サイバーリスク保険」

　いま話題のトレンドワードをご紹介する本企画。第26回のテーマはスッキリわかる「サイバーリスク保険」です。言葉の意味、そしてその背景や関連する出来事を解説します。みなさまのご理解の一助となれば幸いです。

「サイバーリスク保険」とは、サイバー攻撃によって発生するさまざまな損害に備えるための保険です。近年、サイバー攻撃の件数は急増しており、その手口もより高度かつ巧妙になっています。情報漏えいやデータの改ざん、システム停止、さらにはランサムウエアなどを用いた身代金要求といった多様なリスクが現実化しつつあり、大企業だけでなく、中小企業、公的機関、医療機関、金融業など、規模にかかわらずあらゆる業種が標的となる深刻な状況です。

　例えば、企業がランサムウエア攻撃を受け、顧客情報が流出したり、金銭を要求されたりする場合、被害総額は、数千万円から億単位におよぶことも珍しくありません。損害賠償だけでなく、事故調査費用、顧客対応費、訴訟費用など、多額の費用が発生します。さらに、社会的信用の低下や事業の停止といった深刻な二次的損失が発生するリスクもあります。こうしたリスクを避けるため、多くの企業がセキュリティ対策を講じています。しかし、技術の進化が顕著な現在、リスクをゼロにすることは不可能と考えられます。そこで近年、万が一のサイバー攻撃被害に備える手段として「サイバーリスク保険」に注目が集まっています。

　サイバーリスク保険は一般的に、サイバー攻撃による情報漏えいなどによる損害、事故対応費用（調査費用、メディア対応費、対象者への見舞金、データ復旧費用など）をカバーしますが、オプションにより営業継続費用（休業損失）、利益損失、第三者への損害賠償などの補償も追加されます。ただし、補償の内容は保険会社ごとに異なるため、加入の際は自社のリスクと保険内容を照らし合わせ、よく確認することが重要です。

関連する出来事などの背景

　「サイバーリスク保険」に注目が集まっている背景には、冒頭で触れたようにサイバー攻撃の急増や手口の高度化・巧妙化があります。生成AIの進化も追い風となり、攻撃の自動化や精密化も急速に進んでおり、もはやサイバーリスクは日常的な経営リスクの1つと言っても過言ではありません。しかも、現在、攻撃対象は大企業に限らず、中小企業や小規模事業者にまで広がっています。「うちは狙われない」と安心できる企業は、もはや存在しないと言えるでしょう。例えば、以下のような調査データから、どの企業も明日、攻撃される可能性があるともいえます。

・サイバー攻撃の被害経験がある企業：全体の32％
・過去1年以内に被害を受けた企業：全体の15％以上
※（出典）帝国データバンク「サイバー攻撃に関する実態調査（2025年）」より

　また、総務省「令和6年版情報通信白書」によれば、サイバー攻撃関連の通信数は2015年の10倍（2023年時点）に増加。被害の規模も深刻で、トレンドマイクロの調査では、法人組織が過去3年間で受けたサイバー被害の平均額は約1億2528万円にのぼるとされています。

　さらに「令和6年版情報通信白書」によれば、警察庁の調査によるランサムウエア被害における調査・復旧費用は次に示すとおりで、被害に遭えば復旧費用だけでもこれだけの金額がかかる現実があります。さらにこれらに含まれない損害賠償や訴訟対応費を想定すると、なかなかの金額が必要となります。また、金銭的被害だけでなく、社会的信用の失墜、事業継続への支障といった「目に見えない損失」も深刻で、企業経営を考えるうえで、サイバー攻撃で大きな被害に遭う可能性を想定しておくことは、必至と言えるでしょう。

100万円未満：26％
100～500万円未満：19％
500～1000万円未満：25％
1000～5000万円未満：23％
5000万円以上：8％

　こうした現状を反映し、世界のサイバーセキュリティ市場も年々拡大しています。多くの企業がセキュリティ強化に努めているものの、「いたちごっこ」状態が続いています。重要なのは、どんなに万全な対策をしても、サイバー攻撃を完全に防ぐことはできないということ。そして、ひとたび攻撃を受ければ、大きな損害を被るのは確実ということです。だからこそ、技術的なセキュリティ対策だけでは不十分。もう1つの備えとして、「サイバーリスク保険」が必要とされているのです。

企業に与えるインパクトは？

　「まさか、うちのような中小企業がサイバー攻撃に遭うなんて」「うちはセキュリティ対策にしっかり投資しているから大丈夫だろう」そう考えている企業も少なくないでしょう。しかし、本当にそう言い切れるでしょうか？

　総務省「サイバーセキュリティ政策の動向」（2025年2月）によれば、インターネットなどの情報通信技術は社会経済活動の基盤であると同時に、日本の成長力のカギである一方、サイバー脅威の悪質化・巧妙化が深刻な被害をもたらしていると書かれています。さらに同資料の最初の図では、2000年代初頭の「無差別マルウエアメール」から、近年の「破壊的サイバー攻撃」までの変遷が図解され、攻撃が年々進化し深刻化している様子が示されています。それでは、この資料から、最近の主要なサイバー攻撃として挙げられている3つをおさらいしていきましょう。

① DDoS攻撃（分散型サービス妨害攻撃）
最近のDDoS攻撃では、パソコンやサーバー周りではなくIoT機器（防犯カメラや観測装置、IoT家電、ルーターなど）が標的になることが多いとされます。攻撃者はウイルスを感染させた無数のIoT機器に攻撃命令を出し、ターゲットのサーバーやネットワークに対して一斉にアクセスさせることでサービスを停止させます。2022年時点でサイバー攻撃の34.4％がIoT機器を対象としています（政府広報オンライン「ウェブカメラやルータが乗っ取られる？IoT機器のセキュリティ対策は万全ですか？」より）。この点からも、今後さらに増えていくことが予想されます。IoT機器は性能が限定され、長期間放置されやすいため、マルウエア感染に気づかず攻撃に加担してしまうリスクが高く、対策はなかなか厄介です。

② ランサムウエア攻撃
企業のパソコンやサーバーにマルウエアを仕込み、重要なデータを暗号化または盗み出し、復旧や非公開と引き換えに金銭を要求するサイバー犯罪です。以前は主に大企業が標的でしたが、現在では中小企業や小規模事業者、金融機関や病院、地方自治体などにも被害が広がっています。

③ 偽サイト・フィッシング詐欺
正規のサイトを装った偽サイトをメールやSNSで送付し、ユーザーを誘導。入力された個人情報やカード情報を不正利用する手口です。自社そっくりの偽サイトが作られ、フィッシング詐欺が行われた場合、信用の失墜など、企業にとっても大打撃となります。

　いずれの攻撃も日々手口が進化しており、セキュリティ対策を講じても、それを上回る攻撃が登場する「いたちごっこ」な構図となっています。特に中小企業では、人材や予算に限りがあり、攻撃者に対して無防備になりやすい傾向があります。従って「技術で守る」だけでなく「万が一への備え」も不可欠です。まさに、「サイバーリスク保険」が求められる理由は、そこにあります。

これから予測される課題は？

　いくら対策を講じていても、標的にされてしまえば避けきれない――それが現実です。では、こうしたサイバーリスクに備える保険は、どのように選べばよいのでしょうか。「日本損害保険協会」の「サイバー保険」ページによると、サイバー保険とは「サイバーリスクに起因して発生するさまざまな損害に対応するための保険」とされています。

　この保険が必要とされる理由としては、「サイバーリスクの急増（攻撃件数の増加）」「損害額の大きさ（平均損害額が約9450万円とも）」「社会的損害の深刻さ（損害賠償だけでは済まない）」といった3点が挙げられると書かれています。さらには自社の脆弱なシステムなどがサイバー攻撃の「踏み台」となるなどで「サイバー攻撃の加害者となる可能性」、「個人情報漏えいで法令違反となる可能性（最大１億円の罰金が科される可能性あり）」がある、とも書かれています。

　サイバーリスク保険の補償内容として、一般的に「情報の漏えいまたはそのおそれ」「ネットワークの所有・使用・管理に起因する他人の業務阻害」「サイバー攻撃に起因する他人の身体傷害・財物損壊」が補償される、とあります。もちろん内容や補償内容は、保険会社やプランにより異なるため、検討、加入時には詳細をよく確認しましょう。

　さらには、サイバー攻撃により発生する費用として、①事故対応費用、②損害賠償費用、③利益損害・営業継続費用の3つが挙げられ、サイバー事故への対応と必要となる費用が整理されており、参考になるでしょう。ただし一般的に、ランサムウエアの被害によって支払った身代金は基本的にサイバーリスク保険の対象にならないので注意が必要です。

　サイバーリスク保険を扱う企業は、先ほど紹介したサイトに8社掲載されていますが、Web検索でさらに見つかる可能性もあります。その他、取引先のベンダー、最寄りの公的機関などに相談するのも手です。なお、情報漏えいリスクのみをカバーする比較的安価なサイバーリスク保険もあり、自社の規模や業種に応じて検討するのが現実的でしょう。

　ここまで見てきたように、サイバー攻撃のリスクはすべての企業や組織にとって人ごとではありません。どんなに対策を講じていても、思わぬ「隙間」から被害を受ける可能性が大いにあります。"備えあれば憂いなし"――今こそ、「サイバーリスク保険」の導入を検討すべき時ではないでしょうか。

※掲載している情報は、記事執筆時点のものです