【ガートナー警鐘】サイバー保険「入っても補償なし」…？知らないと怖い「免責条項」

保険金の支払額は「損害額を下回る」

　サイバー保険に入っても、侵害そのものを防げるわけではない。ガートナー ディスティングイッシュト バイス プレジデント, アナリスト、ポール・フルタード氏はこの原則を繰り返し強調する。

「サイバーセキュリティも、サイバー保険も、それ単体では侵害を予防する手段にはなりません」

　セキュリティプログラムは侵害を未然に防ぐための投資であり、社内チームやパートナーと築く防御線にあたる。一方サイバー保険は、その防御線を突破された後、つまり侵害が実際に発生した後に初めて役割を果たす。自動車保険や火災保険と同じく、本来は使わずに済むことが望ましいものだ。

　では、実際にサイバー保険はどのような企業で利用され、どの程度の損失が発生しているのか。14の保険会社が持つ保険金支払いデータを見ると、請求の多くは売上高20億ドル未満の企業に集中している。

　これは大企業が攻撃を受けていないという意味ではない。データ上、大企業の請求件数は中堅・中小企業より少ないものの、1件当たりのインシデントコストは大きい。たとえば売上高100億～1,000億ドルの企業では、平均インシデントコストは3,050万ドルに達している。


　請求原因の上位については、企業規模を問わずランサムウェアが占める。一方、保険料は世界的に下落傾向にあり、特にアジア地域では2025年の後半に約1割（10%）低下したというデータもある。

　データはもう1つの実態を示す。インシデントの発生にかかったコストと、実際に支払われた保険金の間には、常にギャップがある。事業中断やブランド毀損をどう金額換算するかは、企業側と保険会社側で測り方が異なるためだ。


　これに加え、契約に定められた免責額（自己負担分）も差し引かれるため、支払われる保険金は発生したコストを下回るのが通常だ。

補償を受けるための「12の備え」

　サイバー保険の中心にあるのは、侵害によって生じた損失や復旧費用を補填する財務面の補償だ。ただし保険が担うのはそれだけではない。侵害が起こる前には、自社の防御態勢を評価してもらえたり、脅威インテリジェンスの提供を受けられたりする。

　実際に侵害が起きた後には、フォレンジック調査担当者の派遣や被害者への通知対応など、保険会社があらかじめ契約している専門ベンダーを手配してもらえるほか、訴訟に発展した場合の法的対応も含まれる。

　こうした補償を受けるには、企業側にも相応の備えが必要となる。保険会社は、加入企業に一定水準のセキュリティ対策を求めている。世界最大級の保険ブローカーであるマーシュの調査によれば、共通して求められる要件は12項目に上る。


　これらのうち「パッチと脆弱性管理」は、重要性を増しているという。攻撃側も生成AIなどの最先端技術を取り込みつつあり、保険会社側も組織の対応状況をより厳しく確認するようになっている。

　サードパーティのリスク・マネジメントも同様に注目度が高い。自社の対策だけでは防ぎきれない領域であるだけに、取引先へのデューデリジェンスやリスク管理を求める動きが強まっている。

　ただし、こうした対策を講じていれば、必ず保険金が支払われるわけではない。サイバー保険では免責条項が年々増えており、内部不正やソーシャルエンジニアリングによる被害などが補償対象外となるケースもある。さらに、加入時に申告したセキュリティ対策を維持できていなかったり、パッチ適用など契約上の義務を果たしていなかったりすれば、補償を受けられない可能性もある。

　契約・更新時には、免責条項を読むだけでなく、サードパーティ経由の被害やゼロデイ脆弱性が補償されるか、必要なログを保管できているか、事故発生時の対応時間やフォレンジック調査の体制はどうなっているかまで確認しておきたい。保険は侵害を防ぐものではなく、発生後の損失を抑える手段の1つだ。自社の対策と契約条件を継続的に見直してこそ、いざというときに「加入していたのに補償されない」という事態を避けられるだろう。 【次ページ】補償を受けられない…？ 見落としがちな「免責条項」の中身