- 2026/09/10 06:30 掲載
【ガートナー警鐘】サイバー保険「入っても補償なし」…？知らないと怖い「免責条項」(2/2)
補償を受けられない…？ 見落としがちな「免責条項」の中身
サイバー保険の契約には、補償の対象外となる免責条項が定められている。フルタード氏は、この免責条項が年々増えていると指摘した上で、「サイバー保険は支払われないものだと誤解されがちですが、そうではありません。支払われないのは、契約者側が自らの義務を果たしていない場合です」と話す。
たとえば、従業員による内部不正やデータ持ち出しは、保険会社によっては補償の対象から外れる。悪意を持った社員による損失であっても、契約上「補償なし」と明記されているケースがあるという。
申込時に申告したセキュリティ対策を契約期間中に維持できなかった場合には、契約そのものが無効となる例もある。またパッチのリリースから3カ月以内に対応していなければ、免責条項に抵触する場合もあり、注意が必要だ。
そのほか、フィッシングメールなどのソーシャルエンジニアリングによって送金してしまった場合、補償の対象外とされるケースも増えている。たとえば偽の請求メールを受け取った担当者が、社内の承認手順を経ずに多額の送金を実行してしまったとする。この場合、外部からシステムに侵入されたわけではなく、社内の資金移動プロセスや権限管理が機能しなかったことが原因とみなされ、補償の対象にならない。
そして近年増えているのが「壊滅的サイバーイベント」に関する条項だ。たとえば一部の保険契約では、主要クラウドサービスが72時間を超えて停止した場合などが該当し、補償上限が通常の50%に制限されるケースもある。
これまでのところ、大規模なクラウド障害でもこの基準に達した例はなく、実際に発動したケースはまだ確認されていない。ただし条項として契約に含まれている以上、経営層を含めて内容を把握しておく必要がある。
また国家が関与する攻撃を対象外とする「戦争行為」条項も見直しが進んでいる。
たとえば、従業員による内部不正やデータ持ち出しは、保険会社によっては補償の対象から外れる。悪意を持った社員による損失であっても、契約上「補償なし」と明記されているケースがあるという。
申込時に申告したセキュリティ対策を契約期間中に維持できなかった場合には、契約そのものが無効となる例もある。またパッチのリリースから3カ月以内に対応していなければ、免責条項に抵触する場合もあり、注意が必要だ。
そのほか、フィッシングメールなどのソーシャルエンジニアリングによって送金してしまった場合、補償の対象外とされるケースも増えている。たとえば偽の請求メールを受け取った担当者が、社内の承認手順を経ずに多額の送金を実行してしまったとする。この場合、外部からシステムに侵入されたわけではなく、社内の資金移動プロセスや権限管理が機能しなかったことが原因とみなされ、補償の対象にならない。
そして近年増えているのが「壊滅的サイバーイベント」に関する条項だ。たとえば一部の保険契約では、主要クラウドサービスが72時間を超えて停止した場合などが該当し、補償上限が通常の50%に制限されるケースもある。
これまでのところ、大規模なクラウド障害でもこの基準に達した例はなく、実際に発動したケースはまだ確認されていない。ただし条項として契約に含まれている以上、経営層を含めて内容を把握しておく必要がある。
また国家が関与する攻撃を対象外とする「戦争行為」条項も見直しが進んでいる。
契約・更新前に保険会社へ「確認したいポイント」
免責条項の中身に加え、契約更新の前に保険会社側へ確認しておきたい点もある。
サードパーティ経由の被害やゼロデイ脆弱性が原因の場合も補償対象になるか、確認しておきたい。証拠としてログの保管を求められることも多く、その体制を見直しておく必要がある。
契約内容を確認する際は、フォレンジック調査などの委託先が自社と保険会社のどちらの立場で調査を行うのかも確認しておきたい。保険会社が契約する担当者の場合、調査で判明した内容が保険会社にも共有される可能性があるためだ。
また対応にかかる時間、いわゆるSLA（サービス品質保証）も事前に確認しておくべきだ。侵害発生後、対応まで数日待たされて困ることのないようにするためである。
加えて、既存の他の保険商品と補償範囲が重複していないかどうかの点検も必要だ。事業中断保険や賠償責任保険に付帯するサイバー特約ですでに一定の範囲がカバーされている場合、単体のサイバー保険で追加すべき補償額を抑えられる可能性がある。
なお保険会社を切り替える際は、テール補償など、契約終了後に発覚・報告されたインシデントがどこまで補償されるのかも確認しておきたい。インシデントは、実際に侵入された時点と、それが発覚する時点が大きくずれることがあるためだ。契約を切り替える際には、こうしたケースで補償の空白が生じないか、旧契約と新契約それぞれの条件を確認することが重要になる。
これらを1つずつ確認していく作業は煩雑に映るかもしれないが、更新のたびに条件が変わる以上、避けて通れない点検だ。
「サイバー保険は良い商品であり、多くの企業にとって加入する価値があります」
フルタード氏はこう述べた上で、自社のリスク水準に照らして適切かどうかを自問する必要があると付け加えた。保険は侵害が起きた後に機能する道具の1つにすぎない。
サードパーティ経由の被害やゼロデイ脆弱性が原因の場合も補償対象になるか、確認しておきたい。証拠としてログの保管を求められることも多く、その体制を見直しておく必要がある。
契約内容を確認する際は、フォレンジック調査などの委託先が自社と保険会社のどちらの立場で調査を行うのかも確認しておきたい。保険会社が契約する担当者の場合、調査で判明した内容が保険会社にも共有される可能性があるためだ。
また対応にかかる時間、いわゆるSLA（サービス品質保証）も事前に確認しておくべきだ。侵害発生後、対応まで数日待たされて困ることのないようにするためである。
加えて、既存の他の保険商品と補償範囲が重複していないかどうかの点検も必要だ。事業中断保険や賠償責任保険に付帯するサイバー特約ですでに一定の範囲がカバーされている場合、単体のサイバー保険で追加すべき補償額を抑えられる可能性がある。
なお保険会社を切り替える際は、テール補償など、契約終了後に発覚・報告されたインシデントがどこまで補償されるのかも確認しておきたい。インシデントは、実際に侵入された時点と、それが発覚する時点が大きくずれることがあるためだ。契約を切り替える際には、こうしたケースで補償の空白が生じないか、旧契約と新契約それぞれの条件を確認することが重要になる。
これらを1つずつ確認していく作業は煩雑に映るかもしれないが、更新のたびに条件が変わる以上、避けて通れない点検だ。
「サイバー保険は良い商品であり、多くの企業にとって加入する価値があります」
フルタード氏はこう述べた上で、自社のリスク水準に照らして適切かどうかを自問する必要があると付け加えた。保険は侵害が起きた後に機能する道具の1つにすぎない。
本記事は2026年7月22日-24日に開催された「ガートナー セキュリティ ＆ リスク・マネジメント サミット 」の講演内容をもとに再構成したものです。
Googleで見つけやすく
共有する
-
0
-
2
-
0
-
0
-
0
その他保険のおすすめコンテンツ
関連タグ
タグをフォローすると最新情報が表示されます
あなたの投稿
PR
PR
PR
