「サイバー保険の概要と加入に際しての検討事項」の版間の差分

'''サイバー保険の概要と加入に際しての検討事項'''（-ほけんのがいようとかにゅうにさいしてのけんとうじこう）とは、[[八雲法律事務所]]に所属する[[山岡裕明(弁護士)|山岡裕明]]と[[千葉哲也]]と[[町田力]]が雑誌「旬刊経理情報2022年6月10日号」に寄稿したコラムである。

== 概要 ==

<br>

<br>

旬刊経理情報の投稿は約1年半前の「サイバーセキュリティリスクに備える契約上の留意点～秘密情報の開示・漏えいの取り扱い～」以来であり、前回の山岡と千葉の他に今回は[[町田力]]も共著として参加している。

*サイバー保険に加入した場合の付帯サービスとして、専門業者の紹介サービスや、サイバー保険にセキュリティプロダクトを一体化したパッケージ商品を提供する保険会社も存在しており、こうした要素もサイバー保険選択のポイントとなり得る。

=== はじめに ===

<br>

本稿では、まずサイバー保険の概要について紹介したうえで、サイバー保険への加入を検討する際のポイントとして、想定事例を用いてサイバー保険で補償される内容、およびサイバー保険を加入した場合の付帯サービスや付随効果を紹介する。

たとえば、事故原因や被害範囲の調査のために実施したフォレンジック調査の費用のほか、サイバー攻撃を受けて使用不能となったデータやコンピュータシステムの復旧費用、個人情報の漏えい等が発生した場合において被害者からの問い合わせを受け付けるコールセンターの設置費用、被害者に対する見舞金・見舞品の購入費用、個人情報保護委員会に対する報告その他の法律問題のために相談した弁護士費用、今後同様の被害に遭わないための再発防止策の策定および実行に係る費用の補償がこれに該当する。

<br>

===== ③利益損害の補償 =====

利益損害の補償とは、事故がなければ被保険者が得ていたであろう利益（逸失利益）を保証するものである。たとえば、サイバー攻撃を受けて工場制御システムが停止した場合に、そのシステムの停止がなければ得られたはずの営業利益の保証がこれに該当する。

==== （２）サイバー保険の加入率 ====

一般社団法人日本損害保険協会が2020年10月に実施したアンケート調査の結果によると、サイバー保険に「加入している」と回答した企業は、全体の7.8％にとどまる（図表１）。企業規模別に加入率をみると、大企業は9.8％、中小企業は6.7％であり、中小企業のほうが加入が進んでいない。

<br>

一方、全体の約2割が「現在は加入していないが、今後加入予定」と回答しており、中小企業のほうがその比率が高くなっている（大企業16.9％、中小企業20.7％）。自社のサイバー保険の加入状況について、全体の3割超（33.4％）が「わからない」と回答しているのも特徴的である。現在の加入率はこれよりも上昇していると考えられるが、まだまだ認知度は低いといえる。

=== 想定事例を用いたサイバー保険の補償内容 ===

<br>

また、ダークウェブ上のリークサイトに、摂取された情報の一部が公開されていることが判明したため、速やかに個人情報保護委員会への報告（速報）を行うとともに、ホームページ上でサイバー攻撃を受けた事実を公表した。その後、フォレンジック調査の結果、不正アクセスの経路および漏えいしたデータの範囲が判明したことから、個人情報保護委員会への報告（確報）を行い、患者等への個別説明を行った。暗号化されたカルテシステムの復旧には1か月掛かり、その間、X病院は医療サービスを停止せざるを得なかったため、今後同様の被害に遭わないためにセキュリティ商品を購入してセキュリティ強化を図った。この事例を用いて、サイバー保険による損害賠償の補償・費用損害の補償・利益損害の補償を紹介する。

さらに、同日に個人情報の漏えいが明らかとなった場合、個人情報が漏えいした個人から慰謝料請求を受ける可能性があり、仮にその総額が500万円（1件10,000円×500名）とした場合、これは損害賠償保障として保険金の支払い対象となり得る。

<br>

<br>

<br>

なお、前期の金額はあくまで想定事例上のものではあるが、警察庁が2021年にランサムウェの被害を受けた企業・団体等を対象に実施したアンケート調査の結果では、ランサムウェアの多様さ・復旧に要した費用総額について、1,000万円以上の費用を要したとの回答が全体の43％を占めており（図表3）、調査・復旧費用としてかなりの費用が必要となることがわかる。

<br>

今回は医療機関を例としたが、事業会社などでも同様の対応が必要になることが考えられる。

=== サイバー保険の付帯サービス・付随効果 ===

==== （１）専門業者の紹介サービス ====

たとえば、サイバー攻撃の原因や被害範囲について調査をする必要があるところ、第三者機関であるセキュリティベンダーにフォレンジック調査を依頼することになる。

<br>

<br>

さらに、サイバー攻撃を受けた事実を公表する場合には、情報が漏えいした被害者等の利害関係者から大量の問い合わせが寄せられるので、それに対応するためのコールセンターを設置することもある。

<br>

<br>

サイバー攻撃の事後対応であるインシデントレスポンスの現場においては、混乱を極めていることが多く、また、有事になって急に専門家を探しても適切な専門家を確保することは容易ではない。こうした有事の状況下において、各保険会社が提携している外部の専門家の紹介を受けることができるのは、サイバー保険の大きな副次的効果といえる。

昨今では、事故が起きた後の補償であるサイバー保険の提案とあわせて、事故を未然に防ぐためのセキュリティサービスの提案も行われている。

<br>

<br>

<br>

また、セキュリティプロダクトがインシデントのアラートやログの保存機能を備えている場合には、そのアラートやログに基づいて速やかに保険金の支払いを受けることができるなど、サイバー保険と連動している点や、セキュリティサービスの導入の結果、セキュリティ対策が強化されることで、サイバー保険の保険料割引が適用できる点でもパッケージ商品の導入にはメリットがある。

サイバーリスクは、技術的な要素が強いため具体的なイメージを持ちづらく、また多種多様なセキュリティプロダクトが市場に溢れているため、サイバーセキュリティ対策の必要性を感じても何から始めてよいかわからないという企業も少なくない。こうした企業にとって、サイバー保険とセキュリティプロダクトとのセット商品の導入は、サイバーセキュリティ対策の第一歩として取り組みやすいものといえる。

==== （３）信用を獲得するための「投資」の側面 ====

<br>

こうした観点から、自社のみならず取引先を含めたサイバーセキュリティ体制構築の必要性が高まっており、契約取引交渉において取引先のサイバーセキュリティレベルを確認することが実務上増えている印象である。

そうすると、サイバー保険の加入に伴う保険料について、従前は「費用」としての側面が強かったとしても、昨今では既存の契約を維持したり新規規約を獲得するにあたっての信用を高める「投資」としての側面も強まってきたといえる。

=== おわりに ===

<br>

そして、これまで紹介してきたとおり、サイバー保険への加入を検討するにあたっては、自社にとって必要な補償ない湯を確認することがポイントとなり、また付帯サービス等の要素もサイバー保険選択のポイントとなり得る。

<br>

前述の日本損害保険協会が実施したアンケート調査によると、企業がサイバー保険に加入しない理由として最も多かったのは、「保険の補償内容や保険料についてよく知らないため」という回答であったが、本稿がサイバー保険への加入を検討する一助となれば幸いである。

== スキャン画像 ==

== 註釈 ==

<references />