サイバー保険の選び方【2026年版】費用・補償範囲・加入前チェックリスト

サイバー攻撃による被害が年々深刻化する中、「サイバー保険」を経営リスク対策の選択肢として検討する企業が増えている。しかし、いざ加入を検討し始めると「補償内容の違いがわからない」「保険料がどれくらいかかるか見当がつかない」「本当に必要なのか判断できない」という壁にぶつかることが多い。

本記事では、サイバー保険の補償範囲の全体像から費用相場、加入審査で問われるセキュリティ要件、免責事項の落とし穴、保険会社・商品の選び方まで体系的に解説する。記事末尾には加入前チェックリストも用意した。保険担当者だけでなく、経営層やIT部門のセキュリティ担当者にとっても実用的な内容を目指した。

1. サイバー保険とは？2026年に加入が重要な理由

サイバー保険の基本定義

サイバー保険（サイバーリスク保険）とは、企業がサイバー攻撃やシステム障害などによって被る損害を補償する保険商品の総称だ。補償対象は大きく二つに分類される。一つは、事故発生時に自社で発生するコスト（フォレンジック調査費・システム復旧費・通知費用など）を補償する「費用損害」。もう一つは、第三者への損害賠償責任を補償する「賠償責任」だ。

近年は、業務停止による売上損失（利益損失）を補償するタイプや、規制当局への対応費用を補償するタイプも登場しており、商品の多様化が進んでいる。

2026年に加入を検討すべき背景

2025〜2026年にかけて、サイバー保険の加入を巡る企業環境は大きく変化している。主な背景を以下に整理する。

ランサムウェア被害の継続的拡大 警察庁の統計では、2025年のランサムウェア被害報告件数は過去最多水準を維持した。医療機関・製造業・物流業などのサプライチェーン全体が標的となるケースが増え、中小企業も「大企業の踏み台」として被害を受ける事例が相次いでいる。

個人情報漏洩時の賠償リスクの増大 個人情報保護法の改正により、漏洩時の報告義務・本人通知義務が厳格化された。違反した場合の課徴金に加え、被害者からの民事訴訟リスクも現実的な経営課題になっている。

取引先・金融機関からのサイバー保険加入要求 大手製造業や金融機関を中心に、取引先の選定条件にサイバー保険加入の有無を盛り込む動きが広がっている。サイバー保険は「リスク移転手段」であると同時に、「取引信頼性の証明」としての役割も担い始めている。

保険料の上昇と審査の厳格化 2022〜2024年の間、国内外のサイバー保険市場では保険料の大幅な値上がりと引受審査の厳格化が続いた。2026年時点では市場は落ち着きつつあるが、セキュリティ対策が不十分な企業は依然として高額な保険料を提示される、または引受を断られるケースがある。

2. 補償範囲の種類

サイバー保険の補償内容は保険会社によって異なるが、主要な補償項目を整理すると以下の4カテゴリに分類できる。

カテゴリ①：事故対応費用（ファーストパーティカバレッジ）

インシデント発生から収束までに自社が負担する直接的な費用を補償する。

カテゴリ②：第三者賠償責任（サードパーティカバレッジ）

自社のシステムやデータに起因して第三者に与えた損害に対する賠償責任を補償する。

カテゴリ③：利益損失・費用損害（ビジネス中断損失）

サイバー攻撃によるシステム停止が原因で発生する事業損失を補償する。

カテゴリ④：規制対応・制裁金費用

データ保護規制に違反した場合に発生する費用を補償する。ただし、国内の課徴金や罰金は補償対象外とする保険が多く、補償対象はGDPR（EU一般データ保護規則）対応など海外規制に関する費用に限られることが一般的だ。

3. 費用相場（売上規模・業種別の年間保険料目安）

保険料の算定に影響する主な要素

サイバー保険の保険料は、以下の要素を総合的に評価して算定される。

• 企業の年間売上高・従業員数
• 保有する個人情報の件数
• 業種・取り扱うデータの機密性
• 過去のインシデント発生履歴
• 既存のセキュリティ対策の水準（EDR導入・MFA設定・バックアップ体制など）
• 補償限度額・免責金額の設定

年間保険料の目安（2026年時点）

以下は、一般的な補償限度額（1億〜5億円）の設定を想定した場合の概算目安だ。実際の保険料は審査結果・補償条件によって大きく異なる。

※上記は参考値であり、同規模・同業種でもセキュリティ対策の実施状況によって保険料が30〜50%以上変動することがある。

免責金額（自己負担額）の設定

保険料を抑える方法の一つが免責金額（デダクティブル）の引き上げだ。例えば免責金額を100万円から500万円に引き上げることで、保険料が20〜40%程度下がるケースがある。一方、インシデント発生時の自己負担が増えるため、自社の資金繰りとの兼ね合いを考慮した設定が求められる。

4. 加入審査で問われるセキュリティ要件

サイバー保険の引受審査では、企業のセキュリティ対策の実施状況を詳細に確認される。近年の審査は厳格化しており、対策が不十分な場合は引受を断られるか、保険料が大幅に割増になるケースがある。

審査で必ず確認される主要項目

多要素認証（MFA）の実装状況

• VPN・リモートアクセスへのMFA適用
• 特権アカウント（管理者アカウント）へのMFA適用
• Microsoft 365・G SuiteなどクラウドサービスへのMFA適用

MFAの未適用は、多くの保険会社で引受拒否または割増保険料の対象となっている。

バックアップ体制

• オフライン・オフサイトバックアップの有無
• バックアップの定期テスト（復元テスト）の実施
• ランサムウェア対策としてのイミュータブルバックアップの実装

エンドポイントセキュリティ

• EDR（Endpoint Detection and Response）の導入状況
• ウイルス対策ソフトの全端末への適用
• パッチ管理プロセスの有無

ネットワークセキュリティ

• ファイアウォール・UTMの設置
• ネットワークセグメンテーションの実施
• リモートデスクトップ（RDP）の公開制限

インシデント対応体制

• インシデント対応計画（IRP）の策定有無
• セキュリティ担当者の配置・外部SOCの利用
• 過去3年間の重大インシデントの発生状況

従業員教育

• セキュリティ意識向上トレーニングの実施頻度
• フィッシングメール訓練の実施状況

審査で有利に働く追加対策

以下の対策を実施済みの場合、審査での評価が高まり保険料の割引につながることがある。

• ISO 27001やプライバシーマークの取得
• 定期的な外部脆弱性診断・ペネトレーションテストの実施
• SIEM・SOCによる24時間監視体制の整備
• ゼロトラストアーキテクチャの導入
• サプライチェーンリスク管理プロセスの整備

5. 保険で補償されないケース（免責事項の注意点）

サイバー保険は万能ではない。補償されないケースを事前に把握しておかないと、「保険に入っていたのに使えなかった」という事態が生じる。

主な免責事項

戦争・テロ行為 国家が関与するサイバー攻撃や戦争行為に起因する損害は、多くの保険で免責とされている。ロシアのNotPetyaマルウェア攻撃を巡る保険金支払い訴訟（Merck事件）が国際的な注目を集めたように、この定義の解釈が実際の支払い可否を左右するケースがある。

既知の脆弱性の放置 審査時点ですでに発見されていた脆弱性や、パッチが公開されているにもかかわらず未適用だったシステムへの攻撃による損害は、免責とされることがある。「合理的なセキュリティ措置を講じていなかった」と判断される場合に適用される。

内部犯行・従業員の故意行為 従業員や元従業員による意図的なデータ窃取・システム破壊は、通常の事故対応費用としての補償対象外とされることが多い。別途、不誠実行為担保特約を付加することで補償できる場合がある。

インフラ障害に起因する損失 電力会社・通信キャリアなどの公共インフラ障害に起因するシステム停止は、多くの場合補償対象外だ。ただし、クラウドプロバイダーやSaaSの障害による損失を補償対象とする商品も一部存在する。

保険料節減のための虚偽申告 審査時のアンケートや申告内容が事実と異なる場合、保険契約の無効・保険金の不払いの対象となる。セキュリティ対策状況の申告は、実態に基づいて正確に回答することが不可欠だ。

保険金支払い上限を超える損害 補償限度額を超える損害については当然ながら補償されない。大規模インシデントが発生した場合の損害想定額と、設定した補償限度額のギャップを事前に検討しておく必要がある。

6. 保険会社・商品の選び方5つのポイント

ポイント①：補償範囲と除外事項を精読する

見積もり段階では補償内容の概要しか提示されないことが多いが、必ず約款・特約条項の全文を入手し、除外事項を確認する。特に「戦争行為の定義範囲」「依存ベンダー障害の補償有無」「ランサムウェア身代金の取り扱い」は保険会社によって大きく異なる部分だ。

ポイント②：事故対応支援サービスの質を確認する

サイバー保険の価値は、保険金支払いだけではない。インシデント発生時に「24時間365日対応のホットライン」「フォレンジック調査会社との提携」「インシデントレスポンス専門チームの派遣」などのサービスが付帯しているかを確認する。対応支援の質は保険会社によって差が大きく、初動対応を迅速に行えるかどうかが被害の最小化に直結する。

ポイント③：支払実績・不払い事例を確認する

保険は実際に使えなければ意味がない。保険会社ごとのサイバー保険の支払実績や、不払い事例（存在する場合）を確認する。国内では2023年以降、大手損保各社がサイバー保険の支払実績を公開し始めており、比較の参考になる。可能であれば、同業他社への導入実績がある保険会社を選ぶことでリスクを減らせる。

ポイント④：補償限度額の設定根拠を持つ

「競合他社と同じ金額に設定した」という根拠なき設定は危険だ。自社で過去に発生した（または類似企業で発生した）インシデントの被害額を調査し、フォレンジック調査費・法務費・通知費用・事業損失を試算した上で補償限度額を設定する。なお、大手のランサムウェア対応案件では、調査・復旧・賠償を合わせて数億円規模の費用が発生した事例も報告されている。

ポイント⑤：保険ブローカーの活用を検討する

サイバー保険は商品の複雑性が高く、企業担当者が独力で最適商品を選ぶことは難しい。リスクマネジメントに特化した損害保険ブローカーに相談することで、複数の保険会社の商品を横断比較でき、自社リスクに合った補償設計のアドバイスも得られる。ブローカー費用は原則として保険会社側が負担するため、企業側の追加費用なしで活用できるケースが多い。

7. 加入前チェックリスト

以下のチェックリストは、サイバー保険への加入を検討する際に事前に確認すべき項目をまとめたものだ。審査通過率の向上と、加入後の補償内容の理解を深めることを目的としている。

A. セキュリティ対策の確認（審査要件）

• [ ] 全従業員のVPN・クラウドサービスに多要素認証（MFA）を適用している
• [ ] 特権アカウント（管理者権限）にMFAを適用し、最小権限の原則を守っている
• [ ] EDRを全端末（PC・サーバ）に導入し、最新シグネチャを維持している
• [ ] オフライン・オフサイトバックアップを定期的に取得し、復元テストを実施している
• [ ] 外部公開サーバ・VPNのパッチを90日以内に適用する運用を確立している
• [ ] リモートデスクトップ（RDP）をインターネットに直接公開していない
• [ ] セキュリティポリシーを策定し、従業員への周知・定期訓練を実施している
• [ ] インシデント対応計画（IRP）を文書化し、責任者・連絡体制を定めている

B. 保険内容の確認

• [ ] 約款の除外事項（戦争行為・内部犯行・既知脆弱性放置など）を把握している
• [ ] 免責金額（自己負担額）と自社の資金繰りのバランスを確認している
• [ ] 補償限度額が自社のインシデント被害想定額に対して不足していないか確認した
• [ ] ランサムウェア身代金の補償有無・条件（身代金支払い禁止国対応など）を確認した
• [ ] 事故対応支援（24時間ホットライン・フォレンジック会社紹介）の具体的な内容を確認した
• [ ] 依存するクラウドサービス・SaaS障害による損失が補償対象か確認した
• [ ] 保険審査アンケートの回答内容が実態と一致していることを確認した

C. 運用・手続きの確認

• [ ] 保険会社への報告義務（インシデント発生から通知が必要な時間）を把握している
• [ ] インシデント発生時に保険会社へ即時連絡できる連絡先・手続きを社内共有している
• [ ] 保険証券・約款を担当者・経営層が閲覧できる場所に保管している
• [ ] 更新時に保険料・補償内容の見直しを行うスケジュールを設定している
• [ ] 加入後もセキュリティ対策の水準を維持・向上させる社内体制を整えている

8. AEVUSのサイバー保険加入前セキュリティ診断

サイバー保険への加入を検討する際、多くの企業が直面する課題がある。保険会社の審査アンケートに「自社のセキュリティ対策は十分か」を自己評価で回答しなければならない点だ。しかし、実態を把握せずに楽観的な回答をした場合、インシデント発生時に「申告内容と実態が異なる」として保険金が支払われないリスクがある。

AEVUSでは、サイバー保険加入前のセキュリティ診断サービスを提供している。

診断で明確になること

• 保険審査で問われるセキュリティ要件の充足状況を客観的に評価
• 現在のセキュリティ対策の弱点（インシデント発生時に免責事由となりうる箇所）の特定
• 保険料割引につながる追加対策の優先順位付け
• 審査アンケートへの適切な回答を裏付ける根拠資料の作成

主なサービスメニュー

保険加入後であっても、更新前の診断や、加入条件として求められるセキュリティ改善対応の支援も行っている。

保険料の無駄な割増負担を防ぎ、インシデント発生時に確実に補償を受けられる体制を整えることが、サイバー保険の本来の価値を引き出すことにつながる。

詳細はAEVUSのペネトレーションテスト・セキュリティ診断サービスページからお問い合わせいただきたい。

関連記事

• ランサムウェア対策の完全ガイド【2026年版】企業がすべき12の対策
• DDoS攻撃とは？仕組み・被害事例・企業の防御策【2026年版】
• セキュリティ診断とは？費用・種類・会社の選び方完全ガイド【2026年版】