サイバー保険は身代金を払ってくれない ― 約款の免責と「支払われない保険」を見抜く6つの確認
「サイバー保険に加入している」という事実は、インシデント発生時の損害が補償される、という意味と等しくない。約款（やっかん。保険契約の条件を記した文書）には複数の免責事由が存在し、告知内容の不一致、事前同意の欠如、または攻撃主体の認定次第で、重大なインシデントほど保険金が支払われないケースが現実に起きている。問うべき問いは「保険に入っているか」ではなく、「自社のインシデントシナリオが約款のどの免責に該当しないかを、今日の時点で確認できているか」である。
「支払われない保険」はどこで生まれるのか
2017年に発生したNotPetya攻撃（ロシア政府関与が広く認定されたマルウェアによる大規模サイバー攻撃）では、製薬大手Merck社をはじめとする複数企業が、保険会社から「戦争免責（war exclusion。戦争行為に起因する損害を補償対象外とする条項）」を理由に支払いを拒否された。その後、複数の訴訟・仲裁を経て保険会社側が実質的に敗訴・和解に至った経緯は、免責条項の解釈が法廷で覆りうることを示した。第二に、ランサムウェア（身代金要求型不正プログラム）被害の急増を背景に、保険会社の損害査定（インシデントの事実認定と補償額の算定）は実態調査を伴う厳格なプロセスへと移行している。第三に、日本市場においても、MFA（多要素認証。ID・パスワードに加えた本人確認の仕組み）の全社適用やEDR（端末上の脅威検知・対応ツール）の導入状況が引受条件として明示的に問われるようになっており、告知内容と運用実態の乖離が支払拒否の直接的な引き金となるケースが増えている。
6つの確認 ― 損害査定が問う最低条件
1. 戦争・国家支援攻撃の免責条項
約款に「戦争行為」「敵対的国家行為」「国家支援による攻撃」に起因する損害を補償対象外とする文言が存在するか、まず原文で確認する必要がある。問題は、攻撃の国家関与認定が技術的・外交的に曖昧であり、保険会社が独自に「国家関与あり」と判断できる余地を残している点にある。約款の除外文言が「政府機関による直接の攻撃」に限定されているか、「国家支援が疑われる行為」まで広げているかで補償範囲は大きく異なる。代理店任せにせず、リスク管理部門が原文を参照し、文言の解釈範囲を保険会社に書面で確認しておくことが最低限の対応である。
2. 身代金（恐喝金）補償の可否と事前同意条項
ランサムウェア攻撃において攻撃者へ支払う身代金が補償対象に含まれるかどうかは、約款によって異なる。補償対象であっても「保険会社の事前同意なく支払った場合は補償しない」という条項が設けられているケースが多い。加えて、身代金の支払い先が米国財務省OFACリスト（経済制裁対象者リスト。このリストに掲載された組織への送金は米国法上違法となる）に掲載された組織である場合、支払い行為自体が法的制裁リスクを生む。インシデント対応の時間的プレッシャーのなかで事前同意の手続きを踏めるか、また支払先の制裁該当性を誰が確認するかを、事前に手順として整備しておく必要がある。
3. 告知内容と実態の一致（MFA・バックアップ・EDR）
保険の支払拒否として実務上最も頻発するパターンが、告知義務違反（保険申込時に重要事項を正確に伝えなかったと判断される違反）に基づく拒否である。「MFAを全社適用済み」と申告書に記載しながら、実際には一部の海外拠点や特権アカウント（システム管理者権限を持つアカウント）に未適用の箇所があった場合、保険会社はその不一致をもって告知義務違反を主張できる。申込書の記載内容と現時点の実装状況を定量的に突合し、適用率を実数で把握しておくことが必要である。更新ごとに実態調査を行い、記録として残しておく運用を設計しておくべきである。
4. 待機期間と事業中断補償の起点
BI補償（Business Interruption補償。サイバー攻撃によるシステム停止が原因で生じた売上損失や固定費を補償する仕組み）には、損害発生から補償が始まるまでの待機期間（一般的に8〜12時間）が設定されていることが多い。待機期間の起点が「攻撃の発生時刻」か「業務停止の認定時刻」かによって補償額が大きく変動する。また、復旧期間の認定においても、保険会社が「技術的に復旧可能だった時点」と、実際に業務が正常化した時点との間に乖離があると判断した場合、補償期間は短く認定される。契約前に待機期間の定義と復旧期間の算定方式を保険会社に明示させ、書面で確認することが必要である。
5. サブリミット（内枠限度額）
総支払限度額が10億円と記載されていても、個別の損害類型ごとにサブリミット（内枠限度額。補償総額の内側に設定された費目別の上限）が設けられているケースが一般的である。身代金補償が3,000万円、フォレンジック費用（デジタル証拠解析にかかる専門家費用）が2,000万円、通知・コールセンター費用が1,000万円、というように、実際のインシデント対応で最も費用が膨らむ項目に低い内枠が設定されていることがある。契約書の別表や付帯条件書まで精読し、主要費目のサブリミットを一覧化したうえで、実際の想定損害額と照合する作業が必要である。
6. 指定ベンダー（パネル）制約
多くのサイバー保険では、インシデント対応の初動に用いるIRベンダー（インシデントレスポンス。サイバー攻撃への緊急対応を行う専門業者）や法律事務所を、保険会社が指定するパネル（承認済みベンダーリスト）から選定することを補償条件としている。自社がすでに有事対応契約を締結しているベンダーがパネル外であった場合、保険適用のために別のベンダーへ切り替える初動判断が発生し、対応の遅延・情報の分断が生じるリスクがある。契約前に自社の既存ベンダーのパネル掲載状況を確認し、未掲載の場合はパネル追加交渉を保険会社と行うことが合理的な対応である。
保険の価値は、約款を読み切った者だけが引き出せる。
6項目の優先度 ― 12ヶ月で揃える順番
- 3ヶ月目まで: 項目1・2（約款読み合わせ。リスク管理部門と保険代理店の面談1回で終わる）
- 6ヶ月目まで: 項目3・4（告知内容と実態の突合。MFA・バックアップの適用率を実測）
- 12ヶ月目まで: 項目5・6（更新交渉。内枠限度額の引き上げ・自社ベンダーのパネル追加交渉）
あわせて読みたい
- ニチレイのランサムウェア被害 ― 復旧しても終わらない二重脅迫への備え
- ランサムウェアとは？ 仕組み・感染経路・対策・初動までやさしく解説【完全ガイド】
- AIガバナンス未整備が招くD&O保険の空白 ― 役員個人責任の最前線
Omamori AI の結論
- 事実: サイバー保険における支払拒否の主因は、技術的な被害の不存在ではなく、約款の免責条項・告知義務違反・サブリミットの構造的問題にある。加入の事実と補償の確実性は別物である。
- 判断軸: 自社の主要インシデントシナリオ（ランサムウェアによる業務停止、国家関与が疑われる標的型攻撃、クラウド環境の大規模データ流出）を3つ想定し、それぞれが6項目のどの制約に抵触するかを事前にマッピングできているかどうかを、保険の実効性評価の基準とする。
- 打ち手: 次回の保険更新の90日前に、リスク管理部門・法務・情報セキュリティ責任者の三者でインシデントシナリオを用いた約款の読み合わせを1回実施する。その結果を取締役会に一枚で報告できる状態にする。
経営者視点で考えるべきこと
取締役の善管注意義務（善良なる管理者としての注意義務。会社法上、取締役に求められる経営判断の水準）の観点から、「サイバー保険に加入しているためセキュリティへの追加投資を抑制した」という経営判断が、のちに保険の支払拒否と重なった場合、株主・監査人・行政に対する説明責任は格段に重くなる。保険が移転できる損害は、フォレンジック費用・通知費用・復旧費用といった可視化しやすい金銭的損害に限られる。顧客・取引先の信頼の毀損、株価の下落、個人情報保護委員会や金融当局との行政対応に要するリソースは、保険では補填されない。さらに実務上重要なのは、保険更新時に保険会社が行うヒアリングが、事実上の外部セキュリティ監査として機能し始めている点である。MFAの適用率、パッチ管理の頻度、バックアップのテスト実施状況を定量的に回答できない企業は、引受条件の厳格化・保険料の上昇・最悪の場合は引受拒否に直面する。保険の更新プロセスを、経営レベルのセキュリティ状況把握の機会として制度化することが、今後の標準的な対応となる。
