企業のサイバーリスクと保険設計 — 損害試算と保険コストの均衡点を経営で判断する

サイバーリスクは「いつかの脅威」から「今期の経営課題」へと格上げされた。警察庁「令和7年版警察白書」によると、2024年に報告されたランサムウェア被害は222件に達し、前年の197件から約13%増加した。被害の63%が中小企業であり、製造業が65件と業種別トップを占めている。VPN機器からの侵入が全体の55.0%、リモートデスクトップが31.0%と、リモートアクセス経路からの侵入が定着している。もはや「大企業の問題」という括り方も「IT部門の問題」という括り方も、現実を正確に反映していない。

インシデントが発生したときの損害規模を正確に把握している経営者は多くない。IBM「Cost of a Data Breach Report 2024」によると、1件あたりのデータ侵害コストの世界平均は488万米ドル（約7.3億円）に達し、前年比10%増加した。この金額には直接の復旧費用のほか、システム停止中の機会損失、法的費用、顧客への通知対応費用、ブランド毀損による長期的な売上減少が含まれている。Aonの2025年調査では、日本で活動する企業の27%が実際にサイバー関連の損失を報告しており、「被害に遭う確率は低い」という前提そのものが崩れている。「IT部門が管理するリスク」として扱うには、この損害規模は大きすぎる。

サイバー保険の認知と加入率は着実に上昇している。しかし実態には大きな空白が残る。損害保険協会の調査によると、中小企業のサイバー保険加入率は2021年の4.1%から2025年には8.8%と倍増したが、約9割の中小企業はまだ無保険の状態にある。大企業でも保険加入率は約6割にとどまるとされており、加入していても補償額が実際の損害規模を下回る「アンダーインシュアランス」の事例は少なくない。保険料を支払い始めた時点で「対策済み」と認識する傾向があるが、補償設計の中身こそが経営判断の質を左右する。

保険設計の出発点は、インシデント発生時の損害を三層に分けて試算することである。第一層は「直接コスト」で、システム復旧費用・外部専門家（フォレンジック・法務）費用・身代金要求への対応費用が含まれる。第二層は「間接コスト」で、事業停止期間中の売上損失・取引先への損害補償・規制当局への報告対応費用が積み上がる。第三層は「長期的損失」で、顧客・取引先の離脱、ブランド再構築に要する費用、採用力の低下が後遺症として続く。多くの企業が補償額を設定する際、第一層だけを根拠にしており、第二・第三層を無視した設計になっている。この認識ギャップが、いざ補償を請求する段階で初めて顕在化する。

保険コストと補償の均衡点は、「発生確率×期待損害額」という期待損失フレームで設計するのが基本である。ただし現実のサイバー保険設計では、発生確率が業種・規模・現行の技術対策水準によって大きく異なるため、業界平均を使った試算は過少推計になりやすい。当社がヘルスケア企業や中堅製造業との現場で確認してきたアプローチは、インシデント対応シナリオを「軽微・中程度・重大」の三段階で設定し、それぞれの最大損害額を積み上げたうえで、保険でカバーすべき層（中程度以上）を引受側と共同で設計することである。免責事項の確認と補償対象外条件の精査は、この設計プロセスの核心をなす。保険料の安さを選択基準にした場合、実際の損害時に補償が機能しないリスクが生じる。

保険設計と並行して取り組むべきは、インシデントの発生確率を下げる予防投資の優先順位付けである。警察庁の統計が示すように、VPN機器のファームウェア更新と多要素認証の徹底という比較的低コストの対策が、侵入経路の半数以上を遮断する可能性がある。セキュリティ予防投資の効果を「保険料削減への貢献」として経営指標に明示することで、IT部門の予算要求が経営会議の議題に乗りやすくなる。保険（リスク移転）と予防投資（損失低減）をセットで設計するこの二重構造アプローチは、特にインシデントを経験した企業で採用が広がっている。どちらか一方だけへの依存は、コスト効率の観点からも設計としての完成度を欠く。

サイバー保険の購入を意思決定する際、経営者が押さえておくべき論点は三つある。第一は「補償上限の設定根拠」で、前述の三層試算をベースに、少なくとも中程度シナリオの損害をカバーできる金額になっているか。第二は「免責事項の範囲理解」で、国家関与の攻撃・内部不正・既存の未対処脆弱性に起因する被害が補償対象外となるケースが多く、実際のインシデントと契約の乖離を事前に把握しておく必要がある。第三は「インシデント対応計画（IRP）との整合」で、保険会社が指定する対応手順と自社のIRPが一致していないと、補償が適用されない事態が起きる。これら三点は、保険代理店への委任ではなく、経営の責任として確認しておく性質のものである。

サイバーリスクの経営的な意味は、「発生したときにどう対応するか」から「発生確率を踏まえた投資設計をどう組むか」に移行している。保険設計・予防投資・インシデント対応計画の三つを一体で設計することが、現場で検証済みの有効なアプローチである。私たちは、このフレームをヘルスケア経営の現場で磨き、企業変革の文脈でも同様の方法論が機能することを確認している。サイバーリスクの損害試算から保険設計のあり方、予防投資の優先順位付けまでを経営アジェンダとして整理したい方は、経営層ブリーフィング（https://fujii-consulting.jp/contact）へのご参加をお勧めします。