【SC試験用語解説】サイバー保険 — 補償範囲・加入要件と身代金支払いの論点 | 情報処理安全確保支援士問題集

概要

サイバー保険（Cyber Insurance） は、サイバー攻撃や情報漏洩によって発生する費用・損害を財務的に補償する保険商品です。技術的対策でリスクを「低減」するのに対し、サイバー保険は残存リスクを保険会社に移すリスク移転（Risk Transfer） の手段です。SC試験では補償範囲・加入審査要件・インシデント対応計画（IRP）との関係、ランサムウェア身代金支払いを巡る論点が問われます。

仕組みと動作原理

サイバー保険の位置づけ（リスク対応の4類型）

リスク対応	内容	サイバー保険との関係
リスク低減	対策を講じて発生確率・影響を下げる	技術的・組織的対策（EDR・MFA・バックアップ等）
リスク回避	リスクの原因となる活動自体をやめる	該当サービスの廃止等
リスク移転	損失発生時の負担を他者（保険会社）に移す	サイバー保険が該当
リスク保有	対応せず自組織で損失を受け入れる	保険未加入・免責範囲内の損失

サイバー保険は攻撃そのものを防ぐものではなく、インシデント発生後の財務的影響を緩和する仕組みである点がSC試験でも問われるポイントです。

補償範囲

補償項目	内容
フォレンジック費用	原因調査・被害範囲特定のための専門家費用
事業中断損失	システム停止による逸失利益の補償
データ復旧費用	バックアップからの復元・システム再構築費用
身代金対応費用	ランサムウェア交渉支援・（契約により）身代金支払い自体
賠償責任	情報漏洩に伴う顧客・取引先への損害賠償
行政対応費用	監督機関への報告・課徴金対応・弁護士費用
危機管理広報費用	コールセンター設置・広報対応・信用回復費用

サイバー保険の主な補償範囲

加入審査で求められるセキュリティ要件

保険会社は加入審査（アンダーライティング）の際に、対象組織のセキュリティ成熟度を評価します。対策が不十分な場合、加入不可・保険料の高額化・補償上限の引き下げにつながります。

審査項目	具体例
認証強化	MFA（多要素認証）の導入状況（特にリモートアクセス・特権アカウント）
バックアップ体制	オフライン/イミュータブルバックアップの有無・復旧テストの実施
エンドポイント対策	EDRの導入状況
パッチ管理	既知脆弱性への対応スピード
インシデント対応体制	IRP（インシデント対応計画）・CSIRTの有無
従業員教育	フィッシング訓練等のセキュリティ教育の実施状況

MFA未導入は近年多くの保険会社で加入拒否・免責の理由になる代表的な要件です。

IRP（インシデント対応計画）との関係

サイバー保険とIRPは補完関係にあります。IRPが「どう対応するか」の手順を定めるのに対し、サイバー保険は「対応にかかる費用を誰が負担するか」を扱います。

観点	IRP（インシデント対応計画）	サイバー保険
役割	インシデント発生時の対応手順・体制を定義	対応にかかる費用を財務的に補償
目的	被害の最小化・迅速な復旧	損失の財務的な吸収・分散
事前準備	Playbook・CSIRT・訓練	保険契約・審査対応・約款の理解
保険との接点	保険会社指定のフォレンジック業者・弁護士の利用が条件になる場合がある	補償を受けるにはIRPに基づく初動対応の証跡が必要になることが多い

IRP とサイバー保険の役割の違い

多くの保険約款では、保険会社が指定するフォレンジック業者・法律事務所を利用することが補償の条件になっており、インシデント発生時に自組織の判断だけで業者を選定すると補償対象外になる場合がある点に注意が必要です。

ランサムウェア身代金支払いの是非

身代金支払いには賛否があり、SC試験でも論点として扱われます。

立場	論拠
支払いに肯定的	事業中断損失・データ喪失より安価な場合がある／人命・重要インフラへの影響を避けられる
支払いに否定的	攻撃者への資金供与となり犯罪を助長する／支払っても復号や情報削除が保証されない／制裁対象の攻撃者グループへの支払いが法令違反になり得る
実務上の留意点	支払い前にOFAC等の制裁リスト該当性を確認する必要がある／支払いを推奨・禁止する法規制は国・地域で異なる

保険が身代金支払いを補償する場合でも、支払いを行うかどうかの意思決定自体は経営判断であり、保険加入が支払いを推奨するものではないという整理がSC試験的にも重要です。

SC試験での頻出ポイント

サイバー保険の位置づけ：技術的対策（リスク低減）ではなく、残存リスクを保険会社に移す「リスク移転」の手段
補償範囲の広さ：フォレンジック費用・事業中断損失・身代金対応・賠償責任・行政対応費用まで含みうる
加入審査の要件：MFA・バックアップ体制・EDR・IRPの有無等がアンダーライティングで評価され、不十分だと加入不可や保険料上昇につながる
IRPとの補完関係：保険は費用を補償するがインシデント対応そのものを代替しない。指定業者利用が補償条件になる場合がある
身代金支払いの論点：コスト面の合理性と、犯罪助長・制裁リスク・復号保証の欠如という反対論の両方を理解しておく

よくある誤問・ひっかけパターン

誤り① 「サイバー保険に入っていれば技術的対策は不要」→ 誤。保険は財務的リスク移転の手段であり、攻撃自体を防ぐものではありません。むしろMFA・EDR・バックアップ等の対策が不十分だと加入自体が困難になります。

誤り② 「サイバー保険とBCP/DRは同じ役割を果たす」→ 誤。BCP/DRは事業継続そのもの（技術的・運用的な復旧手段）を扱うのに対し、サイバー保険はそれにかかった費用や損害を財務的に補償する手段です。両者は目的のレイヤーが異なり、併用が前提となります。

誤り③ 「身代金は保険で補償されるので支払って問題ない」→ 誤。身代金支払いには法令上の制裁リスク（制裁対象への送金）や、支払っても復号・情報削除が保証されないという実務上の問題があり、保険の補償対象であることと支払いの是非は別の論点です。

重要キーワード

用語	説明
サイバー保険	インシデント対応費用・損害賠償等を財務的に補償する保険商品
リスク移転	損失発生時の負担を保険会社等の第三者に移すリスク対応の一類型
アンダーライティング	保険加入時に対象組織のセキュリティ成熟度を審査するプロセス
IRP	インシデント対応計画。発生時の対応手順・体制を定めた文書
事業中断損失	システム停止によって生じる逸失利益。サイバー保険の主要補償項目
身代金支払い	ランサムウェア被害での対応選択肢の一つ。犯罪助長・制裁リスク等の論点がある

概要