はじめに：情報が流出すると、会社には何が起きるか

サイバー攻撃で顧客情報が流出すると、会社は「被害者への賠償」と「事故を収めるための費用」という2種類のお金を同時に負担することになります。サイバー保険は、この両方を保険金として支払う仕組みです。

流出が起きると、会社には次のような負担が一度に押し寄せます。

• 情報を流出された本人や取引先からの損害賠償請求（慰謝料、弁護士費用、取引先の損害など）

• 原因を突き止めるためのフォレンジック調査

• 個人情報保護委員会への報告と、本人への通知（2022年の法改正で一定の事態は義務化）

• お詫び状の送付、問い合わせ窓口（コールセンター）の設置、お詫びの品

• 弁護士への相談、記者会見、再発防止策の策定

この記事では、特に「賠償」に関わる部分を中心に、サイバー保険から具体的にどのような保険金が出るのかを整理します。

サイバー保険の基本構造：3本の柱

サイバー保険の補償は「損害賠償」「事故対応費用」「利益損害」の3本柱でできています。日本損害保険協会も、サイバー事故では①事故対応費用、②損害賠償費用、③利益損害・営業継続費用の3つが発生し得ると説明しており、各社の商品はおおむねこの区分に沿っています（innovaTopia、日本損害保険協会）。

情報流出の「賠償」を考えるときは、①だけでなく②もセットで見ることが大切です。実際の流出事故では、裁判で払う賠償金より、通知・調査・お詫びにかかる費用のほうが先に、確実に発生するからです。

損害賠償責任の補償：被害者に支払うお金

情報流出で会社が「法律上の損害賠償責任」を負ったとき、サイバー保険は賠償金そのものと、争うためにかかった費用を保険金として支払います。補償の対象は自社の損害ではなく、第三者に与えた損害です。

支払われる保険金の種類

1人あたりの賠償額は「数千円〜数万円」、問題は人数と訴訟コスト

個人情報の流出では、実際の金銭被害は小さいことが多く、争点は主に慰謝料と弁護士費用になります。過去の裁判例では、1人あたりの認容額は次のとおりです。

出典：BUSINESS LAWYERS「サイバー攻撃で情報漏えいが発生した際に負う法的責任とは」

金額を左右するのは、流出した情報の種類（病歴・信用情報などセンシティブな情報ほど高額）と、悪用による二次被害の有無です。1人あたりは小さくても、ベネッセ事件のように被害者の会が1万人規模で集団訴訟を起こすと、賠償金と争訟費用の合計は大きくなります。

賠償責任補償の注意点

• 罰金・課徴金は対象外：行政から科される罰金・科料・課徴金・制裁金は、賠償金に含まれません。

• 保険会社の同意が必要：被害者と示談する前に、保険会社の同意を得るのが原則です。勝手に約束した賠償額は、全額が支払われないことがあります。

• 委託先経由の流出：預けた先で漏れた場合の扱いは、商品や約款の文言で異なります。加入前に確認が必要です。

事故対応費用の補償：流出を収めるためのお金

事故対応費用は、訴えられていなくても、流出が起きた時点から発生する費用を補償します。情報流出の現場では、この部分が最初に、しかも確実に必要になります。

見舞金の上限はinnovaTopiaが国内大手の例として紹介している数字です。費用項目の名称・範囲・上限は商品ごとに異なります。

損保ジャパンは2026年2月の改定で「サイバー攻撃緊急初動費用」を設け、外部から指摘された場合だけでなく、自社で異常に気づいた段階の調査・遮断費用も対象にしたと説明しています（単独商品の説明。団体制度版の条件は個別に確認が必要です）。

ケーススタディ：顧客1万人分の情報が流出したら

この想定では、流出全体で約2,950万円の負担のうち、自己負担額を除いたほぼ全額がサイバー保険から支払われます。以下の金額はすべて説明用の仮定であり、実際の費用や保険金は事故の内容と契約条件で変わります。

想定：従業員30名の通販会社が不正アクセスを受け、顧客1万人分の氏名・住所・電話番号・メールアドレスが流出。契約は「賠償1億円・費用3,000万円・自己負担10万円」。

この例で分かるのは、裁判の賠償金（300万円）より、調査・通知・見舞金などの対応費用（2,250万円）のほうがはるかに大きいことです。「賠償責任保険に入っているから大丈夫」ではなく、事故対応費用の限度額が十分かを確認することが重要です。

参考までに、損保ジャパンが公開している保険料例では、売上高5億円の製造業で「賠償1億円・費用3,000万円・自己負担10万円」の年間保険料は67,000円です（セキュリティ対策を約半分実施している想定、innovaTopiaより）

補償されない主なケースと注意点

サイバー保険は流出の費用を広くカバーしますが、次のものは原則として保険金の対象外です（innovaTopiaが各社資料をもとに整理）。

事故のときに気をつけること

• すぐに保険会社・代理店へ連絡する：連絡期限を設けている商品があり、遅れると補償される費用が限られることがあります。

• 業者の手配は保険会社と相談してから：自社で勝手に手配した費用がどこまで出るかは契約次第です。多くの商品に専門事業者の紹介サービスが付いています。

• 被害者との示談は保険会社の同意を得てから：先に約束した金額は、全額が支払われないことがあります。

中小企業が加入を検討するときのポイント

中小企業のサイバー保険加入率は8.8%にとどまります（日本損害保険協会の2025年調査、innovaTopiaより）。一方で、顧客情報を持つ会社であれば、規模に関係なく流出の賠償と対応費用は発生します。検討の際は次の点を確認してください。

1. 事故対応費用の限度額：流出時に最も大きくなるのは調査・通知・見舞金です。顧客数×見舞金単価を目安に、費用の限度額が足りるかを確認します。

2. 賠償の限度額：取引先の情報を預かる会社は、委託元からの請求額が大きくなり得るため、賠償の限度額を厚めにします。

3. 利益損害をつけるか：ランサムウェアで業務が止まると売上が失われます。多くの商品でオプションです。

4. 緊急時サポートの内容：24時間の受付窓口や専門事業者の紹介があるかは、最初の数時間の対応を左右します。

5. 割引の活用：セキュリティ対策の実施状況に応じた割引や、商工会議所などの団体制度を使うと保険料を抑えられます。

まとめ

情報流出でサイバー保険から出る保険金は、被害者への「損害賠償金・争訟費用」と、流出を収めるための「事故対応費用」の2つが中心です。1人あたりの賠償額は小さくても、人数が多いと対応費用が膨らみます。補償の範囲と限度額は商品・契約によって異なるため、加入前に約款と代理店の説明で確認してください。

出典

• 日本損害保険協会「サイバー保険」