サイバー攻撃による企業の損失が拡大する中で、サイバー保険の重要性が高まっています。
2026年10月に発生したGMOインターネットグループへの大規模な不正アクセス事件では、外国為替証拠金取引の自動売買などに利用されるクラウドサービスが攻撃を受け、顧客情報の流出や不正な金融取引の疑いが生じました。
GMOは被害拡大を防ぐためにサービスを停止し、利用者への見舞金や取引損失の補償方針を発表しました。
このような事件では、企業が負担する費用は多岐にわたります。
システムの復旧費用、原因調査費用、顧客への補償金、訴訟費用、事業停止による損失などです。
さらに、顧客離れや信用低下によって、将来の収益にも影響が及ぶ可能性があります。
こうした経済的損失に備える手段の一つがサイバー保険です。
しかし、サイバー保険に加入していれば、すべての損害が補償されるわけではありません。
保険契約によって補償範囲が異なるほか、大規模なサイバー攻撃では、保険会社自身が巨額の保険金支払いに直面する可能性もあります。
今回は、サイバー保険の仕組み、補償対象となる損害、保険金が支払われない場合、企業会計や税務上の取り扱い、保険市場が抱える課題について解説します。
サイバー保険とは何か
サイバー保険とは、不正アクセス、情報漏洩、ランサムウエアなどのサイバー事故によって生じる一定の損害や費用を補償する保険です。
一般的な火災保険が建物や設備の損害を対象とするのに対し、サイバー保険は情報システムやデータに関する事故を主な対象としています。
企業がサイバー攻撃を受けた場合、目に見える設備の損傷がなくても、多額の費用が発生することがあります。
例えば、顧客情報が漏洩した場合には、原因調査や本人通知、問い合わせ窓口の設置などが必要になります。
また、サービス停止によって売上高が減少することもあります。
サイバー保険は、こうした損害の一部を保険会社に移転する仕組みです。
ただし、保険会社がすべての損失を負担するわけではありません。
補償対象となる事故や費用、保険金の支払限度額、免責金額などは契約によって異なります。
企業は、加入しているという事実だけでなく、実際に何が補償されるのかを確認する必要があります。
サイバー保険の主な補償内容
サイバー保険の補償内容は、大きく事故対応費用、損害賠償責任、事業中断による損失などに分けられます。
事故対応費用には、不正アクセスの原因調査、システム復旧、外部専門家への相談、顧客への通知などが含まれる場合があります。
例えば、企業が不正アクセスを受け、外部のセキュリティー専門会社に調査を依頼した場合、その費用が補償対象となることがあります。
また、個人情報の漏洩によって顧客から損害賠償請求を受けた場合には、一定の条件の下で賠償金や訴訟費用が補償されることがあります。
さらに、システム停止による利益損失や、事業継続のために必要となった追加費用が補償される商品もあります。
ただし、これらの補償がすべての契約に含まれているわけではありません。
特約の付帯が必要な場合や、補償対象となる事故が限定されている場合もあります。
企業は、自社の事業内容に応じて必要な補償を選択することが重要です。
GMO事件ではどのような費用が問題になるのか
今回のGMO不正アクセス事件を例に考えると、サイバー保険との関係で複数の費用が問題になります。
第一に、不正アクセスの原因調査費用です。
攻撃経路や被害範囲を特定するためには、専門的な調査が必要になります。
第二に、システムの復旧費用です。
不正なプログラムの除去や安全性の確認、必要なシステムの再構築などが考えられます。
第三に、顧客への対応費用です。
問い合わせ窓口の設置、顧客への通知、代替サービスの提供などが該当します。
第四に、顧客への見舞金や金融取引上の損失補償です。
ただし、これらの費用がサイバー保険で補償されるかどうかは、契約条件によって異なります。
例えば、企業が自主的に支払う見舞金は、法律上の損害賠償金とは性質が異なります。
そのため、見舞金が当然に保険金の支払対象になるわけではありません。
また、外国為替証拠金取引における不正操作による損失についても、金融取引に関する損失を補償対象としているかどうかが重要になります。
なお、GMOがどのようなサイバー保険に加入しているか、今回の事件で保険金が支払われるかについては、契約内容などの確認が必要です。
見舞金はサイバー保険で補償されるのか
サイバー事故が発生した場合、企業が顧客に見舞金を支払うことがあります。
今回、GMOは利用者に一律5,000円の見舞金を支払う方針を示しました。
しかし、見舞金と法律上の損害賠償金は同じものではありません。
見舞金は、顧客への配慮や信用回復などを目的として、企業が自主的に支払う場合があります。
一方、損害賠償金は、法律上の責任に基づいて損害を填補するものです。
サイバー保険の賠償責任補償では、法律上の損害賠償責任を負うことによって発生する損害を対象とする契約があります。
その場合、企業が自主的に支払う見舞金は、補償対象外となる可能性があります。
ただし、事故対応費用として一定の見舞金を補償する商品や特約も考えられます。
したがって、見舞金が補償されるかどうかは、保険契約の具体的な内容によって判断する必要があります。
また、保険会社の事前承認が必要となる場合もあります。
企業が事故発生後に独自の判断で補償を約束する場合には、保険契約との関係にも注意が必要です。
事業停止による損失は補償されるのか
サイバー攻撃による企業の損失として、事業停止による損失があります。
例えば、インターネット通販会社がサイバー攻撃を受け、販売サイトを10日間停止したとします。
この場合、サイト停止によって売上高が減少する可能性があります。
また、顧客対応や代替システムの利用などに追加費用が発生することもあります。
サイバー保険には、こうした事業中断による損失を補償する商品があります。
ただし、売上高の減少額がそのまま保険金になるとは限りません。
一般に、利益損失の算定では、売上高だけでなく、変動費や固定費なども考慮する必要があります。
また、事故発生から一定時間を経過した後の損失のみを補償する契約もあります。
さらに、補償対象となる停止原因が限定されている場合もあります。
例えば、自社システムへの不正アクセスは補償対象でも、外部クラウドサービスの停止については別の条件が設けられていることがあります。
企業は、自社の重要業務がどのようなシステムに依存しているかを確認し、必要な補償を検討する必要があります。
外部クラウドサービスの障害は大きな課題
企業のデジタル化が進む中で、外部クラウドサービスへの依存が高まっています。
例えば、会計システム、給与計算、顧客管理、販売管理など、多くの業務が外部サービスを利用しています。
こうしたサービスがサイバー攻撃によって停止した場合、利用企業自身が攻撃を受けていなくても、業務に影響が生じる可能性があります。
これを、外部委託先やサービス提供事業者の障害に起因する事業中断リスクとして考えることができます。
サイバー保険では、外部サービスの停止による損失を補償する契約もあります。
しかし、すべての外部サービスが対象になるわけではありません。
例えば、補償対象となる委託先の範囲や、停止時間に関する条件が定められている場合があります。
また、インターネット全体に広がるような大規模障害では、多数の企業が同時に損害を受ける可能性があります。
このような事故は、保険会社にとっても大きなリスクとなります。
企業は、保険による補償だけでなく、代替サービスの確保や業務継続計画の整備も進める必要があります。
サイバー保険の免責条項に注意する
保険契約には、保険金が支払われない場合を定めた免責条項があります。
サイバー保険でも、契約によってさまざまな免責条件が設けられています。
例えば、故意による不正行為や、一定の契約上の責任などについて、補償対象外となる場合があります。
また、戦争や国家による一定の行為に関する免責条項が問題となる場合もあります。
サイバー攻撃では、攻撃者の正体を特定することが難しいケースがあります。
国家が関与した攻撃なのか、犯罪組織による攻撃なのか、判断が容易ではない場合もあります。
そのため、国家関与型のサイバー攻撃について、どのような条件で免責条項が適用されるのかは重要な論点です。
ただし、国家が関与した疑いがあるというだけで、当然に保険金が支払われなくなるわけではありません。
具体的な契約文言や事故の事実関係に基づく判断が必要です。
企業は、保険加入時に補償内容だけでなく、免責条項についても十分に確認することが重要です。
サイバー保険の保険金額はどの程度必要か
サイバー保険を検討する際には、保険金額の設定が重要になります。
例えば、年間売上高が100億円の企業であっても、保有する顧客情報の量や事業内容によって、サイバー事故による損害額は大きく異なります。
金融取引に関する情報を取り扱う企業と、比較的少量の顧客情報しか保有しない企業では、想定すべきリスクが異なります。
そのため、保険金額を決める際には、単純に売上高だけを基準にするのではなく、事故による最大損失を検討することが重要です。
例えば、重大な情報漏洩が発生した場合の調査費用、顧客対応費用、損害賠償金などを試算します。
また、重要なシステムが一定期間停止した場合の利益損失も検討します。
そのうえで、企業が自己資金で負担できる金額と、保険によって移転したい金額を区分します。
保険金額を過度に小さく設定すれば、重大事故の際に補償が不足する可能性があります。
一方、必要以上に大きな保険金額を設定すれば、保険料負担が増加する場合があります。
企業の財務基盤とリスクの大きさを踏まえた合理的な判断が必要です。
保険料はどのように決まるのか
サイバー保険の保険料は、企業の事業内容、規模、保有情報、セキュリティー対策など、さまざまな要素によって決まります。
例えば、顧客情報を大量に保有する企業では、情報漏洩による損害が大きくなる可能性があります。
また、重要な業務をインターネットに接続したシステムで運用している企業では、サービス停止による影響が大きくなる場合があります。
さらに、過去のサイバー事故の発生状況や、安全管理措置の整備状況も評価対象となることがあります。
多要素認証、バックアップ、アクセス権限管理、従業員教育などが適切に実施されていれば、リスク評価に影響する可能性があります。
ただし、具体的な保険料の算定方法は保険会社や商品によって異なります。
セキュリティー対策を強化したからといって、必ず保険料が下がるわけではありません。
重要なのは、保険料の節約だけを目的とするのではなく、事故発生の可能性や損害額を減らすことです。
サイバー保険と安全管理措置は、相互に補完する関係にあります。
サイバー保険市場が抱える構造的な課題
サイバー保険市場には、一般的な損害保険とは異なる難しさがあります。
例えば、火災保険では、建物の所在地や構造などを基にリスクを評価することができます。
一方、サイバー攻撃では、攻撃手法が短期間で変化するため、過去の事故データだけで将来の損害を予測することが難しい場合があります。
さらに、同じ脆弱性を持つソフトウエアが世界中で利用されている場合、一度の攻撃によって多数の企業が同時に被害を受ける可能性があります。
このようなリスクは、保険会社にとって損害の集中につながります。
また、クラウドサービスのように、多数の企業が同じ事業者に依存している場合、その事業者の障害が広範囲に影響する可能性があります。
通常の保険では、保険事故が多数の契約者に分散して発生することが重要です。
しかし、サイバー攻撃では、複数の契約者が同時に損害を受ける可能性があります。
そのため、保険会社は、引受限度額や再保険の活用などによってリスクを管理する必要があります。
サイバー保険市場の健全な発展には、事故データの蓄積やリスク評価手法の高度化が重要になります。
保険会社の財務健全性にも影響する
大規模なサイバー攻撃が発生した場合、保険会社自身の財務健全性にも影響する可能性があります。
例えば、同じクラウドサービスを利用する多数の企業が同時に被害を受けた場合、それぞれの企業が保険金を請求する可能性があります。
保険会社が想定していた損害額を大きく上回れば、保険金支払いが集中することになります。
そのため、保険会社は、契約者ごとのリスクだけでなく、複数の契約者に共通するリスクを把握する必要があります。
また、巨額の損害に備えるため、再保険を活用することも重要です。
再保険とは、保険会社が引き受けたリスクの一部を、別の保険会社などに移転する仕組みです。
ただし、再保険によってもすべてのリスクを解消できるわけではありません。
サイバー攻撃が世界規模で発生した場合には、保険市場全体に大きな負担が生じる可能性があります。
今後、サイバー保険市場が拡大するためには、保険会社の引受能力と財務健全性の確保が重要になります。
サイバー保険金の会計処理
企業がサイバー攻撃による損害を受け、保険金を受け取る場合には、会計処理も重要です。
例えば、システム復旧費用として1,000万円を支出し、そのうち800万円が保険金として補償されるとします。
この場合、復旧費用と保険金収入は、それぞれの性質に応じて会計処理を検討する必要があります。
ただし、保険金を受け取る見込みがあるというだけで、直ちに収益を計上できるとは限りません。
保険契約の内容、保険事故の認定状況、保険会社による支払判断などを踏まえて検討する必要があります。
また、保険金の支払いが翌事業年度になる場合には、決算時点で保険金請求権がどの程度確定しているかが重要になります。
さらに、顧客への補償金について引当金を計上している場合でも、保険金による補填をどのように会計処理するかは別途検討が必要です。
保険による補償が見込まれるからといって、企業が負担する損失を無条件に相殺できるわけではありません。
企業は、保険金の認識時期や表示方法について、適用する会計基準に基づいて判断する必要があります。
サイバー保険料と保険金の税務上の取り扱い
サイバー保険については、法人税と消費税の取り扱いも重要です。
企業が事業上のリスクに備えるために支払うサイバー保険料は、その契約内容や保険期間などに応じて、法人税上の損金算入時期を判断します。
例えば、複数年度にわたる保険契約では、保険料のうち翌期以降に対応する部分について、前払費用として処理する必要がある場合があります。
また、保険金を受け取った場合には、原則として法人税上の益金算入が問題になります。
ただし、保険金の種類や受取原因によって、個別の検討が必要です。
消費税については、保険料は一般に非課税取引として取り扱われます。
また、損害を補填するために受け取る保険金は、通常、資産の譲渡等の対価に該当しないため、消費税の課税対象外となります。
一方、システム復旧を外部事業者に依頼した場合、その役務提供に対する支払いには、通常、消費税が課されます。
企業は、保険料、保険金、事故対応費用をそれぞれ区別して処理する必要があります。
中小企業にとってのサイバー保険
サイバー保険は、大企業だけでなく中小企業にとっても重要な検討課題です。
中小企業では、重大なサイバー事故が発生した場合、原因調査やシステム復旧に必要な資金を確保することが難しい場合があります。
また、顧客情報の漏洩によって損害賠償請求を受ければ、企業の資金繰りに影響する可能性があります。
例えば、年間利益が1,000万円の企業で、サイバー事故によって3,000万円の費用が発生した場合、その負担は極めて大きくなります。
サイバー保険によって一定の損害を補償できれば、企業の財務負担を軽減できる可能性があります。
ただし、中小企業では保険料負担も重要です。
そのため、まず自社の重要な情報資産や業務システムを把握し、どのような事故が発生すると事業継続が困難になるのかを検討する必要があります。
そのうえで、必要な補償範囲と保険金額を選択することが望まれます。
保険加入だけでなく、バックアップや多要素認証などの基本的な安全管理措置を整備することも重要です。
サイバー保険は企業の信用を守れるのか
サイバー保険は、企業の経済的損失を軽減するための重要な手段です。
しかし、保険金によって企業の信用を完全に回復できるわけではありません。
例えば、顧客情報が漏洩した場合、企業が損害賠償金を支払っても、顧客が以前と同じようにサービスを利用するとは限りません。
また、重大なサイバー事故が繰り返されれば、取引先からの信用が低下する可能性があります。
さらに、企業の安全管理体制に対する投資家の評価が変化する場合もあります。
こうした信用低下や将来の企業価値の減少は、通常、サイバー保険だけで完全に補償できるものではありません。
そのため、企業は保険による経済的な備えと、事故発生を防止するための対策を組み合わせる必要があります。
また、事故が発生した場合には、迅速な情報開示、顧客への説明、再発防止策の実施などが重要になります。
保険は企業の損失を軽減する手段ですが、企業の信用を守る最終的な責任は経営者にあります。
結論
GMOインターネットグループへの不正アクセス事件は、サイバー攻撃による企業の経済的損失が多方面に及ぶことを改めて示しました。
今回の事件では、システム停止、顧客への見舞金、金融取引上の損失補償など、さまざまな対応が必要になりました。
こうした損害に備える手段として、サイバー保険は重要な役割を果たします。
サイバー保険には、原因調査費用、システム復旧費用、損害賠償金、事業中断による損失などを補償する商品があります。
しかし、すべての損害が補償されるわけではありません。
見舞金や金融取引上の損失、外部クラウドサービスの停止による損害などについては、契約内容によって取り扱いが異なります。
また、国家が関与する攻撃や大規模なシステム障害では、免責条項や保険会社の引受能力が問題となる可能性があります。
さらに、サイバー攻撃では、多数の企業が同時に被害を受ける可能性があり、保険市場全体のリスク管理も重要になります。
企業経営者には、保険加入の有無だけでなく、補償範囲、保険金額、免責条件、事故発生時の対応手順を確認することが求められます。
また、サイバー保険は、企業の安全管理措置を代替するものではありません。
適切なセキュリティー対策、事業継続計画、危機管理体制を整備したうえで、残る経済的リスクを保険によって移転することが重要です。
サイバー保険は企業を救うための有力な手段ですが、企業のすべての損失や信用低下を補償できる万能な仕組みではありません。
保険と経営管理を組み合わせた総合的なリスク対策こそ、サイバー攻撃が高度化する時代に求められる企業防衛の基本となるのです。
参考
日本経済新聞 2026年10月25日 朝刊「GMO、『能動的サイバー防御』適用を政府に要請 不正アクセス問題」
日本経済新聞 2026年10月25日 朝刊「FX自動取引、トレーダー『いったん止める』 GMO不正アクセスで動揺」
GMOインターネットグループ 2026年10月24日 不正アクセス事件に関する発表
日本損害保険協会「サイバー保険に関する情報」
金融庁「保険会社向けの総合的な監督指針」
経済産業省 2023年3月「サイバーセキュリティ経営ガイドライン Ver 3.0」
国税庁「保険料及び保険金の税務上の取扱い」