サイバー保険とは（全体像）
サイバー保険は、サイバー攻撃を受けて会社が損害を負ったときに、その費用の一部または全部を保険会社が払ってくれるしくみ。たとえばランサムウェア（データを人質に金銭を要求する攻撃）で事業が止まり、復旧や顧客対応にお金がかかったとき、その負担をやわらげてくれる。
ここで大事なのが、「保険＝何でも全額カバーしてくれる」ではないこと。ふつうの保険と同じで、払ってもらえる上限額があり、対象外になる場合（免責）もあり、そもそも入るための条件がある。試験は、この「補償の3分類」と「全部はカバーされない」という2点を中心に問う。
詳しく：補償の3分類と「全部はカバーされない」
ここが心臓部。まず補償の3分類を表で押さえる。
サイバー保険の補償3分類
| 分類 | 何を補償するか | 具体例 |
|---|---|---|
| ①第三者損害 | 他人に与えた被害の賠償 | 情報漏えいの損害賠償・訴訟費用 |
| ②自社損害 | 自分の会社が受けた損害 | 事業の中断・データやシステムの復旧費用 |
| ③対応費用 | 事故対応にかかる費用 | 原因調査・お客様窓口・広報・法務の費用 |
①は「よそへの弁償」、②は「自社の立て直し」、③は「事故対応の実費」と分けて覚えるとスッキリする。
次に、試験でもう一つ問われる「全部はカバーされない」というしくみ。
補償には限界がある（3つの注意）
| 注意点 | 意味 | かみくだくと |
|---|---|---|
| 補償の上限 | 払う額に天井がある | 巨額被害だと足りないことも |
| 免責（対象外） | 補償しない範囲がある | 国家・戦争レベルの攻撃は対象外が一般的 |
| 前提条件 | 加入や支払いに条件 | 守りの対策をしていないと払われない |
とくに免責で覚えたいのが、国家ぐるみ・戦争レベルの攻撃は対象外（補償されない）とされることが多い点。「どんな攻撃でも全部払ってくれる」と思い込むのは誤り。
そして前提条件。最近は加入の条件として、多要素認証（パスワードに加えてもう一段の確認）・EDR（端末の監視）・バックアップ・脆弱性管理などの守りを実施していることが求められる。これらをやっていないと、被害が出ても支払いを断られることがある。なお、こうした保険料や加入条件は年々厳しくなる傾向があり、具体的な水準は受験する年度の最新情報で確認しておきたい。
わかりやすく言い換えると
要するに、サイバー保険は「サイバー攻撃版の損害保険」。火災保険と同じ考え方だ。
つまり、火災保険でも「家を建て直す費用（自社損害）」「燃え移った隣家への賠償（第三者損害）」「片付けや調査の費用（対応費用）」が分けて考えられているのと同じ。サイバー保険の3分類も、この対応で覚えると忘れない。
そして「火の用心をしていない家は入れない／払われない」のと同じで、守りの対策（前提条件）をしていないとサイバー保険も支払われない、と覚えるとつながる。
試験のツボ
🔴 一番出る：補償の3分類
①第三者損害＝他人への賠償（情報漏えいの賠償など）
②自社損害＝自社の事業中断・復旧費用
③対応費用＝調査・顧客対応・広報・法務の費用
🔴 次に出る：全部はカバーされない
①補償の上限がある（巨額被害は足りないことも）
②免責がある（国家・戦争レベルの攻撃は対象外が一般的）
🟡 押さえると安定：加入の前提条件
多要素認証・EDR・バックアップ・脆弱性管理などの守りが求められ、未実施だと支払いを断られることがある。
よくある間違い
①「サイバー保険なら、どんな被害でも全額補償される」→ ✗ 補償には上限があり、対象外（免責）や前提条件もある。全額・無条件ではない。
②「国家ぐるみの攻撃も当然に補償される」→ ✗ 国家行為・戦争レベルの攻撃は免責（対象外）とされるのが一般的。
③「守りの対策をしていなくても入れて、必ず支払われる」→ ✗ 多要素認証やバックアップなどの前提条件があり、未実施だと支払いを断られることがある。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（補償の3分類）
サイバー保険の補償範囲に関する次の記述のうち、正しいものはどれか。
- サイバー保険は自社が受けた損害だけを補償し、他人への賠償や事故対応の費用は一切含まないとされる
- サイバー保険が補償するのは攻撃者を逮捕するための捜査費用だけで、自社や第三者の損害は対象外である
- サイバー保険の補償は、第三者への賠償・自社の損害・事故への対応費用の3つに大きく分けられている
- サイバー保険は事故が起きる前の防御製品の購入費だけを補償し、事故後の損害は対象にしないとされる
解答は 3 である。
サイバー保険の補償は、①第三者損害（他人への賠償）・②自社損害（自社の事業中断や復旧）・③対応費用（調査や顧客対応など）の3つに分けられる。本機はこの3分類での整理を推奨する。
選択肢1は「自社だけ」が誤り、選択肢2は「捜査費用だけ」が誤り、選択肢4は「防御製品の購入費だけ」が誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 第三者損害や対応費用も含む |
| 2 | ✗ | 捜査費用だけを補償するものではない |
| 3 | ✓ | 第三者・自社・対応費用の3分類で正しい |
| 4 | ✗ | 事故後の損害も補償の対象になる |
オリジナル問題2（補償の限界）
サイバー保険の補償の限界に関する次の記述のうち、正しいものはどれか。
- サイバー保険はどんな攻撃でも被害額の全額を上限なく補償し、対象外になる範囲はとくにないとされる
- サイバー保険は補償の上限がなく、国家ぐるみの攻撃や戦争による被害もすべて補償の対象になるとされる
- サイバー保険は加入さえすれば守りの対策は一切不要で、どんな状況でも必ず支払われるものとされている
- サイバー保険には補償の上限があり、国家行為や戦争レベルの攻撃は免責（対象外）とされるのが一般的だ
解答は 4 だ。
サイバー保険には補償の上限があり、国家行為や戦争レベルの攻撃は免責（対象外）とされるのが一般的だ。保険は万能ではない、と本機は把握している。
選択肢1は「全額・上限なし・対象外なし」が誤り、選択肢2は「国家・戦争も補償」が誤り、選択肢3は「対策不要で必ず支払い」が誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 補償には上限があり対象外もある |
| 2 | ✗ | 国家・戦争レベルの攻撃は免責が一般的 |
| 3 | ✗ | 前提条件があり必ず支払われるわけではない |
| 4 | ✓ | 上限あり・国家行為などは免責で正しい |
オリジナル問題3（加入の前提条件）
サイバー保険の加入の前提条件に関する次の記述のうち、正しいものはどれか。
- 加入には費用を払うこと以外の条件はなく、どんなにセキュリティが手薄でも問題ないとされている
- 近年は多要素認証やバックアップなどの守りの実施が前提とされ、未実施だと支払いを断られることがある
- 前提条件として求められるのは事務机の数や社員の年齢などで、セキュリティ対策とは無関係とされている
- 前提条件を満たしていれば、攻撃の被害額がどれだけ大きくても上限なく全額が補償されるものとされる
解答は 2 だ。
近年のサイバー保険は、多要素認証・EDR・バックアップ・脆弱性管理などの守りを実施していることを前提条件とし、未実施だと被害が出ても支払いを断られることがある。本機はこの前提を推奨する。
選択肢1は「条件なし」が誤り、選択肢3は事務机や年齢が条件という誤り、選択肢4は前提を満たしても上限はある点で誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 守りの対策という前提条件がある |
| 2 | ✓ | 守りの実施が前提で未実施だと支払い拒否もありで正しい |
| 3 | ✗ | 事務机や年齢ではなくセキュリティ対策が条件 |
| 4 | ✗ | 前提を満たしても補償の上限はある |
まとめ
押さえどころ
- 🔴 補償の3分類 … ①第三者損害（他人への賠償）②自社損害（事業中断・復旧）③対応費用（調査・顧客対応・広報・法務）。
- 🔴 全部はカバーされない … 補償の上限があり、国家・戦争レベルの攻撃は免責（対象外）が一般的。
- 🟡 加入の前提条件 … 多要素認証・バックアップなどの守りが求められ、未実施だと支払いを断られることがある。
次に学ぶ
- ランサムウェア（RaaS・四重脅迫） ── サイバー保険が補償する代表的な被害。攻撃の中身を知ると、保険の自社損害・対応費用の意味がつかめる。
執筆: SikakuQuest編集部