ランサムウェアやデータ漏洩などのサイバー攻撃被害を受けた企業が、サイバー保険に請求したところ支払いを拒否されるケースが増えています。
理由は「基本的なセキュリティ対策が不十分」というものです。
保険に加入していても、実際には補償を受けられない事態が起きています。
 
日本における事例は企業イメージへの配慮や和解などによって裁判記録として公表されるケースは少ないですが、訴訟大国のアメリカでは請求拒否の傾向が分析されています。

英文記事：Why Cyber Insurance Claims Get Denied (2025 Guide for U.S. Businesses)
https://www.asi-networks.com/blog/why-cyber-insurance-claims-get-denied/

背景には、サイバー保険市場の構造変化があります。
2020年代前半のランサムウェア被害急増により、保険会社の支払額が急騰しました。
その結果、2024年以降は保険料の大幅値上げと同時に、支払い基準の厳格化が進んでいます。
特に「被保険者が合理的なセキュリティ対策を講じていたか」が審査の焦点になっています。

実際に請求拒否の理由として挙げられているのは、多要素認証（MFA）の未導入、既知の脆弱性に対するパッチ未適用、バックアップの不備、特権アカウント管理の欠如などです。これらは保険契約時の告知事項や約款に含まれていることが多く、「基本的対策」として扱われます。
 
しかし、実務では「導入している」と「適切に運用している」の間には大きな隔たりがあります。
例えば、MFAを導入していても管理者アカウントの一部が除外されていたり、バックアップが取得されていてもランサムウェア感染時に同時に暗号化される場所に保存されていたりするケースです。このような状況は「十分な対策」とはみなされません。

保険会社が求める水準は、「CISコントロール」や「NIST CSF」といった国際的なフレームワークで「基本」とされる項目の実装です。
具体的には、全アカウントでのMFA有効化、30日以内のパッチ適用、エアギャップ（ネットワークから物理的に切り離されたバックアップ）またはイミュータブル（削除・上書き不可）バックアップの確保、最小権限の原則に基づくアクセス制御などです。
 
IT部門が今すぐ取るべきアクションは3つあります。
第一に、現在加入している保険の約款を再確認し、求められる対策要件を明確化することです。
第二に、実際の運用状態を棚卸し、要件とのギャップを把握することです。
第三に、ギャップが大きい項目から優先的に改善することです。
 
特に注意すべきは、契約更新時の告知内容です。「MFAを導入している」という申告が、実態と乖離していると告知義務違反とみなされ、保険金が支払われないリスクがあります。告知内容と実態を一致させることが重要です。
 
サイバー保険は、もはや「掛け捨ての安心料」ではありません。
保険会社が求める対策水準は、実質的にセキュリティのミニマム基準になりつつあります。
保険加入の有無にかかわらず、これらの対策は企業にとって必須の投資といえます。
 
なお、予算が限られる中小企業向けには、東京都産業労働局が「中小企業向けサイバーセキュリティ対策の極意」というガイドブックを提供しています。
基本的な対策の実装に参考になります。
 
参考：中小企業向けサイバーセキュリティ対策の極意
https://www.cybersecurity.metro.tokyo.lg.jp/security/guidebook/#page1

システム運用自動化サービス「Kompira」って？

・製品資料ダウンロードはこちら

・各種セミナーはこちら