Shopifyブログ
情報漏洩のニュースは大企業の事例が目立ちますが、スモールビジネスなど中小規模のEC事業者も例外ではありません。独立行政法人情報処理推進機構（IPA）がサイバー被害を受けたEC事業者20社を調べたところ、顧客情報の平均漏洩件数は約3,800件でした。また、事故対応費用を支出した19社では、1社あたり平均約2,400万円がかかっています。
ECサイトのセキュリティ対策を十分に講じても、情報漏洩のリスクはゼロにできません。万が一の情報漏洩後の費用負担に備える手段のひとつが、情報漏洩保険です。
この記事では、情報漏洩保険の仕組みや補償内容、保険料と受取額の目安、個人情報漏洩保険とサイバー保険の違い、保険選びのポイントを解説します。
情報漏洩保険とは
情報漏洩保険とは、顧客の個人情報や決済情報、企業の機密情報などが漏洩した際に、企業が負担する費用や損害を補う保険の総称です。主な補償対象は、原因調査、顧客や行政への通知、問い合わせ窓口の設置、損害賠償、訴訟対応、システムの復旧などです。対象となる事故や費用は契約によって異なり、情報漏洩を伴わないサイバー攻撃や利益損失まで補償する場合もあります。
情報漏洩保険の仕組み
情報漏洩が発覚したら、まず保険会社や代理店へ報告します。その後、事故原因や被害状況、発生した費用などについて必要な確認や書類提出を行い、契約上の補償対象と認められれば保険金が支払われます。
契約や費用の種類によっては、保険会社の承認を得ずに費用を支出したり示談を締結したりすると、保険金の全部または一部が支払われない場合があります。
情報漏洩保険が必要な理由
機密情報を扱う事業者に情報漏洩保険が必要なのは、事故対応に多額の費用がかかり、事業継続に必要な資金まで失うおそれがあるためです。
たとえば、情報漏洩事故の調査や復旧のためにECサイトを停止すれば、停止期間中は商品を販売できず、売上が減少します。加えて、原因調査、顧客への通知、問い合わせ対応、損害賠償、システム復旧などの費用もかさみます。
IPAの「ECサイト構築と運用におけるセキュリティガイドライン」によると、ECサイトを閉鎖した47社の平均閉鎖期間は8.6か月でした。従業員300人以下の40社では、26社に1,000万円以上の売上損失が発生しています。また、不正アクセスの被害を受けたECサイト運営事業者の14％はサイトの再開を断念しています。
情報漏洩保険で事故対応費用を補えれば、事故後の資金負担を抑え、復旧と事業再開に必要な資金を確保しやすくなります。
個人情報漏洩保険とサイバー保険の違い
情報漏洩による損害に備える保険は大きく分けると、個人情報の漏洩を中心に補償する個人情報漏洩保険と、サイバー事故による損害をより広く補償するサイバー保険があります。どちらも損害賠償や事故対応費用などに備えられますが、対象となる事故や損害の範囲が異なります。
個人情報漏洩保険とは
個人情報漏洩保険は、個人情報の漏洩や漏洩のおそれによって発生する、損害賠償や事故対応費用などを補償する保険です。基本的に情報漏洩に伴う損害を対象とするため、サイバー攻撃による事業中断で生じた喪失利益などは補償されない場合があります。また、商品や特約によっては、取引先情報や企業秘密など、個人情報以外の情報漏洩も補償対象に含まれます。
サイバー保険とは
サイバー保険は情報漏洩だけでなく、サイバー攻撃などによって発生するさまざまな損害を補償する保険です。事故対応費用や第三者への損害賠償に加え、システム停止による利益損失なども補償される商品もあります。
たとえば、大量のデータを送りつけるなどしてウェブサイトやシステムを利用できなくするDDoS攻撃によってECサイトが停止した場合、停止に伴う喪失利益や営業継続費用も補償対象となります。
情報漏洩の種類
サイバー攻撃
不正アクセスなどのサイバー攻撃によって、顧客情報や認証情報が漏洩するケースです。主な手口には、システムの脆弱性を悪用した侵入、不正なプログラムで情報を盗み取るマルウェア、偽サイトなどでIDやパスワードを入力させるフィッシング、データを盗み取ったうえで暗号化するランサムウェアなどがあります。漏洩した決済情報や認証情報が、不正注文などの二次被害に悪用されることもあります。
従業員のミス
メールの誤送信、ファイルの公開範囲の設定ミス、顧客情報の誤掲載など、悪意のない操作ミスによる漏洩です。私用端末への不適切な保存や、オンライン会議で関係のない情報まで画面共有する行為も、情報漏洩につながります。
内部での不正行為
従業員や退職者などが、業務で知り得た顧客情報や営業上の機密情報を不正に持ち出すケースです。外部からの攻撃ではなく、内部関係者が正規のアクセス権限や業務上取得した情報を悪用する点が特徴です。
端末や書類の紛失と盗難による漏洩
顧客情報を保存したパソコン、スマートフォン、USBメモリ、紙の書類などの紛失や盗難により、情報が第三者に渡るケースです。書類や記録媒体を適切に処分せず、廃棄後に情報を取得される場合もあります。
委託先や外部サービスからの漏洩
自社ではなく、決済代行会社や物流会社、クラウドサービスなどから情報が漏洩するケースです。委託先の従業員による情報の持ち出しや、利用しているクラウドサービスへの不正アクセス、設定ミスなどが該当します。
情報漏洩保険の主な補償内容
初動対応
情報漏洩の疑いが生じた直後の初動については、専門家への相談、行政向けの報告書作成、顧客への連絡、公表や謝罪に関する助言などが補償対象となる場合があります。どこまでを対象とするかは、商品や契約によって異なります。
原因調査と顧客対応
原因の調査と顧客への対応も、補償対象となる商品があります。具体的にはフォレンジック調査（電子機器の記録を分析し原因究明する調査）やコールセンターの設置、見舞金や見舞品、謝罪や広報の実施にかかる費用などが該当します。また、漏洩した情報の不正使用を監視するモニタリング費用を補償する商品もあります。
カード差替え手数料のように件数に比例する費用は、漏洩件数が多いほど総額が大きくなります。IPAの調査では、クレジットカード情報が漏洩した事業者の92％（65社）がカード差替え手数料を負担していました。その手数料は、1件あたり約2,000円と答えた事業者が6割を占めています。
損害賠償と訴訟
顧客や取引先などの第三者から損害賠償を請求された場合、法律上の損害賠償金や弁護士費用などの争訟費用が補償される商品があります。こういった商品では、情報漏洩の被害者から直接賠償を求められた場合に限らず、受託した個人情報を漏洩させてしまい、委託元から損害額を請求された場合も補償対象になります。
ただし、保険会社の承認を得ないまま示談に応じると、支払った金額が補償の対象外となることがあります。賠償責任を認めるかどうか、いくらで解決するかは保険金の額に直結するため、多くの商品が事前の承認を条件としています。示談金や訴訟費用を支払う前に、自社の契約で承認が必要かどうかを必ず確認しましょう。
復旧と再発防止
データやシステムの復旧費用、事故原因となった設定の修正費用、再発防止策の策定にかかる外部コンサルティング費用などが補償される商品があります。ただし、対象は事故によって損害を受けたデータやシステムの復旧と、事故の再発防止に直接関係する費用に限られる場合があります。
情報漏洩保険の保険料の目安
情報漏洩保険やサイバー保険の保険料の目安は、年間10,000～400,000円程度です。
売上高や支払限度額、特約の有無などに応じて、次のような保険料が設定されています。
- 楽天市場：年間12,000～138,000円
- 損保ジャパン：売上高5億円の小売業で、年間118,560円
- 三井住友海上：売上高10億円の小売業で、年間60,000〜224,570円。利益損害補償特約を付けると、年間324,120〜406,780円
支払限度額の目安
情報漏洩保険の支払限度額は商品や補償内容によって異なりますが、100万円から10億円が目安となります。支払限度額とは、保険会社が支払う保険金の上限のことです。実際には、補償対象と認められた損害額に自己負担額や縮小支払割合を反映した金額が、支払限度額の範囲内で支払われます。
たとえば三井住友海上の「サイバープロテクター」では、補償内容ごとに次の支払限度額を設定できます。
- 賠償損害：1,000万円〜10億円
- 原因調査や復旧、顧客対応などの費用損害：100万円〜5億円
- システム停止などによる利益損害：1,000万円〜1億円
費用損害には、費用の種類ごとに上限が設けられることもあります。東京海上日動の「サイバーリスク保険」では、緊急対応費用は1,000万円、コンピュータシステム復旧費用は3,000万円が上限です。費用全体では、1事故および保険期間中で最大5億円まで補償されます。
情報漏洩保険を選ぶときに確認するべき内容
補償対象の事故
どのような事故が補償の対象になるかを確認します。不正アクセスだけでなく、メールの誤送信や設定ミス、内部不正、端末の紛失、委託先での情報漏洩まで対象になるかがポイントです。ECサイトの停止に備えるなら、情報漏洩を伴わないDDoS攻撃やランサムウェアによるシステム停止も対象になるかを確かめましょう。
損害と費用の補償範囲
事故が補償対象でも、その後に発生するすべての費用が補償されるとは限りません。第三者への損害賠償に加え、パソコンやサーバーを調べて侵入経路と被害範囲を特定する費用、顧客への通知、問い合わせ窓口の設置、謝罪広告、システムの復旧、再発防止にかかる費用の補償範囲を確認します。
ECサイトの停止による利益損失は、特約として補償を追加できる場合があります。サイトが売上の中心になっている場合は、利益損失まで補償されるプランを検討しましょう。
支払限度額と自己負担額
保険を選ぶ際は、支払限度額と自己負担額を確認し、事故発生時に自社で負担する金額を把握しておきましょう。たとえば補償対象となる費用が2,000万円発生しても、支払限度額が1,000万円であれば、受け取れる保険金は最大1,000万円です。さらに、契約によっては一部の費用に個別の限度額が設定されるほか、自己負担額や縮小支払割合（損害額から自己負担額を引いたあとの金額に乗じる割合）によって受取額が減ることもあります。想定される損害額を当てはめ、最終的に自己資金でいくら負担することになるかを確認しましょう。
事故発生時の支援内容
事故発生直後は、どのシステムを停止するか、どの記録を保存するか、誰に報告するかを短時間で判断する必要があります。24時間対応の相談窓口に加え、パソコンやサーバーを解析して原因と被害範囲を調べる専門会社、弁護士、広報会社、問い合わせ窓口の運営会社などを紹介してもらえるかを確認しましょう。
あわせて、緊急時の連絡先、支援を利用するまでの手順、保険会社の事前承認が必要な費用を社内で共有しておくと、初動の遅れを防ぎやすくなります。
まとめ
情報漏洩保険は、情報漏洩が発生した際の原因調査、顧客対応、損害賠償、システム復旧などにかかる費用を補う保険です。EC事業者は顧客情報や決済情報を扱うため、情報漏洩時の事故対応費用に加えて、調査や復旧のためのサイト停止による売上減少にも備える必要があります。
保険料の目安は年間1万〜40万円、支払限度額は100万円〜10億円です。個人情報の漏洩を中心に備えるなら個人情報漏洩保険、DDoS攻撃や事業中断まで備えたいなら、それらを補償するサイバー保険が適しています。補償対象となる事故と費用、支払限度額、自己負担額、緊急時の支援内容を比較し、自社のリスクに合う保険を選びましょう。
情報漏洩保険に関するよくある質問
情報漏洩保険の金額はいくら？
情報漏洩保険の保険料は年間1万〜40万円程度、支払限度額は100万円〜10億円程度が目安です。ただし、売上高や補償内容、特約の有無などによって金額は異なります。金額を確認する際は、保険会社に支払う「保険料」と、事故発生時に補償される「支払限度額」を見るようにしましょう。
情報漏洩保険で受け取れる金額は？
支払限度額の範囲内で、補償対象となる損害額から自己負担額などを差し引いた金額を受け取れます。商品によっては、原因調査や見舞金などに個別の上限が設けられる場合もあります。支払限度額がそのまま受け取り金額になるわけではないため、注意が必要です。
情報漏洩保険で補償されないものは？
- 契約者または被保険者の故意によって生じた損害
- 契約で補償対象として定められていない事故や損害
- 支払限度額を超える損害額
