サイバー保険の加入審査で求められるセキュリティ対策水準と中小企業の自己評価手順

サイバー保険への加入を検討しているが、審査でどの程度のセキュリティ対策水準が求められるのか分からない——そういった不安を抱える中小企業の経営者は少なくありません。保険各社がランサムウェア被害の増加を受けて審査基準を強化する中、準備なく申し込むと審査落ちや高額な保険料の提示という結果になりかねません。

この記事では、サイバー保険の加入審査で問われるセキュリティ対策の要件と、中小企業が審査前に実施できる自己評価の手順を解説します。士業事務所・製造業・情シス兼任の担当者が今日から着手できる具体的なステップと、審査前に確認すべきチェックリストをご紹介します。

サイバー保険の加入審査とはどのようなものか

1. サイバー保険の概要

サイバー保険とは、不正アクセス・ランサムウェア感染・情報漏洩などのサイバーインシデントによって企業が被る損害を補償する保険商品です。一般的な補償範囲には「第三者への賠償責任」「自社の事故対応費用」「業務中断による損失」「法律専門家への相談費用」などが含まれます（保険会社・プランによって補償内容は異なります）。

2020年代に入り、ランサムウェア被害が中小企業にも広がったことで、サイバー保険への関心が急速に高まりました。かつては大企業向けとされていたこの保険も、現在は中小企業向けの手頃なプランが複数提供されており、年間保険料の幅も以前より広がっています。

2. 審査の目的と仕組み

保険会社が加入審査を行う理由は、補償リスクを適正に評価するためです。セキュリティ対策がまったく講じられていない企業を引き受けると、インシデント発生時の保険金支払いが集中して保険会社の損害が膨らみます。そのため、申込企業のセキュリティ対策水準を確認し、リスクが高すぎると判断した場合は引受拒否または高い保険料を設定します。

審査の形式は保険会社によって異なりますが、多くの場合「質問票への記入」「担当者によるヒアリング」「スキャンツールを活用したリスク調査」の組み合わせで実施されます。質問票にはIT環境の概要・セキュリティ対策の有無・過去のインシデント歴などが含まれます。質問票の内容は保険会社によって異なり、数ページの簡易なものから数十項目に及ぶ詳細なものまであります。

3. 審査水準が厳格化した背景

2022年以降、ランサムウェア被害の増加に伴い、国内外の保険会社がサイバー保険の審査基準を引き上げています。以前は「アンチウイルスが入っていれば通過できた」審査も、現在は多要素認証（MFA）の有無・バックアップ体制・従業員へのセキュリティ教育なども問われるようになっています。

審査を通過できても、申告内容と実態が乖離していた場合や対策が不十分な場合は、インシデント発生時に免責条項が適用されて補償を受けられないケースも報告されています。中小企業にとって重要なのは、保険加入が「形式上の手続き」ではなく、実際のセキュリティ対策の底上げと連動しているという点です。審査の準備を通じてセキュリティ対策を整備することが、保険の実効性を高めることに直結します。

審査で問われる主なセキュリティ対策の要件

1. 多要素認証（MFA）の導入

メールサービス・クラウドサービス・VPNなど、外部からアクセス可能なシステムへのMFA導入が問われます。特にMicrosoft 365やGoogle WorkspaceなどのクラウドサービスへのMFA設定は、近年の審査では必須に近い水準とみなされています。MFAは多くのサービスで追加費用なしに設定変更だけで有効化できる対策のため、他の対策と比較して費用対効果が高く、優先して整備すべき項目です。

審査では「MFAを導入しているか」だけでなく、「全員に適用されているか」「外部公開の全サービスに適用されているか」まで問われることがあります。一部の端末のみの適用や一部のサービスのみの適用では「部分対応」とみなされ、評価が下がる場合があります。

2. パッチ・アップデートの管理

OSおよびソフトウェアのセキュリティパッチを適時適用しているかどうかを確認されます。未適用のまま長期間放置されている端末が多いと、審査評価が下がります。月次での更新確認サイクルを設けているかどうか、そのサイクルの記録が残っているかどうかも問われることがあります。

特に注意が必要なのは、Windows端末でMicrosoft Officeなどの業務ソフトのアップデートを個別管理していない場合です。OSは更新されていてもOfficeやAdobe製品の脆弱性が残ったままになっているケースはよくある状態です。「OS更新＝全端末のセキュリティ確保」ではないという認識を持つことが重要です。

3. バックアップ体制

データのバックアップを定期的に実施し、バックアップデータを本番環境から切り離した場所に保管しているかが問われます。ランサムウェア対策の観点から、オフライン保管や別拠点・別クラウドストレージへのバックアップが評価されます。

近年の審査では「バックアップはとっている」だけでなく、「復旧テストを実施しているか」「最後に復旧テストを行ったのはいつか」まで問われるケースが増えています。バックアップを取っていても、実際に復旧できなければ意味がないため、定期的な復旧テストの実施と記録が求められます。

4. エンドポイント保護（EDR・アンチウイルス）

業務端末にアンチウイルスソフトやEDR（Endpoint Detection and Response）を導入しているかどうかを確認されます。単純なアンチウイルスのみよりも、挙動監視ができるEDRの導入がより高く評価される傾向があります。「端末の台数」と「導入率（全端末か一部のみか）」も確認されます。

EDRとアンチウイルスの違いを簡単に整理すると、アンチウイルスは既知のマルウェアを検知するのに対して、EDRは端末上の不審な動作をリアルタイムで監視して未知の脅威にも対応します。EDRは費用が高くなりますが、審査上の評価に差が出るため、更新のタイミングでEDRへの移行を検討することが推奨されます。

5. 従業員へのセキュリティ教育

フィッシングメール対策など、従業員向けのセキュリティ教育の実施状況を問われます。年1回以上の教育実施・フィッシングテスト送信の実績があると評価が高まります。「受けた従業員の割合」「実施日と実施内容の記録」も確認される場合があります。

中小企業でよくある状態は、教育を実施しているが記録がないケースです。口頭での周知や社内メールでの注意喚起は行っていても、「いつ・誰に・何を教育したか」の記録がなければ、審査上は「実施なし」と同等の評価になりかねません。教育実施後に参加記録（日時・参加者リスト・教育内容の概要）を残しておくことが重要です。

6. インシデント対応手順の有無

サイバーインシデント発生時の初期対応手順（誰が何をするか）を文書化しているかどうかも確認されます。社内にIT担当者がいない場合でも、外部の委託先や相談先（IT保守業者・警察・IPAの相談窓口等）を決めておくことが求められます。

インシデント対応手順書は、A4用紙1枚程度のシンプルなものでも構いません。「インシデントを発見した場合、最初に〇〇（担当者名）に連絡する」「外部相談先は××（連絡先）」「初動として社内ネットワークから該当端末を切り離す」といった基本的な手順を記載した文書を用意しておくことで審査評価が向上します。

7. 過去のインシデント歴

過去3年間のサイバーインシデントの有無と、その対応状況を申告します。インシデントがあった場合でも、適切な対応を行っていれば大きなマイナス評価にはなりませんが、対応記録がないと評価が下がります。「発生した事実」「とった対応」「再発防止策」の3点セットで記録しておくことが大切です。

中小企業が審査前に実施する自己評価の手順

1. IT資産の棚卸し

自己評価の最初のステップは、社内で使用しているIT資産の一覧化です。対象は端末（PC・スマートフォン・タブレット）、サーバー（社内・クラウド）、クラウドサービス（メール・ファイル共有・会計ソフト等）、ネットワーク機器（ルーター・スイッチ）です。一覧には「台数・機種・OS・更新状況・担当者」を記載します。

【想定例】
従業員10名の士業事務所を想定した場合、PC10台・スマートフォン5台・クラウドサービス3種（メール・会計ソフト・ファイル共有）・ルーター1台が棚卸しの対象です。「うちはシンプルだから5分で終わる」と感じていても、個人用クラウドサービスも含めてリストアップすると30件近くの資産が出てくるのはよくある状態です。棚卸しを終えて初めて「何を守るべきか」が明確になります。

2. 対策状況の確認（現状のスコアリング）

棚卸しした各資産に対して、審査で問われる7つの要件を一つずつ確認します。「対策済み」「部分対応」「未対応」「不明」の4段階で現状を記録します。

「不明」の項目が多い場合、担当者がいないか、設定の確認方法が分からない状態を示しています。「不明」の項目は専門家への確認を優先します。保険代理店によってはセキュリティ評価の事前相談に対応しているため、代理店に相談しながら確認するのも有効な方法です。

3. ギャップ分析と優先順位付け

「未対応」「部分対応」の項目について、対策の難易度とコストを評価し、審査までに対応すべき優先順位を決定します。判断の軸は「審査への影響が大きいか」「実施コストが低いか」の2点です。

【想定例のBefore/After（優先順位整理）】
Before（想定）: MFA未設定・バックアップはPC内のみ・アンチウイルスは一部端末のみ導入という状態を想定します。
After（想定）: まずMFAを全クラウドサービスに設定（設定変更のみで即日対応可）、次にバックアップを外付けHDDまたはクラウドストレージへの自動保存に切り替え（低コスト）、最後にアンチウイルスを全端末に展開するという順番で対応した場合、審査評価が改善する可能性があります（実際の審査結果は保険会社の判断によります）。費用が必要なEDR導入は次年度以降の計画として整理し、段階的な対応として保険会社に説明することも有効です。

4. 記録の整備と文書化

自己評価の結果は必ず文書化して保存します。質問票に正確に回答するためだけでなく、インシデント発生時の免責回避のためにも記録が重要です。対策実施日・担当者名・設定内容の記録は、保険加入後も継続して更新します。

文書化の範囲は広くなくて構いません。「いつ・誰が・何を実施したか」が分かるシンプルな台帳形式の記録でも、審査対応として有効に機能します。Excelやスプレッドシートで管理するのが現実的です。

セキュリティ対策水準と審査評価の目安（比較表）

代表的なセキュリティ対策項目について、「対策済み」「部分対応」「未対応」の状況別に審査への影響を整理した目安表です（各保険会社の実際の審査基準とは異なる場合があります）。

対策項目	対策済みの場合	部分対応の場合	未対応の場合
多要素認証（MFA）	審査上の評価が高い。引受拒否リスクが低下する	対応範囲によって評価が変わる。外部公開システムへの未適用が残ると評価が下がる	引受拒否または保険料大幅増の要因になる場合がある
バックアップ体制	オフライン・別拠点保管まで整備済みで高評価。復旧テスト記録があればさらに評価が高まる	バックアップはあるが切り離し未実施の場合は部分評価になる	ランサムウェア補償に免責が付く可能性がある
エンドポイント保護	全端末にEDR導入済みで高評価	一部端末のみ・アンチウイルスのみの場合は中程度評価	補償範囲の制限や保険料増の要因になる場合がある
パッチ管理	月次の定期更新サイクルがあり記録済みで高評価	更新しているが記録なし・不定期の場合は中程度評価	長期未更新端末が存在する場合はリスク要因として記録される
セキュリティ教育	年1回以上の実施記録あり・フィッシングテスト済みで高評価	実施しているが記録がない場合は評価が下がる	教育未実施の場合は評価要因として記録される
インシデント対応手順	文書化済み・定期更新で高評価	手順はあるが文書化されていない場合は部分評価	未整備の場合は補完対策を求められる場合がある
過去のインシデント歴	インシデントなし・または対応記録が完備で評価に影響なし	インシデントあり・対応記録が不完全の場合は要説明	インシデントあり・記録なしの場合は引受条件が厳しくなる可能性がある

よくある質問

Q1. セキュリティ対策がほとんど整っていなくてもサイバー保険に加入できますか？

保険会社によっては、基本的な対策が未整備でも加入できる場合があります。ただし、補償範囲の制限・免責条件の付加・保険料の大幅増などが条件として付くケースが多く、実際にインシデントが起きた際に補償を受けられないリスクがあります。加入を目的とするのではなく、審査を通じてセキュリティ水準を高めることが補償の実効性を確保するうえで重要です。

Q2. 従業員が数名の小規模な事業者でもサイバー保険は必要ですか？

従業員数が少なくても、顧客情報・取引先データ・個人情報を扱っている事業者はサイバーインシデントの被害対象になります。特に士業事務所のように守秘義務が強く求められる業種では、情報漏洩が業務継続に直結するリスクがあります。規模が小さいことはリスクが低いことを意味しないため、小規模事業者こそ早期の検討が必要です。

Q3. 審査に落ちた場合や条件付き引受だった場合はどうすればよいですか？

審査落ちや条件付き引受の場合、保険会社から不足している対策項目のフィードバックを受けられることがあります。そのフィードバックを基に対策を実施し、数か月後に再申し込みする方法が現実的です。また、引受基準は保険会社によって異なるため、複数の保険会社に問い合わせて比較することも有効です。一社で断られても別の保険会社で引き受けてもらえる場合もあります。

Q4. 保険加入後にセキュリティ対策を更新しなかった場合はどうなりますか？

保険加入時の申告内容と実態が乖離した状態でインシデントが発生した場合、保険会社が免責を主張する根拠になります。加入後もセキュリティ対策を維持・更新することが、補償を有効に機能させる前提条件です。更新審査がある保険商品も多く、契約更新のたびに対策状況の確認が行われます。

Q5. 自己評価は専門家に依頼しなければ進められませんか？

IPA（独立行政法人情報処理推進機構）が公開している「中小企業の情報セキュリティ対策ガイドライン」には、事業者が自分で取り組める自己診断の手順が含まれています。まず自己診断で現状を把握し、不明点や専門的な対応が必要な項目のみ専門家や保険代理店に相談するという段階的なアプローチが費用対効果の高い方法です。

Q6. 保険会社によって審査基準は大きく違いますか？

保険会社によって質問票の詳細さや重視する項目は異なります。ただし、MFA・バックアップ・エンドポイント保護の3点はほぼ全ての保険会社で重点的に確認される共通項目です。この3点を整備するだけで、多くの保険会社での審査通過可能性が高まります。まずこの3点を優先的に整備し、その後に他の項目を順次対応するという進め方が効率的です。

加入審査前のセキュリティ自己評価チェックリスト

以下のチェックリストを使って、審査前の自己評価を進めてください。全項目に「対策済み」がつけられる状態が理想ですが、未対応の項目は優先順位をつけて対応を計画します。

【IT資産の棚卸し】

・業務で使用する全端末（PC・スマートフォン・タブレット）の台数とOS・最終更新状況を一覧化した
・利用中のクラウドサービス（メール・ファイル共有・会計ソフト等）を全てリストアップした
・ネットワーク機器（ルーター・スイッチ）の型番と最終更新日を確認した
・IT資産一覧に担当者名と管理状況を記録した

【多要素認証（MFA）の確認】

・外部からアクセス可能なクラウドサービス（メール・ファイル共有・VPN等）全てにMFAを設定した
・MFAの設定状況をサービスごと・端末ごとに記録した
・従業員全員がMFA設定済みであることを確認した

【バックアップ体制の確認】

・重要データのバックアップを定期的（週次以上）に実施している
・バックアップデータを本番環境と切り離した場所（外付けHDD・クラウドストレージ・別拠点等）に保管している
・直近でバックアップからの復旧テストを実施し、その記録が残っている

【エンドポイント保護の確認】

・全業務端末にアンチウイルスまたはEDRを導入している
・セキュリティソフトのパターンファイルおよび定義ファイルが最新の状態に保たれている
・導入率（全端末に適用済みか・一部のみか）を記録した

【パッチ管理の確認】

・OSおよび業務ソフトのセキュリティパッチを定期的（月次以上）に適用している
・パッチ適用の実施履歴（日時・対象端末・更新内容）を記録している

【セキュリティ教育の確認】

・過去1年以内に従業員向けセキュリティ教育を実施した日時・参加者の記録がある
・フィッシングメールの見分け方と報告手順を従業員に周知している

【インシデント対応手順の確認】

・サイバーインシデント発生時の初期対応手順（誰が何をするか）を文書化している
・外部の相談先（IT委託業者・警察・IPAの相談窓口等）を社内に周知している
・インシデント対応手順書の最終更新日を記録している

【過去のインシデント記録】

・過去3年間のサイバーインシデントの有無と対応記録を整理した
・インシデントがあった場合、再発防止策を実施した記録がある

まとめ

サイバー保険の加入審査は、「どの保険会社を選ぶか」だけでなく「自社のセキュリティ対策水準が審査基準を満たしているか」が結果を左右します。審査で問われる主な要件はMFA・バックアップ・エンドポイント保護・パッチ管理・セキュリティ教育・インシデント対応手順・過去のインシデント歴の7点です。

中小企業が取るべき行動は「IT資産の棚卸し」「対策状況の確認」「ギャップ分析と優先順位付け」「記録の整備」という4ステップの自己評価です。MFAとバックアップ体制の整備を最優先として、順次対策を進めることが現実的な進め方です。保険加入を目的とした形式上の準備ではなく、実際のリスク低減と連動させることが、長期的な経営安全性の確保につながります。

自社のセキュリティ水準の評価や審査に向けた準備の進め方について、専門家のサポートをご希望の方はお気軽にご相談ください。

セキュリティ対策・サイバー保険準備のご相談はこちら