何が問題になるか
場面
サイバー攻撃を受けると、原因の調査やシステムの復旧に費用がかかります。個人情報が漏えいすれば、本人への通知や問い合わせ窓口も必要になります。取引先や顧客から損害賠償を求められることもあります。業務が止まれば、その間の売上も失われます。こうした出費に保険で備えるか、契約書で負担を分けておくかが問題になります。
法律の整理
サイバー保険は、調査・復旧費用、通知・コールセンター費用、損害賠償、事業中断の損失などを補償するものが多くあります。何が補償され、何が除外されるかは、約款で確認します。特に、身代金、制裁対象への支払、故意による損害の扱いを確かめます。保険金の請求には、警察への通報や調査報告が条件になることがあります。
中小企業向けには、監視・駆けつけ・保険が組み合わさった制度もあります。IPAは、サイバーセキュリティお助け隊サービスを、「中小企業に対するサイバー攻撃への対処として不可欠な」サービスを「ワンパッケージにまとめた、民間の事業者から提供されるサービス」と説明しています。IPAは2021年春からこの制度を始め、該当するサービスに「お助け隊マーク」を付与しています。自社で利用する場合には、「デジタル化・AI導入補助金」による導入支援制度も用意されています。
補償されるものと、除外されるものを約款で確認
会社が備えること
確認すること
- 保険で、調査・復旧費用、通知費用、損害賠償、事業中断の損失のどれが補償されるか
- 身代金、制裁対象への支払、故意が除外に当たるか
- 保険金の請求に、警察への通報や調査報告が条件になっているか
- 委託先・クラウドとの契約に、事故時の通知義務・協力義務・賠償の範囲の定めがあるか
- 顧客との契約に、責任の上限の定めがあるか
対応
事故が起きたら、初動から記録を残します。いつ気づき、誰に連絡し、どの機器をどう扱ったかを時系列で書き留めます。通報や調査報告が保険金請求の条件になることがあるためです。IPAの「中小企業の情報セキュリティ対策ガイドライン」には、付録として「中小企業のためのセキュリティインシデント対応の手引き」があります。初動の手順を社内で決めるときの参考になります。
契約書では、委託先・クラウドとの契約に、事故時の通知義務・協力義務・賠償の範囲を定めます。顧客との契約には、責任の上限を定めます。相手のひな形を受け取ったときの見方は、取引先から契約書のひな形を渡されました。どこを見て、どこを交渉すべきですかで扱っています。事故後の説明と賠償は、サイバー攻撃を受けたことを取引先や顧客にどう説明すればよいですかをご覧ください。
初動から記録を残し、契約書でも備える
ご相談で伺うこと
- 加入中の保険の約款、または検討中の保険の資料
- 委託先・クラウド事業者との契約書と利用規約
- 顧客との契約書で、責任の範囲を定めた条項
- 事故時の社内の連絡体制と記録の方法