正解：イ
各選択肢の解説
ア攻撃者の要求に応じて、データを取り戻すために支払った身代金。
誤り。日本損害保険協会は、ランサムウェアの被害で支払った身代金は サイバー保険の対象にならないと説明しています。ランサムウェアの損害の中心に見えるため 含まれると思いやすいのですが、補償されるのは事故への対応や賠償などの費用です。
イ侵入経路と被害の範囲を調べる、外部のフォレンジック調査の費用。
正解。原因や被害範囲を調べる調査の費用は、事故対応費用の一つです。 サイバー保険は、事故が起きた後にかかるお金の負担を保険会社に移す手段です。
ウ個人情報保護委員会への報告と、本人への通知を行う法令上の義務。
誤り。保険で移せるのは損害の金銭的な負担で、法令上の義務は移りません。 保険会社が事故対応を手伝ってくれる印象から義務ごと任せられると思いやすいのですが、 委員会への報告と本人への通知は、加入していても事業者自身が行います。
エ被害に遭う前に行う、脆弱性の修正やバックアップ装置の導入の費用。
誤り。これは発生の可能性や影響を下げるリスク低減の費用で、自社で負担するものです。 保険も対策も「備え」なので同じ枠で考えやすいのですが、保険は起きた後の損失に お金で備えるもので、起きる前の対策の費用を肩代わりするものではありません。
理解を深めるために
火災保険は、火事の後の出費に備えるもの
火災保険に入っても、火事が起きにくくなるわけでも、消防署への連絡を保険会社がしてくれるわけでもありません。 火事の後にかかる建て直しや片付けのお金を補ってくれるものです。 サイバー保険も同じで、サイバー事故が起きた後にかかるお金に備えるものです。
サイバー保険が対象とする費用
日本損害保険協会は、サイバー事故が起こると大きく3つの費用が発生する可能性があると説明しています。
- 事故対応費用 — 原因や被害範囲を調べる調査、データの復旧、お詫びの通知など
- 損害賠償費用 — 情報漏えいなどで顧客や取引先に損害を与えたときの賠償
- 利益損害・営業継続費用 — システムが止まって業務ができない間に失った利益など
一方で、ランサムウェアの被害で支払った身代金はサイバー保険の対象にならないと、同協会は明記しています。 具体的な補償の範囲は保険会社や契約によって違うので、加入前に約款で確かめます。
保険会社によっては、事故の後に専門事業者を紹介するといった付帯サービスもあります。 ただし、それはあくまで支援で、法令に基づく報告や通知の義務まで保険会社に移るわけではありません。
混同しやすいものとの違い
| 費用・義務 | サイバー保険との関係 |
|---|---|
| 事故後の調査費用（事故対応費用） | 補償の対象 |
| 身代金 | 対象にならない（同協会の説明） |
| 委員会への報告・本人への通知 | 義務は移らない。事業者自身が行う |
| 事前の脆弱性修正・機器導入 | リスク低減の費用。自社で負担する |
保険はリスクへの対応のうち「移転」にあたります。発生を防ぐ（低減）ことも、義務を引き受けることもしない、 と押さえておくと見分けられます。