【企業の皆様へ】サイバー攻撃の入口が「自社」になることも。

会社と取引先を守るために、対策とサイバー保険の備えを

「うちは小さな会社だから、狙われないだろう」
「ウイルス対策ソフトを入れているから、大丈夫」

サイバー攻撃について、このように考えていませんか。

IPA（情報処理推進機構）が公表した「情報セキュリティ10大脅威2026」では、組織向けの第1位に「ランサム攻撃による被害」、第2位に「サプライチェーンや委託先を狙った攻撃」が選ばれています。自社の情報だけでなく、取引先とのつながりにも目を向ける必要があります。

今回は、地域の企業の皆様に知っていただきたいサイバーリスクと、万一に備えるサイバー保険についてお伝えします。

■ ランサムウェアとは？「会社のデータを人質にする」
攻撃型ランサムウェアとは、パソコンやサーバーのデータを暗号化し、使えなくしたうえで、元に戻すことと引き換えに金銭を要求する不正なプログラムです。

データを使えなくするだけでなく、情報を盗み出して「お金を払わなければ公開する」と脅す手口も確認されています。単なるパソコンの不具合とは異なり、会社の業務や情報管理に関わる問題です。

■ 元請企業を狙うために、下請・協力会社が入口にされることも

特に注意していただきたいのが、取引関係を悪用して、別の企業への攻撃につなげる手口です。

攻撃者は、守りの堅い大企業を正面から攻撃するだけではありません。その取引先や委託先など、対策が手薄な部分を探し、そこを足掛かりにすることがあります。こうしたビジネス上のつながりを悪用する攻撃は、「サプライチェーン攻撃」と呼ばれます。

例えば、次のような流れが考えられます。

下請・協力会社に侵入する
↓
取引先システムへの接続に使うIDやパスワードを盗む
↓
その情報を悪用し、元請企業への不正アクセスを試みる

これは仕組みを説明するための一例です。実際には、乗っ取ったメールや盗んだ取引情報が、次の攻撃に悪用される可能性もあります。

また、取引先のシステムに侵入されなくても、自社が業務停止に追い込まれれば、納品やサービスの提供が止まり、取引先に影響が及ぶことがあります。情報漏えいや取引停止、損害賠償請求への対応が必要になる場合もあります。

「自社に大した情報はない」ではなく、「自社が止まったら、誰に影響するか」。

この視点で、一度考えてみていただきたいと思います。

■ 対策には意味がある。でも、リスクはゼロになりません

新型コロナウイルスのワクチンも、重症化などを防ぐ効果がある一方、接種すれば感染を完全に防げるわけではありません。「感染する可能性が残ること」と「予防に意味がないこと」は別です。

仕組みは異なりますが、サイバー対策も、「対策は必要。それでも万一を想定する」という考え方が大切です。

警察庁も、変化するサイバー攻撃を完全に防ぐことは困難であり、被害を想定した備えが重要だとしています。

パソコンや通信機器の更新、ウイルス対策ソフトの適切な運用、多要素認証、従業員への教育は、続けていく必要があります。

あわせて、攻撃の影響を受けにくい形でバックアップを保管し、復元できるかを確認すること。そして、「異常が起きたら誰に連絡し、どう業務を続けるか」を決めておくことも重要です。

防ぐ備えと、被害を小さくする備え。その両方が必要です。

■ それでも被害に遭ったとき、費用の負担まで備えていますか？

例えば、明日の朝、会社のパソコンで図面や受注データが開けなくなったら。出荷や請求処理が、何日も進められなくなったら。

「直せば終わり」では済まないかもしれません。

原因や被害範囲の調査、データの復旧、お客様や取引先への説明などには費用がかかります。さらに、業務中断による利益の減少や、法律上の損害賠償責任が生じる可能性もあります。

セキュリティ対策はしていても、こうした経済的な負担への備えが抜けていないでしょうか。

■ サイバー保険は、被害後の会社を支える備えです

インシュアライフが取り扱う損保ジャパンのサイバー保険では、契約内容に応じて、主に次のような損害に備えることができます。

調査・復旧などの対応費用
被害状況や原因の調査、データ修復、お客様への対応などに必要となる費用。

* 取引先などへの法律上の損害賠償責任
補償対象となる事故により、第三者に対して法律上の賠償責任を負った場合の損害賠償金や争訟費用など。

* 業務停止による利益の損失など〔オプション〕
自社システムの中断・停止に伴う喪失利益や、営業を継続するための費用など。

また、保険金のお支払い対象となる事故では、緊急対応を支援するサービスも用意されています。専任の担当者がいない企業にとって、事故時に相談できる体制も大切な備えです。

もちろん、保険に入れば対策が不要になるわけではありません。

私たちが企業の皆様にお伝えしたいのは、

「できる限り防ぐ。それでも防ぎきれなかったとき、会社を立て直すための備えを持つ」

ということです。

■ 「対策済み」で終わらず、「被害後」まで一緒に確認しましょう

「今の保険で、サイバー事故も補償されるのだろうか」
「取引先に被害が広がった場合にも備えたい」
「会社が止まったときの費用や利益の損失が心配」

このような疑問がありましたら、インシュアライフへご相談ください。

業務内容や取引先との関わり、現在の保険契約を確認しながら、必要な補償を一緒に考えます。

対策でリスクを減らし、保険で万一の経営負担に備える。

自社の事業と従業員、そして大切な取引先とのご縁を守るために。サイバー保険を含めた備えを、今一度見直してみませんか。

株式会社インシュアライフ
代表取締役　蜂谷 基治