個人情報漏えい事故でサイバー保険を使うには｜初動で確認すべき通知・承認・補償範囲

最初に集めるのは保険証券だけではない

事故直後に確認する資料は、保険証券、普通保険約款、サイバー特約、更新時の申込書・質問票、重要事項説明書、免責や縮小支払に関する付帯条件です。複数の保険に加入している場合、サイバー保険だけでなく、業務賠償責任保険、情報漏えい特約、会社役員賠償責任保険などが関係する可能性もあります。契約名だけで対象外と決めず、事故原因、請求される損害、支出する費用ごとに読み分けます。

保険期間も重要です。攻撃を受けた日、侵入が始まった日、漏えいを認識した日、第三者から請求を受けた日は一致しないことがあります。事故発生ベースか請求ベースか、遡及日や発見期間があるかを確認し、日付を推測で埋めず、判明・未判明を区別した時系列を作ります。

• 保険証券、約款、特約、更新案内、申込書・質問票を一式にする
• 事故を知った日時と、攻撃・漏えい・請求の各日時を分ける
• 契約者、被保険者、子会社、委託先のどこが対象か確認する
• 自己負担額、縮小支払割合、費目別・期間合計の上限を表にする

事故通知は事実が確定するまで待たない

多くの契約では、事故または事故のおそれを知ったときの通知が求められます。原因、対象人数、侵入経路が未確定でも、現時点で把握した事実と未確認事項を分けて通知できる場合があります。社内で調査を続けているうちに通知が遅れると、保険会社が対応方針へ関与する機会を失い、補償をめぐる争いが生じやすくなります。

一方、保険会社への通知と個人情報保護委員会への報告は別の手続です。報告対象事態では、委員会への速報は事態を知った時点（いずれかの部署が知った時点）から概ね3〜5日以内が目安とされ、確報は原則30日以内、不正目的によるおそれがある場合は60日以内です。これは本人通知の期限ではありません。保険連絡だけで法令上の報告や本人対応が完了したことにはなりません。

調査会社やコールセンターへ発注する前の確認

緊急時ほど、外部専門業者へ先に発注したくなります。しかし約款や特約によっては、費用の必要性・相当性に加え、保険会社の事前同意、指定業者の利用、見積書の提出などが支払条件になることがあります。人命や事業継続のため直ちに措置が必要な場面でも、連絡記録を残し、何を止血目的で発注し、何を承認待ちにしたかを分けます。

東京海上日動の公開資料では、事故原因・被害範囲調査、相談、通知・公表、コールセンター、復旧、再発防止など複数の費目が例示されていますが、費目ごとに条件や対象外があり、プランによって補償されないものも示されています。これは特定商品の一例であり、他社契約や別の商品に一般化できません。

• 業者名、作業範囲、緊急性、概算額、発注期限を保険会社へ伝える
• 口頭承認は日時、担当者、承認範囲を記録し、可能なら書面化する
• 原因調査、復旧、法律相談、通知、公表、見舞対応を別費目で管理する
• 調査報告書の共有先と、秘密情報・個人情報の取扱条件を決める

不担保・上限・賠償金の三つを混同しない

保険には、故意、戦争・一定の国家関与型攻撃、知的財産権侵害などの不担保事由が定められることがあります。さらに、事故対応費用は対象でも営業損失は対象外、調査費用は出ても機器購入費は対象外など、費目単位の線引きがあります。支払限度額も契約全体、事故ごと、費目ごとに設定されることがあり、上限を一つだけ確認しても足りません。

被害者への損害賠償金やお詫び金も、支出したから直ちに補償対象になるとは限りません。責任の有無、金額の相当性、保険会社の同意、示談書の内容が問題になります。東京海上日動の公開資料にも、責任保険金の支払に関する条件と、詳細は約款・重要事項説明書を確認する旨が明記されています。個別契約の確認前に、一律の支払や示談を約束しないことが大切です。

相談時にそろえる資料

相談時には、保険資料一式、事故の時系列、社内外から受けた連絡、対象システムとデータの概要、既に発注・支払済みの費用、今後予定する業者の見積書、委託契約書、被害申告や請求書を用意すると、保険と事故対応を同じ表で整理できます。資料が不足していても、何が未取得かを示せば初動は始められます。

ブライトは、法令報告・本人通知・取引先対応と、保険の通知・承認条件を並行して整理します。技術的な原因調査は専門業者が担い、弁護士は調査目的、証拠保全、委託範囲、報告文言、賠償・求償、保険条件をつなぎます。保険が使えるかだけでなく、被害拡大を防ぎながら後日の説明可能性を残すことが目標です。

事故前に、保険と緊急支援の組合せを点検する

緊急支援サービスとサイバー保険は、役割が異なります。事前に契約して技術的な初動支援に備えるサービスがあっても、その契約だけで調査費用や賠償金が保険から支払われるわけではありません。支援契約の対象、連絡を受け付ける時間と実際の着手条件、追加費用、保険会社への通知や承認の条件を別々に確認します。

保険を選ぶ前には、保有する情報の種類・本人の人数・事業への依存度を整理し、想定事故ごとの賠償、原因調査、通知、問い合わせ対応、休業等の費用を検討します。必要な補償と保険金額は売上規模だけで一律には決まりません。弁護士は法的責任や契約条件の整理を支援し、保険会社・代理店には対象となる補償や契約条件を確認します。

• 技術調査の依頼先と、社内で発注を決める人を事前に整理する
• 緊急支援の受付・着手条件と、追加費用が生じる範囲を確認する
• 自社で選んだ調査会社や弁護士の費用が補償対象となる条件を確認する
• 支援契約、保険契約、弁護士への依頼の役割と費用を分けて記録する