サイバー攻撃の被害額は、復旧作業そのものよりもその周辺で膨らみます。原因調査、外部専門家の費用、患者への通知、コールセンターの設置、診療停止による減収、そして復旧後の再構築。これらを自院の運転資金だけで賄えるかという問いが、サイバー保険を検討する出発点です。
一方で、保険を検討し始めた医療機関がよく直面するのが、「思っていたものと違う」という感覚です。サイバー保険は損害のすべてを埋めるものではありません。 補償の範囲は契約ごとに異なり、対象外が明記されている領域があり、加入にあたって一定の対策水準が求められることもあります。
本記事は、医療機関がサイバー保険を検討する際に契約前に確認すべき論点を整理したものです。商品の比較や保険料の相場は扱いません（保険は契約内容が個別に設計されるため、一般論として語ることに実益が乏しいためです）。必ず保険会社・代理店から約款を取り寄せて確認してください。
免責：本記事は一般的な情報提供であり、特定の保険商品の推奨や保険契約に関する助言ではありません。補償範囲・免責事由・引受条件は保険会社および契約ごとに異なります。実際の検討は約款および保険会社・代理店の説明に基づいて行ってください。
サイバー保険で何をカバーしようとしているのか
サイバー保険が想定する費用は、性質の異なるいくつかの層に分かれます。まず自院にとってどの層が重いのかを整理することが先で、商品を比べるのはその後です。
| 費用の層 | 内容 | 医療機関での重さ |
|---|---|---|
| 事故対応費用 | 原因調査（フォレンジック）、外部専門家、法律相談 | 高い。自前で調査できる医療機関は少ない |
| 通知・対応費用 | 本人通知の郵送、問い合わせ窓口の設置、広報対応 | 患者数に比例して膨らむ |
| 復旧費用 | データ復旧、システム再構築 | 構成による。再構築が必要なら大きい |
| 利益損害・営業継続費用 | 診療停止による減収、代替手段の費用 | 長期化すると最大の項目になり得る |
| 賠償責任 | 患者・取引先からの損害賠償請求 | 件数と内容による |
| 行政対応 | 報告対応にかかる費用 | 中程度。報告義務は 別記事 を参照 |
見落とされやすいのは利益損害です。 診療が数週間止まった場合の減収は、調査費用や通知費用を上回り得ます。ただしこの層は補償の設計が最も複雑で、待機期間（免責日数）や算定方法によって実際の支払額が大きく変わります。ここは約款を読み込むべき箇所です。
対象外になりやすいもの
保険の価値は補償範囲だけでなく、何が外れているかで決まります。一般に議論になりやすいのは次の領域です。
| 論点 | 一般的な扱い |
|---|---|
| システムのアップグレード | 復旧を超えて機能を向上させる部分は対象外とされることが多い |
| 既知脆弱性の未対処 | 修正プログラムを適用していなかった場合に免責・減額の対象となり得る |
| 加入前から存在した事象 | 契約開始前に発生・覚知していた事案は対象外 |
| 内部不正 | 対象となる契約とならない契約がある。要確認 |
| 身代金の支払い | 扱いが分かれる。対象外または個別条件付きのことがある |
| 委託先に起因する事故 | 自院の責任範囲と委託先の責任範囲で扱いが分かれる |
| 規制上の制裁金 | 法域・性質により対象外とされることがある |
最も注意すべきは既知脆弱性の未対処です。 境界機器の修正プログラムを長期間適用していなかった、サポート切れの機器を使い続けていた——こうした事情は、保険金の支払いを巡って必ず論点になります。裏を返せば、脆弱性管理の記録を残しておくことが保険の実効性を守ります。詳しくは VPN機器の脆弱性対策 をご覧ください。
また、復旧のためのシステム再構築と、この機会に行う更新は区別されます。 古い構成のまま戻すのか、設計を見直して戻すのかで費用の扱いが変わり得るため、復旧方針を決める段階で保険会社と認識を合わせておく必要があります。
加入前に求められる対策水準
サイバー保険は、対策をしていない組織を無条件に引き受けるものではありません。引受審査や告知の段階で、次のような事項を問われるのが一般的です。
- バックアップの取得と保管方法 — 取得頻度、世代管理、オフライン保管の有無
- 多要素認証の導入状況 — とくにリモートアクセス・管理者アカウント
- エンドポイント対策 — ウイルス対策、検知の仕組み
- 脆弱性管理 — 修正プログラムの適用状況、サポート切れ機器の有無
- アクセス権限の管理 — 特権IDの管理、退職者アカウントの削除
- インシデント対応体制 — 計画の有無、責任者の選任、訓練の実施
- 職員教育 — 実施状況と記録
この一覧を見ると、2026年度診療報酬改定の加算要件や「医療情報システムの安全管理に関するガイドライン」が求める事項と大きく重なることが分かります。つまり、加算の算定要件を満たす作業は、そのまま保険の引受条件を整える作業でもあります。
加算1が求める複数方式・一部オフラインのバックアップ、BCPの策定と訓練は サイバー攻撃を想定したBCP、専任の安全管理責任者の配置は 医療情報安全管理責任者の役割と選任 で扱っています。多要素認証は 多要素認証の導入、権限管理は アクセス権限設計と特権ID管理 をご覧ください。
告知は正確に行ってください。 実態と異なる告知は、支払いの段階で問題になります。「導入予定」を「導入済み」と書かない、という当たり前のことが実務では重要です。
契約前に確認する論点
約款を読む際の観点を一覧にしておきます。代理店に質問リストとして渡せる形で用意しておくと、比較が容易になります。
| 確認項目 | 具体的な問い |
|---|---|
| 補償の対象事故 | 何をもって「サイバー事故」とするか。ランサムウェアによる業務停止のみ（漏えいなし）は対象か |
| 利益損害の算定 | 待機期間は何日か。減収の算定方法は。復旧後の逸失分は含むか |
| 支払限度額 | 事故あたりか、保険期間通算か。費目ごとの内枠はあるか |
| 免責金額 | 自己負担はいくらか |
| 事故対応サービス | 専門事業者の紹介・派遣が付帯するか。24時間受付か |
| 委託先起因 | クラウド事業者・保守事業者に起因する事故の扱い |
| 通知費用 | 患者数に対する上限。コールセンター費用の扱い |
| 報告・公表対応 | 行政報告、広報対応の費用が含まれるか |
| 通知義務 | 事故発生時にいつまでに保険会社へ連絡する必要があるか |
| 更新条件 | 事故後の更新可否、条件変更の可能性 |
事故対応サービスの付帯は実務上とくに大きい論点です。 被害に遭ってから専門事業者を探すと着手が遅れます（ランサムウェア被害時の初動 で述べたとおりです）。保険に相談窓口と事業者の手配が付帯していれば、初動の時間を短縮できます。逆に、付帯サービスの範囲が限定的なら、別途の事前契約を検討することになります。
保険会社への通知期限も見落とされがちです。初動対応に追われて連絡が遅れると、支払いに影響し得ます。インシデント対応計画の連絡先一覧に、保険会社・代理店を必ず入れてください。
保険は対策の代わりにならない
最後に、原則を明確にしておきます。サイバー保険は、失われた診療時間と患者の信頼を戻しません。
保険が埋めるのは金銭的な損害の一部です。復旧までの期間は短くならず、地域の医療提供体制への影響も、公表に伴う説明責任も、保険では解消されません。医療機関にとって最大の損失は、多くの場合診療が止まること自体であり、そこは金銭的補填の外側にあります。
正しい位置づけは次のとおりです。
- 対策（予防）— 侵入されにくくする。バックアップ設計、脆弱性対策、ネットワーク分離
- 備え（対応力）— 止まったときに動ける。インシデント対応計画、BCP、訓練
- 保険（残余リスクの移転）— 上の2つをやったうえで、それでも残る金銭的損害に備える
保険を検討する過程そのものには副次的な価値があります。引受審査の質問リストは、実質的にセキュリティ対策の棚卸しとして機能するからです。保険に入れるかどうかを調べる作業を、自院の対策状況を可視化する機会として使うという使い方は有効です。同じ目的では、厚生労働省が2025年5月14日に公表したチェックリストのほうが体系的です（厚労省のチェックリストをどう使うか）。
まとめ
医療機関がサイバー保険を検討する際に押さえるべき点は次のとおりです。
- 補償は事故対応・通知・復旧・利益損害・賠償などの層に分かれる。長期化すると利益損害が最大になり得る
- 対象外の確認が補償範囲の確認と同じくらい重要。 アップグレード部分、加入前の事象、内部不正、身代金の扱いは契約ごとに異なる
- 既知脆弱性の未対処は免責・減額の論点になり得る。 脆弱性管理の記録が保険の実効性を守る
- 引受審査で問われる事項は、加算の算定要件やガイドラインの要求と大きく重なる
- 事故対応サービスの付帯と、保険会社への通知期限を必ず確認し、インシデント対応計画に組み込む
- 保険は対策の代わりにならない。 予防と備えを行ったうえで、残る金銭的損害を移転する手段と位置づける
保険の検討は、自院のリスクと対策状況を棚卸しする作業と一体で進めるのが効率的です。ポテックは医療情報システムの設計・運用の立場から、対策状況の整理と体制づくりのご相談を受けています。お問い合わせ からご連絡ください。委託先事業者側の管理体制を評価する枠組みは ISMS（ISO/IEC 27001）とは をご覧ください。
参考・出典
※保険の補償範囲・免責事由・引受条件は保険会社および契約ごとに異なり、改定されることがあります。本記事は一般的な論点整理であり、特定の商品の推奨や保険契約に関する助言ではありません。実際の検討は約款および保険会社・代理店の説明に基づいてください。