サイバー保険の新規加入や更新前の見直しでは、「加入するかどうか」を先に決めるより、自社がいま直面している事案がどの種類かを見分けるほうが早く進みます。工場が止まる事案、止まらないまま設計図面が外部へ出た事案、事故は起きていないが取引先から対策状況の確認票を求められた事案では、洗い出すべき損失も、そろえる書類も、社内で動く担当者も、照会する契約条項も変わります。
この記事では、自己負担で持つと決める損失と、証券・約款・特約に基づいて移転できるかを個別に照会する損失を分けたうえで、加入または見直しを決めるための照合手順をまとめます。特定の加入判断を一律に勧めるものではありません。
法人保険のご相談を受け付けています
初回のご相談・現契約の診断は無料です
製造業のランサムウェア被害報告と事業継続計画の現状
工場が止まる事態への備えを検討する出発点として、公的な報告件数を見ておく価値はあります。ただし件数は、自社が被害に遭う確率でも、加入が必須である根拠でもありません。
警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等」統計データによると、2025年（令和7年）に警察庁へ報告された企業・団体等のランサムウェア被害は226件で、そのうち製造業は91件でした。これは警察庁へ報告された件数の業種別内訳であり、全国で発生した被害の総数ではありません。報告に至らなかった被害は含まれず、この数値から製造業の被害確率を導くこともできません。
同じ統計では、2025年（令和7年）に事業継続計画（BCP）に関する設問へ回答した被害企業・団体等111件のうち、サイバー攻撃を想定に含むBCPを策定していたのは20件でした。この20件は、設問に答えた被害企業・団体等の中での内訳です。製造業全体の策定率を示すものではなく、策定していれば被害や停止を避けられたことを示すものでもありません。
ここから読み取れるのは、製造業のランサムウェア被害が報告されていること、そしてサイバー攻撃を想定に含むBCPを持たないまま被害に直面した企業が報告の中に相当数あったこと、という事実関係までです。先へ進むときは統計ではなく、自社の事案の形に沿って進めます。図面の流出や取引先からの確認票のように工場が止まらない事案もあり、それらは停止を前提とした備えとは切り離して見ていく必要があります。
四つの事案類型と三つの対応経路
自社の事案がどこに当たるかで、この先に必要な作業が分かれます。ひとつの停止シナリオにすべてを当てはめると、止まらない事案で不要な復旧手順や事故連絡を追いかける一方、契約上の通知義務や取引先の現行要求を見落とします。以下の四つの形のうち、いまの状況に最も近いものから読み進めてください。
受注・生産・出荷が止まるランサムウェア被害
受注管理、生産、出荷のいずれかが動かなくなった事案です。止まった工程はどれか、いつ止まったか、代替生産に回せるか、外注や配送をどう組み替えるか、遅延している受注はどれかを押さえます。この形は、停止に伴う損失の洗い出しと、工場の生産設備や制御システム（OT）と受注管理や設計データを扱う情報システム（IT）の復旧順序、事業継続計画、証券に基づく事故の連絡へつながっていきます。
操業停止を伴わない設計図面・技術情報の流出
設備は動いており出荷も続いているが、設計図面や技術情報が外部へ出た可能性がある事案です。ラインが止まっていないなら、停止損失の試算や復旧順序の検討へ進む必要はありません。まず出た可能性のある情報の範囲、アクセス履歴、原因の調べ方、取引基本契約や秘密保持契約に基づく相手方への通知、そして賠償・調査・通知に関する費用の扱いを個別に照会します。遮断や復旧の作業が生じたり、そのために操業が止まったりした場合に限り、停止を伴う事案としての作業を重ねます。
リモート保守・外部接続を経由した取引先への影響
保守用のリモート接続や外部との接続経路をたどって、取引先側に影響が及んだ、または及ぶおそれがある事案です。遮断や封じ込め、復旧、取引先への事故連絡を要するため、原則として停止・事故対応と同じ扱いで進めます。どの接続経路が使われたか、遮断をいつ誰が実施したか、影響が及ぶ相手先はどこか、取引先との契約で責任範囲がどう定められ、どこへ照会すべきかを押さえます。OTとITの復旧順序を検討する対象は、実際に遮断や復旧が要るシステムに絞ります。
事故が起きていない段階での取引先確認票の要求
取引先から対策状況の確認票が届き、回答を求められている事案です。事故は起きていないため、これは取引条件の照会であり、保険金請求の対象となる損害でも事故でもありません。確認票の版数、要求されている項目、社内で回答できる内容、回答の裏づけとなる運用記録、保険に関する要求の有無、そして不明点を尋ねる相手方の窓口を押さえます。この形から事故の連絡や損害の記録、復旧手順へ進む必要はありません。
どの形に当たるかが決まったら、その形に対応する項目だけを次から拾ってください。該当しない形の項目に手を広げると、期限のある通知や回答を後回しにしてしまいます。
事案ごとに洗い出す損失・記録・契約照会事項
操業停止・事故対応を伴う事案
停止による損失を金額として説明するには、後から再現できる形で記録が残っている必要があります。次の項目は、停止中に手元へ残しておくと、損害の説明と契約上の照会の両方に使えるものです。
- 止まった工程と設備、停止が始まった時刻と復旧した時刻
- 代替生産に要した費用、外注へ振り替えた費用
- 配送の組み替えや特別な輸送に要した費用
- 納期に影響した受注と、取引先へ連絡した日時・内容・担当者
- 支出を裏づける見積書、請求書、支払記録
これらは、経理と製造管理の双方に散らばりやすい記録です。誰がどの記録を持つかを早い段階で割り当て、支出の証憑は費用を承認した担当者と結びつけて保管します。設備そのものの物理的な損害、代替生産に要した費用、取引先への賠償、信用の低下、将来の逸失利益について、補償されるかどうかは費目の名前では決まりません。保険証券と約款、付帯している特約の条文に戻り、対象となる事故の定義と支払の条件を個別に照会してください。
操業停止を伴わない図面・技術情報の流出
この形では、金額よりも先に範囲と経緯が問われます。出た可能性のある情報を特定し、その中に取引先から預かった情報が含まれるかを見極めることが、通知の要否を左右します。
- 外部へ出た可能性のある図面、仕様、技術情報の範囲
- その情報の預託元となる取引先と、預かった時期・目的
- 該当データへのアクセス履歴と、参照・持ち出しの記録
- 原因の調査を誰が行い、どこまで判明しているか
- 通知した相手先、通知した日時と内容の記録
通知の期限は、一律の日数で決まるものではありません。取引基本契約や秘密保持契約に通知に関する定めが置かれていることが多いため、該当条項に記載された期限と通知先を条文で確かめ、営業と法務で相手方の窓口を突き合わせます。情報漏えいに関する賠償責任、原因調査に要する費用、通知に要する費用がどう扱われるかは、証券・約款・特約の記載によって異なります。図面やノウハウそのものの価値をどう見るかも含め、個別に照会してください。
事故を伴わない取引先確認票の要求
確認票への回答は、社内の運用実態と書面の記載が食い違わないことが要点です。次の項目は、回答を作る前に手元へそろえておくものです。
- その取引先との取引基本契約と、セキュリティに関する取り決め
- 確認票が求めているセキュリティ体制の項目と、その版数
- 各項目に対する社内の回答案と、裏づけとなる運用の記録
- 保険の加入有無、対象業務、補償限度額、加入証明書の提出などが要求されているか
- 記載内容の解釈が分かれる項目について尋ねる、相手方の担当窓口
回答を作るのは営業や購買だけでは完結せず、記録の裏づけは情報システムが、契約条件の解釈は法務が受け持つ場面が出てきます。保険に関する要求が含まれていた場合も、それは取引条件として何を満たす必要があるかという話であり、事故の連絡ではありません。求められている条件と、いま持っている証券の記載内容を並べて照らし合わせてください。
なお、事故の連絡先、指定業者の有無、費用を使う前の承認、待機期間、補償の対象期間、免責、支払限度の内枠といった項目は、事故または費用の発生がある事案でのみ意味を持ちます。扱いは商品や約款、付帯する特約、個別の契約条件によって変わります。
復旧の優先度、契約上の通知、取引条件、事業継続計画の照合
操業停止・事故対応を伴う事案での復旧順序と事業継続計画
OTとITのどちらを先に立ち上げるかは、他社の事例をそのまま持ち込んでも決まりません。設備の構成、安全に関わる手順、品質保証上の要求、原因調査のための証拠の保全、そして各工程がどれだけ止まっても事業として耐えられるかによって、順序は会社ごとに変わります。工場長、情報システムの担当者、品質保証の責任者が同じ場で、これらの条件を突き合わせて順序を決めてください。ここに固定の順番や共通の期限、特定の再起動手順を当てはめると、安全確認や証拠保全を飛ばす結果になりかねません。
既存の事業継続計画がある場合は、サイバー攻撃を起点とする停止に耐えられる内容かを見直す余地があります。IPA「指示8 インシデントによる被害に備えた事業継続・復旧体制の整備」は、災害等を想定した既存のBCPと連携させること、制御系を含めた復旧目標を定めること、サプライチェーンを含めた演習を行うことを挙げています。これは復旧の順番や所要時間を定めるものではなく、検討に含める範囲を示すものとして参照してください。そのうえで、計画に書かれた復旧手順・代替運用・連絡体制と、証券・約款・特約に基づく事故の連絡、費用を使う前の承認、損害を説明するための記録の残し方を並べ、抜けている接続がないかを見ます。
操業停止を伴わない図面・技術情報流出での契約通知
この形で先に動くのは、営業、法務、情報システムです。取引基本契約と秘密保持契約の条文、取引先から預かっている情報の一覧、該当データへのアクセス履歴を並べ、誰に対してどの範囲を通知する義務があるか、契約に記載された期限はいつか、相手方の連絡先はどこか、判断がつかない点をどう照会するかを詰めます。OTとITの復旧順序や停止を前提とした事業継続計画は、この段階では対象になりません。遮断や復旧の作業が必要になったとき、あるいは実際に操業が止まったときに、停止・事故対応を伴う事案として改めて組み込んでください。
事故を伴わない確認票要求での取引条件の確認
確認票への回答では、営業、購買、法務、情報システムが、取引基本契約、届いた確認票、委託や保守接続に関する条件を持ち寄ります。相手先が現在何を求めているのか、社内のどの記録が回答の裏づけになるのか、保険に関して満たすべき条件は何か、解釈が分かれる項目はどこへ尋ねるのかを詰めます。情報セキュリティ方針、アクセス管理、バックアップ、従業員教育、委託先の管理といった項目については、IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」が情報資産の管理、インシデントへの対応、取引先の管理を含む考え方を示しており、回答内容と日々の運用記録を突き合わせる際の手がかりになります。ここで扱うのはITと情報資産に関する事柄であり、生産設備側の対策の根拠として読み替えることはできません。
取引先ごとに要求の書式や項目が異なり、回答の負担が重くなっている背景としては、経済産業省が構築を進める、委託先の対策状況を評価する仕組み（SCS評価制度）の説明が参考になります。経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度」では、発注元が委託先の対策状況を判断しにくく、委託先が複数の発注元から異なる要求を受けている状況が示されています。この制度は任意のものとされ、直接の対象は情報システムの基盤であって、製造環境などの生産設備側は直接の対象に含まれていません。構築方針の公表資料では、上位区分である★3・★4の申請受付開始を2026年度末頃に目指す予定とされており、内容は今後変更される可能性があります。現時点で個々の取引先が求めている条件は、この制度の説明ではなく、届いた確認票と相手方への照会で確かめてください。
那由他保険テクノロジーズ株式会社による保険証券・契約の照合支援
該当する形が決まったら、その形で確かめる事柄から見ていきます。三つすべてを同時に扱う必要はありません。
操業停止や事故対応を伴う事案では、次の書類が対象になります。
- 保険証券と、約款・付帯している特約の条文
- 停止による影響の試算と、事業継続計画
- 外部との接続経路の一覧
- バックアップとログに関する運用の記録
- 事故の連絡先と、費用の使用を承認する担当者
- 止まった工程、要した費用、取引先へ連絡した内容の記録
操業停止を伴わない図面・技術情報の流出では、取引基本契約と秘密保持契約、対象となる図面や預かっている情報の一覧、該当データへのアクセス履歴、原因調査と通知の記録、相手方の連絡先、そして保険証券と約款・特約が対象になります。
事故を伴わない確認票の要求では、取引基本契約、届いたセキュリティ確認票、委託や保守接続に関する条件、回答の裏づけとなる運用の記録、保険証券や加入証明などの要求項目、相手方の照会窓口が対象になります。
那由他保険テクノロジーズ株式会社では、次のような照合を個別のご相談として承っています。状況や論点が未整理の段階からで構いません。どの形に当たるかの見分けから、一緒に進めます。操業停止や事故対応を伴う事案では、停止による影響と事業継続計画の内容、証券・約款・特約に定められた補償の境界、事故の連絡先と指定業者の有無、費用を使う前の承認の扱い、損害を説明するために残す記録を、順に突き合わせます。操業停止を伴わない図面・技術情報の流出では、外部へ出た可能性のある範囲、取引基本契約・秘密保持契約に基づく通知条項、賠償や調査・通知に関する費用について照会すべき事項を確かめます。事故が起きていない確認票の要求では、取引先が現在求めている条件、社内の回答の裏づけ、要求されている保険の条件と証券の記載内容を照らし合わせます。いずれの場合も、補償の可否、引受の可否、保険金の支払を確定するものではなく、どの条項へ、どの事実関係を添えて照会するかを一緒に見極める内容です。
よくある質問
自社の事案がどの入口に当たるかは、どう見分けますか？
受注管理、生産、出荷のいずれかが止まっている事案、または遮断や封じ込め、復旧を要する事案は、操業停止・事故対応を伴う事案として進めます。設備が動いており出荷も続いているが設計図面や技術情報が外部へ出た可能性がある事案では、停止損失の試算や復旧順序の検討へ進む必要はなく、出た可能性のある情報の範囲と契約に基づく通知から進めます。事故が起きていない段階で取引先から確認票が届いた事案は取引条件の照会であり、事故の連絡や損害の記録、復旧手順へ進む必要はありません。
226件中91件、111件中20件という数値は、自社の被害確率やBCPの効果を示しますか？
いずれも示しません。2025年（令和7年）に警察庁へ報告された企業・団体等のランサムウェア被害226件のうち製造業が91件というのは、警察庁へ報告された件数の業種別内訳であり、全国で発生した被害の総数ではなく、この数値から製造業の被害確率を導くこともできません。111件のうち20件という数値も、事業継続計画に関する設問へ回答した被害企業・団体等の中での内訳であり、製造業全体の策定率を示すものでも、策定していれば被害や停止を避けられたことを示すものでもありません。
停止による損失や図面流出に伴う費用は、補償されますか？
この記事の記載では判断できません。設備そのものの物理的な損害、代替生産に要した費用、取引先への賠償、信用の低下、将来の逸失利益、情報漏えいに関する賠償責任、原因調査や通知に要する費用について、補償されるかどうかは費目の名前では決まりません。保険証券と約款、付帯している特約の条文に戻り、対象となる事故の定義と支払の条件を個別に照会してください。
SCS評価制度に対応すれば、取引先の確認票への回答は不要になりますか？
そのようには扱えません。この制度は任意のものとされ、直接の対象は情報システムの基盤であって、製造環境などの生産設備側は直接の対象に含まれていません。上位区分である★3・★4の申請受付開始は2026年度末頃を目指す予定とされており、内容は今後変更される可能性があります。現時点で個々の取引先が求めている条件は、この制度の説明ではなく、届いた確認票と相手方への照会で確かめてください。
事業継続計画と保険は、どちらか一方があれば足りますか？
役割が異なるため、置き換えられるものではありません。事業継続計画では、災害等を想定した既存の計画との連携、制御系を含めた復旧目標、サプライチェーンを含めた演習が検討の範囲として挙げられており、復旧の順番や所要時間が一律に定まるわけではありません。保険の側では、証券・約款・特約に基づく事故の連絡、費用を使う前の承認、損害を説明するための記録の残し方が関わります。計画に書かれた復旧手順・代替運用・連絡体制とこれらを並べ、抜けている接続がないかを見てください。
相談では、何から確かめていきますか？
うかがった状況の整理から始めます。操業停止や事故対応を伴う事案では、保険証券と約款・付帯している特約の条文、停止による影響の試算と事業継続計画、外部との接続経路の一覧、バックアップとログに関する運用の記録、事故の連絡先と費用の使用を承認する担当者、止まった工程・要した費用・取引先へ連絡した内容の記録が、確かめる対象になります。操業停止を伴わない図面・技術情報の流出と、事故を伴わない確認票の要求では、確かめる対象が異なります。形ごとの一覧は本文「那由他保険テクノロジーズ株式会社による保険証券・契約の照合支援」に掲載しています。
参考一次情報・公的資料
本文で参照した資料は次のとおりです。
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等」統計データ
- IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」
- IPA「指示8 インシデントによる被害に備えた事業継続・復旧体制の整備」
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度」
- 経済産業省「SCS評価制度の構築方針」公表資料
情報確認日：2026年7月29日
執筆：中村 祐太朗（那由他保険テクノロジーズ株式会社 Risk & Benefits事業 執行役員／損害保険・生命保険募集人）｜編集：那由他保険テクノロジーズ株式会社 編集部｜最終更新日：2026年7月29日
本記事は一般的な情報提供です。補償内容、引受可否、保険料、保険金支払は商品・約款・契約条件・個別事情で変わります。法務・税務・労務・会計の判断は必要に応じて専門家へ確認してください。