税理士・社労士事務所で起きるサイバー事故の損害を、顧問先とその従業員への賠償、自社の調査・通知・対応費用、業務停止による自社の損失の3つに分け、サイバー保険の対象になりやすいものと対象外になりやすいもの、資格業務の過誤は別の保険の領域であることを整理した図

2023年6月5日未明、社会保険労務士向けのクラウド型業務システムを提供する会社のサーバーがランサムウェアによる攻撃を受け、約3,400ユーザーの大半でサービスが使えなくなりました。給与計算と電子申請をそのシステムに載せていた事務所は、復旧までの数週間、代替手段で顧問先の業務を回しました。

個人情報保護委員会には、この1件で3,067件の漏えい等報告が届き、その大部分は社労士事務所からの提出でした。税理士・社労士・会計事務所は、顧問先の従業員のマイナンバー、給与、扶養、口座の情報を、自社の従業員数とは桁違いの人数分預かっています。しかも年末調整や確定申告の時期に業務が止まれば、損失は自社にとどまらず顧問先の期限に直結します。

この記事では、この公表事例を手がかりに、士業事務所に固有の5つのサイバーリスクを整理し、サイバー保険で対象になりやすい損害と対象外になりやすい損害を一般論として解説します。結論を先に言うと、保険が見るのは「顧問先とその従業員に対する賠償責任」と「自社の調査・通知・対応費用」で、業務停止による自社の損失は任意で追加する補償の領域です。

そして、申告の誤りや手続きの失念といった資格業務そのものの過誤は、サイバー保険ではなく専門職業向けの賠償責任保険の領域です。この線引きを知っているかどうかで、顧問契約に何を書くか、事故の日に誰へ先に連絡するかが変わります。

なお、本記事は特定の保険会社、保険商品、保険契約や特約の内容を説明するものではなく、一般的な考え方の整理です。個別の保険金請求の可否は、ご契約の約款と事実関係に基づいて保険会社が判断します。

Summaryこの記事のポイント

  • 事故は不正アクセスに限らず、業務システムの提供会社側の障害、メール誤送信、事務所名をかたるなりすましでも起きる。多くのサイバー保険は原因を問わず漏えいやそのおそれを対象事由にする。
  • 損害は、顧問先とその従業員への賠償、自社の調査・通知・窓口の費用、業務停止による自社の損失の3つに分かれる。前の2つが基本の対象で、3つ目は任意で追加する補償の領域になる。
  • 税理士・社労士が資格に基づいて行う業務に起因する賠償責任は、サイバー保険では対象外とされるのが一般的。延滞税や加算税の肩代わりは、保険の種類と契約条件の両方を確認する。
  • クラウドの業務システムの利用は、個人情報保護法上の「委託」に当たる場合がある。顧問先との責任分担と提供会社の約款の責任範囲が、事故後の請求の行き先を左右する。

サイバーセキュリティ保険の専用ページで資料請求・お見積もりを受け付けています

資料請求・お見積もりは無料、入力は約1分です

専用ページで資料請求・お見積もり

税理士・社労士事務所で実際に起きた事故

2023年6月に起きた社労士向けクラウド業務システムのランサムウェア被害は、システムの提供会社、利用していた社労士事務所、個人情報保護委員会がそれぞれ文書を公表しており、1つの事故を3つの立場から読める例です。公表文の範囲で整理します。

表中の「エクシア」は社会保険労務士法人エクシア＆パートナーズ（2023年6月9日付）、「豊永」は社会保険労務士法人豊永経営労務事務所（同6月21日付）の公表文を指します。原因の巧拙や会社の対応への評価は行いません。

表1：社労士向けクラウド業務システムのランサムウェア被害（2023年6月）を3つの立場の公表文で整理（公表文ベース、2026年10月28日時点）
項目提供会社（株式会社エムケイシステム）の公表利用していた社労士事務所の公表個人情報保護委員会の公表（2024年3月25日）
発生と経過6月5日未明、データセンター上の複数のサーバーが攻撃を受けデータが暗号化。同日9時頃に全サーバーを遮断。6日に大阪府警へ連絡、8日に個人情報保護委員会へ報告6月5日8時32分に提供会社から接続障害の連絡を受け、6日14時12分にランサムウェアによる第三者からの不正アクセスとの報告を受けた（エクシア）提供会社のサーバーが不正アクセスを受け、システム上で管理されていた個人データが暗号化され、漏えい等のおそれが発生
影響の範囲約3,400ユーザーの大半に正常にサービスを提供できない状況給与計算、社会保険・労働保険の電子申請、顧問先従業員への電子明細の配布が止まった（エクシア）社労士事務所2,754事業所、管理する本人数は最大約2,242万人。個人データは顧問先の従業員等の氏名、生年月日、住所、基礎年金番号、雇用保険被保険者番号、マイナンバー等
代替手段と復旧6月16日からオンプレミス版を代替提供。6月30日に新しいクラウド基盤で一部サービスを再開し、7月7日、7月11日と順次再開給与計算は提供会社が暫定的に出したWEB版、社会保険・労働保険はe-Gov、電子明細はPDFファイル等で顧問先と相談のうえ配布（エクシア）セキュリティを強化した環境で再構築して再開
情報漏えいの有無調査の結果、情報窃取やデータの外部転送の痕跡は確認されなかった。マイナンバーは高度な暗号化処理により、流出のおそれがある範囲に含まれない漏えいのおそれがある項目として名前、住所、電話番号、生年月日、基礎年金番号などを挙げ、提供会社からは流出の事実は確認していないとの連絡を受けた（豊永）提供会社の報告によれば、個人データの悪用などの二次被害は確認されていない
報告と通知6月8日に個人情報保護委員会へ報告、7月19日に確報を提出。ユーザー向けに確報の手順書を案内顧問先と事務所の連名で報告する方法で調整。本人への通知は事案の詳細が判明してから対応（エクシア）。6月13日に速報を提出（豊永）受領した漏えい等報告は報告者ベースで3,067件（本人数計7,496,080人）。内訳は社労士事務所等2,459件、顧問先事業者404件、企業等204件
指摘と再発防止OSとソフトウェアの最新化、パスワードポリシーの強化、端末へのEDR導入と常時監視、クラウド環境での新規構築、ログの長期保存など他社システムを用いたバックアップを検討（エクシア）。連合会・県会・個人情報保護委員会の指示を仰ぐ（豊永）提供会社のパスワードルールが脆弱、管理者権限のパスワードが類推可能、深刻な脆弱性が残存、ログの監視が不十分と認定。事務所側に技術的安全管理措置の不備は認められないが、委託先の監督が結果的に不十分となっていた可能性があると指摘

3つの公表文を並べると、士業事務所に特有の構造が見えます。1つ目は、事務所自身は攻撃されていないのに、報告義務と顧問先対応は事務所に来たことです。委員会が受け取った3,067件のうち2,459件は社労士事務所等からの提出でした。

委員会は、クラウドサービスの利用が個人データの取扱いの「委託」に当たる場合があり、委託元には監督義務があると注意喚起しています。2つ目は、復旧までの期間です。クラウド版の中核サービスが再開するまで25日かかり、その間、事務所は代替手段で業務を回しました。3つ目は、預かっている情報の種類です。マイナンバーは暗号化により範囲から外れましたが、基礎年金番号や雇用保険被保険者番号は含まれました。

事故そのものではありませんが、事務所の名前が顧問先を騙す道具に使われる形の公表例もあります。2026年2月、京都の税理士事務所が、代表の名をかたる不審なメールが出回っているとして、事務所からのメールは2つの正規アドレスからのみ送られること、不審なメールには返信せず、URLも添付も開かずに削除してほしいことを掲載しました。情報が漏れていなくても、事務所の信用が顧問先への接触に使われるリスクです。

税理士・社労士事務所に固有の5つのサイバーリスク

士業事務所のサイバーリスクには、一般の会社と同じ情報漏えいに加えて、顧問先の従業員の情報を大量に預かり、顧問先の期限を抱え、資格に基づく業務を行う業態ならではの損害があります。5つを、どこで起きるか、誰が損をするかで整理します。

表2：税理士・社労士事務所に固有のサイバーリスクと、損害を受ける相手
リスク起きる場所損害を受けるのは誰か
1. 顧問先の従業員のマイナンバー・給与・扶養・口座情報の漏えい事務所のファイルサーバー、業務ソフト、クラウドの給与計算・年末調整システム、USBメモリや紙の持ち出し、所員の端末顧問先の従業員（本人）と、情報を預けた顧問先
2. 業務システム1社の障害で全顧問先の業務が止まる給与計算・電子申請・申告ソフトのクラウド基盤、提供会社のデータセンター自社（売上の減少と代替手段の費用）と顧問先（給与支給日、申告・届出の期限）
3. 電子申告・電子申請の認証情報の乗っ取りe-Taxの利用者識別番号と暗証番号、e-GovやGビズIDのアカウント、代理送信に使う端末、事務所のメールアカウント顧問先（なりすましによる申請や変更の被害）と自社（調査と顧問先対応）
4. メール添付のやり取り、誤送信、事務所名をかたるなりすまし源泉徴収票・給与明細・申告書控えを添付したメール、宛先の選択ミス、フリーメールからの偽装メール本人と顧問先（誤送信による漏えい）、顧問先（なりすましに騙されて送金や情報提供をした場合）
5. 申告・手続きそのものの誤り入力の誤り、期限の失念、法令解釈の誤り顧問先（追徴、延滞税・加算税、助成金の不支給）。サイバー保険ではなく専門職業向けの賠償責任保険の領域

右の列に注目してください。損害を受けるのが「顧問先」や「本人」なら自社に生じるのは賠償責任、「自社」なら自社の費用や損失で、保険ではこの2つを別の補償として扱います。そして5番目は、そもそも保険の種類が違います。

損害は3つに分かれる

士業事務所で事故が起きたとき、「損害」と呼んでいるものは3つに分かれます。

1. 顧問先とその従業員への賠償

事務所が預かっている情報の本人は、顧問先の従業員です。漏えいが起きれば、本人からの慰謝料請求と、顧問先からの「委託した情報の管理に過失があった」という請求の両方があり得ます。これは多くのサイバー保険で、賠償責任の補償が想定している典型的な事故です。原因は不正アクセスに限りません。

メールの誤送信、宛名違いの郵送、USBメモリの紛失、所員の持ち出しも、「他人の情報の漏えいまたはそのおそれ」として原因を問わず対象事由になるのが一般的です。ただし、所員が故意に持ち出した場合は商品で扱いが分かれます。

預かった情報を業務システムの提供会社に預けていて、そこで漏えいが起きた場合も同じです。顧問先から見た責任の相手は事務所なので、顧問先から事務所への賠償請求は、自社が管理を委託した他人の情報の漏えいとして対象になり得ます。提供会社自身の損害や対応費用は、提供会社が被保険者ではないため対象外とされるのが一般的です。

対象になり得るのは法律上の損害賠償責任に基づく金額で、顧問契約で上乗せした責任、違約金、報酬の返還は対象外になりやすい項目です。

2. 自社の調査・通知・対応費用

原因と範囲の調査、本人への通知、問い合わせ窓口の設置、弁護士への相談、見舞金や見舞品（条件あり）。これらは事故が起きた事務所自身の費用で、サイバー保険の費用補償の典型的な対象です。漏えいの「おそれ」の段階でも対象になる商品があり、2023年の事例のように最終的に情報流出が確認されなくても、報告と通知の準備にかかった費用は検討の対象になり得ます。

3. 業務停止による自社の損失

システムが止まった期間の売上の減少と、代替手段や残業、外注といった営業を続けるための費用です。これは基本の補償ではなく、任意で追加する補償の領域です。自社が所有・使用・管理するシステムやクラウドサービスの停止による喪失利益と営業継続費用を対象にする商品があり、一定時間以上の停止が条件になるのが一般的です。

ただし、事務所が契約している業務システムの提供会社側で起きた障害が、どこまで「自社が使用するクラウドサービス」の停止として扱われるかは、商品や契約条件によって分かれるため、契約時に保険会社へ確認する点です。給与の遅配や申告期限の徒過で顧問先に生じた損害は、この3つ目ではなく1つ目の賠償の問題です。

サイバー保険で対象になりやすいもの、なりにくいもの

5つのリスクについて、一般的なサイバー保険での扱いを整理します。商品によって条件が異なるため、個別の契約では約款と保険会社の確認が必要です。

表3：税理士・社労士事務所の5つのリスクとサイバー保険の対応（一般論）
リスク対象になり得るもの対象外になりやすいもの
1. 顧問先従業員の情報の漏えい本人と顧問先への賠償。調査、通知、問い合わせ窓口、法律相談、見舞金・見舞品（条件あり）の費用。漏えいの「おそれ」の段階の対応費用顧問契約で上乗せした責任、違約金、罰金・課徴金。報酬の返還や値引き。業務のやり直しや再履行の費用
2. 業務システムの障害任意で追加する補償で、自社が使用するシステムやクラウドサービスの停止による喪失利益と営業継続費用を対象にする商品がある。顧問先から受けた賠償請求は賠償責任の補償で検討インターネット回線や電力など自社の管理下にないインフラの障害。提供会社自身の損害。提供会社側の障害が対象に含まれるかは商品により分かれる（契約時に確認）
3. 電子申告・電子申請の認証情報の乗っ取り乗っ取りに起因して顧問先に生じた損害について、事務所が法律上の賠償責任を負う部分。自社の調査・対応費用。自社の口座からの不正送金は、任意で追加する補償で対象にする商品がある（警察と金融機関への届出が条件、国内口座の預貯金が対象）顧問先の口座から流出した資金そのもの（事務所にとっては賠償請求の問題）。カードやコード決済の不正利用、暗号資産、従業員の犯罪
4. 誤送信・事務所名をかたるなりすまし誤送信による漏えいは1と同じ扱い。なりすましで顧問先に生じた損害への賠償請求は、事務所に法律上の責任があるかどうかで検討事務所に責任がない場合に、顧問先の損害を好意で補填する分。顧問先自身の対応費用（顧問先は被保険者ではない）
5. 申告・手続きの誤りサイバー保険では基本的に見ない。専門職業向けの賠償責任保険の領域税理士・社労士が資格に基づいて行う業務に起因する賠償責任。顧問先の税金、延滞税・加算税の肩代わり

1の情報漏えいは多くのサイバー保険で基本の対象ですが、士業事務所では「本人」が自社の顧客ではなく顧問先の従業員です。所員が20人の事務所でも、通知の相手は顧問先の従業員の合計で数千人になり得ます。

2の業務システムの障害は、1と3の両方に跨ります。提供会社で漏えいが起きれば委託先起因の漏えいの問題になり、業務が止まれば自社の損失と顧問先への賠償の問題になります。顧問先から事務所への委託、事務所から提供会社への再委託という鎖があるので、顧問先から見た請求の相手は事務所です。

3の認証情報の乗っ取りは、損害の多くが顧問先側に発生します。事務所が管理する利用者識別番号や暗証番号、代理送信の環境が乗っ取られて顧問先の申請や登録内容が書き換えられた場合、事務所に生じるのは顧問先への賠償責任と自社の調査費用です。自社の預金が不正に送金された場合は任意で追加する補償の領域で、回収や補てんがあった分は差し引かれるのが一般的です。

申告ミスや手続きの失念は、サイバー保険とは別の問題

申告額を誤った、届出の期限を落とした、法令の解釈を間違えて顧問先に追徴が生じた。こうした資格業務の過誤は、サイバー保険で見るのが難しい事故です。税理士、社会保険労務士、弁護士、公認会計士、司法書士、行政書士などが資格に基づいて行う行為に起因する賠償責任は、サイバー保険では対象外とされるのが一般的です。

サイバー保険が見ているのは「情報が漏れた」「システムが止まった」という事故であって、「業務の中身が間違っていた」という事故ではないからです。入っていれば申告ミスも安心、とはなりません。

さらに、顧問先の延滞税や加算税を事務所が負担する場面では、二重の問題があります。1つは資格業務の過誤であること、もう1つは、税金、罰金、課徴金は多くのサイバー保険で賠償金としても対象外になりやすいことです。原因が何であれ、顧問先の税金を肩代わりする損害は、サイバー保険では拾いにくい性質です。対象外の可能性が高いとはいえ、商品や契約条件で扱いが分かれる論点なので、断定せず契約時に保険会社へ確認する点として置きます。

境界が曖昧な場面もあります。申告書のデータを誤って別の顧問先に送った、という事故は、原因が資格業務の最中の操作であっても、起きたことは情報の漏えいです。一方、操作を誤って申告内容が間違った、という事故は資格業務の過誤です。同じ「操作ミス」でも、漏えいに至ったか、業務の内容が誤ったかで保険の種類が変わります。

漏えいの原因が資格業務中の操作である場合に資格業務の対象外がどこまで及ぶかは、商品や契約条件によって扱いが分かれるため、契約時に保険会社へ確認しておく点です。

保険より先に効く実務対策

2023年の事例で利用側の事務所が公表した代替手段と、個人情報保護委員会の注意喚起、警察庁の統計から読める対策は、いずれも大きな投資を必要としません。保険の申込時に告知するセキュリティ体制の中身でもあります。

  • 業務システムが止まった日の手順を、顧問先ごとに書いておく。2023年の事例で利用側の事務所が取った代替手段は表1のとおりです。給与データや台帳を定期的にエクスポートして事務所側にも持っておく、紙や別のツールで最低限回せる状態を確認しておく、といった準備は、警察庁が中小企業向けに呼びかけているサイバー攻撃を想定した業務継続計画の策定そのものです。
  • 電子申告・電子申請・クラウド・メールの認証を、事務所単位で管理する。e-Taxやe-Gov、業務システム、メールのアカウントに多要素認証を設定し、所員ごとにIDを分け、退職時に即日削除し、権限を定期的に棚卸しします。警察庁の統計では、ランサムウェア被害の侵入経路はVPN機器が約5割を占めます（出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」2026年9月）。在宅勤務用にVPNやリモートデスクトップを使っている事務所は、機器の更新を止めないことが最初の対策です。
  • メール添付をやめ、誤送信を仕組みで止める。源泉徴収票や給与データは、メールに添付せず、顧問先ごとの共有フォルダやポータルで受け渡します。メールを使う場合も、宛先の自動補完を切る、外部宛ての送信を数分遅らせる、といった設定が誤送信の防止に効きます。あわせて、顧問先には「事務所からの連絡は特定のアドレスからのみ」「口座変更や送金の依頼はメールだけでは行わない」と事前に伝えておきます。国税庁も、e-Taxを装った不審なメールについて、支払の催促などをメールで送信していないと注意喚起を続けています。
  • 委託の鎖を紙に落とし、事故時の報告の段取りを決めておく。顧問先から事務所へ、事務所から提供会社へ、という委託と再委託の関係を、顧問契約と提供会社の利用規約の両方で確認します。個人情報保護委員会は、クラウドサービスの利用が委託に当たる場合には委託元に監督義務があり、セキュリティ対策を確認し、安全管理措置の状況について提供会社から定期的に報告を受けるなどの方法で確認するよう求めています。事故時に誰が委員会へ報告し、本人通知を誰の名前で出すかも、事前に決めておけます。

顧問先との契約で注意したい点

事故の後、顧問先との間で問題になるのは「誰が、どこまで責任を負うか」です。ここで顧問契約の書き方が、保険で見られる範囲を決めます。

賠償責任の補償が見るのは、法律上の損害賠償責任です。顧問契約で、事務所に過失がなくても賠償する、損害額を実損にかかわらず一定額とする、上限を設けない、といった定めを置くと、法律上の責任を超えて特別に約束した部分として保険の対象から外れやすくなります。逆に、賠償額の上限を報酬額の一定期間分とする条項は、事務所を守る方向に働きます。

もう1つは、データ保管の責任分担です。どこに保管し、誰のシステムに誰がアクセスし、契約終了時にどう返還・削除するか。2023年の事例で個人情報保護委員会は、顧問先の多くが事務所への委託と提供会社への再委託を行っているとの認識が薄かった、と指摘しています。委託の形が契約書に書かれていないと、事故の後に責任の所在から議論を始めることになります。

提供会社の約款も、顧問契約と並べて読む必要があります。障害時の責任制限、通知のタイミング、データのエクスポートの可否。提供会社の責任が約款で小さく限定されていれば、顧問先から事務所に来た請求のうち提供会社に求償できない部分は事務所に残ります。その残る部分を自社のサイバー保険で見るのかどうかが、契約時に確認する点になります。

そして、事故が起きたら顧問先に責任を認める前に保険会社へ連絡することです。保険会社の同意なく賠償責任を承認したり補填を約束したりすると、その分が保険金から差し引かれる場合があります。顧問先には「事実関係を確認している」と伝えるにとどめ、先に保険会社へ事故の通知を入れてから顧問先と話します。

税理士・社労士事務所がサイバー保険を検討するときに確認する点

日本損害保険協会の調査では、中小企業のサイバー保険加入率は全体で8.8%、サービス業では7.0%にとどまります（出典：日本損害保険協会「中小企業におけるリスク意識・対策実態調査2025」2025年12月）。検討時に確認しておきたい点を挙げます。

  • 資格業務の対象外の範囲と、専門職業向け賠償責任保険との境界。サイバー保険が見ない資格業務の過誤を、どの保険で見るのかを先に決めます。漏えいの原因が資格業務中の操作だった場合の扱いは商品や契約条件で分かれるため、契約時に保険会社へ確認します。
  • 業務システムの障害で自社の業務が止まった場合の扱い。自社の売上減と営業継続費用は任意で追加する補償の領域です。利用している提供会社側の障害が対象に含まれるか、一定時間以上の停止という条件と補償期間の上限がどうなっているかを、契約時に保険会社へ確認します。
  • 顧問先の延滞税・加算税を賠償する場面の扱い。税金は賠償金としても対象外になりやすい性質ですが、断定はできません。専門職業向けの賠償責任保険の側で見る前提で、サイバー保険側の扱いも契約時に確認しておきます。
  • 一連の請求の扱いと、預かっている人数の申告。1つのシステム障害で多数の顧問先とその従業員から請求を受けた場合、同じ原因による請求はまとめて1回の事故として扱われるのが一般的です。顧問先の数と従業員の合計人数を把握したうえで、通知や窓口の規模感を保険会社に伝えます。
  • セキュリティ体制の申告。多要素認証の設定状況、バックアップ、権限管理、事故歴は告知の対象です。申告した内容と実態が違えば、事故の際に問題になります。

那由他保険テクノロジーズが税理士・社労士事務所のサイバーリスクでご支援できること

ここまでは一般論です。実際には、業務システムの構成、預かっている情報の人数、顧問契約の条項、専門職業向けの賠償責任保険の内容といった事務所固有の論点で結論が変わります。那由他保険テクノロジーズは、税理士・社労士・会計事務所について、業務システムの構成、預かっている情報の種類と人数、顧問契約と提供会社の約款の責任分担を起点にリスク構造を分析し、現在のご契約や検討中の商品の補償条件と突き合わせて、対象になる損害と対象外になる損害を切り分けます。

そのうえで、専門職業向けの賠償責任保険とサイバー保険のどちらにも乗らない損害がないか、顧問契約の条項が保険の対象を狭めていないかを点検し、補償のギャップを埋める保険プログラムの設計から保険調達までを支援します。

相談の出口は、業務システムが止まったとき、情報が漏れたとき、申告を誤ったとき、それぞれどの損害がどの保険で、どの損害が契約で、どの損害が自己負担かを、事務所の業務ごとに書き分けた一覧です。年末調整や確定申告の繁忙期に入る前に確認しておきたい、という段階でも構いません。分かっていることと困っていることを起点に、必要な確認事項を一緒に整理しますので、まずはお問い合わせください。

ご相談はこちら

事務所が預かる顧問先データの事故への備えを相談する

専用ページで資料請求・お見積もり

資料請求・お見積もりは無料、入力は約1分です。お電話（050-1725-4773／受付：平日9:00〜19:00）でも承ります。

よくある質問

利用している給与計算のクラウドサービスが止まり、顧問先の給与計算が遅れました。サイバー保険の対象になりますか？

損害を2つに分けて考えます。自社の売上減や代替手段の費用は、基本の補償ではなく任意で追加する補償の領域で、提供会社側の障害がどこまで対象に含まれるかは商品や契約条件によって分かれます。顧問先に給与の遅配などの損害が生じ、顧問先から事務所へ損害賠償請求があった場合は、事務所に法律上の責任があるかどうかを前提に、賠償責任の補償で検討します。

申告書のデータを誤って別の顧問先にメールで送ってしまいました。サイバー攻撃ではありませんが、サイバー保険の対象ですか？

多くのサイバー保険は、不正アクセスに限らず、メールの誤送信や宛名違いの郵送なども「他人の情報の漏えいまたはそのおそれ」として対象事由にしています。本人や顧問先への賠償、通知や法律相談の費用は対象になり得ます。

ただし、原因が資格業務の最中の操作だった場合に資格業務の対象外がどこまで及ぶかは、商品や契約条件で扱いが分かれるため、契約時に保険会社へ確認しておく点です。事故が起きたら、顧問先に責任を認める前に保険会社へ連絡します。

申告のミスで顧問先に加算税が課され、事務所が負担することになりました。サイバー保険で対応できますか？

税理士や社労士が資格に基づいて行う業務に起因する賠償責任は、サイバー保険では対象外とされるのが一般的で、専門職業向けの賠償責任保険の領域です。加えて、税金や加算税は多くのサイバー保険で賠償金としても対象外になりやすい性質です。対象外の可能性が高いものの、個別の契約条件で扱いが分かれる論点なので、専門職業向けの保険の証券と合わせて保険会社に確認してください。

マイナンバーを含む情報が漏えいした場合、報告や通知の費用はどこまで保険の対象になりますか？

個人情報保護委員会への報告と本人への通知は、報告対象事態に当たれば法律上の義務で、マイナンバーを含む場合は番号法上の報告も問題になります。これらに伴う原因調査、通知の発送、問い合わせ窓口、法律相談の費用は、多くのサイバー保険で費用補償の対象になり得ます。漏えいの「おそれ」の段階の対応費用も対象になる商品があります。

一方、罰金や課徴金、顧問契約で上乗せした責任は対象外になりやすい項目です。費目ごとに保険会社の事前承認が必要なことがあるため、支出前に連絡します。

顧問先から「事務所はサイバー保険に入っているか」と聞かれました。何を確認して答えればよいですか？

加入の有無だけでなく、3つの点を確認して答えます。1つ目は、預かった情報の漏えいで顧問先とその従業員に対する賠償と、通知・窓口の費用が対象になっているか。2つ目は、業務システムの障害で業務が止まった場合の扱いと、提供会社側の障害が含まれるか。3つ目は、資格業務の過誤は別の専門職業向け賠償責任保険で見ていること。事故時の報告と通知の段取りも添えて答えます。

参考一次情報

本記事は、税理士・社労士・会計事務所の担当者向けにサイバーリスクと保険の一般的な考え方を整理したもので、特定の保険会社、保険商品、保険契約、特約の内容を説明することを目的としたものではありません。記事中の「対象になり得る」「対象外になりやすい」といった記述は一般的な傾向を示すもので、実際に保険金が支払われるかどうかは、個々の保険契約の約款と事実関係に基づいて保険会社が判断します。ご契約内容の詳細や個別の事故については、ご契約の保険会社または取扱代理店にお問い合わせください。