まず結論から言います。3PLやEC倉庫を運営しているなら、サイバー保険は真剣に検討する価値があります。Verizonの2026年版データ侵害調査報告書（Data Breach Investigations Report）によると、組織規模が判明したランサムウェア被害者の96%が中小企業でした。攻撃者は最大の標的を狙うのではありません。一番柔らかい標的を狙うのです。そして、中小企業のサイバー保険の保険料は中央値で年間約$1,550ですが、一度の攻撃で被害額は数十万ドルにのぼることも珍しくありません。この計算は比べるまでもありません。
2024年秋。私の知る南カリフォルニアの3PL——数十万平方フィートの倉庫、ECクライアントが7〜8社。火曜日の午前6時、スーパーバイザーがWMSのログイン画面が開かないことに気づきました。代わりに表示されたメッセージは一つ。「データは暗号化された。72時間以内にBitcoinで支払え」。3日間、80人以上のピッカーが休憩室で座ったまま。フォークリフトは通路に停まりっぱなし。館内のすべてのRFガンは文鎮と化しました。WMSが死ねば、ウェーブはリリースできず、ラベルは印刷できず、現場全体が紙と鉛筆の時代に逆戻りです。オーナーの携帯は怒ったクライアントからの電話で鳴りっぱなし。システムは3日目に復旧しましたが、翌週の残業代と特急輸送費の請求書がさらに穴を開けました。
WMSを3日間ロックされると実際いくらかかるか
多くの人はサイバー攻撃の被害を「身代金」だと思っています。違います。身代金は請求書の最初の行にすぎません。本当の請求書を分解してみましょう。
第一に、ダウンタイム。倉庫はオフィスではありません。オフィスのシステムが止まっても人はメールに返信できますが、WMSが死ねば80人が座ったままになります。80人の作業員、時給$20で、3日間の有給待機人件費は約$40,000。出荷はゼロです。運送会社のカットオフに間に合わなければ、その日の注文はすべて遅延。小売クライアントへのEDIリンクが落ちれば、チャージバックが自動的に飛んできます。
第二に、復旧。フォレンジック会社が侵入経路を追跡し、システムを再構築し、データを復元します。外部のインシデント対応チームとの契約は数万ドルから。弁護士が入って、顧客や規制当局に何を開示すべきかを判断します。カリフォルニア州のプライバシー法には侵害通知の期限があり、守れなければ別途罰金が科せられます。
第三に、その後のじわじわとした出血。3PLのクライアント信頼は「インシデント」の数でカウントされます。3日間の停止が一度あれば、次の更新交渉は値下げ要求から始まります。公表されている数字は厳しいものです。データ侵害の平均被害額は中小企業で$120,000〜$1.24 million、ランサムウェア関連の保険金請求の平均は$269,000〜$631,000。そして、大規模なサイバー攻撃を受けた中小企業の60%が6か月以内に閉鎖しています。サイバー保険に加入している中小企業はわずか17%。つまり83%が無防備に歩き回っているのです。
そして物流は狙われています。CrowdStrikeの2026年脅威レポートによると、物流セクターを狙った侵入活動は2025年に85%増加しました。倉庫は慢性的にIT投資が不足しています。WMS、TMS、EDIインターフェース、リモートデスクトップ、インターネットにさらされたレガシーシステムの山。攻撃者にとってはATMの列です。
サイバー保険が実際にカバーするもの——そしてカバーしないもの
典型的な保険には2つのバケツがあります。ファーストパーティ補償は自社の損失を払います。フォレンジック、インシデント対応チーム、事業中断損失、データ復旧、身代金の交渉と支払い、顧客通知費用、クレジットモニタリング。サードパーティ補償は、他人が攻めてきたときに払います。データ漏洩後の顧客訴訟、規制当局への対応費用、和解金、弁護士費用です。
ただし落とし穴があり、そこで痛い目を見る人を見てきました。
既知の未適用パッチ。引受担当はパッチ適用の規律を聞いてきます。6か月前にパッチが存在したのに適用していなかったと判明すれば、支払拒否の手紙はほぼ自動で書かれます。MFAなし、オフラインのバックアップなし。主流の保険の多くは今、多要素認証とオフサイトバックアップを補償の条件として書き込んでいます。WMSの管理者アカウントがまだ「admin/123456」なら、今週中に直してください。そして自社スタッフの故意の行為は除外されます。他の財物保険と同じです。
いくらかかるのか。仲介プラットフォームInsureonのデータでは、中小企業の中央値は月額約$129。年間にすれば$1,500強。全体のレンジは売上、データ量、セキュリティ態勢によって$400〜$8,000です。補償限度額$1 millionが中小企業の一般的な帯です。なお、料率は2025年に全体で約11%下落しましたが、AI駆動の攻撃が増えるにつれて15–20%の反発が予想されています。早めに買う方が、遅く買うより得でしょう。
計算してみましょう
100人規模の3PLを例に取ります。補償限度額$1 millionに対する年間保険料は$2,000–3,000。中規模のランサムウェア被害が一度——身代金を除いても——3日間の待機人件費、フォレンジック、弁護士、追い上げの特急輸送で$200,000を軽く燃やします。保険料は損失に比べて2桁も小さい。これは「保険に入るべきか」という問いではありません。「$1を払って$100のリスクをヘッジする」という問いです。私の判断は率直です。倉庫事業の年間売上が$5 millionを超えていて、これに入っていないなら、ギャンブルをしているのと同じです。
ただし、まだブローカーに電話しないでください。保険で最も価値があるのは支払いではないかもしれません。引受が最初に強制する4つのことです。あらゆる場所でのMFA、3-2-1バックアップ（3つのコピー、2種類のメディア、1つはオフライン）、エンドポイントへのEDR、30日以内のパッチ適用。この4つをやれば、実際のリスクはすでに劇的に下がっています。そして見積もりも下がります。私が見た中で最も賢い手は逆向きです。まずセキュリティを引受基準まで引き上げ、修復記録を持って交渉に臨めば、保険料は下がります。
今週できることが一つあります。ITに2つの質問をしてください。第一に、インターネットに面した入口——WMS、リモートデスクトップ——の管理者アカウントにMFAがかかっていますか。第二に、先週のバックアップは本当にリストアテストをしましたか。「バックアップ成功」ではなく、本当に復元して検証しましたか。どちらかに一つでも「いいえ」があれば、いざというときに保険は支払われないかもしれませんし、攻撃者は同じようにあなたをロックします。まずその2つをやってから、保険の話をしましょう。
（注：これは一般的なリスク管理の考え方であり、保険販売のアドバイスではありません。条件や料率は変わります。各保険会社の最新の約款を確認し、購入前に認可ブローカーに相談してください。）
英語版からの翻訳。内容に相違がある場合は英語版を優先します。
