クラウド障害・データ消失の責任｜サイバー保険の範囲
この記事のポイント
クラウドサービスの障害やデータ消失の責任は基本的に利用企業側にあります。サイバー保険では業務停止による逸失利益・データ復旧費用・顧客対応費用が補償される場合がありますが、外部サービスの停止が補償対象かは約款の確認が必要です。会計事務所など士業のリスクと備えを専門家が解説します
クラウドサービスの障害やデータ消失が発生した場合、責任は基本的に利用企業側にあるのが一般的な整理です。サイバー保険で業務停止による逸失利益・データ復旧費用・顧客対応費用が補償される場合がありますが、外部サービスの停止が補償対象になっているかは約款の確認が必要になります。
本記事は一般的な情報提供を目的としており、特定の保険商品の推奨・勧誘を目的とするものではありません。保険商品の詳細は各保険会社の約款や重要事項説明書をご確認ください。補償内容や保険料は保険会社・プラン・条件により異なります。
クラウド依存が進む中で見落とされやすいリスク
業務のクラウド化が進む一方、「クラウドサービスが止まったらどうなるか」というリスクを十分に意識している企業は意外に多くありません。会計ソフト、勤怠管理、CRM、ストレージなど、業務の根幹にクラウドが組み込まれている現代の企業にとって、サービス停止やデータ消失は事業継続を直撃する課題です。
サイバー保険の専門家への相談現場でも、クラウドサービスに直接関連する問い合わせは「それほど多くは増えていない」のが実情です。ただしクラウドに依存している傾向自体は着実に高まっており、リスク自体は年々大きくなっています。
クラウドサービスは大手の事業者が運営しているから安全と思っていたのですが、リスクは本当にあるのでしょうか？
最もリスクが高い業種は会計事務所と士業
クラウド障害・データ消失のリスクが特に高いとされる業種があります。それは会計事務所と士業、そしてバックオフィス業務をクラウド化している企業全般です。
これらの業種は、クライアントの財務データ・税務データ・人事データ・契約データなど、機密性が高く再現性も難しい情報をクラウドに預けているため、サービスが停止した瞬間に業務が止まり、データ消失が発生すればクライアントへの責任問題に直結します。システム停止がそのまま事業停止につながる企業がやるべき対策はシステム停止=事業停止の企業がやるべき対策で詳しく解説しています。
| リスクが高い業種 | 主な依存クラウド | リスクの中身 |
|---|---|---|
| 会計事務所 | クラウド会計ソフト | 財務データ・税務データの消失 |
| 社労士事務所 | 勤怠・給与クラウド | 給与計算・社会保険データの停止 |
| 弁護士事務所 | 文書管理クラウド | 案件文書・契約書の消失 |
| バックオフィスクラウド化企業 | ERP・人事・経理SaaS | 業務の全面停止 |
クラウド事業者にデータを預けているからといって、自社のデータ保全責任が免除されるわけではありません。クラウドサービスが止まった瞬間、業務もデータアクセスも一時的に停止する構造になっている企業ほど、リスクは大きくなります。
クラウド事業者と利用企業の責任分担
クラウドサービスの障害やデータ消失が発生した場合、責任は誰が負うのかは多くの経営者が誤解している論点です。
「クラウドに預けてあるからクラウド事業者側が守ってくれる」「事業者側に責任がある」と考えがちですが、これは誤解です。クラウド事業者はあくまでインフラの安全性を提供する立場であり、データの実際の管理や運用は利用企業側の責任という整理になります。
実際の利用規約を確認すると、データ消失に対する責任の制限が明記されていることが多くなっています。「万が一データが消失した場合でも、クラウドサービス事業者の責任はここまで」という上限額や、特定の場合の免責事項が定められていることが一般的です。
会計事務所の例で言えば、利用しているクラウド会計ソフトが半日停止しただけでもクライアント対応に支障が出ます。さらにデータが復元できないとなれば、再作成コストや機会損失をめぐってクライアントから損害賠償請求を受ける可能性も出てきます。
サイバー保険でカバーされ得る範囲
クラウド障害やデータ消失について、サイバー保険でカバーされ得る費用は限定的ですが存在します。条件付きであるため、約款の確認が前提となります。
業務停止による逸失利益
クラウド障害により自社の業務が停止し、それによって発生した逸失利益(機会損失)については、サイバー保険で補償できる場合があります。ただし外部サービスの停止が補償対象になっているかは、約款を見て保険会社にしっかり確認する必要があります。
サイバー保険は本来、サイバー攻撃による損害を補償する商品です。クラウド事業者側のシステム障害は「サイバー攻撃ではない単なるサービス停止」に該当するため、補償対象に含まれるかは契約内容によって変わります。
データ復旧費用
データが消失してしまった場合、再構築のための費用がかかります。バックアップから復元できる範囲では復元作業の費用、復元できない範囲では再作成費用が発生します。これらのデータ復旧費用もサイバー保険で補償できる可能性があります。
顧客対応費用
データ消失により顧客への影響が出た場合の対応費用(お詫び対応・コールセンター設置・通知費用)も、サイバー保険でカバーされ得る項目です。会計事務所や士業のように、クライアントのデータを預かる業種にとっては重要な補償項目です。
| 補償対象になり得る費用 | 注意点 |
|---|---|
| 業務停止による逸失利益 | 外部サービス停止が対象か約款確認が必要 |
| データ復旧費用 | 再作成費用も含めて確認 |
| 顧客対応費用 | お詫び・通知・コールセンター費用 |
「うちは大手のクラウドサービスを使っているから保険は要らない」ではなく、「クラウドが止まったときに損害が発生する自社にとって、保険でカバーできる範囲はどこか」を起点に考えるのが現実的です。
サイバー保険の補償範囲について個別に相談したい場合は、サイバー保険の専門スタッフへの相談はマネーサロンへから連絡できます。
士業の善管注意義務違反リスク
会計事務所・税理士事務所・社労士事務所などの士業は、クラウドのデータ消失リスクを善管注意義務違反の文脈でも捉える必要があります。
クライアントの重要なデータを預かる立場で、データを失ってしまった場合、それは適切な管理ができていなかったのではないかという問題に発展しかねません。「バックアップを取っていなかった」「復元できる仕組みを用意していなかった」となれば、過失を問われる余地が大きくなります。
実際の被害は次のような形で表面化することがあります。
- 再作成コスト(従業員の人件費、再ヒアリング費用、過去データ照合費用)
- データ消失による機会損失(税務申告遅延、給与計算遅延、業務遂行不能)
- 信頼失墜による顧問契約解除
- 損害賠償請求
クラウド事業者の責任が制限されている場合、士業がクライアントから訴えられたときに、士業は誰にも責任転嫁できないということでしょうか？
クラウド事業者(SaaS提供側)のリスク
クラウドサービスを利用する側ではなく、提供する側(SaaS事業者)にとってもサイバーリスクは大きな課題です。
SaaS事業者は相当リスクを感じてサイバー保険に加入しているケースが多いとされます。利用規約で利用者との間の責任範囲を制限している場合でも、サービス提供側の過失でサービスが停止し、利用業者たちに逸失利益を発生させてしまえば、利用業者が多ければ多いほど被害額が大きくなります。
| 立場 | 主なリスク | サイバー保険の位置付け |
|---|---|---|
| クラウド利用企業 | 業務停止・データ消失 | 限定的にカバー可能 |
| SaaS提供企業 | 利用者多数への一斉影響 | 必須級の備え |
SaaSを提供している企業は、自社が提供するサービスが多数のユーザー企業の業務基盤になっているという責任を意識し、サイバー保険の補償範囲を慎重に設計する必要があります。
SaaS事業者向けには、E&O保険(Errors and Omissions Insurance)やプロフェッショナル賠償責任保険などを組み合わせる選択肢もあります。サイバー保険単体では十分でない領域があるため、複数保険の組み合わせを検討する価値があります。
過去の大規模障害事例から学ぶ
クラウド障害の影響範囲を理解するうえで、過去の代表的な事例を振り返ることが参考になります。
国内の大規模クラウド障害事例
2025年6月、Google Cloudで大規模障害が発生し、東京（asia-northeast1）・大阪（asia-northeast2）両リージョンでサービス停止が確認されました。Compute Engine・BigQuery・Cloud Storage・Cloud SQLなど主要プロダクトが影響を受け、国内の多くの企業が一時的にクラウドサービスを利用できない状況に陥りました（ITmedia報道）。サービス事業者として広範に利用されていたクラウドが停止することで、利用していた企業のサービスや業務が連鎖的に止まる状況が報じられました。こうした近しい事例があると初めて、自分の業界にもリスクがあるという意識が芽生える企業が多いのが実態です。
AWS世界規模障害
2025年10月20日には、AWSの米国バージニア北部リージョン（US-EAST-1）でDynamoDBのDNS解決に関する障害が発生し、世界中の多数のWebサービスやモバイルアプリが同時に停止する状況が報じられました（時事通信報道）。クラウド基盤に依存している現代のビジネス全体に影響が及ぶ事例として、企業のリスク認識を変えるきっかけになっています。
AWSの大規模障害は本当に「クラウドの弱さを露呈した」のか（Impress Watch）
クラウドリスクへの実践的な備え
クラウドサービスの障害やデータ消失に備えるための、現実的な4つの取り組みを整理します。
1. クラウド外への定期バックアップ
最も重要なのは、クラウド内ではなく別環境にバックアップを取得することです。同じクラウド内のスナップショットだけでは、クラウド事業者側の障害が発生した場合に同時に失う可能性があります。
ローカル環境・別のクラウド・物理ストレージなど、独立した場所にバックアップを保管し、3-2-1ルール(3つのコピー、2種類の媒体、1つはオフサイト)などの考え方を取り入れる組織もあります。
2. 復元テストの定期実施
バックアップを取得していても、いざというときに復元できなければ意味がありません。復元できることを定期的にテストすることが、バックアップを取得すること以上に重要です。
四半期に1回、半年に1回など、組織のリスク許容度に応じて頻度を設定し、実際にバックアップから復元できるかを確認する運用を組み込みます。
3. 業務停止のシミュレーション
万が一クラウドが止まってしまった場合、業務がどの程度止まり、どんな代替手段を取れば事業継続できるのかをシミュレーションしておきます。
- どのクラウドサービスが止まると、どの業務が停止するのか
- 停止した場合、何時間または何日で復旧が必要か
- 代替手段(手動処理・別ツール・別クラウド)はあるか
- クライアントへの通知はどのタイミングで、何を伝えるか
事業継続計画(BCP)の中にクラウド障害シナリオを組み込むことで、有事の判断が速くなります。BCPにサイバーリスクを組み込む具体的な考え方はBCPにサイバー攻撃を入れていますか？で解説しています。
4. サイバー保険の活用
これら自助努力に加えて、サイバー保険でカバーできる範囲を理解し、設計に組み込むことが現実的な備えです。業務停止による逸失利益・データ復旧費用・顧客対応費用について、約款を確認したうえで補償範囲を整えます。障害や攻撃からの復旧に実際どれくらいの期間がかかるかはサイバー攻撃からの復旧期間は？実態を解説が参考になります。
バックアップを取って、復元テストもして、シミュレーションもしていれば、保険は不要なのでしょうか？
関連リスクと併せて検討したい論点
クラウド障害単体ではなく、関連するサイバーリスクとセットで備えを考えると整理がしやすくなります。たとえば業務停止による逸失利益の補償範囲、サイバー攻撃からの復旧期間と費用、サイバーインシデント対応の流れなどが関連論点です。
また、クラウドアカウントの管理を含む全社的なID管理や、ビジネスチャット乗っ取りリスクも併せて整理しておくことで、抜け漏れを防ぎやすくなります。
この記事のまとめ
- クラウドサービスの障害やデータ消失の責任は、基本的に利用企業側にあるという整理が一般的
- クラウド事業者の利用規約には、データ消失への責任制限が明記されていることが多い
- 最もリスクが高いのは会計事務所など士業、バックオフィスをクラウド化している企業
- サイバー保険では業務停止による逸失利益、データ復旧費用、顧客対応費用が補償される場合がある
- ただし「サイバー攻撃ではないクラウド側のサービス停止」が補償対象かは約款の確認が必要
- 士業がデータ消失すると善管注意義務違反による損害賠償請求のリスクがある
- 備えは「クラウド外バックアップ」「復元テスト」「業務停止シミュレーション」「サイバー保険」の4本柱
よくある質問
クラウドサービスが障害でデータが消失した場合、責任は誰が負いますか？
基本的には利用企業側に責任があるとされています。クラウド事業者の利用規約には、データ消失に対する責任の制限が明記されていることが多く、クラウド事業者はインフラの安全性を提供する立場であって、データの実際の管理・運用は利用企業側の責任という整理になります。
クラウド障害による業務停止はサイバー保険で補償されますか？
条件付きで業務停止による逸失利益が補償される場合があります。ただしサイバー攻撃ではない外部サービスの停止が補償対象になっているかは、約款を見て保険会社にしっかり確認する必要があります。データ復旧費用や顧客対応費用については補償される可能性があります。
会計事務所がクラウド会計ソフトのデータを失った場合の責任は？
クライアントの財務データを預かる立場であるため、データ消失により善管注意義務違反が発生する可能性があります。再作成コストや機会損失についてクライアントから損害賠償請求を受けるケースもあるため、クラウド外へのバックアップと復元テストの実施が重要です。
クラウド事業者側はサイバー保険にどの程度加入していますか？
SaaSなどクラウドサービスを提供している事業者は、利用業者への影響が大きいことから相当リスクを感じて加入されているケースが多いとされています。利用規約で責任範囲を制限していても、過失によるサービス停止で多数の利用業者に逸失利益を発生させると被害額が大きくなるため、必須級の備えと考えられています。
クラウドサービス利用企業が取るべき対策は何ですか？
クラウド内ではなく別環境へのバックアップを定期的に取得し、復元できるかをテストすることが基本です。さらにクラウドが停止した場合に業務がどの程度止まるのか、代替手段は何かをシミュレーションしておくことも有効とされています。これらに加えてサイバー保険を活用するのが現実的な備えです。
関連記事
BEC詐欺の被害額と対策｜サイバー保険の補償は？
ビジネスメール詐欺(BEC)の被害額は1件あたり数百万円から数千万円、株式会社はてなで2026年4月に約11億円の事例も発生しました。送金被害額自体はサイバー保険の補償対象外で、犯罪保険などが必要です。手口の進化と組織的な防止策を専門家が解説します
Chatwork乗っ取り対策｜サイバー保険の補償範囲は？
Chatworkなどビジネスチャットの乗っ取りが2025年から急増し、なりすましによる高額な送金被害が報告されています。送金された金銭の回収はほぼ不可能で、サイバー保険でも金額自体は補償されません。不正アクセスの調査費用は補償可能で、2段階認証の強制化と別経路確認が組織的な備えの柱になります
日本のサイバー保険加入率はなぜ低い？費用と判断軸
日本の中小企業のサイバー保険加入率は8.8%（損保協会2025年調査）にとどまります。海外と比べて低い背景には訴訟リスクや取引条件の差があります。中小企業の保険料は年間数万円から50万円程度で、業務停止時の被害規模・自力対応の可否・外部への影響の3点が加入判断軸となります