「預かる側」が問われている——委託先経由の漏えいが相次ぐなか、受託企業がいま整えておきたい5つのこと

日本経済新聞は、2026年9月以降に個人情報の漏えい、またはそのおそれを公表した企業・団体を、一覧にして随時更新しています。
10月20日の更新時点で、9月28日から10月20日までの約3週間に、78本の記事が掲載されています。

私たちがこの78本の見出しを1本ずつ確認したところ、「委託先」「外部サービス」「外部サーバー」や他社名など、自社の外にある事業者の関与が見出しに示されたものが22本、全体の約3割にのぼりました。
見出しのみによる分類のため厳密な統計ではありませんが、傾向を読み取るうえでの目安にはなると考えています。
このほかにも、宿泊予約システム、医療機関向けのシステム、Web制作ツール、自治体向けの防災情報サービスなど、他社にサービスを提供する事業者そのものが攻撃を受けた事案が含まれています。

自社のシステムが攻撃を受けていなくても、預けた先、あるいはそのさらに先で起きた攻撃によって、自社が漏えいを公表する立場になる。
裏を返せば、預かる側の1社で起きた事故が、複数の取引先の公表につながりうるということです。

先日の連載「委託先で起きた漏えいは、自社の問題でもある」では、預ける側（委託元）の視点から委託先の管理を整理しました。
本稿ではその反対側、取引先から個人データを預かって業務を行う「預かる側」（委託先）の企業が、いま整えておきたいことを考えます。
システムの開発・保守、SES（システムエンジニアリングサービス）、コールセンター、発送代行、BPOなど、取引先の個人データを取り扱う業務を受託している企業を念頭に置いています。

一覧から見えてきた「連鎖」

一覧を通読して気づくのは、一つの攻撃に端を発した公表が、日をまたいで続いていることです。

10月7日には、あるクラウドサービス事業者が、ランサムウェアによる攻撃を受け、495の企業・自治体に影響が及んでいると公表しました。
その後の一覧には、この攻撃の影響で顧客のメールアドレスなどが流出した可能性があるとする、鉄道会社や小売企業などの公表が続きます。
このうち一つの小売企業については、会員向けメールマガジンの配信を委託していた事業者が、このクラウドサービスを利用していたと報じられています。
その企業から見れば、攻撃を受けたのは「委託先のさらに先」でした。

同様の構図は、自治体にも見られます。
自治体向けの防災情報配信サービスへの不正アクセスでは、総務省によると、サービスの停止や個人情報の漏えいの報告があった自治体などが、少なくとも195団体にのぼると報じられています。
同じ報道は、契約後に委託先を監査している自治体は半数にとどまるとも伝えています。

この構図は、法的にも委託元の義務として返ってきます。
個人情報保護委員会のQ&Aによれば、委託先で報告対象となる漏えい等が起きた場合、原則として委託元と委託先の双方が報告義務を負います。
委託先は、委託元に事態の発生を通知すれば自らの報告義務を免除されますが、委託元の義務は残ります。
そのため委託元には、委託先から速やかに報告を受けられるよう、報告連絡体制を整えておくことが求められています。

経済産業省も10月9日の注意喚起で、「自社のみならず、サプライチェーン全体でセキュリティを管理する」という認識のもとでの対策を求めました。
委託元の企業や自治体が、今後、委託先への確認を強めていくことは十分に予想されます。
ただし、委託元は委託先の内部を直接見ることができません。
だからこそ、預かる側が自らの管理状況を、根拠をもってどこまで具体的に説明できるかが、これまで以上に問われることになると私たちは考えています。

預かる側が、いま整えておきたい5つのこと

では、預かる側の企業は、何を整えておけばよいのでしょうか。
取引先から問われる場面を「把握する」「連絡する」「説明する」の3つに分けると、整えておきたいことは次の5つに整理できます。

※個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」、同委員会のQ&A等をもとに当社で整理。

1と2は、「当社のデータは影響を受けていないか」という照会に答えるための準備です。
大規模な事案が報じられたとき、取引先からまず寄せられるのは、この種の照会だと考えられます。
どの取引先の情報を、どのシステムやクラウドに置いているかが整理されていなければ、回答には相応の時間がかかります。
特に見落とされやすいのが、メール配信やファイル共有、問い合わせ管理など、日常業務で使っている外部サービスです。

個人情報保護委員会のQ&Aでは、クラウド事業者が契約上、個人データを取り扱わないこととされ、適切にアクセス制御が行われている場合、個人データの「提供」にも「委託」にも当たらないとされています。
ただし、取引先が知りたいのは、法律上の区分よりも「自社のデータが、いまどこにあるか」です。
あわせて、取引先との契約で、再委託や外部サービスの利用に条件が付されていないかも確認しておく必要があります。

3は、取引先の報告期限から逆算して設計します。
委託元が個人情報保護委員会（業種によっては、権限の委任を受けた事業所管大臣）に行う速報の目安は、事態を知った時点から概ね3〜5日以内、確報は30日以内（不正の目的によるおそれがある場合は60日以内）です。
また、不正アクセスなど不正の目的によるおそれがある漏えい等は、影響を受けた人数にかかわらず報告の対象になります。
預かる側の連絡が遅れれば、そのぶん取引先の初動も遅れます。
「全容が判明してから」ではなく、「判明している範囲で、まず一報」を原則としておくことをおすすめします。

4は、取引先からの確認項目が、今後より具体的になると考えられる領域です。
個人情報保護委員会は10月7日の注意喚起で、ガイドラインの安全管理措置の「手法の例示」について、見直し予定の内容を先行して示しました（確定は2027年4月の予定）。
そこでは、外部ネットワークからのアクセスや管理者権限でのアクセスなどへの多要素認証（フィッシング耐性のあるものを含む）、ログの保存と定期的な分析、常時監視による早期検知などが例示されています。
「手法の例示」は、すべてを講じなければ法違反になるという性質のものではありません。
それでも、委託元が委託先に確認する項目は、この内容を参照して具体化していくと考えられます。
「実施しています」と答えるだけでなく、「いつから、どの範囲で、どのように確認しているか」まで示せる状態にしておくと、取引先の確認にも過不足なく応えられます。

5は、認証を「取得している」ことに加えて、「運用している」ことを示せるかどうかです。
Pマークの基準（JIS Q 15001）には委託先の監督や事故への対応に関する事項が、ISMS（ISO/IEC 27001）の附属書Aには供給者関係や情報セキュリティインシデント管理に関する管理策が含まれています。
認証の有無は、取引先が委託先を選ぶ際の重要な判断材料の一つです。
そのうえで問われるのは、取得した仕組みを実際に運用し、その状況を記録で示せるかどうかです。
経済産業省が★3・★4について2026年度末頃の制度開始を目指している「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」も、委託元・委託先双方の負担を軽減しつつ、対策の状況を共通の基準で示せるようにする仕組みとして準備が進められています（2026年10月時点の公表内容）。

私たちUPFは、2009年からプライバシーマーク（Pマーク）とISMS（ISO/IEC 27001）の取得・運用を支援してきました。
おかげさまで、支援実績は5,695社（2026年10月1日時点）となりました。
初めてUPFをご利用いただいたお客様が、次回の更新もUPFにご依頼くださる割合は95%（2020〜2026年平均）です。

社内にはプライバシーマーク（Pマーク）審査機関（JIPDEC）の現役審査員が在籍しています（自らがコンサルティングを担当する企業の審査は行いません）。
また、年間2,000件を超える審査関連の情報が社内に集まるため、委託先の管理や事故への備えについて審査で確認されやすい点を、日々のご支援に活かしています。
ご支援先には、システム開発やSES、BPOなど、取引先から個人データを預かって業務を行う企業も少なくありません。
取引先から届くセキュリティチェックシートへの回答や、委託先評価への対応も、認証の取得・運用のご支援とあわせてお手伝いしています。

預かる側への信頼は、事故を起こさないことだけでなく、問われたときに根拠をもって説明できることによっても支えられます。
認証の取得にとどまらず、取引先からの問いに「根拠をもって、すぐに答えられる」状態を、実務の面から一緒につくっていければと考えています。

よくある質問

Q. 取引先からセキュリティチェックシートが届きました。できていない項目は、どう回答すればよいですか？
A. 実態どおりに回答することが原則です。
未実施の項目は「未対応」とだけ記すのではなく、対応予定の時期や、代替として講じている対策を添えると、取引先も判断しやすくなります。
実態と異なる回答は、事故が起きた際に、取引先への説明が成り立たなくなるおそれがあります。

Q. クラウドサービスを利用していることも、取引先に伝える必要がありますか？
A. 個人情報保護委員会のQ&Aでは、クラウド事業者が契約上、個人データを取り扱わないこととされ、適切にアクセス制御が行われている場合、個人データの「提供」にも「委託」にも当たらないとされています。
ただし、取引先との契約で、再委託や外部サービスの利用に条件が定められていることがあります。
まず契約を確認し、照会を受けたときに「どのサービスに、何を置いているか」を答えられるようにしておくことをおすすめします。

Q. 自社が利用している外部サービスで事故が公表されたら、何から始めればよいですか？
A. まず、そのサービスに、取引先から預かった情報が含まれているかを確認します。
含まれている、またはその可能性がある場合は、詳細の判明を待たずに、判明している範囲で取引先に第一報を入れます。
そのうえで、サービス事業者の続報を確認しながら、対応の経過を記録しておきます。

Q. Pマーク・ISMSを取得していれば、取引先からの確認は省略されますか？
A. 省略されるかどうかは、取引先の判断によります。
認証は判断材料の一つとして扱われることが多い一方で、適用範囲に委託された業務や拠点が含まれているか、運用の状況はどうかを、あわせて確認されることもあります。
登録証や適用範囲とともに、運用の記録を示せるようにしておくと安心です。

Q. 預かる側としての体制づくりも相談できますか？
A. はい。
預かっている情報の一覧づくりや、事故発生時の連絡体制、チェックシートへの回答の準備など、Pマーク・ISMSの取得・運用のご支援とあわせて承っています。
他社の支援で取得された企業からの「運用を見直したい」というご相談もお受けしています。

株式会社UPFは、プライバシーマーク・ISMS（ISO/IEC 27001）などの認証の取得・運用支援を通じて、企業の情報管理を実務の面から支えています。
「取引先からのチェックシートに根拠をもって回答できるようにしたい」「預かっている情報や外部サービスを整理したい」「事故発生時の連絡体制を整えたい」といったご相談も承っております。
お気軽にお問い合わせください。

• プライバシーマーク（Pマーク）取得・運用支援の無料相談
• ISMS（ISO/IEC 27001）取得・運用支援の無料相談
• SCS評価制度への対応のご相談

数字の定義と根拠は「UPFの支援実績・継続率などの数字の定義と根拠」をご覧ください。