委託先で事故が起きたら、何を聞く？取引先への確認メールの項目

委託先で情報漏えいなどの事故が発覚したら、まずは 対象データ・影響範囲・報告スケジュール・代替処理 を明確に把握することが重要です。
この情報を基に社内でリスク評価を行い、必要に応じて代替策や取引継続の判断材料とします。
最初にすべきことは、事故の概要を整理したうえで、取引先に確認メールを送ることです。メールには、事故の対象、影響範囲、現在の対応状況、今後の情報提供予定、代替処理の可否といった項目を盛り込みます。以下では、具体的に聞くべき質問とその背景を段階ごとに解説します。

事故の対象と影響範囲をどう確認するか

漏えいした個人情報の種類は？

個人情報保護法に基づき、要配慮個人情報（人種・信条・病歴など）と一般個人情報は区別され、要配慮情報が漏えいした場合は報告義務が強化されます。委託先に対しては、漏えいした情報が要配慮個人情報に該当するか、具体的にどの項目が含まれるかを確認します。

たとえば、顧客の健康診断結果やクレジットカード番号の下4桁のみか全体かを明示させることで、報告の必要性や対応の緊急度を判断できます。

次に、委託先に情報の保存媒体（サーバー・USB・紙媒体）や暗号化の有無も併せて尋ねます。暗号化されていない状態で漏えいした場合、被害が拡大しやすく、復旧や賠償の対象が広がります。これらの情報は、社内でのリスクマトリクス作成や、顧客への通知要否を決める際の重要材料となります。

影響を受けた顧客数は？

個人情報保護法では、漏えいした個人データの対象者が1,000人を超える場合、報告義務が生じます（民間事業者の場合）。したがって、委託先に対しては「何人の顧客が影響を受けたか」を具体的に把握する必要があります。対象者数が多いほど、報告や対策のコストが増大し、顧客への信頼回復策も大規模になる可能性があります。

顧客数の把握は、社内の顧客リストと照合し、影響範囲を正確に特定する作業に直結します。もし委託先が正確な人数をすぐに提示できない場合は、暫定的な推定値とその根拠を求め、後日改訂できる旨を確認しておくと、報告遅延のリスクを低減できます。

発生日時と経緯の詳細は？

侵害が起きた時点と発覚した時点を分けて確認します。社内で漏えいの疑いを把握したら、調査の完了を待たずに責任者へ伝えます。外部への報告や本人通知の要否、方法、時期は、最新の公式案内と個別の事情を基に専門家へ速やかに確認してください。

したがって、委託先に対しては「事故がいつ発覚したか」「実際の侵害が起きた日時はいつか」「どのような経緯で漏えいに至ったか」を詳細に聞き出すことが重要です。

経緯の把握は、原因分析と再発防止策の策定に不可欠です。たとえば、外部からの不正アクセスか、内部の持ち出しか、マルウェア感染かによって、必要な対策や責任範囲が変わります。委託先が提供するタイムラインをもとに、社内のインシデント対応手順と照らし合わせ、適切な報告書作成や顧客通知のスケジュールを策定します。

報告すべき情報とそのタイミング

現在の対応状況は？

IPAの中小企業向けガイドラインでは、インシデント発生後は「速やかな初動」と「継続的な情報共有」が重要とされています。委託先に対しては、現在実施中の対策（システム切り離し、パスワードリセット、ログ解析など）を具体的に尋ねます。どの段階にあるかを把握することで、社内のリスク評価や顧客への情報提供タイミングを調整できます。

また、委託先が外部の専門家（フォレンジック調査会社）を導入しているかどうかも確認します。専門家の関与は、証拠保全や法的対応の信頼性を高めるため、社内での報告書作成時に重要なポイントとなります。対応状況が不透明な場合は、定期的な進捗報告の頻度と方法（メール・電話・会議）を明確に取り決めておくと、情報の抜け漏れを防げます。

今後の情報提供予定は？

情報提供のスケジュールは、社内外への通知計画と直結します。委託先に対しては「次回の進捗報告はいつ、どの形式で行うか」「追加情報が判明した際の即時連絡体制はあるか」を確認します。情報共有の継続的な実施はリスク管理上重要であり、自社で活用できる診断ツールとして提供されている5分でできる自社診断がありますが、導入の可否や利用条件は提供側に確認してください。

さらに、報告内容に法的要件が絡む場合（例：要配慮個人情報の漏えい）には、個人情報保護委員会への報告期限を守る必要があります。委託先が報告書のドラフトや提出予定日を提示できるかどうかを確認し、社内の法務部門と連携して期限遵守を徹底します。

法的報告義務の有無は？

個人情報保護法では、漏えいした情報の種類や対象者数に応じて報告義務が変わります。委託先に対しては、要配慮個人情報が含まれるか、対象者数が1,000人を超えるか、不正利用の恐れがあるかを確認し、報告義務の有無を判断します。

報告を担う主体は、その情報の取り扱いと委託関係も確認して判断します。回答の項目を集めただけで自動的に決まるものではないため、両社の責任者と専門家で役割を確認してください。

報告義務がある場合は、個人情報保護委員会が定める様式（PDFやExcel）に沿った情報提供が必要です。委託先が様式の準備状況や提出先（委任先省庁や直接委員会）を把握できていない場合は、具体的な手順や必要書類を共有し、期限内に適切な報告が行えるようサポートします。

代替処理や業務継続策は？

代替サービスの提供は可能か

ここからは、自社の業務継続を判断するための確認項目です。特定の制度の必須要件としてではなく、現在の契約と業務の重要度に合わせて確認してください。委託先に対しては、現在利用中のサービスが停止した場合の代替手段（別サーバー・他ベンダー利用など）を具体的に尋ねます。代替手段が明確であれば、顧客への影響を最小限に抑える計画が立てやすくなります。

契約書やSLA（サービスの品質・対応条件に関する合意）がある場合は、代替提供や障害対応に関する記載があるかを確認します。SLAに基づく代替提供の可否や、代替にかかるコスト・期間を確認し、社内の財務部門と合わせて予算計画を立てます。代替が不可能な場合は、早期に顧客へ通知し、別途対応策を協議する必要があります。

バックアップデータの利用可否

IPAのガイドラインは「バックアップを取ろう!」を新たな情報セキュリティの柱に加えています。委託先に対しては、バックアップが取得されているか、復元テストは実施済みかを確認します。バックアップがあっても、取得時点、対象範囲、復元テスト、アクセス手段によって戻せる内容は変わります。直近の検証結果と今回使える復旧先を確認してください。

バックアップの保管場所（オンプレミス・クラウド）や暗号化の有無も重要です。暗号化されていないバックアップは、再度情報漏えいのリスクがあります。委託先がバックアップの管理体制を文書化しているかどうか、また、復旧までに要する時間（RTO）と復旧点（RPO）を提示できるかを確認し、社内の復旧計画と照らし合わせます。

復旧までの期間見込みは？

復旧期間は、顧客への影響度を測る上で最も重要な指標です。委託先に対しては、現在の復旧作業の進捗と完了見込みを具体的に尋ねます。たとえば、システム復旧に要する日数、データ復元に必要な時間、再発防止策の実装スケジュールなどです。

復旧見込みが不透明な場合は、段階的な復旧計画（まずは重要データの復旧、次に全システムの復旧）を要求し、社内の業務継続計画（BCP）と合わせてリスクを分散させます。復旧期間が長期化する場合は、代替サービスや手動プロセスの導入を検討し、顧客への影響を最小化するための具体策を早期に策定します。

取引継続の判断基準は？

再発防止策は具体的か

個人情報保護委員会は、再発防止策の具体性と実行性を報告の重要項目としています。委託先に対しては、どのような技術的・組織的対策を講じるか（例：多要素認証導入、アクセス権限見直し、定期的な脆弱性診断）を詳細に聞きます。具体策が文書化され、実施計画があるかどうかが取引継続の判断材料となります。

また、再発防止策の効果測定方法（KPIや監査頻度）や、外部監査の実施予定も確認します。これにより、委託先が単なる口頭の約束でなく、実際に改善に取り組んでいるかを評価できます。再発防止策が不十分と判断した場合は、契約条件の見直しや、別ベンダーへの切替えを検討します。

契約上の責任分担は？

多くの契約では、情報漏えい時の責任範囲や賠償額について条項が設けられていますが、全ての契約に必ず明記されているわけではありません。契約内容を確認し、必要に応じて追加条項や保険加入を検討することが重要です。委託先に対しては、**事故発生時の責任分担条項（損害賠償、再発防止費用負担）**を再確認し、実際に適用可能かどうかを質問します。

特に、要配慮個人情報が関わる場合は、法的賠償額が大きくなる可能性があります。

契約上の責任分担が曖昧な場合は、追加の補償条項や保険加入の有無を交渉材料にします。また、委託先が保有するサイバー保険の範囲や限度額を確認し、万が一の際に自社が負担するリスクを把握します。これにより、取引継続のリスクとコストを総合的に判断できます。

今後のリスク評価の方法は？

リスク評価の継続的実施は、情報セキュリティの基本的な取組として推奨されます。委託先に対しては、定期的なセキュリティ診断や監査の実施計画、評価結果の共有方法を確認します。たとえば、年1回の外部監査、四半期ごとの脆弱性スキャン、内部のリスクマトリクス更新などです。

リスク評価の結果は、取引先選定や継続の判断材料として活用できます。評価結果が共有されない場合は、評価結果のレポート提出義務を契約に追加し、透明性を確保します。最終的に、評価結果と自社のリスク許容度を照らし合わせ、取引継続の是非を判断するプロセスを整備します。