受託開発・保守会社の情報漏えい、委託元への責任はどこまで

受託開発・保守・ホスティング会社のサーバー侵害が複数の委託元の公表と通知に連鎖する構造と、受託側に生じる負担を委託元への賠償、自社の対応費用、業務停止の損失の3つに分け、サイバー保険の対象になりやすいものと対象外になりやすいものを整理した図

2026年10月6日、FAQシステム「i-ask」を提供する株式会社スカラコミュニケーションズは、管理サイトへの不正ログインにより、同じサーバーで稼働していた利用企業最大5社の問い合わせ情報、延べ最大713,126件が漏えいした可能性があると公表しました。

同じ日、利用企業の1社であるシチズン時計株式会社は、約10万名分の顧客情報について自社の名前で公表しています。侵害されたのは受託側のサーバーでも、謝罪と通知の主語は委託元の数だけ増える。委託元から「保険に入っているか」と聞かれたとき、何に入っていれば答えになるのか。

この記事では、2026年に公表された3つの事故を手がかりに、受託・保守・ホスティング業に固有の5つのリスクを整理し、サイバー保険で対象になりやすい損害と対象外になりやすい損害を一般論として解説します。

結論を先に言うと、委託元に波及した事故で受託側に生じる負担は、委託元や本人への賠償、自社の調査・通知・窓口の費用、業務停止に伴う損失の3つに分かれ、保険が主に見るのは前の2つです。委託元との契約で上乗せした責任、違約金、やり直しの費用はそこから外れやすく、契約の書き方で、保険の使える範囲が変わります。

なお、本記事は特定の保険会社、保険商品、保険契約や特約の内容を説明するものではなく、一般的な考え方の整理です。個別の保険金請求の可否は、ご契約の約款と事実関係に基づいて保険会社が判断します。

Summaryこの記事のポイント

2026年に公表された3件は、起点がいずれも受託側の設備（VPN機器のアカウント、管理サイトのログイン、アプリの脆弱性）で、1件の侵害が複数の委託元の公表と通知に連鎖した。
委託元に波及した事故で受託側に生じる負担は、委託元や本人への賠償、自社の調査・通知・窓口の費用、業務停止に伴う損失の3つに分かれ、サイバー保険が主に見るのは前の2つ。
契約で上乗せした責任、SLAの違約金、業務のやり直しの費用は多くのサイバー保険で対象外になりやすい。委託元が負担した通知費用を受託側が賠償する場合の扱いは契約時に確認する。
ソフトウェア業や情報処理サービス業は、自社の業務停止による損失を対象にする追加の補償を付けられない商品があり、自社の売上減は保険より契約と体制で備える領域になる。

サイバーセキュリティ保険の専用ページで資料請求・お見積もりを受け付けています

資料請求・お見積もりは無料、入力は約1分です

専用ページで資料請求・お見積もり

受託開発・保守・ホスティングで実際に起きた事故

受託側と委託元の双方が公表した2026年の3件を、公表文の範囲で整理します。原因の巧拙や会社の対応への評価は行いません。

表1：受託開発・保守・ホスティング会社で起きた事故の公表事例（公表文ベース、2026年10月28日時点）
項目	社内システムへのランサムウェア攻撃（2026年8月）	FAQシステムの管理サイトへの不正ログイン（2026年10月）	ECサイト構築サービスのサーバーへの不正アクセス（2026年5〜8月）
公表した会社	株式会社両毛システムズ（システムの開発・保守運用）	株式会社スカラコミュニケーションズ（FAQ・問い合わせ管理システム「i-ask」の提供）	株式会社Eストアー（ECサイト構築・運営支援サービス「ショップサーブ」の提供）
起点	8月12日、外部の第三者がVPN機器のアカウントを悪用して社内ネットワークに侵入	10月2日20時30分頃から3日8時頃にかけて、第三者が管理サイトに不正ログインし、同一サーバー上に不正なプログラムを設置	5月21日から8月1日にかけて、外部の第三者がサーバー上のアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外部へ送信
発見と初動	8月14日未明に社内の死活監視で異常を検知し、ネットワークを遮断。15日に第1報を公表し外部専門機関のフォレンジック調査を開始。19日の第2報でランサムウェア攻撃と確認	10月3日朝、データベースの監視アラートを契機に調査を開始し、同日8時頃に遮断。該当企業へ同日中に報告し、6日に公表	8月1日に攻撃元からの通信を遮断し、同日に第1報、翌2日に第2報を公表。10月16日に調査結果を含む最終報を公表
漏えいのおそれがある情報	9月25日の第3報で、一部のサーバーに不正アクセスの痕跡を確認。営業情報、取引情報、個人情報（取引先の顧客、問い合わせ事業者、個人顧客、従業員）で、件数と項目は精査中	同じサーバーで稼働していた利用企業最大5社の問い合わせ情報（氏名、メールアドレス、問い合わせ内容など）。延べ最大713,126件で、実人数は名寄せ中	購入者の氏名、住所、電話番号、メールアドレス、勤務先、任意入力情報。会員IDと暗号化されたパスワード。カード名義、カード番号の一部、有効期限。店舗管理画面のログインIDとパスワード。最終報で対象者約23,356,000人、対象店舗7,858店（過去の店舗を含む）
委託元側の公表	大東ガス株式会社が9月28日に公表。過去の業務で扱われ両毛システムズの社内ネットワークに残っていたファイルに、2023年11月〜2024年4月の利用者約124,000件が含まれる可能性。10月27日から書面を郵送	シチズン時計株式会社が10月6日に公表。3ブランドの問い合わせフォームの情報約10万名分が対象。自社システムへの不正アクセスは確認されていないとし、対象者に順次個別連絡	株式会社キングジムが9月4日に公表（2022年8月以前の旧ECサイト利用者が対象）。株式会社PFUが9月18日と10月23日に公表（2008年12月以降の旧直販サイト利用者、対象データ78,873件）
受託側の対応（公表文の範囲）	警察、個人情報保護委員会などへ報告・相談。対象者を特定し順次個別に連絡。専用の問い合わせ窓口を設置	アカウントと管理者パスワードの変更、攻撃元IPの遮断、不正プログラムの隔離。個人情報保護委員会へ報告、警察に相談。多要素認証の導入、環境の分離、監視強化、脆弱性診断を予定	脆弱性の修正、認証情報のリセット。対象の顧客・店舗・アフィリエイターへの個別連絡を完了。個人情報保護委員会と関東総合通信局に報告書を提出、警察に相談。管理画面の認証強化（二要素・二段階認証を含む）

3件に共通する点が3つあります。1つ目は、起点がいずれも受託側の設備だったことです。VPN機器のアカウント、管理サイトのログイン、アプリケーションの脆弱性。委託元から見れば「預けた情報が預け先で漏れた」構図です。2つ目は、1件の侵害が委託元の数だけ公表と通知に分裂したことです。

シチズン時計もキングジムもPFUも大東ガスも、自社の名前で公表し、自社の顧客に通知しています。問い合わせ窓口は委託元が設ける場合と受託側の窓口を案内する場合があり、大東ガスの公表文は両毛システムズの専用窓口を案内しています。受託側の1件が、委託元の側では「委託先管理の問題」という別の事故になります。3つ目は、対象が「過去」に遡ることです。

大東ガスの対象は過去の業務で残っていたファイル、キングジムは2022年8月以前の旧サイト、PFUは2008年12月以降の旧直販サイトの利用者でした。現在の契約がなくても、残っているデータは漏えいの範囲に入ります。

受託開発・保守・ホスティング業に固有の5つのサイバーリスク

受託・保守・ホスティング業では、一般の情報漏えいに、委託元の資産と業務を預かる構造が重なります。主な5つを整理します。

委託元の個人情報を、委託元の顧客数の合計で預かっている。従業員が30人でも、預かっている個人情報は委託元の顧客の合計です。表1の3件では、シチズン時計で約10万名、大東ガスで約124,000件、Eストアーの事故全体で2,000万人超という単位の通知が要りました。通知、窓口、見舞金の規模は件数に比例し、受託側の事業規模と釣り合いません。
保守用のVPNと特権IDが入口になる。警察庁の集計では、2026年上半期のランサムウェア被害報告は123件で半期として統計開始以来の最多、組織規模別では中小企業が約6割を占め、業種別では製造業の約3割に続いて卸売・小売業、情報通信業が上位でした。被害組織へのアンケートでは、侵入経路はVPN機器が約5割を占めています（出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」2026年9月）。保守運用の会社は委託元のシステムに入るVPNアカウントや特権IDを大量に持ち、その管理が委託元全体の入口になります。
1件の侵害が複数の委託元の公表・通知に連鎖する。IPAの「情報セキュリティ10大脅威 2026」では、組織向けの2位に「サプライチェーンや委託先を狙った攻撃」が挙げられています（出典：IPA「情報セキュリティ10大脅威 2026」2026年1月）。攻撃者から見れば、委託元を1社ずつより共通の受託先を攻める方が効率がよい。受託側が事故を起こすと、委託元はそれぞれ報告、本人通知、公表、窓口設置を自社の責任で行い、その費用を受託側に求めます。
委託元からの求償と、契約上の責任上限の関係。委託元が本人への通知や窓口設置に支出した費用、委託元の売上減、委託元が顧客に支払った見舞金。これらを受託側に請求する根拠は業務委託契約の損害賠償条項で、多くの契約には「委託料の○か月分を上限とする」といった責任上限が置かれています。ただし故意・重過失の場合は上限を適用しない契約も多く、原因次第で上限が外れます。上限を置かずに契約していれば、負担の上限は契約上定まりません。
再委託先と利用SaaSが起点になる。開発の一部を協力会社に再委託している、監視やバックアップを外部のクラウドサービスに置いている。そこで漏えいが起きても、委託元から見た責任の相手は元請けである自社です。再委託先の端末や共有アカウントまで自社の管理責任として問われます。

損害は3つに分かれる

受託側に生じる負担を「事故対応の費用」と一括りにしたままでは、保険がどこまで見るかを判断できません。相手に払うもの、自社で使うもの、入ってこなくなるものの3つに分けます。

1. 委託元と本人への賠償

本人（委託元の顧客）から受託側に直接請求が来ることは多くなく、実務では委託元が本人対応をした後に、その費用と損害を受託側に請求する形になります。見舞金、通知の郵送費、コールセンターの委託費、弁護士費用、委託元の売上減。

委託元が受託側の過失による損害として請求してくれば、受託側が法律上の損害賠償責任を負う範囲で、サイバー保険の賠償責任の補償で対象になり得ます。預かった他人の情報の漏えい、あるいは自社が管理するシステムに起因して委託元に生じた損失、という整理です。

対象は法律上の損害賠償責任に基づく金額で、契約で上乗せした責任、SLAの違約金、委託料の返還や値引きは対象外になりやすい部分です。

注意したいのは、委託元が負担した通知費用やコールセンター費用を受託側が賠償する場合の扱いです。受託側が自分で通知や窓口を設ければ自社の費用ですが、委託元が支出して受託側に請求すると賠償金になります。この付け替えが賠償責任の補償で対象になるか、費用の補償として扱われるかは商品や契約条件によって分かれるため、契約時に保険会社へ確認しておく点です。

2. 自社の調査・通知・窓口の費用

侵入経路と被害範囲のフォレンジック調査、委託元への報告書、法律相談、自ら設ける問い合わせ窓口、再発防止のシステム対応。表1の3社はいずれも外部専門機関による調査を行い、両毛システムズは専用の問い合わせ窓口を設けています。これらは事故が起きた会社自身の費用で、サイバー保険の費用補償の典型的な対象です。

漏えいの「おそれ」の段階の費用も対象になり得る商品が多く、両毛システムズの第2報のように「漏えいした事実は確認されていない」時点の調査費用もこの領域です。保険会社の事前承認が必要な費目があるため、支出する前に連絡するのが原則です。

3. 業務停止に伴う自社の損失

社内システムを止めている間の売上減、復旧までに失注した案件。両毛システムズは被害拡大防止のため社内システムを停止したと公表しています。この損失は、自社が所有・使用・管理するシステムの停止による喪失利益と営業継続費用を任意で追加する補償で対象にする商品がありますが、ソフトウェア業、情報処理サービス業、インターネット付随サービス業は、この追加補償を付けられない商品があります。

受託開発・保守・ホスティングの多くがこの区分に当たり、自社の売上減はサイバー保険で手当てしにくい領域です。バックアップと復旧手順が、そのまま損失の大きさを決めます。

保険が機能するのは「委託元に賠償する場面」と「自社で調査・対応する場面」です。自社の売上減は、業種によっては保険に乗らず、契約上の責任上限と復旧を早める体制とで備える領域になります。

サイバー保険で対象になりやすいもの、なりにくいもの

5つのリスクに自社の業務停止を加えた6つについて、一般的なサイバー保険での扱いを整理します。個別の契約では約款と保険会社の確認が要ります。

表2：受託開発・保守・ホスティング業のリスクと、サイバー保険での一般的な扱い
リスク	対象になり得るもの	対象外になりやすいもの
1. 預かった委託元の個人情報の漏えい	本人と委託元への賠償。自社の調査、通知、問い合わせ窓口、法律相談の費用。漏えいの「おそれ」の段階の調査費用。誤送信、媒体の紛失、従業員の持ち出しも原因を問わず対象事由になるのが一般的（故意の持ち出しと設定不備は商品で扱いが分かれる）	委託元との契約で上乗せした責任、SLAの違約金、罰金・課徴金。委託料の返還や値引き
2. 保守用VPN・特権IDの悪用による委託元システムへの侵入	自社が管理する認証情報に起因して委託元に生じた損害への賠償。自社側の侵入経路の調査費用	委託元のシステムの復旧そのものを受託側が無償で行う費用（業務のやり直し・再履行）。委託元の身代金
3. 複数の委託元からの同時請求	各委託元への法律上の損害賠償。同じ原因による請求は一連の請求として最初の請求時にまとめて扱われるのが一般的	一連の請求として扱われた場合、補償は1回分。委託元の数だけ別々に補償が立つわけではない
4. 委託元が負担した通知・窓口費用の求償	委託元から法律上の損害賠償として請求された部分は賠償責任の補償で検討の対象	賠償ではなく費用の付け替えと評価される部分。扱いは商品により分かれるため契約時に確認する
5. 再委託先・利用SaaS起因の漏えい	自社が委託元から預かった情報を再委託先に渡し、再委託先で漏えいした場合の、委託元から自社への賠償請求。外部クラウドサービス側の侵害も同様	再委託先自身の賠償責任と対応費用（再委託先は被保険者ではない）。インターネット回線や電力など自社の管理下にないインフラの障害
6. 自社の業務停止による売上減	任意で追加する補償で対象にする商品があるが、ソフトウェア業・情報処理サービス業・インターネット付随サービス業は付けられない商品がある	追加補償がない契約では対象外。追加できる場合も、一定時間以上の停止であることと補償期間の上限が条件になるのが一般的

1の情報漏えいは、受託側が保険を最も使う場面です。委託元の顧客データベース、問い合わせ履歴、EC購入者の情報。受託側はこれらを「預かった他人の情報」として大量に扱います。原因は不正アクセスに限りません。退職した技術者がデータを持ち出した、媒体を紛失した、別の委託元に誤って送った。

攻撃を伴わないこうした漏えいも原因を問わず対象事由になるのが一般的で、故意の持ち出しは商品で扱いが分かれます。開発環境にコピーした本番データが設定不備で公開状態になっていた場合も同じ整理になると見込まれますが、商品により扱いが分かれるため契約時に確認する点です。

3の一連の請求は、受託側で特に効いてくる考え方です。表1のスカラコミュニケーションズの事故は利用企業最大5社、Eストアーの事故は対象店舗7,858店です。同じ原因で多数の委託元から請求を受けた場合、多くの商品では一連の請求として最初の請求時にまとめて扱われ、補償は1回分として計算されます。委託元の数だけ補償は増えません。

もう1つ、サイバー攻撃を伴わない設定ミスや作業ミスで委託元のシステムが止まり、データが消えた場合の扱いは、商品や契約条件によって分かれます。攻撃を伴わない誤発注、業務のやり直し、追完、再履行の費用は多くのサイバー保険で対象外とされる一方、受託したIT業務の過誤による委託元の損害をどう扱うかは、商品や契約条件によって分かれます。保守運用で最も起きやすい事故だけに、自社の契約での扱いは契約時に保険会社へ確認する点です。

保険より先に効く実務対策

表1の3社が公表した再発防止策は、多要素認証、環境の分離、監視の強化、脆弱性診断、認証情報の管理に収れんしています。いずれも保険の引受時に申告する体制そのものです。

VPN機器とリモート保守のアカウントを棚卸しし、多要素認証を必須にする。警察庁の資料では侵入経路の約5割がVPN機器で、未修正の脆弱性と漏えいした認証情報が悪用されています。委託元ごとの保守用アカウント、退職者のアカウント、検証用に作って放置したアカウントを一覧にし、使っていないものを消すところから始めます。VPN機器の更新プログラムの適用も同じ優先度です。
管理画面と特権IDを、業務用のネットワークと端末から分ける。スカラコミュニケーションズの事故は管理サイトへの不正ログインが起点で、再発防止策には多要素認証の導入と環境の分離が挙げられています。共用サーバーの管理画面には、接続元の制限と多要素認証をかけ、管理操作のログを残します。1つの管理IDで全委託元の環境に入れる構成は、1回の侵害が全委託元に波及します。
委託元ごとに環境を分け、預かったデータの保有期限を決めて消す。大東ガスの対象は過去の業務で社内ネットワークに残っていたファイル、PFUとキングジムの対象は契約終了後も残っていた旧サイトのデータでした。契約が終わった委託元のデータ、本番からコピーした開発用データは、残っている限り漏えいの対象になります。委託元ごとの環境分離と、データの返却・消去の期限を決めておきます。
事故時に委託元へ何をいつ伝えるかを、手順として決めておく。表1の3件では、受託側の報告から委託元の公表まで数日の差があります。いつ第一報を入れるか、誰が窓口か、ログをどう保全するか。警察庁の資料では、ランサムウェア被害からの復旧に総額1,000万円以上を要した組織が6割、1か月未満で復旧できた組織は5割弱です。手順書の有無で、委託元との関係も保険の事故通知も変わります。

顧客・取引先との契約で注意したい点

受託側の事故で最後に残る問題は「委託元に生じた損害を誰がどこまで持つか」で、答えは契約にあります。保険の使える範囲を狭める書き方を中心に5つ挙げます。

1つ目は責任上限の条項です。上限を委託料の一定期間分とする条項は受託側を守りますが、故意・重過失を除外する書き方が多く、VPNアカウントの管理不備や更新プログラムの未適用が重過失と評価されれば上限が外れます。また、契約上の上限額と、保険が見る「法律上の損害賠償責任の額」は別のものです。両者の関係は契約と保険の両方を見ないと整理できないため、契約時に保険会社へ確認する点です。

2つ目はSLAの違約金です。稼働率や復旧時間を下回った場合に委託料を減額する、一定額を支払うといった定めは、法律上の損害賠償責任ではなく契約で約束した金銭です。多くのサイバー保険で違約金は対象外のため、自社の負担として見込んでおく必要があります。

3つ目は再委託条項です。再委託先の行為について元請けが全責任を負うとする条項が一般的です。再委託先での事故で委託元から請求を受けた場合、自社の保険で検討の対象になり得ますが、再委託先は被保険者ではないため、再委託先自身の損害は対象外になるのが一般的です。再委託先にも保険の加入を求めるか、責任分担を定めておきます。

4つ目は事故時の通知義務です。契約に「漏えいまたはそのおそれを知ったときは直ちに通知する」とあれば、通知の遅れ自体が契約違反になります。同時に、保険の側にも事故の通知義務があり、保険会社の同意なく委託元に責任を認めたり賠償額を約束したりすると、その分が保険金から差し引かれる場合があります。委託元への第一報は判明している事実と調査の進め方を伝えるにとどめ、責任の有無と金額は保険会社へ連絡してから協議します。

5つ目は保険加入義務の条項です。発注条件に「情報漏えいに備える保険に加入すること」とある場合、何の保険にどの範囲で入っていればよいかは条項ごとに違います。賠償責任だけでよいのか、委託元の費用まで含むのか、証明書の提出が要るのか。条項の文言と自社の契約の対応関係を事前に整理しておきます。

受託開発・保守・ホスティング業がサイバー保険を検討するときに確認する点

日本損害保険協会の調査では、中小企業のサイバー保険加入率は8.8%にとどまります（出典：日本損害保険協会「中小企業におけるリスク意識・対策実態調査2025」2025年12月）。受託・保守・ホスティング業は委託元から加入を求められる側で、次の点の整理が先に要ります。

業務区分の申告。受託開発、保守運用、ホスティング、SaaS提供、BPOのどれを行っているかで、引受の区分と付けられる補償が変わります。委託元のシステムに保守用の権限で入る形態、委託元のデータを自社のサーバーで預かる形態は、特に伝えます。
預かり件数と委託元の数。預かっている個人情報の件数の合計と委託元の数が、事故の規模を決めます。一連の請求としてまとめて扱われる前提で、補償の大きさを考えます。
自社の業務停止に対する補償の可否。自社のシステム停止による売上減を対象にする追加の補償が、自社の業種区分で付けられるかどうかを確認します。付けられない場合は、復旧体制と契約上の責任上限で備える前提になります。
攻撃を伴わない作業ミスの扱い。設定変更の誤りで委託元のシステムが止まった場合に、自社の契約でどう扱われるかを確認します。
セキュリティ体制の申告。多要素認証、バックアップ、権限管理、過去の事故歴は告知の対象です。申告と実態が違えば事故の際に問題になります。多要素認証の未設定そのものを対象外にする商品は一般的ではありません。

那由他保険テクノロジーズが受託開発・保守・ホスティング業のサイバーリスクでご支援できること

ここまでは一般論です。実際には、自社の業務が引受上どの区分に当たるのか、委託元との契約の責任上限や違約金の条項が保険の対象をどう狭めているか、再委託先とクラウドサービスの構成でどこに穴があるか、といった会社固有の論点で結論が変わります。

那由他保険テクノロジーズは、受託開発・システム保守・ホスティングの会社について、委託元ごとの業務形態と預かっている情報の件数、保守用アカウントと管理画面の構成、再委託先の構成を起点にリスク構造を分析し、現在のご契約や検討中の商品の補償条件と突き合わせて、対象になる損害と対象外になる損害を切り分けます。

そのうえで、業務委託契約・保守契約の損害賠償条項、SLA、再委託条項、保険加入義務の条項を保険の約款に照らして点検します。契約の見直し点の整理から、補償のギャップを埋める保険プログラムの設計、保険調達までを支援します。

相談の結果として得られるのは、「委託元に波及する事故が起きたとき、どの負担が保険で、どの負担が契約で、どの負担が自己負担か」を委託元ごとに書き分けた一覧です。保険加入の証明を求められている段階でも構いません。お問い合わせください。

ご相談はこちら

委託元に求められる保険の条件を整理する

専用ページで資料請求・お見積もり

資料請求・お見積もりは無料、入力は約1分です。お電話（050-1725-4773／受付：平日9:00〜19:00）でも承ります。

よくある質問

委託元から「サイバー保険に入っているか」と聞かれました。何を答えればよいですか？

委託元が知りたいのは、受託側の事故で自社に生じた損害を受託側が賠償できるか、です。確認するのは、賠償責任の補償が付いているか、預かった情報の漏えいと委託元のシステムに起因する損害が対象業務に含まれているか、再委託先起因の事故も含まれるか、の3点です。発注条件に保険加入義務の条項がある場合は、その文言と自社の契約の対応関係を保険会社または取扱代理店に確認します。

委託元が本人への通知とコールセンターを自社で行い、その費用を請求してきました。保険の対象になりますか？

委託元から法律上の損害賠償として請求された部分は、賠償責任の補償で検討の対象になり得ます。ただし、受託側が自分で行えば費用補償の対象になる通知や窓口の費用を、委託元が支出して賠償として請求する形の扱いは、商品や契約条件によって分かれます。契約時に保険会社へ確認し、事故後は委託元に支払いを約束する前に保険会社へ連絡します。

保守契約に損害賠償の上限があります。上限までは保険で、上限を超えた分は自己負担という理解でよいですか？

契約上の上限と保険の補償は別のものです。委託元が請求できる額は契約上の上限で頭打ちになりますが、故意・重過失の場合に上限を適用しない条項があれば原因次第で外れます。保険が見るのは法律上の損害賠償責任の額で、契約で上乗せした責任や違約金は対象外になりやすい部分です。上限条項と保険上の損害額の関係は契約の文言で扱いが分かれるため、契約時に保険会社へ確認する点です。

複数の委託元から同時に請求を受けた場合、補償は委託元の数だけありますか？

同じ原因による多数の請求は、一連の請求として最初の請求が行われた時点でまとめて扱われ、補償は1回分として計算されるのが一般的です。委託元が増えても補償が比例して増えるわけではなく、預かっている情報の件数と委託元の数の合計で補償の大きさを考える必要があります。

設定ミスで委託元のシステムを止めてしまいました。サイバー攻撃ではありませんが対象になりますか？

サイバー攻撃を伴わない誤発注、業務のやり直し、追完、再履行の費用は多くのサイバー保険で対象外とされる一方、受託したIT業務の過誤による委託元の損害をどう扱うかは、商品や契約条件によって分かれます。自社の契約での扱いは、証券と保険会社に確認してください。やり直しの作業を自社で無償で行う費用は、いずれの場合も対象外になりやすい部分です。

参考一次情報

本記事は、受託開発・システム保守・ホスティング業の担当者向けにサイバーリスクと保険の一般的な考え方を整理したもので、特定の保険会社、保険商品、保険契約、特約の内容を説明することを目的としたものではありません。記事中の「対象になり得る」「対象外になりやすい」といった記述は一般的な傾向を示すもので、実際に保険金が支払われるかどうかは、個々の保険契約の約款と事実関係に基づいて保険会社が判断します。ご契約内容の詳細や個別の事故については、ご契約の保険会社または取扱代理店にお問い合わせください。