委託契約のひな型に「委託先はサイバー保険へ加入し、証明書を提出する」と一行加えるだけでは、事故時に必要な補償を確認できません。証明書にサイバー保険の記載があっても、委託業務、預けるデータ、再委託先、海外処理、ランサムウェア、委託元への賠償、事故対応費用が対象かは分からないからです。委託先選定・更新、個人情報監査、SCS評価制度への準備を契機に、委託元が設計すべき保険条件と検証方法を整理します。（2026年7月時点）
Summaryこの記事のポイント
- 保険証明書は、委託先の安全管理措置・事故対応能力・法令順守を保証するものではありません。
- 委託業務とデータ、事故シナリオから、必要な補償項目と限度額を決めます。
- 契約者・被保険者に、実際の受託法人、クラウド運営子会社、再委託先が含まれるか確認します。
- 補償地域、裁判管轄、遡及日、事故通知方式、解約後の報告期間を確認します。
- 保険条件は契約、セキュリティ評価、監査、BCP、事故通知と一体で運用します。
法人保険のご相談を受け付けています
初回のご相談・現契約の診断は無料です
委託先監督と保険証明は別の役割
個人情報保護委員会の通則ガイドラインは、個人データの委託について、適切な委託先の選定、委託契約の締結、委託先での取扱状況の把握を示しています。再委託についても、相手方、業務内容、取扱方法の事前報告・承認や監査等により監督を確認することが望ましいとしています。
この監督は、保険加入だけでは果たせません。保険は事故後の費用・賠償を支える資金手段であり、アクセス制御、バックアップ、脆弱性管理、ログ、教育、再委託管理、復旧計画を代替しません。反対に、対策が整っていても事故時費用の資金手当がなければ復旧・通知が遅れるおそれがあります。
| 層 | 確認内容 | 保険証明との関係 |
|---|---|---|
| 契約 | 目的、データ、再委託、監査、通知、返却・消去、責任 | 対象業務・責任の前提 |
| セキュリティ | アクセス、暗号化、バックアップ、監視、教育、復旧 | 事故予防・引受情報 |
| 対応 | 検知、連絡、封じ込め、調査、本人・行政対応 | 費用補償の発動・協力 |
| 保険 | 被保険者、補償、限度額、期間、地域、免責 | 事故後の資金と賠償 |
事故シナリオから補償項目を決める
「情報漏えい1件○円」のような単一指標だけで限度額を決めると、ランサムウェアで業務が停止するケースや、データは漏えいしていないが復旧・フォレンジック費用が生じるケースを見落とします。委託業務ごとに損害を分けます。
| 事故・費用 | 例 | 証明前の確認 |
|---|---|---|
| 第三者・委託元への賠償 | 個人情報・営業秘密の漏えい、プライバシー侵害 | 受託業務、契約責任、財物でない情報の扱い |
| 事故対応費用 | フォレンジック、通知、コールセンター、法律相談 | 委託元側費用も対象か、事前承認 |
| システム復旧 | データ復元、再構築、マルウェア除去 | 自社システム、委託元環境、クラウドの範囲 |
| 事業中断 | 委託サービス停止、売上減少、追加費用 | 委託先自身と委託元の損失を分ける |
| サイバー犯罪 | 不正送金、詐欺、身代金対応 | 補償・法令・制裁、免責、対応体制 |
委託元が自社のサイバー保険で対応できる範囲と、委託先へ負担を求める範囲も重ねて確認します。二重に限度額を積むことより、誰が初動費用を立て替え、どの保険会社へ、どの順序で連絡するかを決める方が実務上重要な場合があります。
証明書で確認する九項目
- 契約者・被保険者：受託法人、親子会社、従業員、役員、再委託先。
- 保険種類：サイバー、情報漏えい、業務過誤等のどの補償か。
- 対象業務：契約する開発、運用、BPO、クラウド等が申告されているか。
- 限度額：1請求・1事故・期間中総額、費用の内枠・外枠。
- 免責金額：委託先が事故初動を遅らせない負担水準か。
- 補償地域・裁判管轄：海外処理、海外本人、海外請求を含むか。
- 保険期間・遡及日：委託開始前の行為、契約終了後の請求への対応。
- 通知方式：事故発生、請求、事情判明のどの時点で通知するか。
- 変更・解約：更新、減額、失効時の事前通知をどう契約化するか。
証明書は通常、約款・特約のすべてを表示しません。重要案件では証券、付保明細、必要な特約の確認や、委託先の保険担当者・代理店からの説明を求めます。証明書一般の読み方は保険加入証明書を取引先に出す前の確認も参考になりますが、本記事は委託元側の要件設計が主題です。
再委託・海外クラウド・終了後の空白を防ぐ
再委託先が事故原因でも、一次委託先の保険が再委託業務を含むとは限りません。再委託の承認、再委託先への同等義務、保険の維持、事故通知の流れを契約で定めます。クラウド事業者の標準契約で責任が限定される場合、一次委託先の保険で補えるか、委託元が自ら保有すべきリスクかを決めます。
請求事故ベースの契約では、委託終了後に請求が出たときの保険継続、遡及日、延長報告期間が重要です。単年度更新で保険会社を変更するときに遡及日が途切れないか、委託契約の保存・通知期間と合うかを確認します。
委託先がM&A、会社分割、事業譲渡、サービス終了を予定している場合も見直し時点です。契約主体と実際の運営主体が変わり、旧法人の行為に対する請求が後から出ることがあります。承継先の保険へ過去行為が引き継がれるか、旧契約にランオフが必要か、データ返却・消去の完了確認まで誰が事故窓口を担うかを、契約変更前に決めます。
SCS評価制度の準備で要求を標準化する
経済産業省のSCS評価制度は、2026年3月に制度構築方針が公表され、委託元が取引先へ段階を提示し、対策状況を確認する利用を想定しています。2026年度末頃の制度開始が予定されていますが、制度評価は完全なセキュリティを保証せず、特定の保険加入を義務付けるものでもありません。
調達部門は、データ・業務の重要度に応じて、セキュリティ評価、監査頻度、事故通知時間、保険限度額を段階化します。すべての委託先へ同額を要求するより、重要度と損害シナリオに連動させる方が合理的です。
那由他保険テクノロジーズによる委託先保険証明条件と自社サイバー保険の補償ギャップ分析
九項目を確認した後も、委託元の側で判断が残るのは次の点です。第一に、委託先から受け取った保険証明書の記載と、自社が加入するサイバー保険の補償範囲が、どこで重なり、どこに空白が残るかが分からないこと。第二に、被保険者の定義、対象業務、補償地域、遡及日、延長報告期間、費用の内枠・外枠といった条件が委託先ごとにばらつき、重要度に応じた限度額の段階化まで落とし込めないこと。第三に、再委託先やクラウド運営子会社が関わる事故で、初動費用を誰の保険から立て替え、どの順序で通知するかが決まっていないことです。
那由他保険テクノロジーズが担うのは、補償ギャップ分析と保険プログラム設計の二つです。前者は委託先の保険証明条件と自社サイバー保険を突き合わせ、後者はその結果を委託先区分ごとの要求条件へ落とし込みます。委託契約書の再委託・監査・事故通知・保険維持の各条項、委託先から受領した保険証明書と付保明細、自社サイバー保険の証券と特約、委託業務ごとに預けるデータの区分を並べて照合し、次の判断材料を整理します。
- 証明書の記載と自社証券を条件単位で対比し、賠償・事故対応費用・システム復旧・事業中断・サイバー犯罪のどの損害が、委託先側と自社側のどちらで手当てされ、どこが無保険のまま残るか。
- 被保険者に実際の受託法人・再委託先が含まれるか、対象業務の申告内容が現に委託している開発・運用・BPO・クラウドと一致しているか、証明書だけでは確認できず委託先の保険担当者・代理店へ照会すべき項目はどれか。
- 委託先の重要度とデータ区分ごとに、要求する限度額・免責金額・補償地域・通知方式・更新時の提出条件をどう段階化し、契約書のひな型と要求水準の対照をどう改定するか。
- 自社サイバー保険の遡及日と延長報告期間が、委託開始日および契約終了後の請求可能期間と整合しているか、更新時に保険会社を変更した場合の切れ目はどこに生じるか。
設計にあたっては、すべての委託先へ一律に保険を要求するのではなく、自社の補償で吸収する範囲と自己保有とする範囲を先に決める選択肢も併せて検討します。なお、委託先監督義務の充足可否や契約条項の法的効力の判断は弁護士・法務部門の領域であり、補償ギャップ分析と保険プログラム設計は結果を保証するものではありません。
よくある質問
委託先にサイバー保険加入を義務付ければ監督責任を果たせますか
保険は安全管理措置や監査の代替ではありません。委託先選定、契約、取扱状況の把握、再委託管理と併せて運用します。
必要な支払限度額はいくらですか
一律ではありません。データ、業務停止、通知・調査・復旧費、第三者請求、委託元の自社保険と自己負担を基に設定します。
再委託先も一次委託先の保険に含まれますか
自動的に含まれるとは限りません。被保険者の定義、受託業務、再委託の承認、求償・責任分界を確認します。
海外クラウドを使う場合は何を確認しますか
補償地域、裁判管轄、海外本人・規制対応、クラウド障害、制裁・支払制限、再委託先所在地を確認します。
証明書は毎年取り直す必要がありますか
保険期間満了、更新、限度額変更、保険会社変更を把握するため定期確認が必要です。契約に更新提出と失効・減額の通知を定めます。
参考一次情報
情報確認日：2026年7月14日
執筆：中村 祐太朗（那由他保険テクノロジーズ株式会社 Risk & Benefits事業 執行役員／損害保険・生命保険募集人）｜編集：那由他保険テクノロジーズ株式会社 編集部｜最終更新日：2026年7月14日
本記事は情報提供を目的とし、法令順守、セキュリティ、補償、引受、保険金支払を保証しません。委託内容と最新の法令・契約・証券条件をご確認ください。