確認は5月13日、公表は8月20日｜再委託先の事案をいつ知るか

結論：侵入を防ぐ設計と同じだけ、「知らされるまでの時間」を設計する

2026年8月20日、公益社団法人2025年日本国際博覧会協会は、委託業務の再委託先においてフィッシングメールの受信を端緒とするMicrosoft 365への不正アクセスが発生し、関係者やイベント出演者等に関する個人情報を含むメールおよび添付ファイルが不正アクセスの対象となった可能性があると公表しました。

公表内容で経営者が注目すべき点は、被害の規模でも攻撃の高度さでもありません。不正アクセスが再委託先で確認されたのが2026年5月13日で、協会による公表が8月20日であるという時間の開きです。なお、協会が第一報をいつ受けたか、その間に何を実施したか、対象となる本人への連絡がいつ行われたかは公表されていません。本稿では、公表されている二つの日付だけを事実として扱い、それ以外の時期は推測しません。

自社に引き寄せると、問いはこうなります。当社が発注した業務の、さらに先の会社で情報が漏れたとき、当社はいつ、誰から、どのような形でそれを知るのか。この問いに答えられる契約書を持っている中小企業は多くありません。

公表資料から確定できる事実

出典は、2025年日本国際博覧会協会が公開した「再委託先における不正アクセス事案による関係者・イベント出演者に関する個人情報の漏えい等に関するご報告とお詫び」（2026年8月20日）です。

なお、公表資料には確認から公表までに時間を要した理由の説明はありません。調査の所要期間、関係者への個別連絡の順序、他の関係機関との調整など、いくつもの要因が考えられますが、本稿ではその点を推測しません。以下で扱うのは、他社の対応の当否ではなく、自社の契約に何を書いておくべきかという論点です。

「うちには関係ない」と考えにくい理由

万博という大規模事業の話に見えますが、構造は中小企業の日常業務と変わりません。次のような場面が該当します。

自社がイベント運営を代理店へ発注し、代理店が現場スタッフの手配を別会社へ発注した。自社が業務システムの開発を発注し、開発会社が一部の実装をフリーランスや別会社へ委託した。自社が配送を委託し、委託先が繁忙期のみ別の運送業者を使っていた。自社が経理業務を委託し、委託先がデータ入力を海外の関連会社で処理していた。

いずれも、自社が直接契約していない相手が、自社の情報を扱っています。そして今回の事案では、再委託先の従業員が海外企業を装うフィッシングメールを受信したことが端緒となり、同社のMicrosoft 365アカウントへの不正アクセスが確認されました。入口となったのは特別な仕組みではなく、業務で日常的に使われているクラウドのアカウントです。

対象となった可能性がある情報の一覧も示唆的です。氏名や連絡先だけでなく、勤務シフト、担当業務、見積書や請求書に記載された担当者情報、スピーチ原稿、進行台本、登壇と退場の動線といった業務資料が並んでいます。個人情報の観点だけで考えていると、こうした「業務の中身が分かる資料」を見落とします。取引条件、価格表、図面、名簿、台本は、どれも競合や攻撃者にとって価値のある情報です。

発注側が持つべき三つの時計

事故対応を考えるとき、発注側には三つの異なる時計があります。混同すると、契約に書くべき内容がぼやけます。

一つ目は、検知から一次連絡までの時計です。 委託先または再委託先が異常に気付いてから、発注側へ第一報が入るまでの時間です。ここが定められていない契約では、調査が終わるまで連絡が来ないことがあります。調査完了を待つと、数週間から数か月になります。

二つ目は、一次連絡から影響範囲の確定までの時計です。 自社のどのデータが、どれだけ含まれていたのかを確定する期間です。委託先が持つログの保持期間が短ければ、ここで「分からない」という結論になります。

三つ目は、影響範囲の確定から関係者への連絡までの時計です。 顧客、取引先、従業員、監督官庁のうち、誰に何を伝えるかを決めて実行する期間です。

契約に書くべきなのは主に一つ目です。一つ目が短ければ、二つ目と三つ目の準備を並行して始められます。逆に一つ目が長いと、後の二つをどれだけ効率化しても間に合いません。

委託契約に書き足す条項

既存の契約書を全面改訂しなくても、次の項目を覚書や次回更新時の追記として足せば、実務上の効果があります。

このうち、最も効果が大きいのは「一次連絡の期限」と「ログの保持期間」の二つです。まずこの二つだけでも入れる、という進め方が現実的です。ただし、ログの保持は無条件に安価ではありません。対象の量、利用しているサービスのライセンス、保管や検索の仕組み、保持する情報の管理まで含めると相応の費用が発生し得ます。すべてを長期に残すのではなく、調査に必要な種類と期間を絞って決めてください。

システム開発を伴う委託であれば、これらの条項は要件定義と同じタイミングで決めるのが自然です。開発の進め方と契約条件を合わせて整理したい場合は、DX・システム開発の検討手順と並べて考えると漏れが減ります。

法令が定める報告の期限と、契約で決める連絡の期限は別物

委託先で事故が起きたとき、経営者から「法律では何日以内に報告すればよいのか」という質問が出ます。ここで、法令上の報告義務と、契約で定める社内向けの一次連絡は、性質が異なることを整理しておきます。

個人情報の保護に関する法律では、報告対象となる事態を知ったときに個人情報保護委員会へ報告する義務が定められています。報告は二段階で、速報は事態を知った後速やかに（個人情報保護委員会は目安として概ね3日から5日以内としています）、確報は知った日から30日以内（一定の事態については60日以内）とされています。また、委託先が、報告義務を負う委託元へ当該事態が発生したことを通知したときは、委託先の報告義務は免除される旨が規則に定められています。

ここに実務上の落とし穴があります。委託元は、別の経路で事態を知ればその時点から起算されますが、通常は委託先からの通知を受けて初めて事態を把握します。通知が遅れる契約になっていると、委託元は自らの判断と報告に使える時間をその分だけ失うことになります。なお、委託先から委託元への通知は、委託先自身の委員会への報告義務を免除するための規定であり、法令全体が委託元への通知だけを前提としているわけではありません。

したがって契約で決めるべき一次連絡の期限は、法令の30日や60日を写すものではありません。自社が速報の目安に間に合うだけの余裕を確保するための、より短い時間です。委託先から自社へ数時間から24時間以内に第一報が入れば、自社は残りの日数を調査と判断に使えます。

再委託先で起きた場合、この連鎖はもう一段長くなります。再委託先が委託先へ、委託先が自社へ、という二段階を経るためです。だからこそ、再委託先にも同等の義務を承継させる条項が効いてきます。

一報が入ってからの30日を、先に決めておく

連絡が来た後に何をするかを、事故が起きてから考えると時間を失います。次の並びを手順書として一枚にまとめ、契約書と一緒に保管しておきます。

この表の価値は、担当欄にあります。誰が判断するかが決まっていない項目は、事故時に必ず止まります。特に「速報の要否を判断する人」は、弁護士や個人情報保護・インシデント対応の専門家へ相談する前提であっても、社内側の窓口を一人決めておいてください。なお、報告の要否そのものは法的な判断であり、該当性の見極めは専門家の確認を得るのが安全です。

発注時に一次委託先へ聞く八問

契約書を交わす前、あるいは既存の委託先に対して、次の八問を投げます。回答を書面で受け取り、保管します。

1. 当社の業務に関して、再委託は行っていますか。行っている場合、社名と担当業務を教えてください
2. 再委託先は、貴社と同等の安全管理義務を負っていますか。その根拠となる契約条項を示せますか
3. 当社のデータは、どのサービス、どの国のどの拠点で保管・処理されていますか
4. アカウントの多要素認証は、貴社および再委託先で有効になっていますか
5. 異常を検知してから当社へ連絡するまでの社内基準は、何時間ですか
6. 当社データに関するアクセスログは、どこに、何日間保存されていますか
7. 過去三年間に、当社の情報が関係し得るインシデントは発生していますか
8. 契約終了時に、当社のデータをどのように消去し、その証明をどう提示しますか

五番目の質問に対して「社内基準はない」という回答が返ってくる場合、それ自体が有用な情報です。基準がないということは、担当者の判断次第で連絡が遅れ得ることを意味します。契約で期限を定める交渉の出発点になります。

委託先一覧は、支払データから作るのが速い

条項の話をすると、ほとんどの会社が最初の段階で止まります。そもそも、どこに何を委託しているかの一覧がないためです。総務や情シスが記憶を頼りに書き出すと必ず漏れます。

実務上、最も速いのは会計側から入る方法です。直近12か月の支払先の一覧を出し、そこから外部の事業者を抽出します。物品購入のみの取引先を除くと、役務提供の委託先が残ります。この方法なら、担当者が把握していない部門発注も拾えます。

一覧に持たせる列は、次の八つで足ります。増やすほど更新されなくなります。

作成後、五番目の「再委託の有無」で未確認が並ぶはずです。そこが最初の質問状の宛先になります。全社の完璧な一覧を目指す必要はありませんが、優先順位を情報の量だけで決めないでください。件数が少なくても、要配慮個人情報や認証情報、システムへの接続権限を扱う委託先は、影響が大きくなります。情報の機微性、与えている権限、外部との接続、再委託の有無、代替の効きにくさを合わせて並べ、上位から確認します。

定期的な確認の頻度は、扱う情報のリスクに応じて決めます。ガイドラインは、委託先の状況を契約締結時およびそれ以後も適宜把握することを求めており、年に一度で常に足りるという性質のものではありません。加えて、再委託の追加、システムの変更、事故の発生、契約の更新といった節目には、その都度確認します。新規の委託が発生したときに一行足す運用を決めておかないと、翌年また記憶頼りに戻ります。

自社が委託を受ける側でもある場合

中小企業の多くは、発注側であると同時に受注側でもあります。今回の公表は、受注側の視点でも読む価値があります。

取引先から前掲の八問を投げられたとき、自社は書面で回答できるでしょうか。再委託先の一覧、多要素認証の設定状況、ログの保持期間、消去の手順。これらを即座に示せる会社と、確認に二週間かかる会社では、次の発注の可否に差が出ます。

近年、取引開始時のセキュリティ質問票は大企業だけの慣行ではなくなりました。中堅企業が中小の協力会社へ配布する例も増えています。回答できる状態を作っておくことは、防御であると同時に受注要件でもあります。自社の体制がどの段階にあるかを俯瞰する手がかりとしては、DX成熟度診断のような枠組みで整理すると、抜けている領域が見えやすくなります。

想定される質問

再委託を全面的に禁止すべきですか。 現実的ではない場合が多いはずです。繁忙期の人員、専門領域の実装、地域対応など、再委託には合理的な理由があります。禁止ではなく、事前承認と一覧管理へ切り替えるほうが運用が続きます。

中小企業に、これだけの条項を求める交渉力がありますか。 全項目を一度に求める必要はありません。前述のとおり、一次連絡の期限とログの保持期間の二つに絞れば、論点が明確になり、合意に至りやすくなります。ログの保持に費用が伴う場合は、対象を絞ることで折り合いを付けられます。契約更新のタイミングで一項目ずつ足していく進め方もあります。

フィッシング対策を強化すれば防げますか。 訓練とフィルタは有効ですが、今回の事案でも一通のメールが起点になっています。ゼロにはできない前提で、アカウントの多要素認証、権限の最小化、異常検知、そして連絡の速さを組み合わせることになります。

当社は個人情報をほとんど扱っていません。 それでも、取引条件、見積書、図面、名簿、業務資料は流出し得ます。今回公表された漏えいのおそれがある情報にも、業務資料が含まれています。個人情報の有無だけで対象範囲を決めないでください。

対象となる会社

• 業務の一部を外部へ委託しており、その先の再委託を把握していない経営者
• 委託契約書が数年前のひな型のままで、事故時の連絡や調査協力の定めがない管理部門
• 取引先からセキュリティ質問票を受け取り、回答に苦慮している受注側の担当者

委託関係の整理を外部と進める場面

委託先管理は、契約書の文言だけでは完成しません。承認済み再委託先の一覧を誰が更新するか、質問票の回答をどこに保管するか、年一回の確認を何月に行うか。運用が決まって初めて機能します。

契約と運用を合わせて整えたい場合は、セキュリティ事業の相談から、現状の委託関係の棚卸しを起点に進められます。日常の確認を継続的に回す体制が必要であれば、セキュリティ運用伴走が該当します。すでに委託先から一報が入り、影響範囲の確定と関係者への説明を急ぐ状況であれば、インシデント対応支援を先に確認してください。

直近一年間に情報を渡した委託先を紙に書き出すところからで構いません。その一覧を持参いただければ、初回で優先順位まで整理できます。窓口は再委託先の通知・調査条項を第三者確認するです。

参考資料

• 公益社団法人2025年日本国際博覧会協会「再委託先における不正アクセス事案による関係者・イベント出演者に関する個人情報の漏えい等に関するご報告とお詫び」（2026年8月20日） https://www.expo2025.or.jp/news/news-20260820-01/
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」 https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/