ランサムウェア対策

委託先ランサムウェア対策チェックリスト｜YCC事例に学ぶサプライチェーンリスク【2026】

2026年6月8日25分で読める

QUICK CHECK

本文を読みながら、自社で進めるべきか、相談前に何を整理するかを確認できます。

GXO COLUMN

セキュリティ

自社のサーバーには一切侵入されていない。ファイアウォールもEDRも正常に動いている。それでも、自社が預けた個人情報が漏えいのおそれにさらされる──。2026年4月に発覚した株式会社YCC情報システム（山形県山形市）へのランサムウェア攻撃は、システム開発・運用を外部に委託しているすべての組織にとって「委託先のセキュリティは委託先の問題」という前提が通用しないことを突きつけた。委託先1社が暗号化されただけで、業務を任せていた20近い自治体・大学・民間企業の個人情報が連鎖的に危険にさらされた。この記事は、報道で終わらせず「委託する側の中小企業が、発注前・契約時・運用中に何を確認すれば同じ落とし穴を避けられるか」に実務の重心を置いて整理する。

結論：委託先の弱さは、そのままあなたの会社の漏えい責任になる

先に結論を述べる。外部ベンダーにシステム開発・運用・データ処理を任せている限り、委託先のセキュリティ水準は自社の情報保護責任と直結する。委託先が攻撃されれば、自社が直接攻撃を受けていなくても、預けたデータの漏えい当事者として説明責任・通知義務・信用毀損を負うのは委託元である。

だからこそ、いま手を動かすべきは次の三つだ。第一に「どのベンダーが、自社のどのデータを、どれだけの量・機微性で保有・処理しているか」の棚卸し。第二に、委託契約書にセキュリティ要件・監査権・再委託の事前承認・インシデント報告期限・契約終了時のデータ削除が明記されているかの確認。第三に、委託先で事故が起きたときに「何時間以内に、誰に、どう連絡が来るか」の合意と演習である。この三点が空白のまま外注を続けている組織は、今回のYCC型被害が起きたとき、影響範囲を即座に説明できない。

以下では、まず事案の事実関係を一次情報で確認し、次に「委託する側が問われる三つの責任軸」「発注前チェックリスト」「ベンダーへの質問状」「見積もり・提案の読み方」「相談すべきタイミング」の順で、GXOの判断フレームとして展開する。数値や経緯は各組織の公式発表と主要報道を典拠とし、確定値と調査中・報道ベースの数値を明確に区別している。

FREE DOWNLOAD

中小企業のDX推進「失敗を防ぐ5ステップ」ガイドを無料でお送りします

多くの企業がつまずくポイントを着手順に整理した無料ガイド。相談する前に、自社の現在地と進め方を掴めます。

5ステップガイドを無料でダウンロード

この記事を読むべき人

基幹システム・顧客管理・給与・健診データなどを外部ベンダーに委託している中小企業の経営者・事業責任者
情シスが一人、または総務・管理部門と兼任で、委託先のセキュリティまで見きれていない担当者
「ベンダーに任せているから大丈夫」という状態のまま、委託契約を長年更新していない調達・法務担当者
自社のIRP（インシデント対応計画）が「自社への直接侵入」しか想定しておらず、委託先経由の漏えいシナリオが抜けている組織
補助金や新規開発でこれから開発会社・SaaSベンダーを選ぼうとしており、選定基準にセキュリティをどう組み込むか迷っている担当者

なぜ「今」これを確認すべきか──YCC事案の事実関係

まず、報道と公式発表からわかっている事実を整理する。数値は最終確定ではなく調査の進捗で変動しうる点に注意されたい。

山形市の公式発表（2026年6月24日時点）によれば、攻撃は令和8年（2026年）4月2日に発生し、YCC情報システムのファイルサーバーが被害を受けた。山形市保有分として漏えいのおそれがあるとされたのは、健康情報システム（カナ氏名・生年月日・性別・受診年月日・電話番号・住所・保険者番号など）31,793人分、人事給与システム（氏名・住所・生年月日・マイナンバー・給料・手当等）6,167人分、児童相談システム（住所・氏名・生年月日・性別等）2,185人分である。人事給与・児童相談の対象者へは5月20日に通知が発送された。

一方、各社報道では発覚当初「山形市分として約50万件」という規模が報じられた。この報道値と、山形市が後日システムごとに示した人数（合計約4万人分）には差がある。件数（レコード数）と人数の違い、調査の進捗による精緻化などが背景にあると見られ、本記事では確定した公式の人数を基準とし、約50万件は初期報道ベースの数値として扱う。最新の確定情報は必ず各組織の公式発表で確認してほしい。

被害は山形市にとどまらない。日経クロステックの報道（2026年6月時点）によれば、被害を受けた組織は山形県内を中心に20近くに上り、対象は延べ100万件を超えるとされる。山形県（約2万6,800件）、山形交通、山形大学、埼玉県幸手市、山形県三川町・天童市・庄内町・高畠町、山形新聞社、関東信越税理士国民健康保険組合など、自治体・大学・民間・業界団体を横断して連鎖した。YCC情報システムは山形新聞社・山形放送グループの一員で富士通グループが出資するSIerであり、地域の行政・医療・交通・報道の情報基盤を一手に担っていたことが、被害の広がりを増幅した。

この事案が「今」読むべき理由は三つある。ひとつ目は、公表が段階的だったこと。第1報は4月3日、その後第4報で漏えい確認、さらに6月まで続報が重ねられた。委託元は事故発生を自分の目で見られず、委託先からの報告を待つ立場に置かれる。連絡が遅れれば、通知・対応・記者発表のすべてが後手に回る。ふたつ目は、攻撃経路が「管理者アカウントの認証情報の悪用による内部侵入の可能性」と報じられていること。特別なゼロデイではなく、権限管理という基本の穴が突かれた可能性が指摘されている。三つ目は後述する「契約終了後も残っていた古いデータ」の問題である。いずれも、どの委託関係にも潜む普遍的な落とし穴だ。

同じ構図は他業界でも繰り返されている。不動産分野で約49.6万人分の個人情報がダークウェブに流出した穴吹興産のランサムウェア被害事例も、企業側の教訓として合わせて確認しておきたい。

FREE DOWNLOAD

中小企業の脆弱性対応月次運用テンプレ

情シス1人体制でも回せる脆弱性棚卸・対応フローのテンプレート（Excel版）。

30分で相談するテンプレをDL

見落としがちな核心──「契約終了後も削除されていなかったデータ」

今回の事案で、委託する側がとりわけ重く受け止めるべき論点がある。日経クロステックの報道によれば、被害対象には山形交通の20年以上前（2002年度）のデータが含まれ、山形市職員は一部について「契約が終了しており、本来であれば削除されているべきデータだった」とコメントしたとされる。

これは「攻撃を防げなかった」という話ではない。委託先に渡したデータが、契約終了後も削除されず滞留し、被害を拡大させたという話だ。委託元の多くは、契約が切れた時点で「もう関係ない」と考える。だが物理的にデータが委託先のサーバーに残っていれば、その委託先が攻撃された瞬間に、過去の顧客・従業員・住民が漏えい対象になる。攻撃を受けていない、取引すら終わっている相手のせいで、自社が謝罪と通知に追われるのだ。

ここから導かれるGXOの判断は明快である。委託先管理は「渡すとき」だけでなく「引き揚げるとき・終わらせるとき」まで含めて設計しなければ穴が残る。契約書の情報セキュリティ条項に契約終了時のデータ返却・完全消去・消去証明の提出を必ず盛り込み、渡すデータそのものを必要最小限（データ最小化）に抑える。この二点は、費用も新技術も要らないのに、多くの中小企業の契約から抜け落ちている。

サプライチェーン型ランサムウェアが委託元に問う三つの責任軸

委託先が攻撃されたとき、委託元は「攻撃されたのは相手なのだから自社に非はない」とは言えない。実務上、責任は「契約」「監査・技術確認」「インシデント連絡体制」の三軸で問われる。下表は、各軸で問われる内容と、中小企業に典型的な不備を対応づけたものだ。

横にスクロールして確認できます

責任軸	問われる内容	中小企業に典型的な不備
契約	セキュリティ要件・再委託制限・監査権・漏えい時の報告義務・終了時のデータ削除を契約書に明記しているか	「業務委託基本契約」一本で個別条項なし。「法令を遵守する」程度の抽象表現
監査・技術確認	委託先の脆弱性対応・アクセス権限・多要素認証・ログ・リモート経路を定期的に確認しているか	年1回のアンケートのみで、証跡（認証書・診断報告書）は未確認
インシデント連絡体制	事故発生時、何時間以内に誰へ報告が来るか合意・演習しているか	連絡先が担当者個人の携帯のみ。夜間・休日の系統が未定義
データ最小化	渡すデータ項目・件数・保持期間を必要最小限に抑えているか	慣習的に全件・全項目を渡し、契約終了後も削除依頼をしていない
再委託管理	委託先の再委託（孫請け）先のセキュリティ水準まで把握しているか	再委託の存在自体を把握していない

この表の各行に「現状を書面で説明できるか」を自問するだけで、自組織の委託先管理の成熟度が見える。ひとつでも「説明できない」があれば、そこが今回のYCC型被害での説明責任の空白になる。攻撃対象領域を委託先まで含めて可視化したい場合は、委託先も含めた攻撃対象領域の可視化（脆弱性診断）から着手するのが現実的だ。

契約・技術・運用の三層で考える委託先管理

委託先管理は「契約書を交わして終わり」ではない。契約という骨格、技術的確認という中身、運用という継続監視の三層を組み合わせて初めて機能する。

契約層では、個人情報保護法が委託元に委託先の監督義務を課している点を出発点とする。委託契約書には、情報セキュリティ認証（ISMS／プライバシーマーク等）の取得状況または同等水準の自己評価、重大インシデント発生時の報告期限（例：認識から◯時間以内）、委託元による監査権、再委託の事前承認要件、そして契約終了時のデータ返却・消去・消去証明を明記する。専門家が委託契約で押さえるべきポイントとして、対策の履行と免責、状況変更・組織変更・オフショア化・M&A・再委託・侵害検知の通知、監査・証跡の提出、契約終了時の資産回収まで挙げているのは、この契約層をどこまで具体化できるかが勝負だからだ（GMOサイバーセキュリティ byイエラエの「委託契約の12の重要ポイント」参照）。既存契約が基本契約のみなら、更新時に個別のセキュリティ覚書を追加するのが出発点になる。

技術層では、委託先が処理するデータへのアクセス制御（最小権限・多要素認証）と通信経路の暗号化が最低限の確認事項だ。YCC事案で指摘された「管理者アカウントの認証情報の悪用」は、まさにこの技術層の権限管理の問題である。委託先のVPN・リモートアクセス環境はランサムウェアの主要侵入経路の一つであり、どのようなエンドポイント保護・EDR・ログ管理・バックアップ（オフライン保管とリストア試験）を導入しているかを、証跡付きで確認したい。ランサムウェアそのものへの多層防御はランサムウェアの予防・検知・対応・復旧を一気通貫で設計するの観点も参考になる。

運用層では、インシデント時の連絡フローを書面化し、定期的に机上演習する。「連絡先は担当者の名刺に書いてある」レベルでは、担当者不在の深夜・休日に事故が起きた場合、初動が数時間から数日遅れる。委託先・委託元の双方で緊急連絡先とエスカレーションフローを定め、年に一度は「委託先で事故が起きた」という想定で通報から通知までを通しで演習することが望ましい。社内に専任がいない場合は、セキュリティ運用を月額で伴走してもらう顧問（リテイナー）のように、外部の目を継続的に入れる選択肢が現実的だ。

発注前・委託中に確認すべきチェックリスト

以下は、GXOが委託先管理を点検する際に使う実務チェックリストである。上から順に、できていない項目があれば優先的に着手してほしい。

委託先リストと取り扱いデータの棚卸しが完了しているか：どのベンダーが何のデータ（項目・件数・機微性）を保有・処理しているかを一覧化する。これがないと事故時に影響範囲を即答できない。
渡すデータを必要最小限に絞れているか（データ最小化）：慣習で全件・全項目を渡していないか。マイナンバー等の機微情報を本当に委託先で扱う必要があるかを再確認する。
契約終了時のデータ返却・完全消去・消去証明が契約に入っているか：YCC事案では契約終了後の古いデータが被害を広げた。「終わらせ方」を契約で縛る。
契約書にセキュリティ要件・監査権・漏えい報告義務が明記されているか：「法令を遵守する」だけの抽象条項なら要改訂。報告期限を時間で定める。
再委託（孫請け）の有無と、再委託先のセキュリティ水準を把握しているか：再委託は事前承認制にし、承認なき再委託を禁じる。
委託先のアクセス権限・多要素認証・リモート経路を証跡で確認したか：認証書やアンケートだけでなく、脆弱性診断報告書やペネトレーションテスト結果の提示を求める。
自社のIRPが「委託先経由の漏えい」シナリオを含んでいるか：多くのIRPは自社への直接侵入前提。委託先ルートを追記する。
委託先のリスク格付けを行い、高リスク先を優先監査しているか：全委託先を同列に扱うのは非効率。件数・機微性・再委託の多さでランク付けする。
バックアップがオフライン保管され、リストア試験を定期実施しているか（自社・委託先双方）：暗号化されても復旧できる体制がランサムウェア被害の分岐点になる。

このチェックリストは、社内で回覧して「◯・△・×」を付けるだけでも診断として機能する。×が並ぶ領域が、あなたの会社の弱い環（サプライチェーンの中で最も切れやすい鎖）である。

ベンダー選定・発注時に「必ず聞くべき」質問

新規にシステム開発会社・SaaS・運用ベンダーを選ぶとき、機能と価格だけで比較すると、セキュリティの弱いベンダーを安値で選んでしまう。提案・見積もりの段階で、次の質問を投げると相手の成熟度が見える。答えが曖昧・即答できない・書面化を渋る場合は、要注意サインだ。

「弊社のデータはどのサーバー・どのリージョンに保存されますか。暗号化されていますか」
「御社の従業員・外注のうち、弊社データにアクセスできるのは誰で、権限はどう管理していますか。多要素認証は必須ですか」
「再委託（協力会社・オフショア）はありますか。ある場合、そのセキュリティはどう担保していますか」
「万一インシデントが起きたら、何時間以内に、どのルートで弊社に連絡が来ますか。夜間・休日は誰が対応しますか」
「契約終了時、弊社データはどう返却・消去されますか。消去証明は出せますか」
「直近で第三者の脆弱性診断やペネトレーションテストを受けていますか。結果の要約を共有してもらえますか」
「バックアップはオフラインでも保管され、リストア試験を定期的に行っていますか」

これらは「相手を疑う質問」ではなく、「事故が起きたとき一緒に説明できる相手か」を見極める質問である。良いベンダーほど、この質問を歓迎し、書面で答えてくる。逆に「そこまでは…」と言葉を濁すベンダーに機微データを預けるのは、YCC型被害の入口に自ら立つことに等しい。開発の見積もりや発注準備をどう組み立てるかを含めて整理したい場合は、セキュリティ体制の総点検と再構築を相談するところから始めるとよい。

見積もり・提案の「セキュリティ項目」の読み方

委託先の提案書や見積もりを受け取ったとき、セキュリティ費用は「オプション」「別途見積もり」として小さく扱われがちだ。ここで安さに引かれると、後で高くつく。読み方のポイントは三つある。

第一に、**セキュリティが「含まれているか、別料金か、そもそも項目にないか」**を確認する。項目に存在しないベンダーは、セキュリティを設計に織り込んでいない可能性がある。第二に、バックアップとリストア試験、権限管理、ログ保全が明記されているか。ランサムウェア被害の生死を分けるのはこの三点だが、見積もりでは省略されやすい。第三に、契約終了時のデータ消去と移行支援が費用に入っているか。ここが空欄だと、乗り換え時にデータが人質になり、古いデータが委託先に残り続ける。

安い見積もりが本当に安いのかは、「事故が起きたときの損失（通知・調査・信用毀損・行政対応）を織り込んで比較しているか」で決まる。目先の開発費だけで比べると、最も弱い鎖を最安値で買うことになりかねない。

GXOに相談すべきタイミング

次のいずれかに当てはまるなら、情報収集で止めず、第三者の視点を入れることを検討してほしい。委託先管理は「自社だけで完結しない」からこそ、外部の整理が効く領域だ。

委託先リストと取り扱いデータの棚卸しが未完で、事故時に影響範囲を即座に説明できない
委託契約のセキュリティ条項が「法令を遵守する」程度で、要件・監査権・報告期限・データ消去が明記されていない
委託先経由の漏えいを想定したIRP（インシデント対応計画）が存在しない、または長期間更新していない
再委託先の存在は把握しているが、そのセキュリティ水準を一度も確認したことがない
これから開発会社・SaaSベンダーを選定するが、選定基準にセキュリティをどう組み込むか決まっていない
すでに委託先で事故の兆候・連絡があり、初動をどう組むか判断できていない（この場合はインシデント発生時の初動対応を相談するを優先）

GXOはAI・DX・システム開発の実務を持つ立場から、委託先管理の体制整備・契約見直し・IRP策定を、現状の棚卸しから支援している。営業資料の説明よりも、現状・課題・判断材料の整理を先に行う進め方をとる。

よくある質問（FAQ）

委託先が攻撃されて情報が漏えいした場合、委託元も個人情報保護法上の責任を問われますか？

個人情報保護法には委託先の監督に関する規定があり、委託元にも管理責任が問われ得ます。適切な委託先選定、契約上の安全管理措置の規定、必要な監督を行っていたかが問われ、監督が不十分と判断されれば委託元も責任を負う可能性があります。逆に、選定・契約・監督を適切に行っていた場合は責任が軽減される余地もあります。該当性や義務の範囲は事案・契約内容・個別状況で異なるため、具体的な法令解釈は専門家に確認してください。

委託先のセキュリティ水準を、中小企業でも現実的に確認する方法はありますか？

代表的には、①情報セキュリティ認証（ISMS／プライバシーマーク等）の取得状況の確認、②セキュリティ自己評価アンケートの提出依頼、③脆弱性診断・ペネトレーションテスト結果報告書の確認、④契約に監査権を設けて書類確認や現地確認を行う、の四つです。全委託先を同じ深さで見るのは非効率なので、扱うデータの件数・機微性・再委託の多さでリスク格付けし、高リスク先から深く確認するのが現実的です。

既存の委託契約にセキュリティ条項が不足している場合、どう対処すればよいですか？

まず個人情報の件数が多い・機微性が高い・再委託が多い高リスクの委託先を特定し、次回更新時に条項追加を交渉するのが出発点です。更新まで期間がある場合は、覚書（合意書）の形でインシデント報告義務・監査権・契約終了時のデータ消去といった主要事項だけ先行して追加する方法もあります。新規委託については、今後の契約からセキュリティ要件を標準化しておくと管理コストを抑えられます。

契約が終了した委託先に、自社のデータが残っているかどうかを確認すべきですか？

はい。YCC情報システムの事案では、契約終了後も削除されずに残っていた20年以上前のデータが被害対象に含まれたと報じられています。過去に取引した委託先へ、データの保持状況の確認と、不要データの消去・消去証明の提出を依頼することは、コストをかけずにリスクを減らす有効な一手です。今後の契約では、終了時のデータ返却・消去を条項として必ず盛り込んでください。

サプライチェーン型ランサムウェアは自治体だけの問題ですか？

いいえ。YCC事案は自治体が目立ちましたが、山形交通・山形大学・業界団体・報道機関まで横断して連鎖しました。顧客データや従業員情報を外部ベンダーに預けている民間の中小企業も同じ構造のリスクを負っています。むしろ社内にIT・セキュリティの専任がいない中小企業ほど、委託先の状態を確認できておらず、弱い環になりやすいと言えます。

この記事のまとめ

委託先1社の陥落が、委託元である多数の組織の個人情報を連鎖的に危険にさらすのがサプライチェーン型ランサムウェアである。委託先の弱さは、そのまま委託元の漏えい責任になる。
YCC事案の事実は一次情報で確認を。山形市の公式発表（2026年6月24日時点）では健康情報31,793人・人事給与6,167人・児童相談2,185人。初期報道の「約50万件」は報道ベースの数値。被害は20近い組織・延べ100万件超に及ぶと報じられている。
攻撃経路は「管理者アカウント認証情報の悪用による内部侵入の可能性」、被害拡大の一因は「契約終了後も削除されていなかった古いデータ」。どちらも権限管理とデータ最小化という基本の穴。
委託する側は「契約・監査/技術確認・インシデント連絡体制」の三軸に、データ最小化と再委託管理、契約終了時のデータ削除を加えて点検する。
発注前・契約時にベンダーへ具体的な質問を投げ、答えを書面で得られるかで成熟度を見極める。見積もりはセキュリティ項目と事故時損失まで含めて比較する。

数値は最終確定ではなく調査の進捗で変わり得るため、最新情報は各組織の公式発表で確認してください。委託先管理の棚卸し・契約見直し・IRP策定を第三者と進めたい場合は、セキュリティ体制の総点検と再構築、継続的な伴走が必要ならセキュリティ運用の月額顧問（リテイナー）、事故対応が急ぐ場合はインシデント発生時の初動対応から相談できます。