取引先クラウドで事故発生！企業が最初に確認すべき重要事項

「取引先が利用しているクラウドサービスで、サイバー事故が発生しました」

突然こんな連絡が届いたら、社長は何から確認すればよいでしょうか。

取引先の事故だから自社には関係ないと思うかもしれません。しかし、そのクラウドサービスに自社の顧客情報や見積書、契約書などが保存されていれば、影響を受ける可能性があります。

さらに、情報漏えいが発生していなくても、システムの停止によって受発注や請求、取引先との情報共有ができなくなることも考えられます。

大切なのは、事故の発生だけで被害を決めつけず、自社にどのような影響があるのかを順番に確認することです。

この記事では、取引先のクラウドサービスで事故が発生した際に、経営者が最初に確認したい事項と具体的な対応を整理します。

1．取引先のクラウド事故で何が問題になるのか

現在、多くの企業がクラウドサービスを利用して業務を進めています。顧客管理、見積書の作成、請求業務、ファイル共有など、日常的な仕事を支える重要な仕組みになっています。

例えば、取引先が利用しているクラウドサービスに不正アクセスが発生し、その中に自社の情報も保存されていた場合、情報漏えいの影響を受ける可能性があります。

また、取引先のシステムが停止すると、必要な書類を受け取れない、注文内容を確認できない、請求処理が進まないといった問題につながることも考えられます。

2．最初に確認したい3つの事項

事故の連絡を受けた際、最初から原因や被害の全体像を把握することは難しい場合があります。まずは、確認する項目を絞り、必要な情報を整理しましょう。

① どのような事故が起きたのか

不正アクセス、ランサムウェア、情報漏えいの疑い、システム障害など、事故の種類を確認します。原因が調査中の場合は、現時点で判明している事実だけを記録します。

② どのサービスに影響があるのか

サービス名や利用できない機能、影響を受けている期間を確認します。自社が直接利用していなくても、取引先との業務に関係するサービスであれば確認が必要です。

③ 自社の情報や業務に関係するのか

顧客情報、契約書、見積書、図面などが保存されているか、サービスの停止によって自社の仕事に影響が出るかを調べます。

3．自社の情報が保存されているか確認する

取引先のクラウドサービスに、自社のどのような情報が保存されているのかを確認します。直接アップロードした情報だけでなく、取引先へメールなどで送付し、その後クラウド上で管理されている情報も対象になる場合があります。

特に建設業では、施工図面や工程表、協力会社の連絡先などをクラウド上で共有する機会があります。自社だけでなく、元請会社や協力会社の情報が含まれていないかも確認したいところです。

4．情報漏えいの可能性を調べる

クラウドサービスに不正アクセスが発生した場合でも、保存されていた情報がすべて流出したとは限りません。自社の情報が事故の対象に含まれているか、第三者による閲覧や持ち出しが確認されているかを調べます。

取引先から「現在調査中」と説明された場合は、情報漏えいが確認されたのか、漏えいの可能性を調査している段階なのかを区別してください。

個人情報が関係する場合は、個人情報保護法に基づく報告や本人通知が必要になるケースもあります。事故の内容や自社の立場によって対応が異なるため、必要に応じて専門家や関係機関へ確認します。

制度については、個人情報保護委員会の公式サイトを確認してください。

5．業務停止による影響を確認する

クラウド事故で注意したいのは、情報漏えいだけではありません。サービスが利用できなくなることで、日常業務が停止する可能性もあります。

例えば、受発注システムが停止すれば注文内容の確認ができなくなり、請求システムが使えなければ請求書の発行に支障が出る場合があります。

建設会社では、図面共有や工程管理のサービスが停止すると、現場との情報共有や協力会社との調整が難しくなることも考えられます。

どの業務が止まると困るのか、どの程度の期間なら対応できるのかを把握しておくことが重要です。

6．取引先へ質問したい具体的な事項

取引先へ連絡する際は、事故原因の詳細だけを求めるのではなく、自社の判断に必要な情報を優先して確認します。すべての回答がすぐに得られるとは限らないため、次回の報告予定も確認しておきましょう。

• 事故が確認された日時と現在の状況
• 影響を受けているサービスや機能
• 自社の情報が対象に含まれている可能性
• 情報の閲覧や持ち出しが確認されているか
• 自社で実施すべき安全対策の有無
• サービスの復旧見込みと代替手段
• 今後の報告予定と緊急連絡先

7．社内で優先したい初動対応

取引先から事故の連絡を受けたら、社内の関係部署へ必要な情報を共有します。営業、経理、総務、情報システム担当など、影響を受ける可能性がある部署を確認してください。

また、事故の対象となったクラウドサービスと自社のシステムが連携している場合は、接続状況や利用権限を確認します。認証情報の流出が疑われるときは、パスワード変更や多要素認証、連携の一時停止などを検討します。

ただし、調査に必要なログや設定情報を不用意に削除すると、原因の確認が難しくなる場合があります。必要に応じて専門家と相談しながら対応を進めましょう。

8．連絡内容と証拠を保存する

事故対応では、何が起き、いつ、誰が、どのように対応したのかを記録しておくことが重要です。後日、取引先への確認や顧客への説明が必要になった際にも役立ちます。

• 事故の連絡を受けた日時
• 連絡してきた取引先の担当者
• 取引先から説明された内容
• 自社で確認した影響
• 実施した対策とその日時
• 業務停止時間や追加費用
• 今後の確認事項と担当者

9．顧客や関係先への連絡を判断する

自社の顧客情報や取引情報に影響が及んでいる場合は、顧客や関係先への連絡が必要になることがあります。ただし、事故の内容や契約関係、法令上の義務によって、連絡先や連絡時期は異なります。

特に個人情報が関係する場合は、報告や本人通知の要否を確認することが重要です。法令上の期限が適用されるケースもあるため、取引先の最終報告を待つだけでよいとは限りません。

説明する際は、確認済みの事実、現在の対応、今後の連絡予定を整理します。不明な点は調査中と伝え、推測を事実として説明しないことが大切です。

10．復旧までの業務継続を考える

クラウドサービスの復旧に時間がかかる場合、自社の業務をどのように継続するかを考える必要があります。日頃から代替手段を用意しておけば、突然の停止にも対応しやすくなります。

例えば、必要な資料の安全な控えを保存する、別の連絡手段を決めておく、重要な取引先の緊急連絡先を整理するといった準備が考えられます。

ただし、事故の原因が不明な段階で、影響を受けたデータや接続を別のシステムへ移すと、被害が広がる可能性があります。安全性を確認したうえで代替手段を利用してください。

事業停止への備えについては、サイバーBCPと復旧訓練の解説記事も参考になります。

11．サイバー保険で確認したいこと

取引先のクラウド事故によって自社に費用や損害が発生した場合、加入しているサイバー保険の内容を確認することも大切です。

ただし、取引先で事故が発生したからといって、自社の保険で必ず補償されるわけではありません。事故原因、補償対象となる損害、外部委託先に関する条件、特約、免責事項などによって判断が異なります。

調査費用や復旧費用などが発生する場合は、費用を支出する前に保険会社や代理店へ連絡し、必要な手続きや条件を確認しておくことが重要です。

基本的な補償の考えについては、中小企業向けサイバー保険の実務ガイドも参考になります。

12．社長が使える確認チェック表

取引先からクラウド事故の連絡を受けた際は、次の項目を確認してください。すべてを一度に判断する必要はありませんが、確認できた事項と未確認事項を分けて管理することが重要です。

13．まとめ｜今日からできる対策

取引先のクラウドサービスで事故が発生した場合、最初に大切なのは、自社への影響を正確に確認することです。情報漏えいの可能性だけでなく、業務停止や取引先との連絡にも目を向ける必要があります。

事故の種類、自社情報の保存状況、業務への影響、必要な初動対応を順番に整理すれば、慌てずに判断しやすくなります。

また、クラウドサービスに限らず、外部からの攻撃で業務が止まるリスクについては、工場のランサムウェア被害に関する解説記事も参考になります。

参考となる公的機関

• 独立行政法人情報処理推進機構（IPA）
• 個人情報保護委員会
• JPCERTコーディネーションセンター

本記事は一般的なクラウドサービスの事故対応について解説したものです。特定企業の事故や被害を示すものではありません。実際の対応は事故の状況、契約内容、法令上の義務などに応じて判断してください。