October 18, 2026

依存先サービスでインシデントが起きたとき、サービス提供者としてどう振る舞うか

システム障害でもセキュリティ事故でも、インシデントの原因は大きく二つに分けられます。一つは自社のコード、設定、運用ミスなどの自社起因。もう一つは、クラウド基盤、SaaS、CMS、決済サービスなど、自社が利用している外部サービスで起きた事象による自社以外の依存起因です。後者は、自社だけではどうにもできない部分を含みます。

この記事では、後者の「依存先（以下、システム提供者）」でインシデントが起きたときに、自社のお客様にサービスを提供する立場として、私たちがどう振る舞うべきだと考えているかをまとめます。

1. 自社起因と自社以外の起因を明確に切り分ける

最初の原則は、原因の切り分けを曖昧にしないことです。

自社起因の問題を、依存先の問題であるかのように書くことは絶対にしてはいけません。たとえば「外部サービスの不具合により」と書いておきながら、実際には自社の設定ミスが主因だった、というケースです。一時的に責任を軽く見せられたとしても、事実が明らかになった時点で信頼は大きく損なわれます。

逆に、原因がまだ分からない段階で「外部要因」と決めつけることも避けます。分からないことは「調査中」と書けば十分です。報告文では、提供元が公表した情報と自社が確認した情報を、主語や見出しではっきり分けて書くようにします。

2. 依存先を選んだのは自社である

原因が依存先にあったとしても、そのサービスを選び、そこにデータを置き、その使い方を決めたのは自社です。そのため、インシデントの責任をシステム提供者だけに押し付けることはしません。

「このサービスに、本当にこのデータを置き続ける必要があったか」「万一のときに被害を小さくできる設計だったか」と考えると、自社側にも改善できる点は必ず見つかります。それを率直に認めて、再発防止策として公表することが、お客様への誠実さだと考えています。

3. システム提供者の揚げ足を取らない

インシデントの最中、システム提供者は調査と復旧に全力で取り組んでいます。インシデント対応に関わる者として、その大変さはよく分かります。発表の言い回しや対応の遅さを外から批判しても、状況は何も良くなりません。

それより先にやるべきことは、提供元のインシデント報を読み、自分たちの責任として「何が起きているのか」と「自社にどう影響するのか」を把握することです。

その際に知っておくべきなのは、システム提供者は利用者一社一社の環境や業務フローをほとんど把握できていない、という点です。専任のアカウント担当がつくようなサービスでもなければ、「あなたの会社の場合はこうすべきです」と個別に判断することはできません。特に法的な対応や経営判断が必要な内容について、提供元が踏み込めないのは当然です。そこは、利用者である自社が判断しなければならない領域です。

4. 客観的な事実を並べて集める

判断の材料として、まず主観を含まない事実だけを集めて並べます。

提供元が公表した内容：発生期間、検知日時、遮断・修正の日時、影響を受けた可能性のあるデータの種類。推測や解釈を加えず、出典と一緒に記録します。
自社がそのサービスで扱っていたもの：どのデータを、いつから、どの範囲で保存していたか。
他システムとの接続：そのサービスから自社の他のシステムやデータにアクセスできる連携があるかどうか。
自社が取った対応とその日時

「影響はありません」と書くなら、その根拠も事実として示せるようにしておきます。たとえば「該当サービスは製品基盤から分離されており、相互にアクセスできる連携がないことを確認済み」といった形です。

5. 専門家に相談する

事実がそろったら、社内の法務担当や顧問弁護士に相談します。個人情報が関わる場合、個人情報保護法にもとづく個人情報保護委員会への報告や、本人への通知が必要になることがあります。誰が報告の主体になるのか、いつまでに何を出すのかといった判断は、まさに専門家の判断が必要な部分です。

なお、個人情報保護委員会は、クラウドサービス提供事業者が利用事業者の報告を代行する場合の記載例も公開しています。

顧問弁護士がいないフリーランスや小規模事業者の場合は、弁護士会の法律相談や、日本弁護士連合会の中小企業向け相談窓口（ひまわりほっとダイヤル）などでスポット相談をするのも一つの手です。

ただ、弁護士の側から見ても、有事の真っ只中に初めて相談を受け、事業の中身をゼロから把握しながら急いで助言するのは簡単ではありません。平時から顧問契約を結び、自社の事業やシステム構成を知ってもらっておくことが、いざというときに一番効きます。

おわりに

依存先のインシデントは、自社ではコントロールできない出来事です。それでも、お客様から見れば「あなたの会社のサービスで起きたこと」に変わりはありません。

原因を正直に切り分け、依存先を責めるのではなく自社の責任の範囲を引き受け、客観的な事実と専門家の判断にもとづいて動くこと。これが、サービスを提供する側として果たすべき責任だと私たちは考えています。