【クラウド法務】再委託（国外）× 監督責任で揉めやすい3つのポイント— 海外SOC／海外下請けが絡むSIEM・クラウド運用委託で、「誰が責任を負うのか」を契約で固定する（再委託（国外） 監督責任 条項）—

導入：運用は回っている。でも「海外の誰が触っていて、最終責任は誰か」が説明できない

SIEM運用（Microsoft Sentinel など）やクラウド運用を委託すると、24/365監視や一次切り分けが現実的になり、スピードも上がります。ただ、実務では “委託先がさらに海外に再委託している（海外SOC・海外下請け）” ケースが珍しくありません。

全国の情シス・セキュリティ担当の方から相談を受けていると、次のような声を非常によく耳にします。

• 「委託先の説明では“うちが対応します”だが、実際は 海外SOCが見ている らしい」

• 「監査や取引先から“再委託先はどこ？誰が監督してる？”と聞かれて、契約と体制で答えられない」

• 「いざ事故が起きると、“それは再委託先の作業”と言われ、責任の所在が曖昧 になるのが怖い」

本記事では、**「再委託（国外）×監督責任 条項」**という視点から、全国の案件で実際に見えてきた落とし穴と、契約・運用で揉めないための整理方法をまとめます。

1. 現場で実際に起きている「国外再委託」の構成イメージ（技術の事実整理）

まずは技術として、何が起きているかを揃えます。国外再委託の論点は、法律論より先に “データと権限の流れ” が見えていないと整理できません。

1-1. 典型構成（テキスト簡易アーキテクチャ）

• ログ発生源

  • Entra ID：Sign-in / Audit / PIM昇格・ロール変更

  • Azure：Activity Log / 診断ログ（Key Vault / Storage / NSG / WAF 等）

  • M365：監査ログ、SharePoint/OneDrive/Exchange/Teams の操作痕跡

  • EDR/NW：Defender アラート、FW/WAF/Proxy/DNSログ

• 集約先（ここが分岐）

  • パターンA：自社テナント内の Sentinel / Log Analytics に集約

  • パターンB：委託先のSIEM基盤（委託先テナント）に転送・集約

• 運用体制（ここで国外再委託が混ざる）

  • 国内MSP／MSSPが一次窓口

  • ただし、夜間・休日・多言語対応のため海外SOC（別法人／別拠点／再委託先）が一次判定・調査 を行う

  • 報告書やエスカレーションは国内窓口が取りまとめる

ここまでは技術の話として“よくある構成”です。

そして、ここからが法務です。

「再委託先が海外にいる」こと自体が問題なのではなく「誰が何を監督し、何が起きたら誰が責任を負うか」を契約で固定していないことが、後から必ず揉めます。

2. 全国の案件で見えてきた「国外再委託×監督責任」の落とし穴3選

① 再委託が“包括許可”で、どの国・どの会社が触るか把握できない

技術的にはOK委託先は「体制上必要に応じて再委託します」と言い、運用は回る。

法務・監査的にはNGになりやすい

• 契約が「再委託可（必要な範囲）」のように抽象的で、再委託先の国・法人・業務範囲が確定しない

• 監査や取引先照会で「誰がアクセスできるのか」を問われ、“実態”を示す根拠（契約・別紙・台帳）が出せない

• 事故時に「誰が触ったか」の追跡が遅れ、説明責任が崩れる

② “同等義務（フロー・ダウン）”が弱く、再委託先の統制が穴になる

技術的にはOK委託先（一次請け）は厳格な要件で契約しているつもり。

実務・対外説明上NGになりやすい

• 再委託先に対して

  • アクセス制御（個人アカウント、MFA、最小権限）

  • 操作ログの記録・提出

  • ログ保持期間・保全（保全要請への従属）

  • 目的外利用（学習利用）禁止などの同等義務が契約で貫通していない

• 結果として、事故後に「一次請けは守っていたが、再委託先の運用が穴だった」という最悪のパターンになる

③ 監督責任と賠償・報告・証跡提出が曖昧で、事故後に“責任の押し付け合い”になる

技術的にはOKインシデント対応自体は動く（ように見える）。

法務・交渉面でNGになりやすい

• 「再委託先がやったことは一次請けが責任を負う」の条文が弱い／ない

• 事故時の

  • 一次通知期限

  • ログ保全

  • 証跡提出

  • 再発防止報告が“努力義務”止まり

• 取引先・監査が求めるのは「原因」だけでなく**“監督が機能していた証跡”**なので、ここが出せないと信用事故化しやすい

3. 再委託（国外）と監督責任を整理する「契約設計フレーム」3つ

技術構成を大きく変える前に、最低限この3点を紙に落とすと、条項がブレなくなります。

① 再委託の「範囲」と「許容条件」を限定する（国・法人・業務・アクセス）

契約で最低限決めたいのはここです。

• 再委託は 事前の書面承諾制 にする（例外を作るなら条件を限定）

• 再委託先を 別紙で特定（国・法人名・拠点・担当業務）

• 国外SOCが関与する場合

  • どの国からアクセスするか

  • ログが国外保管されるのか（or 国内保管で国外アクセスのみか）

  • 対象データの範囲（生ログ、派生データ、インシデント記録）を固定する

「再委託OK/NG」ではなく、“どういう再委託ならOKか” を条文化するのが現実的です。

② 再委託先にも「同等義務」を貫通させ、監督の“証跡”を出せるようにする

再委託条項は、許可だけ書いても意味がありません。フロー・ダウン（同等義務）＋監督証跡がセットです。

• 守るべきセキュリティ要件（個人アカウント、MFA、最小権限、端末制限、操作ログ）

• ログの提出義務（監査・取引先照会・インシデント時の期限と形式）

• ログ保持期間・保全（リーガルホールド要請が来たら削除停止できる）

• 目的外利用（学習利用）禁止

• 再委託先の要員管理（教育、守秘、退職・異動時の剥奪）

• 監督の方法（監査権、報告、定例レビュー、抜き打ち検査の可否）

ポイントは、「監督しています」と言える運用証跡が残ることです。

③ “最終責任”を一次請けに残し、事故時の報告・提出・費用・賠償を現実的に固定する

ここが曖昧だと、事故後に絶対揉めます。

• 再委託先の行為は、一次請けが責任を負う（免責しない）

• インシデント通知の期限（一次報告／詳細報告）

• 証跡提出（ログ・派生データ・調査メモ・チケット履歴）

• 原因分析・再発防止の協力義務

• 追加調査・保全の費用負担（標準範囲／追加作業の線引き）

• 契約終了・再委託先変更時のアクセス剥奪、データ削除、削除証明、ログ移管（出口設計）

3.5 すぐ使える「再委託（国外）・監督責任」条項たたき台（骨子＋文例）

※以下は一般的なたたき台です。実際は「ログの所在（自社/委託先）」「海外SOCの国」「取引先要件」に合わせて調整します。

条項案1：国外再委託の事前承諾＋別紙特定

• 文例「受託者は、発注者の書面による事前承諾なく、本業務を第三者に再委託してはならない。国外拠点または国外法人が本業務に関与する場合、受託者は当該国・地域、法人名、拠点、担当業務の範囲を別紙に定め、発注者の承諾を得るものとする。」

条項案2：同等義務（フロー・ダウン）＋監督責任

• 文例「受託者は、承諾を得た再委託先に対し、本契約と同等の義務（秘密保持、目的外利用禁止、ログ保全・提出義務、セキュリティ要件等）を課し、当該義務の履行を監督する。受託者は、再委託先の行為について、自己の行為と同一の責任を負う。」

条項案3：監督の実効性（報告・監査権・是正命令）

• 文例「発注者は、合理的な範囲で、受託者および再委託先の業務実施状況（アクセス記録、操作ログ、教育・要員管理状況を含む）の報告を求めることができる。受託者は、発注者から是正要請があった場合、期限を定めて是正措置を講じ、その結果を報告する。」

条項案4：再委託先の変更・追加

• 文例「受託者は、再委託先の追加・変更を行う場合、事前に発注者へ通知し、発注者の承諾を得るものとする。発注者が合理的理由により不同意とした場合、受託者は代替案を提示する。」

条項案5：インシデント時の通知・証跡提出（再委託先分も含む）

• 文例「インシデント（疑いを含む）を認知した場合、受託者は所定期限内に発注者へ通知し、再委託先に起因するものを含め、関連ログ・証跡・調査記録を提出し、原因調査および再発防止に協力する。」

条項案6：越境の制御（国外アクセス／国外保管の限定）

• 文例「受託者および再委託先による国外からのアクセスまたは国外での保管は、別紙に定める国・拠点に限定し、目的外利用を禁止する。別紙に定めのない国・拠点からのアクセスまたは保管を行う場合、受託者は事前に発注者の承諾を得る。」

4. ケーススタディ：SaaS企業A社（売上150億、上場企業顧客多数）の場合

実際に当事務所でご相談を受けた事例の一つをご紹介します（業種等は匿名化しています）。

• 業種：BtoB SaaS

• 売上規模：約150億円

• 状況：Sentinel運用をMSSPへ委託。24/365の一部を海外SOCが担当

• テーマ：再委託（国外）を前提に、監督責任・証跡提出・越境統制を契約で固定する

課題の整理

• 顧客監査で「海外SOCの関与」「再委託先の統制」「誰が監督しているか」を問われた

• 契約は一般的な委託条項中心で、再委託先の特定・同等義務・監督証跡が弱かった

• インシデント時に再委託先分のログ提出がどこまで出るか不安だった

当事務所の支援内容（抜粋）

• データフローと権限の棚卸し（国外アクセス／国外保管／再委託先の業務範囲）

• 再委託（国外）条項の整備（事前承諾、別紙特定、同等義務、監督・報告）

• インシデント時の証跡提出・保全・期限を条項化

• 顧客監査に出せる「統制ストーリー」（契約＋運用証跡＋説明資料）を整備

結果として

• 「海外SOCが関与しても、こう監督している」という説明ができ、監査対応が安定

• 事故時に“再委託先のせい”で止まらないよう、提出・協力の枠組みが固まった

• 将来の委託先変更も、再委託先の差し替え・出口設計が見える形になった

5. 今すぐ確認しておきたいチェックリスト（再委託（国外）×監督責任）

• □ 再委託の有無、再委託先（国・法人・拠点・業務範囲）が 別紙で特定 されている

• □ 再委託は 事前承諾制（例外があるなら条件が限定）になっている

• □ 再委託先にも 同等義務（秘密保持、目的外利用禁止、ログ提出、保全、セキュリティ要件） が貫通している

• □ 「再委託先の行為は一次請けが責任を負う」が明文化されている

• □ 監督の実効性（報告、監査権、是正、再委託先変更）が担保されている

• □ インシデント時に、再委託先分を含む 通知期限・証跡提出・保全 が決まっている

• □ 越境（国外アクセス／国外保管）の条件が、国・拠点まで含めて限定されている

• □ 契約終了時のアクセス剥奪、ログ移管、削除、削除証明まで出口がある

「全部YES」と言える企業は、全国的に見てもまだ多くありません。

6. 全国からのご相談について

山崎行政書士事務所では、**Azure / Entra ID / M365 / SIEM（Sentinel等）の技術構成と、再委託（国外）・越境・監督責任・ログ提出・保全までをセットで整理する『クラウド法務支援』**を行っています。

• 海外SOCや国外再委託が絡み、監査・取引先説明が不安

• 再委託先に同等義務が貫通しておらず、統制の穴になっている

• 事故後に揉めないよう、監督責任・証跡提出・出口設計を契約で固めたい

といったお悩みがあれば、**オンライン（全国対応）**にて初回のご相談を承っております。

👉 ご相談フォームはこちら

👉 お問い合わせの際に、「再委託（国外） 監督責任 条項の記事を見た」 と書いていただけるとスムーズです。

※本記事は一般的な情報提供であり、個別案件の法的助言ではありません。実際の条項設計は、データの所在（自社/委託先）、海外SOCの国・体制、取引先要件、社内規程に合わせて個別に整理することをおすすめします。