この記事で分かること

  • サイバーセキュリティDD（CyberDD）の定義と、IT DD・法務DDとの役割分担
  • 調査範囲（体制・過去インシデント・規制対応）と評価の枠組み
  • 発見事項が価格・補償条項に反映される整数設例
  • 日本実務での位置付けと個人情報保護法・重要インフラ規制との関係（2026年8月時点）

30秒で分かる定義

サイバーセキュリティDD（Cybersecurity Due Diligence、読み方：さいばーせきゅりてぃでぃーでぃー）とは、M&Aの対象会社の情報セキュリティ体制、過去のインシデント（不正アクセス・情報漏えい等）の有無、規制対応状況を専門的に調査するデューデリジェンスの一分野です。サイバーDDとも呼ばれます。従来はITデューデリジェンスの一部として簡易に扱われることが多かった領域ですが、攻撃の高度化と規制強化を背景に、独立した専門ワークストリームとして発注されるケースが増えています。

なぜ実務で重要なのか

FA・PEにとっては、未検知のセキュリティインシデントが買収後に発覚すれば企業価値の毀損・訴訟リスクに直結するため、投資委員会の意思決定前に確認すべき重要論点です。経営企画・情報システム部門は、買収後の統合（PMI）でシステムを接続する前提として、対象会社のセキュリティ水準がグループ基準を満たすかを確認します。法務・コンプライアンスは、個人情報保護法上の報告義務や取引先との契約上の情報管理義務の遵守状況を確認し、補償条項の設計に反映させます。保険（W&I）の引受審査でも、サイバーリスクの精査結果が保険料率や免責事項に影響します。

仕組み：調査範囲と評価の枠組み

調査領域確認内容
ガバナンス体制CISO等の責任者の有無、セキュリティポリシー・規程の整備状況、予算配分
技術的統制アクセス管理、脆弱性管理、外部委託先（クラウド・SaaS）の管理状況
過去のインシデント不正アクセス・情報漏えい・ランサムウェア被害の有無と対応状況、未解決の脅威の残存有無
規制・契約上の義務個人情報保護法上の報告義務対応、取引先との契約上のセキュリティ条項の遵守

調査手法は、外部からの脅威インテリジェンス調査（パッシブスキャン）と、対象会社への質問票・資料開示に基づく内部調査を組み合わせるのが一般的です。発見された論点は、他のDD分野と同様にレッドフラグレポートに重要度別（クリティカル・重要・軽微）に整理されます。

整数設例で確認する

設例（架空数値・単位：百万円）。CyberDDの結果、対象会社の基幹システムに未対応の重大な脆弱性が見つかり、早期の改修が必要と判定されたとします。

  • 想定改修費用（システム更改・監視体制強化）：150
  • 改修完了までの想定期間：6か月、その間の追加モニタリング費用：月10 × 6か月 ＝ 60
  • 改修・モニタリング費用の合計 ＝ 150 ＋ 60 ＝ 210

買い手は、この210百万円を株式価値算定書における価格調整の減額要因として提示するか、あるいは表明保証違反時の補償の裏付けとしてエスクローに210百万円を積み増すよう交渉します。仮に価格を210百万円減額する代わりにエスクローで対応する場合、既存のエスクロー設定額が300百万円であれば、上乗せ後は 300 ＋ 210 ＝ 510百万円がクロージング後一定期間留保される計算になります。

投資判断への影響

サイバーセキュリティ上の重大な欠陥は、修復コストの金銭的影響にとどまらず、規制当局からの行政指導・課徴金、取引先からの契約解除、ブランド毀損といった定量化しにくいリスクを伴います。PEの投資委員会では、CyberDDの結果が「クロージング前提条件（是正計画の実行確認）」とされることや、投資後100日プランの最優先項目にセキュリティ強化が組み込まれることがあります。重大な未解決インシデントが継続中の場合、買収そのものを見送る判断材料にもなり得ます。

財務モデル・Excelでの使い方

  • 発見された論点ごとに「想定改修費用」「発生時期」「対応の緊急度」を一覧化し、価格調整モデルの減額項目シートに接続する
  • 統合後の追加セキュリティ投資（監視ツール導入・人員増強）をPMIコストのラインアイテムとして100日プランの予算に反映する
  • クリティカルな論点についてはエスクローまたは特別補償の対象金額として、補償条項のシートに紐づけて管理する

この用語をExcelで「組める」状態にする

DDで発見された論点を価格調整・エスクロー・PMI予算のいずれに反映するかを整理し、モデルに落とし込む力をつける。

M&A実務教材でDD論点の反映方法を学ぶ →

実務家が確認するポイントとよくある誤解

誤解1：「サイバーセキュリティDDはIT DDに含まれるから別途不要」→ 正しくは、IT DDがシステムのアーキテクチャや保守性を見るのに対し、CyberDDは脅威・脆弱性・インシデント対応力という異なる専門性を要します。重要な業種（金融・インフラ・個人情報を大量に扱う事業等）では独立した専門会社への発注が一般的です。

誤解2：「過去にインシデントがなければ安全」→ 正しくは、検知の仕組みが不十分なために発覚していないだけの可能性があります。ログの保管状況や監視体制の実効性を確認しない限り、「インシデントなし」は安全の証明にはなりません。

日本実務での扱い（2026年8月時点）

個人情報保護法上、一定規模以上の漏えい等が発生した場合は個人情報保護委員会への報告および本人への通知が義務づけられています。対象会社が過去にこうした報告義務のある事案を経験していないか、報告が適切に行われていたかはCyberDDの重要な確認項目です。また、電気・金融等の重要インフラ事業者が関わるM&Aでは、サイバーセキュリティに関する体制整備状況が、経済安全保障推進法に基づく基幹インフラの事前審査制度における審査対象ともなり得るため、業種によってはCyberDDの結果が規制対応の観点でも重要になります（2026年8月時点）。

面接・モデルテストで問われるポイント

Q：CyberDDで重大な脆弱性が見つかった場合、買い手はどのような対応を取り得ますか。
「価格算定に改修費用相当額を反映して減額交渉を行う方法と、エスクローや特別補償で将来の顕在化リスクに備える方法があります。加えて、是正計画の実行をクロージングの前提条件とすることや、統合後100日プランの最優先項目としてセキュリティ強化を組み込む対応も考えられます。」（30秒回答例）

深掘りでは「CyberDDとIT DDの役割分担」「W&I保険がサイバーリスクをどこまでカバーするか」が問われます。

よくある質問（FAQ）

Q. CyberDDは全てのM&A案件で実施されますか？
A. 全案件で必須ではありませんが、個人情報を大量に扱う事業、重要インフラ事業、ITシステムへの依存度が高い事業では実施される頻度が高まっています。案件規模やリスクプロファイルに応じて実施の要否が判断されます。

Q. CyberDDの結果はW&I保険の保険料に影響しますか？
A. 影響します。保険会社は引受審査（アンダーライティング）の過程でDD報告書を確認し、サイバーリスクに関する開示が不十分な場合は当該リスクを免責事項とするか、保険料率に反映することがあります。

出典・参考（2026-08確認）

※本記事は教育目的の一般的な解説であり、法務・税務・投資助言ではありません。設例は理解のための架空数値です。

共有: