運営: 株式会社M&A Do / 秘密保持徹底サイバーセキュリティ会社のM&A・売却｜SOC・MSSPの承継
サイバーセキュリティ会社の売却では、契約だけでなく、監視・診断を提供する人材と運用の引継ぎが重要です。SOC・MSSP、脆弱性診断、自社SaaSを分け、収益、サービスの責任範囲、データ・権限を整理します。
継続契約と、提供できる体制を対応させる
SOC・MSSPの監視運用、単発の脆弱性診断、自社製品、他社製品の再販では、売上の続き方と必要な資源が違います。月額契約の金額だけでなく、契約ごとの監視対象、対応時間、顧客への報告範囲、運用費を確認します。
特定の技術者だけが把握する検知ルールや顧客固有の設定、引継ぎが難しい夜間対応も確認事項です。個人の能力を過小評価せず、手順・副担当・教育期間を整理して、承継後にサービスを提供できる条件を説明します。
初回相談で認証情報や生ログは不要
顧客名を管理番号へ置き換え、業種、契約期間、サービス区分、月額・単発売上、担当人数を集計します。パスワード、APIキー、秘密鍵、実環境の詳細構成、生ログを初回資料に含める必要はありません。
詳細調査では、必要な情報と目的を先に決め、マスキングした資料や権限を制限した閲覧などを検討します。NDAだけで全て開示できるとは扱わず、顧客との契約、利用目的、保管・削除、交渉不成立時の対応を確認します。
初回相談に向けてそろえる資料
資料が全て完成していなくても、所在と不足点を一覧にすると確認を進めやすくなります。以下は法定提出資料の一律一覧ではなく、売却検討のための整理例です。
表は横にスクロールできます。
| 項目 | 資料例 | 確認すること |
|---|---|---|
| サービス別の収支・契約 | 監視運用、診断、自社SaaS、再販別の売上・費用、更新・解約の集計 | 継続収益と一時売上を分ける。解約率などは期間、顧客数・金額のどちらを使うかをそろえる。 |
| SLAと顧客対応 | 監視対象・時間、通知先、対応範囲、報告期限、契約上の通知・承諾条件 | 検知・一次調査・封じ込め等の担当を区別する。顧客側の役割、再委託、経営変更時の条件を確認する。 |
| 技術者と運用手順 | 役割別人数、シフト、副担当、教育計画、手順書と診断レポートのひな型 | 属人化と夜間・休日の対応力、主要人材の継続意向、採用・教育の費用を確認する。氏名は初期資料から分離する。 |
| 知財・製品・ライセンス | 自社開発と外部製品の区分、検知ルール等の権利関係、利用・再販・基盤契約 | 所有する権利と使う権利を分ける。顧客との共同開発、委託成果物、第三者製品の移転・更新条件を確認する。 |
| データ・権限・委託先 | データ分類、保管場所・保持期間、役割別権限、顧客分離、再委託先の一覧 | 顧客契約と利用目的を確認する。初期段階で実際の認証情報や生ログを配布せず、必要な閲覧範囲を決める。 |
| 未完了対応と移行計画 | 重大アラート・調査中案件の件数と状況、報告義務、移行工程、連絡・切戻し手順 | 新旧担当者、顧客通知、権限再設定と不要権限の終了、移行中の監視・報告の担当を明確にする。 |
顧客契約・登録・データの引継ぎを分けて確認する
顧客契約：株式譲渡で同じ法人が続く場合と、別法人へ事業を移す場合を分け、譲渡・支配関係変更、通知・承諾、再委託、解約に関する条項を確認します。契約を読まずに顧客が全て継続すると見込まず、更新予定と未確定の承諾を一覧に残します。
登録・認証：IPAの情報セキュリティサービス基準適合サービスリストは、サービス単位の掲載です。対象サービス、提供法人、審査登録機関、有効期限を確認し、取引で法人・担当者・運用体制が変わる場合の手続を関係機関に確認します。掲載を会社全体の品質や無事故の保証、警備業の認定と同じ制度として扱いません。
個人データ：事業承継や交渉時の調査に関する取扱いには条件があります。個人情報保護委員会のガイドラインを踏まえ、元の利用目的、取扱方法、漏えい時・交渉不成立時の措置などを整理します。顧客から預かった情報は委託契約も確認し、海外への移行がある場合は別途検討します。
価格の検討から運用移行までの進め方
- 収益の定義をそろえる：継続契約と診断案件の採算を分け、運用要員、外注、クラウド、製品ライセンスの費用を対応させます。売上総額だけでなく、提供体制を維持した後の利益を説明します。
- 継続に必要な条件を整理する：主要顧客の更新、技術者の継続、製品・基盤契約の制約、未解決インシデントや改善費用を確認します。価格は資産・負債やこれらの条件も踏まえて協議し、一律の売上倍率で確定しません。
- 実行前に移行担当を決める：顧客への連絡、担当者と権限の切替、監視・報告の確認、問題時の切戻し、旧権限の停止を工程化します。移行日だけでなく、誰が完了を確認するかも決めます。
CISAのMSP向け資料も、責任分担、経営変更時の通知、データ分離、再委託、移行計画などの確認を推奨しています。米国機関の実務参考であり、日本の全契約に同じ通知義務を課す法令としては扱いません。
よくあるご質問
SOC・MSSPと脆弱性診断では、準備資料が違いますか。
はい。SOC・MSSPでは継続契約、監視範囲、対応時間、通知・エスカレーションを整理します。脆弱性診断では受注と再受注の状況、診断範囲、標準手順、レポート品質、担当者を確認します。併営している場合は売上と費用を分けて説明します。
月額契約が多ければ売却価格は高くなりますか。
月額契約の金額だけでは判断できません。更新・解約の条件、顧客集中、必要な運用要員、クラウド・ライセンス費、未完了の対応、主要人材の継続などを確認します。継続収益の集計期間と含める売上の定義も明示します。
NDAを結べば顧客ログや認証情報を渡せますか。
NDAだけで一律に判断できません。顧客契約、情報の種類と利用目的、閲覧者、保管・削除、漏えいや交渉不成立時の措置を確認します。初期は集計やマスキングした資料から始め、認証情報や生ログを広く配布しません。
IPAの適合サービスリスト掲載は、そのまま引き継げますか。
自動的な承継を前提にはしません。掲載対象のサービス、提供法人、有効期限、審査登録機関を確認し、法人や運用体制の変更に必要な手続を関係機関へ確認します。掲載は会社全体の品質や無事故を保証するものではありません。
買収後の顧客契約やサービスは必ず継続しますか。
契約条件と承継後の提供体制によります。譲渡や支配関係変更、通知・承諾、再委託、SLAと緊急連絡の条件を確認し、新旧担当者と権限の移行を計画します。顧客数や従来の運用実績だけで継続を保証しません。
売却前に技術者へ知らせる必要はありますか。
相談開始時に全員へ一律に伝える必要があるとは限りません。主要人材の継続や雇用条件をどう確認するか、誰がいつ説明するかを計画します。取引方法と個別の契約・手続に合わせ、必要な協議を後回しにしないことが重要です。
あわせて確認するページ
事業全体の進め方はセキュリティ会社の売却相談へ。物理的な警備も営む会社は、警備会社の認定・人員・現場契約を事業別に確認してください。
参考資料と確認先
資料表は初回整理の例です。登録・認証、契約、個人データの扱いは、対象サービスと取引方法に応じて個別に確認します。CISA資料は実務上の参考として紹介しています。
本文・参考資料の確認：2026年9月7日／編集：株式会社M&A Do
無料相談
譲渡企業様の当センター手数料は、成功報酬まで0円です。
譲渡を決める前でも、社名を伏せたまま状況整理から相談できます。秘密保持を前提に、開示範囲を確認したうえで進めます。