委託先のセキュリティ管理というと、チェックシートを送り、対策状況を回答してもらう作業を思い浮かべるかもしれません。
しかし、その前に確認したいことがあります。現在、どの会社やクラウドサービスが、自社のどの情報を扱い、どのシステムへ接続しているか把握できているでしょうか。
委託先管理は、すべての取引先へ同じ要求を送る作業ではありません。扱う情報、システムへの接続、事業への影響を確認し、重要な相手から契約と運用を整えていく作業です。
この記事では、委託先・外部サービスの洗い出し方、契約や約款で見る項目、事故時の役割、個人データと再委託の確認、SCS★3・★4の違いを順番に解説します。
委託先管理が必要なのは、自社の外側から顧客情報へアクセスできるから
自社のPCに多要素認証を設定し、社員のアクセス権を管理していても、委託先のアカウントや端末が管理から抜けていれば、情報を守る範囲に穴が残ります。
例えば、営業活動を外部へ委託し、委託先の担当者へCRMのアカウントを発行している場合、その担当者は顧客名、連絡先、商談内容、見積金額、対応履歴などを閲覧できます。委託先の担当者が退職した後もアカウントが残っていたり、複数人で一つのIDを共有していたりすれば、自社では誰が情報を見たのか追えません。
事故が起きたとき、顧客から説明を求められるのは委託先だけではありません。顧客情報を預かり、外部へ扱わせることを決めた自社も、「誰に何を渡し、どのように管理していたか」を説明する必要があります。
委託先管理は、相手を疑うための監査ではありません。自社の情報が社外でどのように扱われ、事故時にどこまで追跡・停止・説明できるかを確認するための管理です。
委託先セキュリティ管理は対象を把握するところから始める
最初から委託先の安全性を評価しようとすると、質問項目が増え、回答を集めるだけで時間がかかります。
まずは「誰と、どのようにつながっているか」を一覧にします。そのうえで、詳しく確認すべき相手を選びます。
外注先だけでなくクラウドサービスも確認する
確認対象は、システム開発会社やフリーランスなど、業務を直接委託している相手だけではありません。
- 顧客情報を保存するクラウドサービス
- 会計、給与、勤怠管理のSaaS
- Webサイトやサーバーの運用会社
- 広告、アクセス解析、メール配信のサービス
- 税理士、社会保険労務士、採用支援会社
- コールセンター、物流、データ入力会社
- 社内ネットワークへ接続する保守会社
自社の情報を保存・処理するサービスや、自社システムへ接続できる会社も対象に含めます。
業種ではなく情報とシステムへの接続で判断する
「清掃会社だから対象外」「IT会社だから対象」と、業種だけで判断するのは適切ではありません。
例えば、清掃会社でも入退室カードや監視設備を扱うなら確認が必要です。一方、機密情報もシステムへの接続もない消耗品の仕入先は、優先度が低くなります。
判断の軸は次の2つです。
- 自社の機密情報や個人データを渡しているか
- 自社の端末、アカウント、システムへ接続できるか
どちらかに該当する相手から、契約や管理状況を確認します。
最初に作る委託先・外部サービス一覧
専用の管理システムを導入する前に、表計算ソフトで次の項目を一覧にしてみましょう。
| 項目 | 記載する内容 |
|---|---|
| 相手先・サービス名 | 会社名、個人名、クラウドサービス名 |
| 委託業務・利用目的 | 開発、保守、給与計算、データ保存など |
| 扱う情報 | 顧客情報、従業員情報、設計データなど |
| 接続先 | 社内ネットワーク、業務システム、管理画面など |
| 社内管理者 | 契約や利用状況を把握している担当者 |
| 契約・約款 | 契約書や利用規約の保管場所 |
| 緊急連絡先 | 事故や障害が起きたときの窓口 |
| 再委託 | 別会社やクラウドサービスの利用有無 |
| 最終確認日 | 内容を最後に確認した日 |
すでにIT資産を整理している場合は、「IT資産管理台帳の作り方」で作成した外部サービス一覧と連動させると、同じ情報を二重に管理せずに済みます。
どの委託先から優先して確認するか
すべての委託先を同じ深さで確認する必要はありません。次の条件に該当する相手を優先します。
| 優先する条件 | 確認する理由 |
|---|---|
| 個人データ・機密情報を渡している | 漏えいした場合の影響が大きい |
| 社内システムへ接続できる | 委託先のアカウントが侵入経路になり得る |
| 止まると事業を継続できない | 障害や攻撃が自社の業務停止につながる |
| 再委託や海外での処理がある | 情報の保存場所や管理者が見えにくくなる |
複数に該当する委託先は、契約と運用の両方を詳しく確認します。
例えば、顧客データへアクセスできるシステム保守会社は優先度が高い相手です。顧客情報を預けているクラウドサービスも、契約を個別交渉できないからといって確認対象から外れません。
「気を付けているつもり」でも見落としやすい委託先管理
優先する相手が分かったら、契約書だけでなく、日常の情報共有とアカウント運用を確認します。会社として秘密保持契約を結び、信頼できる相手へ委託していても、担当者の交代や業務範囲の追加によって、契約開始時の状態から少しずつずれるためです。
| 見落としやすい状態 | 起こり得る問題 | 最初に確認すること |
|---|---|---|
| 営業代行会社へCRMの共通IDを渡している | 誰が閲覧・出力したか特定できない | 個人別IDへ分け、権限と利用者を確認する |
| 契約終了後もCRMや共有フォルダの権限が残っている | 元担当者が顧客情報へアクセスできる | 終了日に停止するアカウント一覧を作る |
| 顧客リストをExcelでメール送付している | 委託先のPCやメールボックスに複製が残る | CRM上の閲覧に限定できないか確認する |
| 委託先担当者が私物PCや個人クラウドを使っている | 自社が保存先や削除状況を確認できない | 使用端末と保存可能な場所を決める |
| Web制作会社へ管理者権限を渡したままにしている | 不要な範囲まで操作でき、契約後も権限が残る | 作業に必要な権限へ限定し、終了時に削除する |
| 税理士・社労士へデータを送る方法が担当者任せ | 個人情報がメールやローカル端末へ散らばる | 共有方法、保存先、削除方法を決める |
| 調査で集めた回答者のメールアドレスがリサーチ会社のツールに残っている | 調査終了後も個人データが外部サービスに残り続ける | 保存場所、保持期間、削除時期、削除確認を決める |
| 委託先が再委託していることを把握していない | 自社が知らない相手まで情報が渡る | 再委託先と利用サービスを確認する |
| クラウドサービスの契約者が退職者のまま | 通知や契約変更を受け取れず、管理権限も不明になる | 契約者、管理者、緊急連絡先を更新する |
CRMと外部営業委託
CRMを利用し、営業代行会社、代理店、フリーランスなどへアカウントを発行している会社は、優先的に見直したほうがよいでしょう。
委託先の誰にアカウントを発行しているか、個別IDか、閲覧・編集・CSV出力の範囲、多要素認証、異動・退職時の連絡、契約終了時の停止期限を確認します。再委託先へ顧客情報が渡っていないかも確認が必要です。
「CRMを導入しているから安全」なのではなく、誰がどの顧客情報へアクセスできるかを自社が管理できていることが重要です。
イベントで集めた営業リストを外部営業へ渡す場合
展示会や共催イベントで集めた名刺・申込情報をCRMへ登録し、営業代行会社へ渡す場合、情報は次のように移動します。
イベント参加者 → イベント主催者・出展企業 → CRM → 営業代行会社 → 営業担当者
イベントでは、参加登録、名刺交換、QRコード、アンケート、共催社への共有など、取得経路が複数あります。まず、誰がどの説明で取得し、営業利用や関係会社との共有をどこまで伝えていたか確認します。
次に、営業代行へ渡す項目、CRMの権限、CSV出力、再委託、契約終了時の削除、事故時の連絡先を確認します。委託先で事故が起きれば、元受け企業も影響範囲の確認、顧客への説明、必要な報告や問い合わせ対応を行う立場になります。
リサーチ業務と調査終了後のデータ
アンケートやインタビュー調査では、回答者のメールアドレス、氏名、属性、回答内容などがリサーチ会社の調査ツールへ保存されます。さらに、対象者リスト、配信用データ、抽出したCSV、集計担当者へ渡したファイル、納品物など、同じ情報が複数の場所へ残ることがあります。
調査開始前に、保存する情報とツール、閲覧・出力できる人、集計や謝礼発送の再委託、削除時期、バックアップや出力済みファイルの扱い、削除完了の確認方法を決めます。
調査が終わっても、ツール上のデータが自動で消えるとは限りません。保存が必要な集計結果と、役割を終えたメールアドレスなどを分け、不要な個人データを残し続けない運用が必要です。
既存の契約・NDA・約款で確認する項目
対象が分かったら、新しい契約書を作る前に、現在の基本契約、個別契約、NDA、申込書、利用規約などを確認します。
確認結果は、次の4区分で整理すると不足が見えやすくなります。
| 区分 | 主に確認する内容 |
|---|---|
| 対象把握 | 誰がどの情報を扱い、どのシステムへ接続するか |
| 契約・約款 | 利用、保管、複製、第三者提供、返還・削除、事故時の役割 |
| SCS★3・★4 | ★3で取り決める内容と、★4で対策状況を確認する範囲 |
| 個人データの委託 | 選定、契約、取扱状況の把握、再委託先の監督 |
SCSの確認と個人データの委託先監督は、重なる部分がありますが同じものではありません。自社に関係する区分を分けて確認します。
利用目的と機密情報の定義
委託先へ渡す情報と、利用できる業務の範囲を確認します。
「業務上知り得た情報」のような広い表現だけでなく、顧客情報、従業員情報、設計資料、販売データなど、自社が特に守りたい情報が対象に含まれるかを見ます。
委託した業務以外への利用や、委託先自身の分析・学習への利用を認めるのかも確認します。
保管・複製・第三者提供
次の項目が決まっているか確認します。
- 情報を保存できる場所
- 個人所有端末への保存可否
- コピーやダウンロードの制限
- 第三者への提供条件
- メールやクラウドで共有する方法
- アクセスできる担当者の範囲
契約書だけで細かな操作まで決めない場合は、別の運用ルールや作業手順で補います。
再委託の条件
委託先が別の会社、フリーランス、クラウドサービスを使うと、自社の情報がさらに外部へ渡ります。
- 再委託を認めるか
- 事前承認または通知が必要か
- 再委託先にも同じ管理を求めるか
- 再委託先で事故が起きた場合、誰から連絡を受けるか
これらを確認し、自社が再委託の範囲を把握できるようにします。
契約終了時の返還・削除
契約が終わった後も、委託先の端末やクラウドストレージに情報が残れば、リスクは続きます。
返還する情報、削除するデータ、停止するアカウント、削除完了の確認方法を決めます。バックアップに残るデータの扱いも、サービスの仕様や契約条件を確認します。
インシデント時の役割と連絡
委託先で事故が起きたとき、自社への連絡条件と双方の役割を確認します。
- 何を事故として通知するか
- どの窓口へ連絡するか
- いつまでに第一報を送るか
- 原因や影響範囲の調査へどう協力するか
- 顧客や関係機関への説明を誰が行うか
- 復旧と再発防止をどう進めるか
すべてを一つのNDAへ詰め込む必要はありません。基本契約、個別契約、運用手順、緊急連絡票など、自社と相手が実際に参照できる形で整理します。
NDAがあっても確認が終わらない理由
NDAを締結していると、委託先管理もできているように感じます。しかし、NDAは主に秘密情報の定義と秘密保持義務を定める文書です。
NDAは秘密保持が中心
NDAでは、秘密情報の範囲、目的外利用、第三者提供、返還・廃棄などを確認できます。
一方、実際にどのシステムへ接続するか、アカウントを誰が使うか、事故時にどのログを提供するかといった運用まで記載されていないことがあります。
システム接続・事故対応・再委託は別に確認する
特に確認したいのは次の点です。
- 委託先へ発行したアカウントとアクセス権
- 委託先が利用する端末や接続方法
- 多要素認証の利用
- 再委託先と利用するクラウドサービス
- インシデント時の連絡と調査協力
- 契約終了時のアカウント停止とデータ削除
委託先アカウントの認証を強化する方法は、「SCSの多要素認証対応」でも解説しています。
不足項目は法務担当者や専門家へ相談する
担当者が行う最初の作業は、契約条文を書くことではありません。現在の契約と実際の運用を確認し、何が決まっていないかを明らかにすることです。
不足が見つかったら、次のように相談内容を具体化できます。
顧客情報へアクセスする保守会社について、再委託の条件と事故時の通知先が決まっていません。既存契約への追加方法を確認したいです。
この状態まで整理してから法務担当者や専門家へ相談すると、自社の業務に合う取り決めを検討しやすくなります。
委託先で事故が起きたときの役割を決める
「事故が起きたら速やかに連絡する」だけでは、どの時点で、何を知らせるかが人によって変わります。
何を事故として通知するか
実際の情報漏えいだけでなく、次のような事態を通知対象にするか決めます。
- 不正アクセスやマルウェア感染
- 委託業務で使う端末の紛失
- メール誤送信
- 委託先アカウントの乗っ取り
- 自社情報が保存されたサービスの停止
- 漏えいの事実は未確認だが、そのおそれがある状態
確定するまで連絡を待つ運用にすると、委託元の初動が遅れます。第一報の条件と、その後の更新方法を分けて決めます。
誰が・いつまでに・どこへ連絡するか
会社名や代表番号だけでなく、双方の担当部署、緊急窓口、担当者不在時の連絡先を決めます。
通知期限は、扱う情報、業務への影響、委託元が負う報告期限などを踏まえて設定します。第一報ですべてを確定させず、発生日時、対象、現在の状況、実施済みの対応を先に共有できる形にします。
ログ・影響範囲・原因調査へどう協力するか
委託元が顧客や関係機関へ説明するには、影響した情報、対象人数、発生期間、原因などを把握する必要があります。
ログや端末情報の保全、調査結果の共有、追加質問への回答について、双方がどこまで対応するか決めておきます。
顧客・本人・関係機関への説明を誰が行うか
自社の顧客情報が漏えいした場合でも、事故を起こした委託先が独自に顧客へ説明すればよいとは限りません。
委託元、委託先のどちらが、本人、顧客、取引先、関係機関へ連絡するかを確認します。公表内容を誰が承認するかも決めます。
復旧と再発防止をどう進めるか
事故後は、原因を調べ、同じ経路を塞ぎ、安全な状態へ戻します。委託先だけに任せず、自社が復旧状況と再発防止策を確認できるようにします。
自社内の初動と報告ルートは、「中小企業のインシデント対応手順」で整理しています。
個人データを委託する場合に追加で行うこと
顧客名簿、従業員情報、購入履歴などの個人データを委託先へ扱わせる場合は、SCSとは別に、個人情報保護法上の委託先監督を確認します。
委託先の選定時に安全管理を確認する
委託する個人データの内容と規模に応じて、委託先が必要な安全管理措置を実施できるか、契約前に確認します。
すべての委託先へ同じ量の質問をするのではなく、扱うデータと業務内容に合わせて確認方法を選びます。
契約した内容の実施状況を把握する
契約書に安全管理の内容を書くだけでなく、実際の取扱状況を合理的に把握します。
確認方法は、資料の提出、担当者への聞き取り、チェックシート、監査などから、委託内容に合わせて選びます。重要なのは、契約した内容が実際に守られているか確認できることです。
再委託先まで確認する
委託先が再委託する場合は、どの会社が個人データを扱うのか、再委託先でも必要な管理が行われるのか確認します。
委託先だけを確認し、その先の再委託先を把握していない状態を避けます。
SCS★3と個人情報保護法の管理を混同しない
SCSでは、重要な取引先のセキュリティ対策状況をチェックシートや訪問などで確認する項目は★4です。
しかし、個人データを委託している会社は、「SCS★3ではチェックシートが求められない」という理由で、委託先の選定や取扱状況の把握を省略できません。
SCSの要求事項はIPA「SCS評価制度 要求事項・評価基準」、個人データの委託先監督は個人情報保護委員会「個人情報保護法ガイドライン（通則編）」で確認できます。
クラウドサービスは契約を変更できなくても確認できる
大手のSaaSやクラウドサービスでは、自社専用のNDAや覚書を締結できないことがあります。それでも、利用規約や公開資料から確認できることがあります。
利用規約・セキュリティ資料を確認する
次の資料を確認します。
- 利用規約、サービス契約
- プライバシーポリシー
- データ処理契約
- セキュリティ対策の説明資料
- 第三者認証や監査報告
- 障害・セキュリティ情報の通知ページ
認証マークの有無だけで判断せず、自社が利用する機能とデータに関係する条件を確認します。
事故通知・データ削除・サブプロセッサーを確認する
クラウドサービスでは、次の点を確認します。
- セキュリティ事故をどの方法で通知するか
- データを保存・処理する地域
- サブプロセッサーや再委託先
- 契約終了後のデータ出力と削除
- バックアップに残るデータの扱い
- 問い合わせと緊急連絡の窓口
約款を変更できない場合は、その条件で残るリスクを把握し、預ける情報や利用範囲を調整します。
自社側の設定と権限管理も残る
安全性の高いクラウドサービスを選んでも、自社の管理者アカウントが共有されていたり、多要素認証が無効だったりすればリスクは残ります。
サービス事業者が守る範囲と、自社が設定するアカウント、アクセス権、共有範囲を分けて確認します。
SCS★3で確認する委託先管理の3項目
SCS★3の取引先管理では、主に次の3項目を確認します。
接続する他組織のシステムを把握し年1回点検する
顧客、子会社、関係会社、クラウドサービス提供者を含む他組織が管理・提供し、自社の資産が接続しているシステムを把握する仕組みを整えます。
作成した一覧は、年1回以上点検します。新しいクラウドサービス、契約終了した委託先、変更された接続先などを反映します。
機密情報の取扱いを業務開始前に取り決める
自社の機密情報を共有する子会社や取引先とは、業務開始前に次を取り決めます。
- 機密情報の定義
- 利用制限、保管方法、複製可否、第三者提供可否
- 返還または廃棄
NDAという名称に限らず、基本契約、個別契約、約款、確認書などを含め、必要な内容が合意されているか確認します。
インシデント発生時の役割・責任を決める
機密情報を共有する子会社や取引先とは、セキュリティインシデントが起きたときの双方の役割と責任を決めます。
通知、初動、調査協力、外部説明、復旧などについて、「委託先が対応すること」と「自社が判断すること」が分かる状態にします。
★4では重要な取引先の対策状況を確認する
SCS★4では、重要な機密情報を共有する、事業継続上重要である、委託先から自社システムへアクセスできるといった取引先について、年1回以上、対策状況を把握します。
方法として、★の取得状況、訪問、セキュリティチェックシートなどが例示されています。
従来のNDAや業務委託契約を確認しても、委託先が多要素認証、アクセス権管理、バックアップ、事故対応などをどの水準で実施しているかまでは分からないことがあります。その状態では、発注側が委託リスクを比較できません。
SCSの★が取引先の対策水準を示す共通の物差しとして使われるようになれば、法律上の義務ではなくても、重要な情報やシステムを扱う取引の条件として提示される可能性があります。発注企業が「この業務には★3以上」と調達条件へ組み込めば、受託側にとっては事実上対応せざるを得ない条件になります。
SCS★3の当該要件だけを理由に、すべての委託先へ★3取得を求める必要はありません。相手が扱う情報と接続範囲に応じて必要な管理を決めます。
委託先管理はSCS★3の一領域です。資産管理、認証、バックアップ、インシデント対応などを含む全体の準備は、「SCS★3の要求事項と準備項目」で確認できます。
委託先が十分に対応できないときの選択肢
小規模な委託先では、詳細なチェックシートへ回答する担当者がいないこともあります。回答できないという理由だけで直ちに取引を止めるのではなく、まず自社が渡す情報とアクセス権を見直します。
| 不足している状態 | 検討する対応 |
|---|---|
| 情報管理の説明が不十分 | 渡す情報を減らす、匿名化する、閲覧だけにする |
| アクセス管理が弱い | 対象システムと権限を限定し、多要素認証を設定する |
| 事故時の連絡が曖昧 | 連絡先、通知条件、初動協力を追加で合意する |
| 改善に時間がかかる | 改善期限と再確認日を決める |
| 事業継続への影響が大きい | 代替先、データ移行、内製化を検討する |
渡す情報とアクセス権を減らす
委託業務に必要な情報だけを渡し、他の顧客情報や社内ファイルへアクセスできないようにします。
管理者権限が不要なら一般権限へ変更し、作業期間が終わったらアカウントを停止します。
共有方法や保管場所を変更する
メール添付でデータを渡しているなら、アクセス期限やダウンロード制限を設定できる共有方法へ変更します。
委託先の個人端末へ保存せず、自社が管理するクラウド上だけで作業してもらう方法も考えられます。
改善期限と確認方法を決める
不足している対策を一度にすべて求めるのではなく、事故時の連絡先、多要素認証、退職者アカウントの停止など、影響の大きい項目から改善します。
誰が、いつまでに対応し、どの資料や画面で確認するかを決めます。
代替先や業務継続策を検討する
一社が停止すると事業を継続できない場合は、セキュリティ対策だけでなく、代替サービス、データの出力方法、別会社への切り替え手順も確認します。
委託先を変更できない場合でも、自社にデータを戻せる状態や、停止中の代替業務を準備できます。
委託先セキュリティ管理についてよくある質問
フリーランスも確認対象ですか？
法人か個人かではなく、機密情報や個人データを扱うか、自社のシステムへ接続するかで判断します。フリーランスが顧客データや管理画面へアクセスする場合は確認対象です。
清掃会社や配送会社も対象ですか？
業種だけでは決まりません。機密情報に触れず、システムへ接続しない場合は優先度が低くなります。入退室カード、監視設備、配送先の個人データなどを扱う場合は、その範囲を確認します。
NDAがあればSCS★3に対応できますか？
NDAの名称だけでは判断できません。機密情報の定義、利用制限、保管、複製、第三者提供、返還・廃棄が取り決められているか確認します。接続するシステムの把握と、インシデント時の役割・責任も別途必要です。
委託先にもSCS★3の取得を求めますか？
SCS★3の委託先管理要件だけを理由に、すべての委託先へ★3取得を要求する必要はありません。委託先が扱う情報、接続範囲、契約上の要求に応じて必要な対策を決めます。
SaaSやクラウドサービスも委託先に含めますか？
自社の情報を保存・処理するサービスや、自社資産が接続するサービスは一覧へ含めます。個別契約を変更できなくても、利用規約、セキュリティ資料、事故通知、データ削除、再委託先を確認します。
委託先チェックシートはSCS★3でも必要ですか？
SCSでは、重要な取引先の対策状況をチェックシートなどで年1回以上確認する項目は★4です。ただし、個人データを委託している場合は、個人情報保護法上の委託先監督として取扱状況を把握する必要があります。
契約書を締結し直す必要がありますか？
まず、現在の基本契約、NDA、個別契約、約款、確認書などをまとめて確認します。不足があっても、契約全体を締結し直す方法だけでなく、補足文書や運用手順で明確にする方法があります。具体的な対応は、現在の契約内容を整理して法務担当者や専門家へ相談してください。
まとめ｜契約書を見る前に情報と接続先を整理する
委託先のセキュリティ管理は、チェックシートを配るところから始めるのではありません。
まず、どの会社やクラウドサービスが、どの情報を扱い、どのシステムへ接続しているかを一覧にします。その後、個人データ・機密情報、システム接続、事業継続への影響が大きい相手から、契約と実際の運用を確認します。
NDAがあっても、事故時の役割、再委託、アクセス権まで決まっているとは限りません。一方、委託先がすべての要求に対応できない場合も、渡す情報を減らす、権限を限定する、改善期限を決めるといった方法でリスクを下げられます。
最初の作業は、契約条文を作ることではありません。委託先・外部サービス一覧を作り、「誰が、何を、どこで扱っているか」を見える状態にすることです。
コメント