【情報セキュリティマネジメント】委託契約とセキュリティ要求事項、曖昧な約束を残さない｜再委託・事故報告・秘密保持・権限

2026.08.27

「情報セキュリティを適切に管理すること」と契約に書くだけで、必要な対策は実施されるでしょうか。

委託契約で重要なのは、対策名を並べることではなく、今回の委託で誰が何を行い、どのように確認するかを具体化することです。

この記事では、再委託、事故報告、秘密保持、確認と是正、担当者の権限を中心に、科目Bで契約上の不足を見抜くための考え方を整理します。

読み終えるころには、事例の契約に書いていないために起こり得ることを見分け、担当者が独断で決めてよい範囲を切り分けられるようになります。

先に結論：契約では8項目を確認する

項目 契約で具体化する内容 書いていないと起こり得ること
対象と目的 委託業務、情報、利用目的、作業場所 取扱範囲が曖昧になる
秘密保持と利用制限 秘密情報の範囲、目的外利用・無断開示の禁止 利用できる範囲を判断しにくい
取扱者と管理策 従事者、アクセス権、教育、持出し、ログ 必要な対策水準が伝わらない
事故報告 報告対象、連絡先、初報条件、続報 委託元の初動が遅れる
再委託 可否、通知・事前承認、再委託先へ課す義務 委託元が把握しない事業者へ情報が渡る
確認と是正 定期報告、証跡、確認方法、是正手続 問題発見後に確認方法から調整することになる
変更管理 業務、情報、場所、要員、管理策の変更手続 当初の前提と実態がずれる
終了時の措置 情報の返却・消去、アカウント停止、貸与物回収 委託終了後も情報や権限が残る

このうち、変更後の監督と終了時の実作業は「委託中の監督と終了時の措置」の記事で詳しく扱います。本記事では、契約段階で必要な条件を定めるところまでを中心にします。

1．委託しても委託元の管理は終わらない

SGシラバス Ver.4.1の技能7-2では、委託業務に関する情報セキュリティ要求事項を委託先責任者へ説明し、契約内容との齟齬を契約担当者と協力して解消することが求められています。

契約締結後も、不正防止・機密保護などの実施状況を確認し、実施内容と契約内容に相違があれば是正へつなげます。

したがって、次のような考え方は適切ではありません。

  • 契約したので情報セキュリティ上の管理は全て委託先へ移った
  • 委託先が認証を取得しているので個別の要求事項は不要
  • 契約締結後は実施状況を確認しなくてよい

なお、個人データの取扱いを委託する場合は、個人情報保護法上も委託先への必要かつ適切な監督が求められます。 法律上の委託の扱いは「第三者提供と加工情報」の記事で詳しく整理します。

2．セキュリティ要求事項を具体化する

例えば顧客情報の入力業務を委託する場合は、次のような事項を契約書、仕様書、セキュリティ合意書などへ反映します。

  • 取り扱ってよい情報と利用目的
  • アクセスできる従事者と権限
  • 使用できる場所・端末・ネットワーク
  • 複製、印刷、持出し、外部送信の条件
  • 認証、暗号化、マルウェア対策、ログ取得
  • 従事者への教育と実施記録
  • 事故時の連絡・調査協力
  • 再委託、確認、終了時の条件

第三者認証は管理体制を確認する材料ですが、今回の委託における報告期限、再委託、終了時の処理まで決めるものではありません。

SLAは委託要求として使う範囲にとどめる

SLA（Service Level Agreement：サービスレベル合意書）は、合意したサービス水準を確認可能な形にするために使います。

委託契約の観点では、例えば次を確認します。

  • 稼働率や復旧時間などの目標
  • 問合せ・障害への対応時間
  • 測定・報告方法
  • 水準未達時の対応と責任分担

SLAの指標設計やサービスレベル管理そのものは「ITサービスマネジメントとSLA」の記事が正典です。本記事では、委託先への要求事項として何を合意するかに限定します。

3．秘密保持契約は開示前に整える

秘密保持契約では、単に「秘密を守る」とするのではなく、例えば次を明確にします。

  • 秘密情報の対象
  • 利用できる目的
  • 開示できる者の範囲
  • 複製・保管・持出しの条件
  • 返却・消去と契約終了後の義務

提案依頼や打合せの段階で秘密情報を開示する場合は、必要な取決めを開示前に整えます。

秘密保持契約だけでアクセス管理、ログ取得、教育、事故対応などが自動的に実施されるわけではありません。他の要求事項と組み合わせます。

SGシラバスでは文脈により「秘密保持契約・誓約書」「機密保持契約」「守秘契約」という表記があります。本記事では「秘密保持契約」に統一します。

4．再委託は条件と手続を先に決める

再委託を認めるか、通知を求めるか、事前承認を必要とするかは、委託する情報や業務のリスクに応じて契約で定めます。

確認事項の例は次のとおりです。

  • 再委託先と再委託する業務の範囲
  • 扱う情報と権限
  • 再委託先へ課す情報セキュリティ要求事項
  • 再委託先の実施状況を確認する方法
  • 再々委託の可否と条件

事前承認を契約で求めている場合、申請書を提出しただけでは承認されたことになりません。正式な承認を得てから開始します。

反対に、再委託を一律に禁止すれば常に適切というわけでもありません。 必要な条件と承認手続を定め、その手続に従わせることが重要です。

5．確認と是正の手段を契約で確保する

委託先の実施状況を後から確認するには、契約段階で確認の根拠を明確にしておきます。

例えば次を定めます。

  • 定期報告の内容・頻度
  • 提出を求める証跡
  • 書面確認、聞取り、必要に応じた監査などの確認方法
  • 問題発見時の是正方法と期限
  • 是正後の確認方法
  • 重大な問題が生じた場合の追加確認

全ての委託で同じ深さの監査を求める必要はありません。取り扱う情報、付与する権限、停止時の影響などに応じて確認手段を決めます。

また、技能7-1では、事前確認で是正が必要な場合、対応方法、時期、対応費用の取扱いを含めて、契約担当者と協力しつつ委託先と調整することが求められています。

6．事故報告は原因確定前の初報を想定する

原因や影響範囲が完全に確定するまで報告しない運用では、委託元の初動が遅れる可能性があります。

契約では、例えば次を定めます。

  • 報告対象となる事象
  • 疑いの段階で初報する条件
  • 通常時・時間外の連絡先
  • 初報までの期限と最低限の報告事項
  • 続報の方法
  • 被害拡大防止・証拠保全への協力

初報時点で不明な項目を推測で埋める必要はありません。判明している事実と調査中の事項を分け、必要な続報につなげます。

7．従事者への教育は要求内容を明確にする

委託先へ「従業員教育を行うこと」とだけ要求しても、対象や水準が曖昧です。

契約や合意文書では、例えば次を具体化します。

  • 教育対象者
  • 委託業務に応じた教育内容
  • 業務開始前・定期・変更時などの実施時期
  • 実施記録
  • 委託元への報告方法

委託元が委託先の全従業員へ直接教育するのではなく、必要な教育を実施させ、その実施を確認できる条件を整えます。

8．契約条件は契約担当者と協力して決める

業務担当者や情報セキュリティ担当者は、委託業務と必要な情報セキュリティ要求事項を整理します。

しかし、契約条件を独断で確定・変更する立場ではありません。委託先から変更を求められた場合は、

  1. 変更内容と理由を確認する
  2. その場で確約しない
  3. 内容を記録して持ち帰る
  4. 契約担当者と影響を検討する
  5. 権限者の承認と正式な手続を経て回答する

という流れで組織の手続へ戻します。

契約の法的類型である準委任契約・請負契約などの違いは「労働・取引関連法規」の記事で扱います。本記事では情報セキュリティ要求事項に絞ります。

9．科目Bでの使われ方

事例問題では、次を確認します。

  1. 委託元の管理が消えたことになっていないか
  2. 委託内容に応じた要求事項が具体化されているか
  3. 再委託・事故報告・確認方法が契約で整理されているか
  4. 事前承認を事後報告へ置き換えていないか
  5. 秘密保持契約や認証を万能な対策としていないか
  6. 委託先の実施状況を後から確認できるか
  7. 権限のない担当者が契約条件を独断で決めていないか

技術的に有効な対策でも、契約へ反映されていない、必要な手続を飛ばしている、担当者に決定権限がない場合は適切とは限りません。

担当者としては、契約に書かれていない事項を見つけたら、その場で口頭合意せず、必要な要求事項を整理して契約担当者や上位者へ報告します。委託先から変更を求められた場合も、内容と理由を記録して持ち帰り、権限者の承認と正式な手続を経て回答します。

よくある取り違え

誤った考え方 正しい整理
契約したので委託元の管理は終了 要求事項を示し、実施状況も確認する
認証があれば個別の要求事項は不要 委託固有の条件は別に定める
秘密保持契約だけでアクセス管理も完了 秘密保持と具体的な管理策を組み合わせる
再委託は全て禁止すればよい リスクに応じた条件・承認手続を定める
再委託を申請したので作業開始できる 事前承認が必要なら承認後に開始する
原因が確定してから事故を初報する 疑いの段階で報告する条件を決めておく
契約に「確認する」とだけ書く 確認方法・証跡・是正手続まで具体化する
業務担当者がその場で条件変更に同意する 契約担当者と正式な手続で判断する

まとめ

  • 委託しても、委託元による要求事項の明確化と実施状況の確認は必要
  • 契約では、対象、秘密保持、取扱者、事故報告、再委託、確認、変更、終了時の条件を具体化する
  • 秘密保持契約や第三者認証は、個別の要求事項の代わりにはならない
  • 再委託は一律禁止ではなく、必要な条件・通知・承認手続を定める
  • 確認と是正を実行できる根拠を契約段階で確保する
  • 技能7-1・7-2では、契約担当者との協力が重要
  • 契約条件の変更は、権限者の承認を含む正式な手続で行う

関連記事

  • C7-T01：委託先の選定と事前調査
  • C7-T03：委託中の監督と終了時の措置
  • C7-T04：クラウドの責任共有モデル
  • C7-T05：クラウドサービスの選定と評価
  • C8-T03：個人データの第三者提供・委託・共同利用
  • C8-T08：労働・取引関連法規
  • C10-T02：ITサービスマネジメントとSLA

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）

関連する問題

コメント

タイトルとURLをコピーしました