【情報セキュリティマネジメント】委託中の監督と終了時の措置、受け取っただけでは監督にならない｜定期報告・是正・返却・消去

2026.08.27

「毎月、委託先から報告書を受け取っています」。それだけで監督はできているでしょうか。

委託先管理では、受け取った、依頼した、口頭で確認したという一歩手前で止まらないことが重要です。報告は評価し、差異は是正し、終了時の返却・消去は結果まで確認します。

この記事では、委託中の監督を「受領・評価・是正・確認」の4段階、終了時の措置を「権限停止・回収・返却／移行・消去・報告」の流れで整理します。

読み終えるころには、事例の対応が受け取った・依頼したところで止まっていないかを見分け、次に必要な一手を挙げられるようになります。

先に結論：監督は受領・評価・是正・確認まで行う

段階 委託元が行うこと ここで止まると
受領 定期報告、変更通知、監査結果、事故報告などを受け取る 保存しただけで監督したと考えてしまう
評価 契約・要求水準・前回結果と照合する 差異や悪化を見落とす
是正 期限、責任者、暫定措置、完了条件を定める 「今後注意する」で終わる
確認 是正の完了と有効性を証拠で確認する 実際に改善したか分からない

終了時は、次の流れで確認します。

権限を止める → 貸与物を回収する → データを返却・移行する → 残存データを消去する → 結果を文書化して報告する

1．SGシラバスでの位置付け

SGシラバス Ver.4.1の技能7-2では、契約締結後も、不正防止・機密保護などの実施状況を契約担当者と協力しつつ確認し、実施内容と契約内容に相違があれば是正することが求められています。

技能7-3では、外部委託の終了時に、

  • 委託先へ提示した資料やデータの回収又は廃棄を指示する
  • 実施結果を契約担当者と協力して確認する
  • 回収又は廃棄の状況を文書に取りまとめ、上位者へ報告する

ことが求められています。用語例には検収、廃棄、システムライフサイクル、データの消去があります。

2．定期報告は評価するための材料

定期報告では、委託先が契約で定めた要求事項を実施しているかを確認します。

例えば、次を見ます。

  • 委託業務に従事する要員とアクセス権
  • 作業場所、使用機器、持出しの状況
  • 教育・訓練の実施状況
  • ログ、監視、脆弱性対応
  • 事故・異常の発生状況
  • 再委託先と再委託業務
  • 前回指摘事項の是正状況

報告を受け取ったら、契約で求めた項目が記載されているか、要求水準を満たしているか、未実施・遅延・例外・変更がないかを評価します。

個人データの取扱いを委託している場合は、個人情報保護法上も委託先に対する必要かつ適切な監督が求められます。法的な委託の扱いは「第三者提供と加工情報」の記事で整理します。

確認方法はリスクに応じて選ぶ

全ての委託先へ同じ頻度で実地監査を行う必要はありません。

情報の重要度、付与する権限、外部接続の有無、業務停止時の影響、過去の事故などに応じて、定期報告、記録確認、第三者認証、監査・保証報告書、面談、実地確認などを組み合わせます。

「委託契約とセキュリティ要求事項」の記事で扱った契約上の監査・確認の条件を、ここでは実際の監督に使います。認証や報告書を利用する場合も、適用範囲、対象期間、例外を確認します。

3．変更を把握して再評価する

契約期間中には、要員、作業場所、システム、再委託先、業務範囲などが変化します。

変更によってリスクが増える場合は、追加の管理策、権限の制限、追加確認、契約変更などを検討します。

契約で通知・承認対象となっている変更を担当者が口頭で了承して終わらせず、契約担当者と協力して必要な手続を行います。

4．差異を見つけたら是正完了まで追跡する

要求事項との差異が見つかった場合は、次の順で進めます。

  1. 事実と契約上の要求を確認する
  2. 影響と緊急性を評価する
  3. 必要な暫定措置を検討する
  4. 原因と是正策を確認する
  5. 責任者・期限・完了条件を明確にする
  6. 実施結果を示す記録を確認する
  7. 有効性と残るリスクを確認する

是正の調整は、必要に応じて契約担当者と協力して行います。

例えば教育未実施が判明した場合、「今後注意する」という回答だけで完了にはしません。教育記録や未受講者への対応などから、要求水準へ戻ったことを確認します。

重大な不備が続く場合も、担当者が独断で契約解除を決めるのではなく、契約・法務・業務部門などと協議します。

5．委託先で事故が起きたときも管理を続ける

委託先から事故又は事故の疑いについて初報を受けた場合、委託元は相手方の調査完了を待つだけではありません。

  • 判明している事実と影響範囲を確認する
  • 被害拡大防止の役割を調整する
  • ログや証拠の保全状況を確認する
  • 契約・法令上必要な対応を確認する
  • 委託元側で必要な初動を開始する
  • 原因分析・再発防止と是正結果を確認する

一方、事実確認を行わないまま、疑いの段階で一律に外部通知だけを先行させることも適切ではありません。 外部報告や本人通知などは、確認した事実、適用法令、組織の手続に基づき、権限のある部門が判断します。

6．終了時は不要な権限を残さない

委託又は委託先要員の業務が終了しても、アカウントや入館権限が残っていれば不要なアクセス経路になります。

終了時点に合わせて、例えば次を処理します。

  • 利用者アカウントの無効化
  • VPN・クラウド・共有フォルダーの権限削除
  • APIキー、トークン、証明書の失効・更新
  • 共用認証情報の変更
  • 入館証や物理的な入室権限の無効化

「再契約するかもしれない」という理由で権限を残さず、再び必要になった場合は正式な手続で付与します。

7．貸与物・成果物・資料を確認する

PC、記録媒体、入館証、鍵、紙文書などの貸与物は台帳と照合して回収します。

また、契約で成果物の受入れ確認が必要な場合は検収を行い、契約上求めた内容を満たしているか確認します。

秘密保持義務が契約終了後も続く場合は、その範囲と期間も確認します。ただし、秘密保持義務だけでアカウント停止や貸与物回収を代替できるわけではありません。

8．データの返却・移行・消去を確認する

終了時には、委託先へ提供した資料やデータについて、契約に従って返却・移行・消去します。

確認する主な事項は、

  • 返却・移行するデータの範囲
  • 受渡し方法と完全性の確認
  • 委託先に残る複製・一時ファイル
  • バックアップに残るデータの扱い
  • 消去方法、期限、責任者
  • 法令・契約上保存が必要な情報

です。

「消去を依頼した」「口頭で完了したと聞いた」だけではなく、契約で定めた記録や証跡から実施結果を確認します。消去の技術的方式そのものは「データ保護とバックアップ」の記事で扱います。

9．終了結果を文書化して上位者へ報告する

技能7-3では、回収又は廃棄の結果確認に加え、その状況を文書へ取りまとめて上位者へ報告することが求められています。

終了記録には、例えば次を含めます。

  • 終了した委託業務と対象期間
  • 停止したアカウント・権限
  • 回収した貸与物・資料
  • 検収した成果物
  • 返却・移行・消去したデータ
  • 未完了事項、例外、残るリスク
  • 実施者、確認者、実施日

担当者の手元で確認して終えるのではなく、組織として終了したことを説明できる状態にします。

10．乗換えが困難になるリスクにも備える

特定の事業者やサービスへの依存が強まり、他の事業者や仕組みへ切り替えにくくなる状態を、一般にロックイン（ベンダーロックイン）と呼びます。

SGシラバス Ver.4.1には「ロックイン」という用語名の明示はありません。 ここでは、外部サービス利用のリスクと終了時の判断に必要な補助概念として、最小限だけ扱います。

契約時から、データを取り出せる形式、移行に必要な期間・費用、移行支援、契約終了後のデータ消去条件などを確認しておくと、終了時の選択肢を確保しやすくなります。

クラウドサービス固有の出口戦略は「クラウドサービスの選定と評価」の記事で扱います。

11．科目Bでの使われ方

事例の記述 次に必要なこと
定期報告を受領して保管した 要求水準と照合して評価する
差異を発見した 是正の期限・責任者・完了条件を定め、結果を確認する
委託先から事故の初報を受けた 事実確認と必要な初動を並行して進める
委託先要員の契約が終了する アカウント・入館権限を終了時点で止める
データ消去を依頼した 記録・証跡から完了を確認する
回収・廃棄を確認した 文書化して上位者へ報告する

担当者が一人で契約変更や契約解除を決めている選択肢にも注意します。

担当者としては、報告や依頼を受けた時点で終わらせず、評価・是正・完了確認まで進めます。要求水準との差異が解消しない場合や、契約条件の変更が必要と判断した場合は、独断で決めず、事実と経過を記録して契約担当者や上位者へ報告し、指示を仰ぎます。

よくある取り違え

誤った考え方 正しい整理
報告書を受領すれば監督は完了 評価・是正・完了確認まで行う
全委託先へ同じ頻度で実地監査する リスクに応じて方法と頻度を変える
認証があるので委託中の確認は不要 範囲・期間・例外と実際の運用を確認する
委託先の調査完了まで自社は待機 委託元側の必要な初動も進める
終了後も再利用に備えてアカウントを残す 終了時点で無効化し、必要時に再付与する
消去完了は口頭報告で確認する 契約で定めた記録・証跡で確認する
回収・廃棄を確認すれば作業は完了 文書化して上位者へ報告する

まとめ

  • 委託中の監督は、受領・評価・是正・確認まで行う
  • 契約締結後の確認・是正は契約担当者と協力して進める
  • 変更を把握し、必要に応じて再評価する
  • 委託先の事故でも委託元側の必要な初動を進める
  • 終了時は権限停止、貸与物回収、検収、データ返却・移行・消去を確認する
  • 回収・廃棄の状況を文書化し、上位者へ報告する
  • ロックインはSGシラバスの明示語ではないため、終了時の補助概念として扱う

関連記事

  • C7-T01：委託先の選定と事前調査
  • C7-T02：委託契約とセキュリティ要求事項
  • C7-T05：クラウドサービスの選定と評価
  • C5-T10：データ保護とバックアップ
  • C8-T03：個人データの第三者提供・委託・共同利用

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）

関連する問題

コメント

タイトルとURLをコピーしました