ISMS認証を取得している委託先なら、それだけで選定を終えてよいのでしょうか。
委託先の選定では、料金や知名度、認証の有無だけを見るのではなく、今回委託する情報・業務・権限に対して、必要な情報セキュリティ水準を満たしているかを確認します。
この記事では、委託先の事前調査を「対象を整理する → 要求水準を決める → 証拠を確認する → 差を調整する → 判断を記録する」の順で整理します。
読み終えるころには、事例の選定が一つの材料だけで決まっていないかを見分け、担当者が独断で決めてよい範囲を切り分けられるようになります。
先に結論：選定前は5段階で確認する
- 委託する業務・情報・権限を整理する
- 必要な情報セキュリティ要求事項を定める
- 候補先の現状を複数の手段で確認する
- 要求事項との差があれば、是正方法を調整する
- 残るリスクと選定理由を記録して判断につなげる
重要なのは、候補先の資料から始めるのではなく、自社が何を委託するのかを先に明確にすることです。
1．SGでの担当者の立ち位置
SGシラバス Ver.4.1の技能7-1は、外部委託先の情報セキュリティについて、調査の必要性・方法・手順を理解し、委託先に求める情報セキュリティ要求事項と現状との差を事前確認できることを求めています。
その際、繰り返し示されているのが「契約担当者と協力しつつ」という立ち位置です。
情報セキュリティ担当者だけで契約条件や費用まで決めるのではありません。
- 要求事項と委託先の現状との差を、契約担当者と協力して確認する
- 是正が必要なら、対応方法・時期・対応費用の取扱いを含めて調整する
- 委託開始時や更新時にも、必要な水準が確保されているか確認する
科目Bでは、担当者が一人で契約・費用・リスク受容まで決めている選択肢に注意します。
2．委託する情報・業務・権限を整理する
同じ委託先でも、公開済み資料の印刷と、顧客データベースの運用では確認すべき水準が異なります。
まず、次を整理します。
委託する情報
- 個人情報、顧客情報、営業秘密を含むか
- 認証情報や暗号鍵などを扱うか
- 情報量や対象人数はどの程度か
- 漏えい、改ざん、消失した場合の影響はどの程度か
委託する業務と権限
- 閲覧だけか、更新・削除も行うか
- 自社システムやネットワークへ接続するか
- 管理者権限など強い権限を付与するか
- 再委託先や海外拠点が関与するか
- 委託業務の停止が事業へ与える影響は大きいか
委託先や再委託先を経由してリスクが波及する問題は、SGシラバスでいうサプライチェーンリスクにもつながります。
なお、SGシラバスは「外部委託やクラウドサービスの利用時における情報セキュリティ」を扱いますが、クラウドの責任共有モデルやクラウドサービス固有の選定項目は別記事で扱います。本記事では一般的な業務委託の事前調査を中心にします。
3．選定基準は候補先を見る前に定める
候補先を見てから基準を作ると、価格や知名度など目立つ条件に判断が引きずられる可能性があります。
あらかじめ、必須条件、評価項目、確認方法を定めます。
| 評価分野 | 主な確認事項 |
|---|---|
| 管理体制 | 責任者、規程、報告経路 |
| 人的対策 | 従事者の教育、秘密保持、異動・退職時の処理 |
| アクセス管理 | ID管理、権限付与、特権ID、認証 |
| 物理・技術対策 | 作業区域、機器・媒体、マルウェア対策、脆弱性管理、暗号化、ログ |
| 事故対応 | 連絡窓口、初報、調査協力、復旧、再発防止 |
| 再委託 | 再委託の有無、管理方法、再委託先の確認 |
| 事業継続 | 障害・災害時の代替手段、復旧手順 |
| 過去の事故 | 事故内容、原因、改善、再発状況 |
全項目を同じ深さで確認する必要はありません。重要な情報を扱う、高い権限を付与する、停止時の影響が大きいなど、委託リスクが高いほど確認を深くするのが基本です。
過去に事故があったことだけで機械的に除外するのではなく、その後の原因分析、改善、再発状況も確認します。
4．確認手段は一つに頼らない
「対策を実施している」という自己申告だけでは、実際の運用まで確認できるとは限りません。
| 確認手段 | 分かること | この手段だけでは分からないこと |
|---|---|---|
| 質問票・自己申告 | 体制や対策の概要 | 実際の運用状況 |
| 規程・記録 | 手順や教育・権限管理などの実施記録 | 現場で一貫して運用されているか |
| 第三者認証 | 認証範囲が基準へ適合していること | 今回の委託業務が認証範囲内か、自社固有の利用方法 |
| 監査・保証報告書 | 対象期間・統制・例外など | 対象外の拠点・期間・統制 |
| 面談・現地確認 | 担当者の理解や実施状況 | 継続的な運用全体 |
高リスクの委託では、質問票だけで終わらず、必要に応じて規程・記録、第三者資料、面談などを組み合わせます。
反対に、全ての候補先へ同じ深さの実地確認を行う必要があるわけでもありません。委託する情報や権限、停止時の影響に応じて確認方法を選びます。
5．第三者認証は「認証範囲」を確認する
第三者認証は有力な確認材料ですが、認証マークがあるだけで今回の委託業務全体が保証されるわけではありません。
確認するのは、例えば次の点です。
- 認証を取得している組織・拠点
- 認証対象となる製品・サービスや業務
- 今回の委託業務が認証範囲に含まれるか
- 認証の有効性を確認できるか
ISMS-ACも、認証範囲は製品・サービス、プロセス、サイトなどが利用者に分かるよう明確に表現される必要があるという考え方を示しています。
したがって、「ISMS認証取得済み」という事実だけで追加確認を省略するのは適切ではありません。
認証がない委託先についても、自社が必要とする水準を満たし、その根拠を確認できるかで判断します。
6．要求事項との差があれば契約担当者と調整する
事前確認で要求事項と候補先の現状に差があった場合、直ちに採用又は不採用と決めるとは限りません。
例えば、
- 委託開始前の是正を求める
- 是正方法と期限を定める
- 委託する情報や権限を制限する
- 代替策を追加する
- 別の候補先を検討する
といった対応があります。
この調整は、技能7-1が示すとおり契約担当者と協力して行います。是正に費用が必要な場合は、誰が負担するかも含めて調整対象になります。
具体的な監査権、事故報告義務、再委託条件、秘密保持などの契約条項は、委託契約の記事で扱います。
7．選定後も確認できる条件を持つ
事前調査は選定時点だけの確認です。委託開始後に、要員、拠点、再委託先、システム、脅威などが変化する可能性があります。
そのため選定時には、委託開始後や更新時にも必要な水準を確認できるかを見ます。
- 必要な資料や報告を確認できるか
- 重大な変更を把握できるか
- 問題があれば追加確認や是正確認ができるか
- 更新時に再評価できるか
ここでは「将来も確認できること」が重要です。監査権など具体的な契約条項の設計や、委託中の監督手順そのものは別記事で扱います。
8．科目Bでの使われ方
事例問題では、次の順で確認します。
- 委託する情報・業務・権限を整理しているか
- 必要な情報セキュリティ要求事項を定めているか
- リスクに応じた方法で現状を確認しているか
- 自己申告や認証だけで判断を終えていないか
- 要求事項との差を確認しているか
- 差があれば契約担当者と協力して調整しているか
- 未確認事項や残るリスクを記録し、権限のある者の判断につなげているか
「最安値」「大手企業」「認証取得済み」「事故歴なし」など、一つの材料だけで選定を終える選択肢は確認不足です。
また、情報セキュリティ担当者が契約条件や対応費用、残留リスクの受容を独断で決める選択肢にも注意します。
担当者としては、確認した事実と未確認事項を分けて記録し、要求水準に届かない点があれば契約担当者や上位者へ報告して調整を求めます。受け入れるかどうかの判断は、権限のある者が行います。
よくある取り違え
| 誤った考え方 | 正しい整理 |
|---|---|
| 最も安い候補を選ぶ | 情報セキュリティ要求事項を満たすか確認する |
| 質問票だけで運用を確認したことにする | リスクに応じて複数の証拠を組み合わせる |
| 認証があれば追加確認は不要 | 認証範囲と今回の委託業務を照合する |
| 認証がなければ必ず失格 | 必要な水準と確認できる証拠で判断する |
| 過去に事故があれば無条件で除外する | 原因・改善・再発状況も確認する |
| 要求との差を担当者だけで処理する | 契約担当者と協力して是正方法・時期・費用を調整する |
| 選定時だけ確認すればよい | 委託開始時・更新時にも水準を確認する |
まとめ
- 委託先の選定では、委託する情報・業務・権限を先に整理する
- 要求事項と委託先の現状との差を事前確認する
- 技能7-1では、契約担当者と協力して調査・是正調整・開始時・更新時の確認を行う
- 是正では、対応方法・時期だけでなく対応費用の取扱いも調整対象になる
- 委託先や再委託先から生じるリスクはサプライチェーンリスクにもつながる
- 自己申告、認証、報告書など一つの材料だけで判断を終えない
- 第三者認証は認証範囲と今回の委託業務の一致を確認する
- クラウド固有の責任分界・選定は別記事で扱う
- 選定後も委託開始時・更新時に必要な水準を確認する
関連記事
- C7-T02：委託契約とセキュリティ要求事項
- C7-T03：委託中の監督と終了時の措置
- C7-T04：クラウドの責任共有モデル
- C7-T05：クラウドサービスの選定と評価
- C8-T03：個人データの第三者提供・委託・共同利用
本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。
参考資料
- IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
- 経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver3.0」（指示9 ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策）
- 一般社団法人情報マネジメントシステム認定センター（ISMS-AC）「ISMS適合性評価制度」
- 一般社団法人情報マネジメントシステム認定センター（ISMS-AC）「MS認証に関する基本的な考え方―認証範囲及びその表記―」
関連する問題
- 情報セキュリティマネジメント 委託先・クラウド・教育・内部不正 一問一答 第1問〜第5問
- 情報セキュリティマネジメント 委託先・クラウド・教育・内部不正 一問一答 第6問〜第10問
- 情報セキュリティマネジメント 委託先・クラウド・教育・内部不正 択一式（応用） 第1問〜第5問
コメント