委託先のセキュリティ水準評価の実務
リスクベース評価と契約・監視の進め方

委託先のセキュリティ水準評価を部門横断で進めるには、対象、評価する水準、評価活動、運用責任の意味をそろえる必要があります。次の一覧は、用語ごとに何を含めるかを整理しています。各列では、対象範囲と実務で確認すべき読み方を分けています。

評価の範囲を狭く見ると、個人情報を扱う委託先だけが対象のように見えます。しかし、システム権限や事業継続に関わる委託先も重要です。次の三つの観点は、どの部門が見ても同じ判断に近づけるための分類です。

評価対象を個人情報取扱いのあるBPOやコールセンターに限定すると、重要な委託先を見落とします。次の表は、評価対象になりやすい委託の区分、具体例、主なリスクを横並びで整理したものです。区分ごとに、データ、権限、可用性、物理管理のどこが問題になるかを読み取ってください。

個人データを渡さない場合でも、本番環境、ソースコード、営業秘密、社内ネットワーク、ID基盤、バックアップ基盤、重要な顧客向けサービスに関わる委託先は高リスクになり得ます。次の判断の流れは、個人情報の有無で止まらず、権限と業務影響まで確認する順番を示しています。上から順に確認し、分岐先で追加評価の要否を読み取ってください。

再委託先やサブプロセッサが存在する場合、情報と権限の流れは一段深くなります。再委託を禁止するか、事前承諾制にするか、重要再委託先の通知・異議権を置くか、同等義務を課すかを契約で整理します。国外再委託では、所在国、処理内容、アクセス権限、事故時の連絡経路、データ削除の実効性も確認します。

委託先評価は、情報システム部門だけでも、法務部門だけでも完結しません。次の表は、各部門が担う責任を整理したものです。役割ごとに、誰が情報を持ち、誰が契約・証拠・承認をつなぐかを読み取ってください。

責任分担を抽象的に書くだけでは、評価の抜け漏れが残ります。次の表は、RACIの考え方に沿って、活動ごとの実行責任者、説明責任者、協議先、報告先を示しています。列の違いを見ることで、承認すべき人と相談すべき人を混同しないようにできます。

評価の手順は、契約締結前の一回の審査ではなく、台帳化から終了処理まで続きます。次の判断の流れは、十個の工程を上から順に示しています。どの工程で証拠を集め、どの工程で契約に反映し、どの工程で承認・監視するかを読み取ってください。

台帳は評価の出発点です。次の表は、委託先台帳に最低限入れる項目と、各項目から何を判断するかを整理しています。行ごとに、契約情報、データ、接続、証拠、有事連絡、終了時処理が一つの記録につながることを確認してください。

固有リスクは、委託先の管理策を考慮する前に委託内容そのものが持つリスクです。次の表は、低リスク例と高リスク例を評価軸ごとに対比しています。右側に近いほど、質問票、証拠、契約条項、承認の深さを上げる必要があります。

リスク階層を決めると、評価の深さを揃えやすくなります。次の表は、Tier 0から記録のみまでの典型例と評価水準です。階層は機械的に固定せず、M&A情報や未公表決算情報など、データ量が少なくても重要性が高い事情では上方修正します。

評価で「概ね問題なし」と判断しても、その結果が契約に反映されなければ、事故時の通知、調査協力、削除、再委託停止、ログ提供、損害分担を求める根拠が弱くなります。次の表は、セキュリティ別紙やDPAに含めるべき条項、目的、実務上の注意を整理しています。各行を契約レビュー時の確認項目として読み取ってください。

事故通知条項では、委託先が事故を認識してから委託元に通知するまでの期限、速報に含める事項、続報の頻度、ログ・証拠保全、本人通知・行政報告への協力を具体化します。次の時系列は、初動通知から最終報告までの情報更新の順番を示しています。時点ごとに、判明している範囲で何を受け取り、次に何を確認するかを読み取ってください。

監査権は強い条項ですが、濫用的に設計すると交渉が難航し、委託先の他顧客情報やセキュリティ機密を侵害するおそれがあります。リスク階層に応じて、第三者報告書、書面監査、重大事故時の特別監査、必要に応じた現地監査を組み合わせます。監査範囲、頻度、通知期間、費用負担、秘密保持、第三者監査人の条件、他顧客情報の保護、リモート監査、是正計画の提出期限を定めます。

責任制限は、単に強く要求するだけでは解決しません。情報漏えい、営業秘密漏えい、業務停止では損害が委託料を上回る可能性があります。秘密保持違反、個人データ漏えい、故意・重過失、知財侵害、法令違反を責任制限の例外にするか、例外を認めない場合にサイバー保険、追加料金、限定的上限引上げ、補償範囲で調整するかを検討します。

委託先評価を合格・不合格だけで処理すると、実務は硬直化します。重要なのは、統制目標、必要水準、委託先回答、証拠、ギャップ、リスク、是正策、補完統制、承認者、次回確認を結び付けることです。次の表は、残余リスク管理の記録例です。左列の項目を埋めることで、未解消リスクを誰がどう受け入れたかを説明できます。

成熟度モデルは、委託先を一方的に格付けするためだけでなく、必要な水準、理由、改善期間を対話する共通言語として使います。次の表は、Level 0からLevel 5までの状態と評価上の意味を示しています。レベルが上がるほど、文書化、運用証跡、検証、継続改善が増えることを読み取ってください。

契約期間中の監視では、年次または隔年の質問票更新、認証・SOC報告書の更新、再委託先一覧、重大脆弱性・インシデント情報、SLA、障害・事故報告、アクセス権限棚卸、処理場所変更、契約更新前レビュー、重要委託先とのレビュー会議を行います。次の表は、経営報告に使いやすい指標例です。数値の増減から、台帳整備、評価遅延、未解消課題、有事対応、終了時管理の弱点を読み取ります。

臨時レビューは、委託先インシデント、新たな再委託先利用、保存国変更、委託範囲拡大、データ種類・量の増加、API接続・SSO・管理者権限の追加、委託先のM&A・事業譲渡・倒産、重要認証の失効、重大脆弱性公表、法令・ガイドライン改正を契機に行います。

委託先起因のインシデントでは、短時間で事実関係、影響範囲、法定報告、本人通知、顧客説明、取締役会報告、復旧、再発防止を進めます。次の表は、有事の時点ごとに確認する事項です。時系列に沿って、初動で不足しやすいログ保全、再委託先関与、法定報告要否を確認してください。

契約終了時の盲点は、データとアカウントが残ることです。次の表は、終了時に確認する対象を並べています。返却、削除、証明、停止、遮断、媒体返却、成果物、ログ、移行支援、契約後義務を一つずつ確認してください。

Q1. 委託先が質問票への回答を拒否した場合はどう考えますか

一般的には、まず拒否理由を確認し、大規模クラウド事業者やSaaS事業者であれば、SOC 2、ISO認証、CSA CAIQ、セキュリティホワイトペーパー、DPA、サブプロセッサ一覧、セキュリティポータルなどの代替証拠で統制目標を満たせるかを評価します。ただし、重要な委託先であるにもかかわらず、認証も報告書もなく、質問にも回答せず、事故通知や再委託管理にも応じない場合は、委託範囲の縮小、データ最小化、補完統制、契約上の解除権、別委託先の検討が必要となる可能性があります。具体的な対応は、契約内容、委託範囲、データの性質を整理したうえで専門家へ相談する必要があります。

Q2. ISMSやプライバシーマークがあれば評価は不要ですか

一般的には、不要にはなりません。ISMSやプライバシーマークは重要な証拠になり得ますが、対象範囲、委託対象業務との関係、再委託、国外処理、事故通知、削除、ログ、可用性、委託元側の設定までは個別に確認する必要があります。認証は評価の代替ではなく、評価の一部として扱うのが基本です。

Q3. 委託先のセキュリティ水準が低いが、事業上利用したい場合はどう考えますか

一般的には、どの統制目標が未達なのかを具体化し、データの匿名化、アクセス権限の限定、委託元環境でのログ取得、専用端末、安全なファイル授受基盤、段階的改善、契約上の事故通知、責任条項などで補完できるかを検討します。それでも重大なリスクが残る場合は、経営層またはリスク委員会による期限付きの例外承認が必要となる可能性があります。個別の可否判断は、事業上の必要性とリスクの内容によって変わります。

Q4. 再委託はすべて禁止すべきですか

一般的には、一律禁止が現実的でない場合があります。クラウド、物流、コールセンター、保守運用では、再委託やサブプロセッサが不可避なことがあります。実務上は、重要再委託先の事前承認、一覧開示、変更通知、異議申立権、同等義務の流し込み、事故時の協力義務を組み合わせます。高リスクデータや規制業務では、再委託の範囲をより厳格に管理する必要があります。

Q5. 委託先評価は法務部門と情報セキュリティ部門のどちらが主導しますか

一般的には、どちらか一方だけでは不十分です。法務部門は契約、責任、法令、監査権、再委託、事故通知を扱い、情報セキュリティ部門は技術的・組織的管理策を評価します。事業部門、購買、プライバシー担当も関与し、高リスク案件では経営層が残余リスクを承認します。具体的な主導部門は、社内規程と組織体制によって変わります。

Q6. 委託先に高額なセキュリティ対策を求めることは問題ですか

一般的には、必要性があり、リスクに見合い、費用や納期について十分協議されていれば、セキュリティ対策を求めること自体は合理的です。ただし、費用上昇を無視した一方的な価格据置き、合理的根拠のない過大要求、特定サービスの購入強制は、独占禁止法・取適法上の問題になり得ます。具体的には、要求の理由、リスク、代替策、費用負担を説明できる状態にする必要があります。

Q7. 契約終了後に委託先がデータを削除したかはどう確認しますか

一般的には、契約上、返却・削除の対象、方法、期限、バックアップの扱い、再委託先の削除、削除証明書の提出を定めます。高リスク案件では、削除証明書だけでなく、サンプル監査、ログ確認、媒体破壊証明、再委託先証明、委託元側アカウント停止・接続遮断を組み合わせることがあります。具体的な確認方法は、データの性質、委託先環境、契約条項によって変わります。

公的機関・制度資料

• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 経済産業省「サイバーセキュリティ経営ガイドライン Ver.3.0」
• 独立行政法人情報処理推進機構（IPA）「サプライチェーンにおけるサイバーセキュリティ対策評価制度（SCS評価制度）」
• 公正取引委員会「サイバーセキュリティ対策の強化に係る発注者・受注者間における取引上の問題に関する考え方」
• 公正取引委員会「中小受託取引適正化法（取適法）」
• ISMAPポータル「ISMAP概要」
• 公益財団法人金融情報システムセンター（FISC）公式資料

国際標準・セキュリティ管理資料

• National Institute of Standards and Technology, “NIST Cybersecurity Framework 2.0 Quick-Start Guide for Cybersecurity Supply Chain Risk Management”
• Center for Internet Security, “CIS Critical Security Control 15 Service Provider Management”
• Center for Internet Security, “CIS Controls v8.1 Navigator, Control 15”
• International Electrotechnical Commission, “ISO/IEC 27036-3 Cybersecurity Supplier relationships Part 3”
• Cloud Security Alliance, “Cloud Controls Matrix v4.1 / Consensus Assessments Initiative Questionnaire”
• AICPA & CIMA, “System and Organization Controls SOC Suite of Services”
• Regulation (EU) 2016/679, General Data Protection Regulation, Article 28

認証・保証制度

• ISMS適合性評価制度「ISMSとは」
• 一般財団法人日本情報経済社会推進協会（JIPDEC）「プライバシーマーク制度」