委託先のセキュリティチェックリスト｜データ・権限・再委託・事故時の連絡

委託先のセキュリティチェックリストは、預けるデータ、委託先が使う権限、再委託先、事故時の連絡を、委託業務ごとに質問と根拠で確かめる一覧だ。

2026年10月、外部サービスの提供元への不正アクセスで、利用した組織の情報が漏れたとする公表が続いた。デジタル庁は、ホームページ運営の一部に使っていたウェブ制作サービスの提供元から報告を受け、問い合わせフォームに入力された情報が漏えいした可能性があると公表した。SNSキャンペーンツールの提供元は、参加者情報14,034件が閲覧・ダウンロードされた形跡を確認したと公表した。

公表された原因は、どちらも提供元の環境にある。ただ、何が残っていたか、誰のアカウントが対象になったか、いつ連絡が来たかは、事前に委託先へ尋ねて記録できる項目だ。

委託先セキュリティチェックリストの前提：データ・権限・再委託

チェックリストの前提は、委託先に預けるデータ、委託先が使う権限、再委託先を自社で一覧にしておくことだ。個人情報保護委員会のガイドライン（通則編）は、委託元に、自社と同等の安全管理措置が委託先で取られるよう監督することを求め、その中身を委託先の選定、契約、取扱状況の把握の3つに分けている。業務に要らない個人データを渡さないことも同じ箇所にある。質問は、この3つに終了時を加えた場面で使う。

委託するデータ・権限の一覧

一覧には、業務ごとに渡す情報の項目、件数の規模、保存先、保存期間、委託先や提供元のサービスにアカウントを持つ人を書く。

冒頭の表の2件のように、業務が終わった後も残るデータと、管理画面のアカウントを一覧に入れると、事故の影響範囲を先に見積もれる。

一覧ができたら、委託先を重さで分ける。ガイドラインは、漏えい等で本人が受ける権利利益の侵害の大きさや、個人データの性質・量などのリスクに応じて監督するよう求めている。我々は、預ける個人データの量と種類、委託先のIDで触れられる範囲を見て2〜3段階に分け、重い段階の委託先に次の章の追加質問を当てる形を勧める。

再委託先の管理と接続経路の把握

ガイドラインは、再委託の相手方・業務内容・取扱方法について事前に報告を受けるか承認することを挙げ、再々委託以降も同じとしている。個人情報保護委員会の注意喚起は、委託先がクラウドサービスで個人データを扱っている場合、それが提供元への再委託になっている場合があると指摘している。

そのため、委託先が使うクラウドサービスと、データの受け渡し方法も一覧に書く。つながり方で、事故時に止める接続と確かめる記録が変わる。

委託先セキュリティチェックリストの作り方：業務と事故経路の対応

委託先セキュリティチェックリストは、方針や教育など全委託先に同じ形で尋ねる共通の項目に、委託業務ごとに起こりうる事故経路を確かめる質問を足して作る。10月の2件の公表に並ぶのは、侵入された環境、保存されていた情報、検知から報告までの日付だ。

委託業務に合わせた委託先のセキュリティ確認項目

次の表は、委託の形ごとに我々が想定する事故経路と、追加する質問の例だ。

自社の委託業務に当てはまる行を選び、全社共通の項目に足す。共通の項目は、IPAの『中小企業の情報セキュリティ対策ガイドライン』付録5の規程サンプルにある「委託先情報セキュリティ対策状況確認リスト」を土台にできる。ガバナンスの整備から復旧までの26項目を○か×で答える様式なので、根拠の欄を足して使う。

権限・保存・事故対応の確認

質問は「はい・いいえ」で終わらない形にする。多要素認証なら、どのアカウントにどの方式で設定しているかを尋ねる。キャンペーンツールの提供元は事故の後、利用企業にパスワード変更とあわせて多要素認証・IPアドレス制限の設定も依頼した。利用者側で設定する項目は、回答を待たずに自社の管理画面で確かめる。

保存では、何日後に誰が消し、消したことをどう確かめるかまで尋ねる。IPAのガイドラインは、契約終了時に機密性の高い情報とアクセス権を回収・破棄し、記録を残す運用を勧めている。

事故対応では、検知の通知が誰に届くかを確かめる。キャンペーンツールの提供元は、不正アクセスを検知したものの通知設定の不備で開発担当者の把握が遅れたと公表している。

全委託先に共通で尋ねる項目には、SCS評価制度の★3の要求事項26件を確認票にして、実施状況を聞く使い方もある。

委託先セキュリティチェックリストで集める回答根拠と未回答項目

回答には根拠の資料を対応させ、根拠のない回答と未回答の項目は未確認として分けて記録する。個人情報保護委員会の注意喚起は、合意した安全管理措置を役割や責任の分担も含めて契約などで客観的に明確にし、定期的な報告などで確かめるよう促している。

委託先回答の裏づけ

根拠に使えるのは、次のような資料だ。

• 契約書・利用規約の該当条項（再委託の承認、保存期間、事故時の通知）
• 設定画面の写し（認証、アクセス権、保存期間の設定）
• 実施の記録（削除の記録、アクセス記録の保存期間、訓練の記録）
• 第三者認証の証明書と、その認証の対象範囲

第三者認証は、対象範囲に自社の委託業務を扱う部門やサービスが入っているかまで見る必要があると我々は考える。後から確かめ直せるよう、監査の方法と権限も契約に書く。IPAの規程サンプルも、これを契約書に明記する事項に挙げている。

未回答・未実施項目の対応

未回答や未実施の項目は、次の3点を書いて残す。

1. その項目が欠けた場合に、どの情報がどこまで影響を受けるか
2. 自社でできる代わりの対策（渡すデータを減らす、保存期間を短くする、自社でデータを削除する）
3. 確認の期限と、委託先・自社それぞれの担当者

ガイドラインは契約の実施状況を調べて委託の見直しも含めて評価することを望ましいとし、IPAのガイドラインは是正と再確認を計画的に行って結果を記録するよう勧めている。

委託先セキュリティチェックリストに含める事故時の連絡・対応分担

事故時の項目には、委託先が連絡する期限・相手・手段、第一報の中身、本人への通知と公表の分担、記録の保全を入れる。個人データの漏えい等で報告が必要な場合、委託元は個人情報保護委員会へ速報と確報を出す。委託先は、委託元へ速やかに通知すれば自らの報告義務を免れる。ガイドラインの期限の目安は次の図のとおりだ。委託先からの連絡が遅れるほど、事故から委託元の報告・公表までも遅れる。

チェックリストと契約には次のように書く。

1. 委託先が事故を知ってから何日以内に、誰に、どの手段で連絡するか（担当者が不在のときの連絡先も含める）
2. 第一報に入れる項目（概要、漏れた情報の項目、本人の数、原因、二次被害の有無など、その時点で分かっていること）
3. 本人への通知と公表を、委託元と委託先のどちらが行うか
4. 調査に使う記録の保全と、委託元への提供の範囲

3は、本人の連絡先を誰が持っているかで決まる。キャンペーンツールの提供元は、参加者の連絡先を持たないため、公表文の掲載で本人への通知に代えるとした。IPAのガイドラインは、通知義務と連絡先を文書にし、役割分担と連絡体制を相手先と合意して訓練で確かめるよう勧めている。経済産業省の『サイバーセキュリティ経営ガイドライン』も、委託先との契約で役割と責任の範囲を明確にするよう求めている。

10月の2件から委託先に確かめるのは、預けたデータがどこに何年分残っているか、誰のIDで触れられるか、再委託先はどこか、事故から何日で誰に連絡が来るかの4点だ。まず重い段階の委託先を1社選び、この4点を根拠付きで埋める。