LASSIC Media らしくメディア
SES契約終了で決める6項目｜アクセス権と知財の帰属
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 終了時に決めるのは6項目：アクセス権の回収、情報の取扱い、知的財産の帰属の決定、情報の移行性、記録管理、資産の返却です。*1
- 知識は文書にして引き継ぐ：継続中の作業に重要な知識を持っている場合は、その情報を文書化し組織に引き継ぐとされています。*1
- 退職の手続を外部の要員にも当てる：雇用の終了又は変更の手続は外部の要員にも適用する、と書かれています。*1
※ 本記事は2026年9月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
SESと呼ばれる形で外部の要員に入ってもらっていた案件が、来月で終わる。アカウントを止めて、貸していた端末を返してもらえば済むだろうか——。契約終了のときに何を決めておくべきかは、経済産業省が公表している「情報セキュリティ管理基準」に書かれています。*1 取引先との関係を終えるにあたって決めておく要求事項が、6項目並んでいます。*1
この基準は情報セキュリティの管理策をまとめたもので、契約終了の進め方そのものを定めた文書ではありません。それでも、終わり方について何を決め損ねやすいかは、この6項目と、資産の返却の管理策を読むとはっきりします。本記事では、開発の現場を預かるマネージャに向けて、SESの契約終了で何を決めるのかという観点から、基準が並べている6項目、社員の退職との扱いの違い、なぜ終了の前にアクセス権を見直すのか、どう準備するのか、つまずきやすい点、そして外注の勘所を整理します。
目次
管理基準が挙げている契約終了時の6項目
「情報セキュリティ管理基準」は、経済産業省が平成15年に「平成15年経済産業省告示第112号」として策定した文書です。*1 その後、平成20年と平成28年に管理策などの見直しが行われ、*1 令和7年改正版はJIS Q 27001:2023及びJIS Q 27002:2024に準拠させたものになっています。*1
契約終了について書かれているのは、供給者管理の節です。供給者との関係を終えるときに決めておく要求事項として、6項目が挙げられています。*1
| 番号 | 終了にあたって決めておく要求事項 |
|---|---|
| 1 | アクセス権の回収 |
| 2 | 情報の取扱い |
| 3 | 契約中に開発された知的財産の帰属の決定 |
| 4 | 供給者又は内部委託の変更における情報の移行性 |
| 5 | 記録管理 |
| 6 | 資産の返却 |
並びを見ると、機器の返却だけではないことがわかります。アクセス権の回収、情報の取扱い、知的財産の帰属の決定、情報の移行性、記録管理、そして資産の返却です。*1 知的財産の帰属が「終了にあたって決めること」の側に置かれている点は、見落としやすいところです。
社員の退職と外部の要員の契約終了の扱いの違い
この基準は、社員が辞めるときの手続と、SESなどの形で入ってもらった外部の要員との契約終了を、別のものとして扱っていません。雇用の終了又は変更後の責任を定めた節に、こう書かれています。*1
「雇用の終了又は変更の手続は、供給者の要員、供給者との契約若しくは組織との仕事の終了が生じる場合、又は組織内で仕事の変更がある場合に、外部の要員（すなわち、供給者）にも適用する」。*1
つまり、社員の退職時に決めていることを、そのまま外部の要員の契約終了にも当てはめる、という立て方です。同じ節では、終了後も有効な責任及び義務に「情報の秘密保持、知的財産及び取得したその他の知識」を含めるとされています。*1
もう1つ、引き継ぎに直接触れている管理策があります。「職務を去る又は職務が変わる個人がもつ情報セキュリティの役割及び責任を特定し、別の個人に移す」。*1 役割と責任を誰に移すのかを、終了の手続のなかで決めておくということです。
なぜ終了の前にアクセス権を見直すのか
アクセス権については、終了したあとではなく「雇用の変更又は終了の前に」レビューし、調整または削除するとされています。*1 終わってから消すのでは遅い、という置き方です。
そのときの判断材料として、3つのリスク因子が挙げられています。*1 1つめは、終了や変更が本人の側によるものか経営側によるものか、および終了の理由。2つめは、その人の現時点の責任。3つめは、現在アクセスできる資産の価値です。*1
ここは資料が理由を説明している箇所ではなく、判断のときに考慮する事項として並べられているだけです。ただ、この3つを見ておけば、同じ契約終了でも扱いを変えてよい場面があることは読み取れます。
なお共有の識別情報を使っている場合には、その識別情報のパスワードを知っている利用者の雇用の終了または変更のときに、パスワードを変更させるとも書かれています。*1
どう準備するのか
準備は、返してもらうものを先に書き出すところから始まります。資産の返却の管理策は、詳細な項目を5つ並べています。*1
| 項番 | 定めている内容 |
|---|---|
| 5b-5.11.1 | 雇用の変更及び終了時のプロセスは、前もって支給された物理的及び電子的な資産（組織が所有するもの又は組織に預託されたもの）の全ての返却を含めて制定する |
| 5b-5.11.2 | 要員及びその他の利害関係者が組織の装置・機器を購入する場合、又は個人所有の機器を用いる場合には、手順に従って、全ての関連する情報を追跡し、組織に返却し、装置・機器からセキュリティを保って削除する（以下略） |
| 5b-5.11.3 | 要員及びその他の利害関係者が継続中の作業に重要な知識を保有している場合には、その情報を文書化し、組織に引き継ぐ |
| 5b-5.11.4 | 雇用の終了の予告期間中及びそれ以降、組織は、予告を受けた要員が認可を得ずに関連情報（例えば、知的財産）を複製することを防止する |
| 5b-5.11.5 | 組織は、返却する全ての情報及びその他の関連資産を明確に特定し、文書化する |
このうち引き継ぎにあたるのが5b-5.11.3です。「継続中の作業に重要な知識を保有している場合には、その情報を文書化し、組織に引き継ぐ」。*1 口頭で聞いておく、ではなく文書にする、と書かれています。
返却するものは「明確に特定し、文書化する」とされ、*1 参考として利用者エンドポイント機器、可搬記憶装置、専門機器、情報システムやサイトの認証ハードウェア、情報の物理的な複製が挙げられています。*1 機械式鍵や物理トークン、スマートカードもここに入ります。*1
つまずきやすい難所
一つめは、知的財産の帰属を契約終了のときに初めて話し合うことです。基準は帰属の決定を終了時の要求事項に挙げていますが、*1 どちらに帰属させるかまでは定めていません。決めるのは自社です。
二つめは、SESの契約終了だから特別、と考えることです。基準は契約の形で手続を分けておらず、自社の手順書の代わりになる文書でもありません。資料自身が、包括的な基準であるゆえに組織体個別の事情への対応に最適化したものではない、と断っています。*1 決めるのは自社の手続です。
三つめは、終了の日だけを見て準備することです。アクセス権は終了の前にレビューするとされ、*1 知識の文書化も、予告期間中の複製の防止も、終了日より前の話です。*1 終わる日から逆算して、いつ何をするかを決める必要があります。
外注時に確認しておきたい点
SESでも、フリーランスを含む業務委託でも、外部の要員に入ってもらうときは、契約終了のときに何を返してもらい、何を文書にしてもらうのかを、入ってもらう前に伝えておいてください。「担当した機能の設計判断を文書1本にまとめて最終月までに提出」といった粒度で構いません。
知的財産の帰属も、終わりぎわではなく始めに決めておくほうが揉めません。基準が終了時の要求事項に挙げているのは、そこが決まっていない案件があるという前提に立っているからだと読めます。ただし、そう書かれているわけではありません。
アクセス権をいつ誰が落とすのかは、社内に残してください。終了の前にレビューして調整または削除するとされている以上、*1 ここを社外に委ねると、判断する人も実行する人もいなくなります。正社員の採用と外部の要員のどちらを選ぶかも、この手続を自社で回せるかで変わります。
抜けたあとに社内へ何が残るかという話は内製化支援 自走を目指す前の3つの人材不足で扱っています。
任せる作業をどう書き出すかは求人票の業務内容は、IPAが案件を記録する4項目で書くにまとめました。
入ってもらう前のスキルの確かめ方はスキル確認の4つの軸｜外部の要員も含めて評価するで整理しています。
引き継いだあとの運用保守をどう持つかは運用保守の増員の進め方｜1兆円以上は外部委託68.9％にあります。
まとめ：契約終了で押さえる3つの視点
契約終了は、終わる日の作業ではなく、その前から始まる手続として置かれています。押さえておきたい視点は3つに整理できます。第一に、終了にあたって決めておく要求事項が6項目挙げられており、アクセス権の回収と資産の返却に加えて、知的財産の帰属の決定と情報の移行性が含まれること。*1 第二に、継続中の作業に重要な知識を持っている場合は、その情報を文書化して組織に引き継ぐとされていること。*1 第三に、雇用の終了又は変更の手続は外部の要員にも適用する、と明記されていることです。*1 この3点を踏まえておけば、「SESの契約が終わってから、あの判断の理由を知っているのがもういない」という事態を避けやすくなります。何を返してもらい、何を文書にしてもらうかを決めるところまでは社内でできます。その先、引き継ぎを受ける人が社内にいなければ、外部の手を借りるのも一つの選択肢です。
よくある質問
契約終了のときに決めることは何ですか
経済産業省「情報セキュリティ管理基準（令和7年改正版）」は、アクセス権の回収、情報の取扱い、契約中に開発された知的財産の帰属の決定、情報の移行性、記録管理、資産の返却の6項目を挙げています。*1 確認日は2026年9月18日です。
引き継ぎについて何か定めがありますか
資産の返却の管理策に、継続中の作業に重要な知識を保有している場合にはその情報を文書化し、組織に引き継ぐとあります。*1 口頭ではなく文書化と書かれています。確認日は2026年9月18日です。
SESの契約終了と社員の退職で手続は違いますか
基準は分けていません。雇用の終了又は変更の手続は、供給者との契約の終了が生じる場合などに外部の要員にも適用する、と書かれています。*1 確認日は2026年9月18日です。
アクセス権はいつ削除しますか
雇用の変更又は終了の前にレビューし、調整または削除するとされています。*1 判断のときは、終了が本人の側によるものか経営側によるものか、現時点の責任、アクセスできる資産の価値を考慮します。*1 確認日は2026年9月18日です。
知的財産はどちらに帰属すると書かれていますか
今回参照した資料に記載はありません。基準が挙げているのは帰属を決定することまでで、どちらに帰属させるかは含まれていないためです。*1 確認日は2026年9月18日です。
引き継ぎの段取りが決まったら相談
「担当した機能の設計判断を文書1本にまとめて最終月までに」といった形で作業と期間が書けていれば、そのままご相談いただけます。引き継ぎを受ける人を探す段階でも、これから体制を組む段階でも構いません。
Remoguとリラシクなら、文書を読んで引き継げる要員も、引き継いだあとの運用保守を担う要員も、作業と期間を決めたうえでお探しいただけます。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：経済産業省「情報セキュリティ管理基準（令和7年改正版）」（PDF）（https://www.meti.go.jp/policy/netsecurity/is-kansa/IS_Management_Standard_R7.pdf）。出典：経済産業省「情報セキュリティ管理基準（令和7年改正版）」。平成15年経済産業省告示第112号として策定され、平成20年と平成28年に見直しが行われ、令和7年改正版はJIS Q 27001:2023及びJIS Q 27002:2024に準拠。5d-5.19（供給者関係における情報セキュリティ）の終了時の要求事項6項目、5b-5.11（資産の返却）の管理策と詳細管理策、5c-5.18（アクセス権）の雇用の変更又は終了前の考慮事項、6a-6.5（雇用の終了又は変更後の責任）の一次情報として。引用は本文の表記に従い、改行と注記番号のみ省いた（2026年9月確認）
- *2 参考：経済産業省「情報セキュリティ監査制度」（公開ページ）（https://www.meti.go.jp/policy/netsecurity/is-kansa/index.html）。管理基準と監査基準が対で公開されていることの確認として（2026年9月確認）
- *3 参考：経済産業省「情報セキュリティ管理基準活用ガイドライン」（PDF）（https://www.meti.go.jp/policy/netsecurity/is-kansa/katuyouguideline.pdf）。個別管理基準を策定するときに参照する関連文書として管理基準が挙げていることの確認として（2026年9月確認）
