LASSIC Media らしくメディア
SESパートナー選定で尋ねるセキュリティの5項目と確認方法
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 経済産業省の情報セキュリティ管理基準は、取引先との合意に含めることを考慮する事項を26項目挙げています。
- そのうち下請負の有無、技術者の選考、外部機関による確認、監査する権利、定期報告の5つは、選定の段階で相手に尋ねておきます。
- 取り決めが守られているかの確かめ方と、それを見る責任者は自社が決めるので、選定の前に社内で決めておきます。
※ 本記事は2026年9月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
料金と経歴書は比べたものの、情報セキュリティの取り決めについては、何を尋ねればよいのかも分からないまま契約してしまった——。SES（システムエンジニアリングサービス）を使う開発の現場では、こうした迷いが起こりがちです。SESパートナーの選定とは、委託先の会社に所属する技術者に自社の開発現場へ入ってもらうとき、その委託先の会社を選ぶことを指します。
選定のよりどころとして使えるのが、経済産業省の「情報セキュリティ管理基準（令和7年改正版）」です。取引先との合意に含めることを考慮する事項が並んでおり、そこから選定の場で聞くことを決められます。ただし万能ではなく、この基準は選び方の手順を定めたものではありません。本記事では、開発の現場を担うマネージャーに向けて、基準に並ぶ項目、選定の前に聞ける5つの項目、社内で決めておく3つのこと、そして外部に委託するときに確認したい点を整理します。
目次
SESパートナーの選定とは
SESパートナーの選定では、料金と、入ってもらう技術者の経歴が話題の中心になりがちです。どちらも欠かせない確認ですが、SESでは相手の会社の技術者が自社の現場で、自社の情報に触れながら作業します。料金と経歴に加えて、情報の扱いについて相手の会社とどんな取り決めを結べるかも、選ぶ前に確かめておきたい点です。
その取り決めの中身を考えるときに使えるのが、情報セキュリティ管理基準です。経済産業省が平成15年（2003年）に「平成15年経済産業省告示第112号」として策定し、令和7年（2025年）の改正版はJIS Q 27001:2023とJIS Q 27002:2024に準拠させています。*1 JIS Q 27001は情報セキュリティの仕組みに求められる事項を定めた日本産業規格で、JIS Q 27002はその事項を実施するための手引きです。
この基準は、情報セキュリティの管理策（情報を守るために実施する対策）を一つずつ並べた文書です。基準がいう「供給者」は、製品やサービスを提供する取引先のことです。*1 本記事では、SESパートナーもこの供給者に含めて考えます。
基準に並ぶ供給者管理の項目
基準のうち供給者管理に当たるのは、5d-5.19から5d-5.23までの5つの管理策です。*1 5d-5.19は供給者との関係の全般を定めた項で、別の記事で扱っています。残りの項のうち、項目の多い4つを挙げると次のようになります。
| 項番 | 並んでいるもの | 項目数 |
|---|---|---|
| 5d-5.20.1の参考 | 供給者との合意に含めることを考慮する事項 | 26 |
| 5d-5.21.1 | ICTサプライチェーンで考慮する事項 | 13 |
| 5d-5.22.2 | 供給者との関係を管理するプロセス | 13 |
| 5d-5.23.3 | クラウドサービスの利用で定義する事項 | 10 |
選定にいちばん近いのは1行目の26項目です。後半では、2行目のICTサプライチェーン（自社に製品やサービスが届くまでに関わる会社の連なり）と、3行目の供給者との関係を管理するプロセスからも引用します。4行目のクラウドサービスの項は、SESパートナーの選定とは離れるので扱いません。
選定の前に聞ける5つの項目
26項目について、資料は「合意には、次の事項を含めることを考慮することが可能である」という書き方で並べています。*1 全部を契約書に書くよう求めているわけではなく、契約が終わるときの条項なども含まれています。このうち、相手の会社の体制を聞かないと実現できるかを判断できない項目を選ぶと、下請負、要員の選考、第三者立証、監査する権利、定期報告の5つになります（資料の記号では l)、n)、o)、p)、q)）。自社で決めた情報の分け方に従って情報を分類する、といった自社の中だけで決められる項目は外しています。
下請負の項目について、資料は、下請負供給者（供給者がさらに委託する先）の使用に関する合意など、下請負契約に関する規定を挙げています。例として示されているのは、下請負供給者にも供給者と同じ義務を負わせるよう求めること、下請負供給者のリストをもつこと、変更の前に通知するよう求めることです。*1 SESでは、実際に来る技術者が相手の会社のさらに先の会社に所属していることもあるため、選定の場で下請負の有無を尋ねておくと、その後の取り決めを考えやすくなります。
要員の選考は、相手の会社で実際に働く人についての項目です。「法的に許容される場合、供給者の要員の選考に関する要求事項」が挙がっており、選考を実施する責任と、選考が完了しなかった場合の通知の手順も含めるとされています。*1 SESに当てはめると、自社の現場に来る技術者を相手の会社がどう確かめているのか、確かめが済まなかったときにどう知らせてもらえるのかを尋ねることになります。
残りの3つは、取り決めが守られているかの確かめ方に関わる項目です。まず、第三者立証（当事者でない外部の機関が確かめて示すこと）の証拠及び保証の仕組みと、管理策の有効性に関する独立した報告書が挙がっています。 監査の項目は、供給者のプロセス及び管理策を監査する権利です。定期報告の項目は、管理策の有効性について報告書を定期的に提出する供給者の義務と、報告書で提起された問題を適時に修正することに関する合意です。*1 SESに当てはめると、外部の機関が確かめた結果や報告書を出せるか、自社が監査できるか、定期的に報告してもらえるかを尋ねることになります。
なお、この5つの選び方と、次の節で挙げる3つのことは、基準の項目をもとに本記事で整理したものです。資料が選定の手順として示しているわけではありません。
社内で決めておく3つのこと
相手に尋ねる項目が決まっても、自社の側で決めておくことが定まっていなければ、答えを聞いても判断ができません。ICTサプライチェーンと、供給者との関係を管理するプロセスの項から、選定の前に社内で決めておきたいことを3つ挙げます。
1つめは、下請負の会社にも自社の要求を伝えてもらうかを決め、下請負があるかを先に聞くことです。資料は、供給者が提供するICTサービスの一部を下請負契約に出す場合には、そのサプライチェーン全体に組織のセキュリティ要求事項を伝達するよう供給者に要求する、としています。*1 ここでいう「組織」は委託する側のことで、要求を伝えるのは相手の会社、自社はそれを求める側です。実際に作業する人が下請負の会社に所属しているなら、要求を伝えてもらう先はその会社にまで及びます。
2つめは、確かめ方を先に決めることです。資料は、提供された製品やサービスが定めたセキュリティ要求事項を守っているかを確認するための監視のやり方を、委託する側が決めて実施するとしています。レビュー方法の例に挙がっているのは、侵入テスト（攻撃者と同じやり方で実際に侵入を試す検査）と、供給者の情報セキュリティ運用に関する第三者立証の検証または妥当性確認です。*1 どれを求めるかを先に決めておけば、選定の場で相手に何を出してもらうかも決まります。
3つめは、監視する責任者を決めておくことです。資料は、供給者との関係を管理する責任を特定の個人かチームに割り当てるとし、合意書の要求事項を満たしているかどうかを監視するために、十分な技術力と人的資源を確保しておく、と書いています。*1 選定で相手が何を約束しても、自社に確かめる人がいなければ、約束が守られたかどうかを判断できません。
つまずきやすい点
一つ目は、26項目を「全部契約書に書くもの」と受け取ってしまうことです。資料の書き方は「含めることを考慮することが可能である」で、全部を義務として課しているわけではありません。どの項目を合意に入れるかは自社で決めます。全部を相手に求めると、選定の話し合いが長引き、本当に確かめたい点がかえって埋もれてしまいます。
二つ目は、この基準をSESパートナーの選び方の手順書として使おうとすることです。基準は情報セキュリティの管理策を並べた文書で、どの順に候補を比べ、何で決めるかは書かれていません。相手に求めることの一覧として使い、料金や技術者の経歴といったほかの条件と合わせて判断するのが、この基準の使いどころです。
三つ目は、項目の数が多い項ほど重要だと考えてしまうことです。表の項目数は各項の記号を数えた結果で、基準が項の重要さに順位を付けているわけではありません。SESパートナーの選定で重みを置くべきなのは、自社の現場に来る技術者と、自社の情報の扱いに直接かかわる項目です。
外部に委託するときに確認しておきたい点
ここまでの5項目は、合意に書くかどうかを考える項目でした。このうち選定の場で相手に聞いておきたいのは、「下請負はあるか」と「確かめ方として何を出せるか」の2つです。監視の責任者は自社で決めることなので、相手に聞く話ではありません。この2つへの答えと、自社で決めた確かめ方を突き合わせれば、候補の会社どうしを同じ基準で比べられます。
26項目に入っている契約終了の条項と5d-5.19は「SES契約終了で決める6項目｜アクセス権と知財の帰属」で扱っています。入ってもらう人のスキルの確かめ方は「外部エンジニアのスキル確認、4つの軸で評価する」に、テストをどこまで測るかは「外部エンジニアのテスト体制とテスト設計、どこまで測る？」にまとめました。
まとめ：SESパートナー選定で確かめたい3つの点
SESパートナーを選定するうえで、確かめておきたい点は3つに整理できます。第一に、情報セキュリティ管理基準が挙げる26項目のうち、下請負、要員の選考、第三者立証、監査する権利、定期報告の5つを、選ぶ前に相手に尋ねること。第二に、侵入テストや第三者立証の検証など、取り決めが守られているかの確かめ方を先に決めておくこと。第三に、合意が守られているかを監視する責任者を、委託する側で決めておくことです。この3点を踏まえておけば、「契約してから、取り決めていたつもりの内容が相手と食い違っていると分かった」という事態を避けやすくなります。選定の条件の決め方に迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
正社員としてエンジニアを採用する場合にも、この26項目は使えますか
当てはまりません。26項目は供給者との合意に含める事項なので、使えるのは外部の会社に作業を委託する場合です。自社で雇う人については、採用の手続きの中で確かめることになります。
情報セキュリティ管理基準はどこで読めますか
経済産業省の「情報セキュリティ監査制度」のページで、情報セキュリティ監査で使う基準と対で公開されています。*2 令和7年改正版はPDFで読むことができます。*1
自社の管理基準を作るときは、何を参照すればよいですか
基準自身が、関連文書である「情報セキュリティ管理基準活用ガイドライン」を参照するよう求めています。*3 選定で使う項目も、自社の管理基準に合わせて選び直すと扱いやすくなります。
選定の条件が決まったら相談
「下請負なし、第三者立証の報告書あり、報告は月1回」という形で決まっていればそのままご相談いただけますし、条件を決めきれていない段階でも承ります。
Remoguとリラシクなら、リモートワークで働く社員の候補者も、業務委託で開発に加わる専門人材も探せます。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：経済産業省「情報セキュリティ管理基準（令和7年改正版）」（PDF）（https://www.meti.go.jp/policy/netsecurity/is-kansa/IS_Management_Standard_R7.pdf）。出典：経済産業省「情報セキュリティ管理基準（令和7年改正版）」。平成15年経済産業省告示第112号として策定され、令和7年改正版はJIS Q 27001:2023及びJIS Q 27002:2024に準拠。5d-5.20.1参考の26項目、5d-5.21.1の13項目、5d-5.22.2の13項目、5d-5.23.3の10項目ほか供給者管理の管理策を参照。引用は本文の表記に従い、改行と注記番号のみ省いた（2026年9月確認）
- *2 参考：経済産業省「情報セキュリティ監査制度」（公開ページ）（https://www.meti.go.jp/policy/netsecurity/is-kansa/index.html）。管理基準と監査基準が対で公開されていることの確認として（2026年9月確認）
- *3 参考：経済産業省「情報セキュリティ管理基準活用ガイドライン」（PDF）（https://www.meti.go.jp/policy/netsecurity/is-kansa/katuyouguideline.pdf）。個別管理基準を策定するときに参照する関連文書として管理基準が挙げていることの確認として（2026年9月確認）
