LASSIC Media らしくメディア
SESの契約更新前に見るセキュリティ｜技術者の入れ替わりの確認
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- SESの契約更新の前に、直近の評価の結果と、そのあとに相手の会社で起きた変更を集めます。
- 技術者の出入りに合わせて、アカウントの承認と削除、秘密保持契約、再委託の手続きを確かめます。
- 公的な規程のひな形が契約書に明記するとしている12の事項に照らし、足りない事項は更新の前に書面で合意します。
※ 本記事は2026年9月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
契約期間の終わりが近づいてきたが、同じ会社にこのまま作業をお願いしてよいのか。途中で技術者が入れ替わったものの、アカウントや秘密保持契約の手続きは済んでいたのか——。SES（システムエンジニアリングサービス）を使う現場では、こうした確認が後回しになりがちです。SESの契約更新とは、外部の会社の技術者に自社の開発や運用の作業をしてもらう契約について、その期間を延ばすことを指します。
契約更新の前は、それまでの契約期間に起きたことを振り返り、情報セキュリティの取り決めがいまも足りているかを見直す機会になります。ただし万能ではなく、この見直しでは作業の出来や単価までは判断できません。本記事では、SESの契約先を管理する実務担当者に向けて、更新の前に確かめる理由、公的なひな形が定める委託先の管理、相手の会社に尋ねる変更、そして更新するかどうかの決め方を整理します。
目次
SESの契約更新とは
契約更新の前に選べるのは、大きく3つです。同じ条件で延長する、条件を改めて延長する、延長しない。本記事では、どれを選ぶにしても先に済ませておきたい、情報セキュリティの面の確認を扱います。確かめる相手は、契約先の会社と、そこから来ている技術者です。
よりどころにするのは2つの資料です。1つは経済産業省の「情報セキュリティ管理基準」（以下、管理基準）で、組織が情報セキュリティの対策を整え、運用するための規範として、経済産業省が定めたものです。*1 2025年8月に改正版が公表されています。*2 もう1つは、IPA（情報処理推進機構）が2026年3月27日に公開した「中小企業の情報セキュリティ対策ガイドライン」第4.0版の付録5にある、情報セキュリティ関連規程のサンプル（以下、ひな形）です。*4
両資料の全文に「契約更新」「延長」「SES」の語は出てきません。SESは自社の業務を外部の組織に頼む取引なので、以下では、ひな形の「委託先」と管理基準の「供給者」「外部関係者」を、どれもSESの契約先として読み、相手の会社と書きます。
なぜ更新の前に確かめるのか
管理基準の5d-5.20.3は、組織が外部関係者との合意を定期的に見直し、その合意がいまも必要か、情報セキュリティの条項が目的に合っているかを確かめて、必要なら改めるとしています。*1 合意の例には契約、覚書、情報共有契約が挙がっており（5d-5.20.2）、SESの契約もこれに当たります。
5d-5.20.3は、レビューをいつ行うかを定めていません。契約更新の前は、同じ条件で延長するか、条件を改めるか、延長しないかを選ぶ時点なので、取り決めを見直すのに向いています。延長すれば、いま入っている技術者のアカウントや秘密保持契約も、そのまま次の期間に引き継がれます。自動で延長される契約で、延長しないことや条件を改めることを申し出る期限が契約書にあるなら、その期限より前に見直しを済ませておきます。
ひな形が求めているのは、契約期間中の評価を年1回以上の頻度で行うことです（8.4）。*3 更新のたびに評価をやり直すことまでは求めていません。ただし、自社で決めた次の評価の時期を過ぎていれば、更新の前に評価を行います。
ひな形が定める委託先の管理
ひな形の8章（委託管理）は、委託先を選ぶとき（8.1・8.2）、契約を結ぶとき（8.3）、委託を始めたあと（8.4・8.5）、取引先の一覧を作るとき（8.6）、契約を終えるとき（8.7）の手順を定めています。8.1は、自社の情報を一覧にした台帳（情報資産管理台帳）で重要度を1以上とした情報を扱う業務を委託するとき、情報セキュリティ部門責任者（以下、部門の責任者）が委託先を評価基準に基づいて評価するとしています。基準は、プライバシーマークの付与など外部の認証や制度にかかわるもの4つと、情報セキュリティ監査の定期的な実施、方針の公開、確認リストでの対策の実施の、合わせて7つです。*3
8.2は、評価結果に基づいて委託先を選び、情報セキュリティ責任者（以下、全社の責任者）の承認を得るとしています。重要度の付け方はひな形に書かれておらず、「1」という値も評価基準の7つも、自社で決めて書き換える箇所です。台帳が無い会社は、技術者が扱う情報はすべて8.1の評価が要る情報とみなすと、迷わずに済みます。
8.3は、委託契約書に明記する事項として、次の12を挙げています。*3
| 番号 | 事項 |
|---|---|
| 1 | 当社の社外秘又は極秘の情報資産及び個人情報の守秘義務 |
| 2 | 社外秘又は極秘の情報資産の定義 |
| 3 | 取り交わす手段(受発注の手段、情報のやり取り等) |
| 4 | 取扱い(表示、保管方法、複製可否、第三者への提供可否等) |
| 5 | 再委託についての事項 |
| 6 | 事故時の責任分担についての事項 |
| 7 | セキュリティ事故発生時の相手方への通知義務 |
| 8 | セキュリティ事故発生の連絡先 |
| 9 | 委託業務終了時の当社が提供した社外秘又は極秘の情報資産及び個人情報の返却又は廃棄、消去についての事項 |
| 10 | 情報セキュリティ対策の実施状況に関する監査の方法とその権限 |
| 11 | 契約内容が遵守されない場合の措置 |
| 12 | 事故発生時の報告方法 |
8.4は、委託を始めたあと、確認リスト（確認項目ごとに実施状況を○か×で記入する表）で委託先の対策の実施状況を年1回以上評価し、不備又は変更が見つかったら、双方で協議して対処を検討し、書面で合意するとしています。8.5は、委託先が他の組織や個人に再委託する（頼まれた業務をさらに頼む）場合に、事前の書面による報告を求めます。報告を受けた会社は、委託先が再委託先に8.1・8.3・8.4と同等の管理を求めていることを確かめ、全社の責任者の承認を得てから再委託を認めます。*3
8.7は、契約を終えるときに、提供・共有した機密情報とアクセス権（システムを使える権限）が回収又は破棄されたことを、機密情報共有事項チェックシートで確かめるとしています。このシートには秘密保持契約の締結日と有効期限も書き込みます。*3 契約期間中からこのシートを作っておけば、更新の前に秘密保持契約の期限を確かめるときにも使えます。
相手の会社に尋ねる変更
8.4は、何の変更かを書いていません。そこで、管理基準の5d-5.22.2で補います。5d-5.22.2は、供給者のサービスを監視し、見直し、変更を管理するときに含める項目を、a)からm)まで13挙げています。そのうちb)に供給者による変更が4つ、c)に供給者サービスの変更が7つ、合わせて11の細目が並んでいます。g)は、供給者の障害履歴などの記録を見直すとしています。*1
技術者が自社の用意したパソコンやネットワーク、開発環境で作業するなら、c)の1)から5)（ネットワーク、新技術、新製品、開発ツールと開発環境、設備の設置場所）と、b)の2)（新しいアプリケーション及びシステムの開発）は、多くが自社の側で決まる変更です。そこで相手の会社には、残る5つ（次の表）を尋ねます。あわせて、作業する場所を相手の会社の事業所に移したかどうかも尋ねます。技術者が相手の会社の環境で作業するなら、11の全部を尋ねます。
| 記号 | 細目 | 相手の会社に尋ねる例 |
|---|---|---|
| b) 1) | 現在提供されているサービスの強化 | 提供している作業の中身や体制を自ら変えたり強化したりしたか |
| b) 3) | 組織の諸方針及び諸手順の、変更又は更新 | 情報セキュリティの方針や手順を変えたり更新したりしたか |
| b) 4) | 情報セキュリティインシデントの解決及び情報セキュリティの改善のための、新たな又は変更した管理策 | 事故への対応や改善のために、対策を新しくしたり変えたりしたか |
| c) 6) | 下請負供給者の変更 | 作業を再委託している先を替えたか |
| c) 7) | 他の供給者への下請負契約 | 別の会社や個人に新たに作業を再委託したか |
更新の前に確かめる3つのこと
1つめは、直近の評価の結果と、そのあとに起きた変更を集めることです。直近の評価（8.4）で見つかった不備や変更と、書面で合意した対処を並べ、その対処が行われたかを確かめます。評価のあとの変更は、前の節の表を手がかりにインタビューなどで尋ね、事故や障害があったならその記録も集めます。技術者が扱う情報が重要度の条件に当たるなら、相手の会社を選んだときに満たしていた8.1の基準を記録で確かめ、いまも満たしているかを尋ねます。満たさなくなっていれば、それも8.4の変更として協議します。
2つめは、技術者の出入りに合わせた手続きを確かめることです。ひな形の6章は、自社の従業員以外の者にアカウントを発行するときは代表取締役又は全社の責任者の承認を得たうえで秘密保持契約を結ぶとし（6.6）、不要になったアカウントは不要になった日の翌日までに削除又は無効化するとしています（6.4）。*3 更新の前には、期間中に入った技術者について承認を得て秘密保持契約を結んだか、いま入っている技術者全員の秘密保持契約が次の期間まで有効か、抜けた技術者のアカウントが削除か無効化されたかを確かめます。
入った技術者が相手の会社の従業員でない人（別の会社の人や、個人で仕事を請け負う人）なら、再委託に当たると考えられるので、8.5の事前の報告と承認があったかも確かめます。
3つめは、契約書に明記する12の事項を、1つめと2つめで分かったことに照らし合わせることです。たとえば再委託先が増えていたなら、表の5（再委託についての事項）が新しい再委託先を認める書き方か、1（守秘義務）や7（事故時の通知義務）が新しい再委託先にも及ぶ書き方かを見ます。足りない事項や合わなくなった事項は、契約書に加えるか改めることを、更新の前に双方で協議して書面で合意しておきます。
更新するかどうかの決め方
3点の結果から更新するかどうかを決める線引きは、管理基準にもひな形にもありません。たとえば次のように考えられます。まず、承認や秘密保持契約の抜け、アカウントの消し忘れといった自社の側の漏れは、更新の前に自社で正します。そのうえで、前に合意した対処が行われ、新しい不備も変更も報告の無い再委託もなく、契約書に足りない事項も合わなくなった事項も無ければ、同じ条件で延長することを考えます。
前に合意した対処は行われていて、新しい問題が見つかっても更新の前に対処を書面で合意できれば、条件を改めて延長します。前に合意した対処が行われていない場合や、協議しても合意できない場合は、延長しないことを考えます。
役割の分担は、委託先を選ぶとき（8.1・8.2）の分担に合わせると決めやすくなります。部門の責任者が3点を確かめ、全社の責任者の承認を得てから延長するとよいでしょう。延長しないと決めたら、8.7のとおり機密情報とアクセス権の回収又は破棄を確かめ、新しい相手を探すときは8.1の評価から始めます。
つまずきやすい点
一つ目は、契約期間中の評価を一度もしないまま更新を迎えることです。この場合は、直近の結果を集めるのではなく、更新の前に初めて評価を行います。二つ目は、秘密保持契約を誰と結ぶかを決めていないことです。6.6は相手を書いていないので、技術者本人と結ぶか、相手の会社との契約で足りるとするかを、自社で決めておきます。
三つ目は、技術者の交代を見落とすことです。交代そのものは、管理基準の変更の細目にもひな形の8章にも出てこないため、8.4の評価だけを見ていると抜けやすくなります。交代はアカウントと秘密保持契約の手続き（6章）で追い、入った人が相手の会社の従業員でなければ再委託として扱います。
SESの契約先を選ぶときに合意に入れる項目は記事「SESパートナー選定の注意点」で、契約を終えるときに決める項目は記事「SES契約終了で決める6項目」で扱っています。
まとめ：SESの契約更新で確かめておきたい3つの点
SESの契約更新を情報セキュリティの面から見直すうえで、確かめておきたい点は3つに整理できます。第一に、直近の評価の結果と、そのあとに起きた変更を相手の会社から集めること。第二に、技術者の出入りに合わせて、アカウントと秘密保持契約、再委託の手続きがそろっているかを確かめること。第三に、契約書に明記する12の事項をその結果に照らし、足りない事項や合わなくなった事項を、更新の前に書面で合意しておくことです。この3点を踏まえておけば、「再委託先が増えていたのに、契約の再委託の事項を見直さないまま延長した」という事態を避けやすくなります。契約先や体制の見直しに迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
管理基準とIPAのひな形は、そのまま使わなければならないものですか
どちらも、自社に合わせて手を加えて使うものです。管理基準の1.2は、記載の管理策を取捨選択、追加、統合又は具体化して、自社の状況に合った管理策の体系を作る必要があるとしています。*1 ひな形も、必要な対策を選んで編集し、赤字の箇所を自社の事情に合わせて書き換え、青字の箇所は文言を選ぶよう冒頭で示しています。*3
規程をひな形とは別の形で作っている場合は、どうすればよいですか
自社の規程のうち、ひな形の8章（委託管理）と6章（アクセス制御及び認証）に当たる箇所を、更新の前の確認のよりどころにします。規程の作り方が違っても、委託先の評価、契約書の事項、アカウントと秘密保持契約の手続きに当たる決まりがあれば、同じ3点を確かめられます。
委託先の評価は、どんな方法で行いますか
ひな形の8.4は、評価の方法として、委託先の事業所の訪問、委託先の管理責任者へのインタビュー、確認リストへの回答を挙げています。*3 確認リストは、ひな形の参考8-1「委託先情報セキュリティ対策状況確認リスト」で、確認項目ごとに実施状況を○か×で記入する形です。
契約の延長とあわせて体制を見直したいとき
延長の前に、次の期間に担ってほしい仕事を整理するところからご相談いただけます。
業務委託で頼む方はRemoguで、社員として採る方はリラシクで、担ってほしい仕事をうかがったうえでご提案します。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：経済産業省「情報セキュリティ管理基準（令和7年改正版）」（https://www.meti.go.jp/policy/netsecurity/is-kansa/IS_Management_Standard_R7.pdf）。出典：経済産業省「情報セキュリティ管理基準（令和7年改正版）」（令和7年経済産業省告示第124号）。1.1（主旨）、1.2（本管理基準の位置付け）、5d-5.20（供給者との合意における情報セキュリティの取扱い）の5d-5.20.2と5d-5.20.3、5d-5.22（供給者のサービス提供の監視、レビュー及び変更管理）の5d-5.22.2の一次情報として参照。語の有無は全文で確認（2026年9月確認）
- *2 参考：経済産業省「情報セキュリティ監査制度」（https://www.meti.go.jp/policy/netsecurity/is-kansa/index.html）。出典：経済産業省「情報セキュリティ監査制度」（最終更新日2025年8月29日）。令和7年8月の改正版の公表と、告示番号（令和7年経済産業省告示第124号）の確認として参照（2026年9月確認）
- *3 参考：IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版 付録5「情報セキュリティ関連規程（サンプル）」（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_5.docx）。出典：IPA（独立行政法人情報処理推進機構）「中小企業の情報セキュリティ対策ガイドライン」第4.0版 付録5「情報セキュリティ関連規程（サンプル）」。冒頭の説明（赤字・青字の扱い）と、組織的対策のうち、1章（情報セキュリティのための組織）の組織の表、5章（情報資産・IT資産の管理）の5.1、6章（アクセス制御及び認証）の6.4と6.6、8章（委託管理）の8.1から8.7まで、参考8-1（委託先情報セキュリティ対策状況確認リスト）の一次情報として参照。赤字・青字は文書の文字の色で確認。語の有無は全文で確認（2026年9月確認）
- *4 参考：IPA「中小企業の情報セキュリティ対策ガイドライン」（https://www.ipa.go.jp/security/guide/sme/about.html）。出典：IPA（独立行政法人情報処理推進機構）「中小企業の情報セキュリティ対策ガイドライン」のページ。第4.0版の公開日（2026年3月27日）の確認として参照（2026年9月確認）
