LASSIC Media らしくメディア
委託先のセキュリティチェックリスト｜選定から終了までの確認項目
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 委託先のセキュリティは、選ぶ前・契約・委託中・終了時の4段階で確かめると漏れを防げます。
- 項目はIPAのガイドライン付録5の委託管理の章と、26項目の確認リストが土台になります。
- 契約後も年1回以上は実施状況を確かめ、終了時は情報の回収とアクセス権の停止を確認します。
※ 本記事は2026年10月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
業務を外部に頼むことになったが、相手のセキュリティを何で確かめればよいのか分からない。契約から数年たつのに、委託先がいまどんな対策をしているのか誰も把握していない——。システムの開発や運用を外部に頼んでいる会社では、こうした状態が起こりがちです。委託先のセキュリティチェックリストは、業務を頼む相手が情報をどう守っているかを、段階ごとに確かめるための一覧です。
IPAや経済産業省のガイドラインには項目の土台があるため、一から考えなくても作れます。ただし万能ではなく、すべての項目に○が並んでも事故が起きないとは言い切れません。本記事では、委託先の管理を任された情報システムの担当者に向けて、選ぶ前・契約・委託中・終了時のチェック項目と、手が回らない部分を外部に頼むときに確認したい点を整理します。
目次
委託先のセキュリティチェックとは
委託先のセキュリティチェックは、業務を頼む相手が情報をどう守っているかを、選ぶとき・契約するとき・委託している間・終えるときの4つの段階で確かめる作業です。IPA（情報処理推進機構）の中小企業向けガイドラインは、委託先に提供した情報が漏えいした場合、委託先の不備であっても「委託元としての管理責任を問われることになります」と書いています。*1 頼んだ側が確かめておく理由はここにあります。
- 委託先でも「少なくとも自社と同等の対策」が行われるようにする*1
- そのために、契約書に委託先の責任や実施すべき対策を明記して合意する
- 経済産業省のサイバーセキュリティ経営ガイドラインも、委託先を含めた対策状況の把握と、契約での役割と責任範囲の明確化を経営者の指示事項に挙げている*3
チェックの項目を一から考える必要はありません。IPAのガイドラインの付録5「情報セキュリティ関連規程（サンプル）」には、委託管理の章と「委託先情報セキュリティ対策状況確認リスト」（26項目）が付いています。*2 以下のチェックリストは、この付録と経済産業省のガイドラインの項目を、段階ごとに並べ直したものです。
選ぶ前のチェックリスト
最初の段階は、候補の委託先を比べて選ぶときです。IPAの規程サンプルは、重要な情報を扱う業務を外部に頼む場合に、委託先評価基準に基づいて評価してから選び、責任者の承認を得る流れを示しています。*2 評価基準の例として挙がっているのは、認証の取得や方針の公開といった、外から確かめられる事柄です。
| チェック項目 | 確かめる中身 |
|---|---|
| □ 認証の有無 | ISMS（情報セキュリティの管理の仕組み）の認証やプライバシーマークを取得しているか*2 |
| □ 自己宣言の有無 | SECURITY ACTION（中小企業が対策に取り組むことを宣言する制度）の一つ星・二つ星に取り組んでいるか |
| □ 方針の公開 | 情報セキュリティに関する方針を公開しているか |
| □ 対策の実施状況 | 委託先情報セキュリティ対策状況確認リストに回答してもらい、扱う情報に必要な対策が実施されているか |
| □ 体制 | セキュリティを担当する部署や責任者が決まっているか（確認リストの1番目の項目） |
| □ 事業が止まるリスク | コストや技術力だけでなく、自然災害やパンデミックなどの影響を考えたか*3 |
認証や宣言は手早く確かめる手がかりになりますが、自社の情報を扱う部署が認証の対象に入っているとは限らないため、確認リストへの回答とあわせて見ます。委託先を選ぶ全体の流れはIT外注の委託先選定ガイドで扱っています。
契約で決めておくチェックリスト
選んだ委託先と契約を結ぶ段階では、守ってほしいことを書面に残します。IPAの規程サンプルは、委託契約書に明記する事項として次のようなものを挙げています。*2 契約書のひな形にこれらの条項があるかを、1つずつ確かめます。
- □ 守秘義務：社外秘や極秘の情報、個人情報を漏らさない義務と、その情報の定義
- □ 情報のやり取りと扱い：受け渡しの手段、保管の方法、複製や第三者への提供を認めるか
- □ 再委託：委託先がさらに別の会社や個人に頼むときの扱い
- □ 事故のとき：責任の分担、相手への通知の義務、連絡先、報告の方法
- □ 終了のとき：渡した情報や個人情報を返すか、廃棄・消去するか
- □ 実施状況を確かめる方法とその権限
- □ 契約内容が守られない場合の措置
経済産業省のガイドラインは、システム管理などを委託すると、自社で受け持つ部分と委託する部分の境界があいまいになり、対策の漏れが生じるおそれがあると指摘しています。*3 契約では「誰が・どこまで」を書き分けておくと、事故のときの動きが速くなります。再委託を認める場合は、事前に書面で報告を求め、再委託先にも同じ水準の管理を求めていることを確かめてから承認する、というのがIPAのサンプルの流れです。*2
委託中と終了時のチェックリスト
契約を結んだ後も、確かめる作業は続きます。IPAの規程サンプルは、委託を始めた後、確認リストを使って委託先の対策の実施状況を「年1回以上の頻度で評価する機会を設ける」としています。*2 不備や変更が見つかった場合は、双方で話し合って対処を決め、書面で合意します。
| 段階 | チェック項目 | 確かめる中身 |
|---|---|---|
| 委託中 | □ 定期の確認 | 確認リストへの回答を年1回以上もらい、前回から変わった点を見る |
| 委託中 | □ 確かめ方 | 回答の送付に加え、管理責任者への聞き取りや事業所の訪問を組み合わせる |
| 委託中 | □ 取引先一覧 | 機密情報を共有している委託先の一覧に、渡している情報の名前・区分と受け渡しの手段を書いているか |
| 委託中 | □ 再委託の変化 | 途中で再委託先が増えていないか |
| 終了時 | □ 情報の回収 | 渡した情報が返却・廃棄されたか |
| 終了時 | □ アクセス権 | 委託先に発行したアカウントやアクセス権を止めたか |
| 終了時 | □ 秘密保持 | 秘密保持契約の締結日と有効期限を記録したか |
終了時の3項目は、IPAの規程サンプルで「機密情報共有事項チェックシート」に含める内容として挙がっているものです。*2 終わった委託先のアカウントが残ったままになる事故は、取引先一覧と照らし合わせれば見つけやすくなります。委託先管理の考え方を経営の側から見た整理は委託先・サプライチェーンのセキュリティ管理にまとめています。
外部に頼むときに確認しておきたい点
チェックリストを当ててみると、「確認リストの回答をどう読めばよいか分からない」「委託先が多すぎて一覧を作りきれない」といった、社内だけでは手が回らない部分が見えてきます。そうした部分を外部の手を借りて進めるときは、次の点を先に決めておきます。
- どこまで頼むか：確認リストの項目の絞り込み、回答の読み解き、契約条項の見直し、取引先一覧の整理のうち、どれを任せるか
- 対象の範囲：すべての委託先か、重要な情報を渡している委託先だけか
- 体制：誰が窓口になり、委託先とのやり取りを誰が受け持つか
- 費用の決まり方：委託先の数で決まるのか、作業の期間で決まるのか
- 引き継ぎ：作った一覧や手順を、次の年から自社で回せる形で受け取れるか
特に引き継ぎは、最初に決めておきたい点です。チェックは年1回以上続ける作業なので、外部が作った一覧や手順を自社で更新できなければ、翌年にまた同じ作業を頼むことになります。
まとめ：委託先のセキュリティで確かめておきたい3つの点
委託先のセキュリティを確かめるうえで、押さえておきたい点は3つに整理できます。第一に、選ぶ前に認証や確認リストへの回答で、扱う情報に必要な対策があるかを見ること。第二に、契約書に守秘義務・再委託・事故のときの連絡・終了時の返却と消去を書いておくこと。第三に、契約後も年1回以上は実施状況を確かめ、終了時に情報とアクセス権を回収することです。この3点を踏まえておけば、「契約のときに一度確かめたきり、委託先の変化に気づかなかった」という事態を避けやすくなります。チェックの進め方に迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
小さな委託先にも同じチェックリストを使うべきですか
渡す情報の重要さに合わせて項目を絞ってかまいません。IPAの規程サンプルも、確認リストの評価基準を「全ての対策を実施している」のほかに「取り扱う情報資産に必要な対策を実施している」といった形から選べるようにしています。*2 重要な情報を渡さない委託先まで同じ重さで確かめると、確認が形だけになりがちです。
クラウドサービスの利用も委託先のチェックの対象になりますか
対象に含めて考えます。経済産業省のガイドラインは、サプライチェーンにクラウドなどの外部サービスや他社システムとの連携も含めています。*3 約款を変えられないサービスでは、その約款のまま使ったときに自社に残るリスクが許容できるかを確かめてから契約する、という対策例が示されています。
委託先から確認リストの回答を断られたらどうすればよいですか
回答の代わりに、認証の証書の写しや方針の公開ページなど、外から確かめられる資料を求める方法があります。それも難しい場合は、渡す情報を減らすか、契約に確認の方法と権限を書いておくかを検討します。
委託先のセキュリティ管理のご相談
委託先の確認項目の整理から、アカウントとアクセス権の管理の仕組みづくりまで、元請（プライムベンダー）としてご提案します。
2006年の創業以来、一次請けのシステムインテグレーターとして、企業のシステム開発と保守・運用を受託してきました。
出典
- *1 参考：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」本編（https://www.ipa.go.jp/security/guide/sme/about.html）。出典：第1部の原則2「委託先の情報セキュリティ対策まで考慮する」と、取組6「委託や外部サービス利用の際にはセキュリティに関する責任を明確にする」の記述を参照（2026年10月確認）
- *2 参考：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」付録5「情報セキュリティ関連規程（サンプル）」（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_5.docx）。出典：「8. 委託管理」（委託先評価基準、委託契約の締結、委託先の評価、再委託、取引先一覧、機密情報共有事項チェックシート）と「8-1 委託先情報セキュリティ対策状況確認リスト」を参照（2026年10月確認）
- *3 参考：経済産業省・独立行政法人情報処理推進機構「サイバーセキュリティ経営ガイドライン Ver 3.0」（https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf）。出典：3.4「サプライチェーンセキュリティ対策の推進」の指示9（対策を怠った場合のシナリオと対策例）を参照（2026年10月確認）
