LASSIC Media らしくメディア
SESパートナー選定の注意点｜経産省の基準が挙げる26項目
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 合意に含めることを考慮する事項は26項目：経済産業省の情報セキュリティ管理基準が、供給者との合意について26項目を並べています。*1
- 選ぶ前に聞けるのは資料の5項目：資料の記号でいう l) 下請負、n) 要員の選考、o) 第三者立証（外部の機関が確かめて示すこと）、p) 監査する権利、q) 定期報告です。*1 この5つに絞ったのはこの記事の判断です。
- 監視の責任者を決めておく：供給者との関係を管理する責任は、指定された個人またはチームに割り当てるとされています。*1 割り当てるのは委託する側です。
※ 本記事は2026年9月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
SES（システムエンジニアリングサービス）は、委託先の会社に所属するエンジニアに、自社の開発現場へ入ってもらう形のことです。この記事では、その委託先の会社を「SESパートナー」と書きます。選定では料金と要員の経歴が話題になります。その先に何を聞くかを、この記事では公的な文書から決めます。
物差しになる公的な文書があります。経済産業省の「情報セキュリティ管理基準（令和7年改正版）」*1 です。これは情報セキュリティの管理策（守るために実施する対策）を並べた文書で、情報セキュリティ監査で使う基準と対で公開されています。*2 このなかに、取引先との合意に含めることを考慮する事項を並べた節があります。*1
本記事は、開発の現場を回しているマネージャに向けたものです。前半で項目を数え、後半で選定のときに何を聞くかを整理します。
目次
供給者管理の管理策に並ぶ項目を数える
まず、文書の素性です。情報セキュリティ管理基準は、経済産業省が平成15年（2003年）に「平成15年経済産業省告示第112号」として策定しました。*1 令和7年（2025年）の改正版は、JIS Q 27001:2023とJIS Q 27002:2024に準拠させたものです。*1 JIS Q 27001は情報セキュリティの仕組みに求められる事項を定めた日本産業規格で、JIS Q 27002はその事項を実施するための手引きです。
基準は管理策を一つずつ並べ、項番を振っています。*1 項番は5a、5bのように区分で分かれており、供給者管理は5dに当たります。*1 5dには5d-5.19から5d-5.23までの5つの管理策があります。*1 5d-5.19は供給者との関係の全般を定めた項で、別の記事で扱っています。基準がいう「供給者」は、製品やサービスを提供する取引先のことです。*1 SESパートナーもここに当たると、この記事では考えています。
| 項番 | 並んでいるもの | 項目数 |
|---|---|---|
| 5d-5.20.1の参考 | 供給者との合意に含めることを考慮する事項 | 26 |
| 5d-5.21.1 | ICTサプライチェーンで考慮する事項 | 13 |
| 5d-5.22.2 | 供給者との関係を管理するプロセス | 13 |
| 5d-5.23.3 | クラウドサービスの利用で定義する事項 | 10 |
この記事が主に使うのは1行目の26項目です。2行目のICTサプライチェーン（自社に届くまでに関わる会社の連なり）と、3行目の供給者との関係を管理するプロセスからも、後半で引用します。4行目のクラウドサービスは扱いません。5d-5.22には3項目だけの5d-5.22.1や、箇条書きでない5d-5.22.3から5d-5.22.5もあります。*1 表に入れたのは10項目以上が並ぶ4つの項だけで、供給者管理の全部ではありません。
26項目のうち選定で聞ける5つ
選定にいちばん近いのは、合意に含めることを考慮する26項目です。*1 資料はこれを「合意には、次の事項を含めることを考慮することが可能である」という書き方で並べています。*1 全部を契約書に書けという指示ではありません。この26項目には、契約が終わるときの条項も入っています。*1
26項目のうち、選定のときに聞けるものを5つ挙げます。資料が付けた記号でいうと l)、n)、o)、p)、q) です。*1 選んだ基準は、相手の答えを聞かないと実現できるかどうか分からない項目かどうかです。b) の「組織の分類体系に従った情報の分類」（自社が決めた情報の分け方）のように、*1 自社の中だけで決められるものは外しました。この線引きはこの記事で行ったもので、資料が選定の項目として挙げているわけではありません。残りの21項目はこの記事では扱いません。
l) は下請負です。資料は「下請負供給者の使用に関する合意など、実施する必要のある管理策を含む、下請負契約に関する該当する規定」を挙げ、*1 例として、下請負供給者（供給者がさらに委託する先）に対して供給者と同じ義務を負わせることの要求、下請負供給者のリストをもつこと、変更前の通知の要求を示しています。*1 下請負の会社を使う場合の決めごとも、合意に含めるかどうかを考える対象だということです。
n) は、相手の会社で実際に働く人についての項目です。「法的に許容される場合、供給者の要員の選考に関する要求事項」が挙がっており、選考を実施する責任と、選考が完了しなかった場合の通知の手順も含めるとされています。*1 ここでいう選考は、採用の合否を決めることではなく、入る人の身元や経歴を確かめる手続きだと読めます。資料はその中身までは書いていません。
o)、p)、q) は確かめ方に関わる3項目です。o) には、第三者立証（当事者でない外部の機関が確かめて示すこと）の証拠及び保証の仕組みと、管理策の有効性に関する独立した報告書が挙がっています。*1 p) は、供給者のプロセス及び管理策を監査する権利です。*1 q) は、管理策の有効性について報告書を定期的に提出する供給者の義務と、報告書で提起された問題を適時に修正することに関する合意です。*1 「保証の仕組み」が何を指すかは資料に書かれていません。
SESパートナーの選定で決める3つ
ここからは、選定で決めておくことを3つ挙げます。資料が選定の手順を示しているわけではなく、基準が並べている項目からこの記事で組み立てたものです。
1つめは、下請負があるかを先に聞くことです。資料は、供給者が提供するICTサービスの一部を下請負契約に出す場合には、そのサプライチェーン全体に組織のセキュリティ要求事項を伝達するよう供給者に要求する、としています。*1 資料でいう「組織」は、委託する側のことです。伝達するのは供給者で、委託する側は伝達するよう求める立場です。実際に作業する人が下請負の会社に所属しているなら、要求を伝えてもらう先はその会社まで伸びます。
2つめは、確かめ方を先に決めることです。資料は、提供された製品やサービスが定めたセキュリティ要求事項を守っているかを確認するための監視のやり方を、委託する側が決めて実施するとしています。*1 レビュー方法の例に挙がっているのは、侵入テストと、供給者の情報セキュリティ運用に関する第三者立証の検証または妥当性確認です。*1 侵入テストは、攻撃者と同じやり方で実際に侵入を試す検査です。資料は例を挙げているだけですが、どれを求めるかを先に決めておけば、選定で聞くことが決まります。
3つめは、監視する責任者を決めておくことです。資料は、供給者との関係を管理する責任を特定の個人かチームに割り当てるとし、*1 合意書の要求事項を満たしているかどうかを監視するために、十分な技術力と人的資源を確保しておく、と書いています。*1 どちらも委託する側がすることです。選定で何を約束させても、確かめる人がいなければ守られたかどうかが分かりません。
つまずきやすい難所
一つめのつまずきは、この26項目を「全部契約書に書くもの」と読むことです。資料の書き方は「含めることを考慮することが可能である」で、*1 全部を義務として課しているわけではありません。どれを入れるかは自社で決めます。
二つめは、この基準を選定の手順書として使うことです。基準は管理策を並べた文書で、SESパートナーの選び方を定めたものではありません。自社の管理基準を作るときは、関連文書である「情報セキュリティ管理基準活用ガイドライン」を参照するよう基準自身が求めています。*3 求めることの一覧としては使えます。
三つめは、数が多い項ほど重いと考えることです。数はこの記事で数えたもので、重みづけは資料にありません。
外注時に確認しておきたい点
外部の要員（自社の社員ではなく、作業を委託して働いてもらう人）に入ってもらうときも、26項目は同じように使えると、この記事では考えています。ここまでの5項目は合意に書く話でした。選定の場で相手に聞くとすれば、「下請負はあるか」と「確かめ方は何を出せるか」の2つに絞れます。監視の責任者は自社で決めることなので、相手に聞く話ではありません。
正社員として採る場合は、そもそも供給者との合意がないので、この26項目は当てはまりません。当てはまるのは、外部に委託する場合だけです。
26項目に入っている契約終了の条項と、5d-5.19はSES契約終了で決める6項目｜アクセス権と知財の帰属で扱っています。
入ってもらう人のスキルの確かめ方は外部エンジニアのスキル確認、4つの軸で評価するにまとめました。
テストをどこまで測るかは外部エンジニアのテスト体制とテスト設計、どこまで測る？で扱っています。
まとめ：選定の質問は合意に書くことから逆算する
読み取れることは3つです。第一に、経済産業省の情報セキュリティ管理基準は、供給者との合意に含めることを考慮する事項を26項目並べています。*1 第二に、その26項目のうち l) 下請負、n) 要員の選考、o) 第三者立証、p) 監査する権利、q) 定期報告の5項目を、*1 選ぶ前に聞けるものとしてこの記事で選び出しました。相手の答えを聞かないと実現できるか分からない項目だからです。第三に、合意の要求事項を満たしているか監視するために、十分な技術力と人的資源を確保しておくと書かれています。*1 確保しておくのは委託する側です。選定は、合意に何を書けるかから逆算できます。なお、この基準は管理策を並べた文書で、選定の手順を定めたものではありません。
よくある質問
合意に含めることを考慮する事項は何項目ありますか
26項目です。*1 各項に振られた a) からの記号を、この記事で数えました。記号が飛んでいないことも確かめました。資料は項目に記号を振っているだけで、数は書いていません。確認日は2026年9月19日です。
選定のときに聞けるのはどれですか
資料の記号でいう l)、n)、o)、p)、q) の5項目です。*1 相手の答えを聞かないと実現できるか分からない、という線引きです。確認日は2026年9月19日です。
下請負について何と書かれていますか
供給者が提供するICTサービスの一部を下請負契約に出す場合には、そのサプライチェーン全体に組織のセキュリティ要求事項を伝達するよう供給者に要求する、と書かれています。*1 確認日は2026年9月19日です。
確かめ方の例は挙がっていますか
侵入テストと、供給者の情報セキュリティ運用に関する第三者立証の検証または妥当性確認が、レビュー方法の例として挙がっています。*1 確認日は2026年9月19日です。
この基準はSESパートナーの選び方を定めていますか
定めていません。基準は情報セキュリティの管理策を並べた文書で、*1 選定の手順は含まれていません。確認日は2026年9月19日です。
選定の条件が決まったら相談
「下請負なし、第三者立証の報告書あり、報告は月1回」という形で決まっていればそのままご相談いただけますし、条件を決めきれていない段階でも承ります。
Remoguとリラシクなら、下請負を挟まずに入る要員も、条件と期間を決めてお探しいただけます。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：経済産業省「情報セキュリティ管理基準（令和7年改正版）」（PDF）（https://www.meti.go.jp/policy/netsecurity/is-kansa/IS_Management_Standard_R7.pdf）。出典：経済産業省「情報セキュリティ管理基準（令和7年改正版）」。平成15年経済産業省告示第112号として策定され、令和7年改正版はJIS Q 27001:2023及びJIS Q 27002:2024に準拠。5d-5.20（供給者との合意における情報セキュリティの取扱い）の5d-5.20.1参考に並ぶ26項目、5d-5.21（ICTサプライチェーンにおける情報セキュリティの管理）の13項目、5d-5.22（供給者のサービス提供の監視、レビュー及び変更管理）の5d-5.22.1の3項目と5d-5.22.2の13項目、5d-5.22.3から5d-5.22.5、5d-5.23（クラウドサービスの利用における情報セキュリティ）の5d-5.23.3の10項目の一次情報として。引用は本文の表記に従い、改行と注記番号のみ省いた（2026年9月確認）
- *2 参考：経済産業省「情報セキュリティ監査制度」（公開ページ）（https://www.meti.go.jp/policy/netsecurity/is-kansa/index.html）。管理基準と監査基準が対で公開されていることの確認として（2026年9月確認）
- *3 参考：経済産業省「情報セキュリティ管理基準活用ガイドライン」（PDF）（https://www.meti.go.jp/policy/netsecurity/is-kansa/katuyouguideline.pdf）。個別管理基準を策定するときに参照する関連文書として管理基準が挙げていることの確認として（2026年9月確認）
