業務の外注やクラウドサービスの利用が当たり前になった現在、自社のセキュリティ対策だけを整えていれば安心、とは言えなくなっています。
たとえば、自社ではアクセス権限を厳格に管理していても、顧客情報を渡している委託先のパソコンがマルウェアに感染すれば、そこから情報が漏えいする可能性があります。
また、システムの保守会社やクラウドサービス事業者でインシデントが発生し、自社の業務まで停止するケースも考えられます。
つまり、
「自社が守れているか」だけでなく、「自社とつながっている会社が守れているか」も確認する必要がある
ということです。
こうした「サプライチェーン全体でセキュリティを考える」という流れは、今後さらに重要になります。
経済産業省などが進めている「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」も、こうした課題に対応するための制度です。
本コラムでは、中小企業でも取り組める「委託先管理」の基本的な考え方と、外注先や取引先のセキュリティをどのように確認すればよいのかを解説します。
（参考）SCS評価制度とは？サプライチェーンセキュリティ対策を中小企業向けに解説
委託先管理とは、自社の業務や情報の取り扱いを外部の企業などに任せる際に、その委託先が適切なセキュリティ対策を行っているかを確認・管理することです。
対象になるのは、いわゆる「外注業者」だけではありません。
たとえば、
| システム開発会社 | |
| システム保守会社 | |
| Webサイト制作会社 | |
| 給与計算などの業務委託先 | |
| コールセンター | |
| データ入力会社 | |
| 営業・マーケティング支援会社 | |
| 社労士、税理士などの外部専門家 | |
| クラウドサービス事業者 | |
| データセンターやホスティング事業者 |
など、自社の情報やシステムに関わる外部組織は幅広く考える必要があります。
「取引先」という言葉だけを見ると、商品の仕入先や販売先などを想像するかもしれません。
しかし、セキュリティの観点では、
✅ 自社の重要な情報を渡しているか
✅ 自社システムへアクセスできるか
✅ その会社が止まると自社の業務も止まるか
といった関係が重要になります。
サイバー攻撃では、必ずしも攻撃者が目的の企業を直接攻撃するとは限りません。
比較的セキュリティ対策が弱い関連会社や取引先、委託先に侵入し、そこを足掛かりとして別の企業へ攻撃を広げる「サプライチェーン攻撃」が問題となっています。
また、委託先からの情報漏えいについても注意が必要です。
たとえば、自社の顧客情報を外部企業へ渡して処理を依頼していた場合、その委託先で情報漏えいが起きたとしても、
「漏えいしたのは委託先だから、自社には関係ない」
という言い訳は通用しません。
取引先や顧客から見れば、「その会社に大切な情報を預けたのは誰なのか」という問題になるからです。謝罪対応、損害賠償請求、行政からの指導といった重い責任を負うのは、原則として発注元である自社となります。
さらに、現在はクラウドサービスやSaaSを利用して業務を行う企業も増えています。
メール、オンラインストレージ、顧客管理、会計、勤怠管理、動画配信など、日常業務の多くを外部サービスに依存している企業では、サービス提供事業者で障害やサイバー攻撃が発生した場合、自社の事業継続にも影響する可能性があります。
委託先管理は、単なる「情報漏えい対策」ではありません。
情報管理・サイバーセキュリティ・事業継続をまとめて考える取り組みなのです。
委託先管理を始める際に、最初からすべての企業へセキュリティチェックシートを送る必要はありません。
まず行いたいのは、委託先の棚卸しです。
現在付き合いのある企業や利用している外部サービスについて、
☑️ どの業務を委託しているのか
☑️ どのような情報を渡しているのか
☑️ 個人情報や機密情報を扱っているか
☑️ 自社システムへのアクセス権を与えているか
☑️ 委託先から自社ネットワークへ接続できるか
☑️ 委託先が停止すると自社業務へ影響するか
☑️ さらに別の企業へ再委託されていないか
などを整理してみましょう。
ここで重要なのは、すべての委託先を同じレベルで管理する必要はないということです。
たとえば、会社案内の印刷を依頼している会社と、顧客データベースの保守を任せている会社では、自社に与えるリスクは大きく異なります。
そこで、
A：重要度が高い委託先
B：一定の管理が必要な委託先
C：影響が限定的な委託先
といった形で分類しても構いません。
「その会社で何か起きた場合、自社にどの程度影響するか」という視点で優先順位をつけると分かりやすくなります。
重要度の高い委託先については、セキュリティ対策の状況を確認します。
代表的な確認項目としては、次のようなものがあります。
| 1． | 情報管理のルールがあるか |
|
まず確認したいのが、預けた情報をどのように管理しているかです。 機密情報や個人情報について、
などが決められているかを確認します。 |
|
| 2． | アカウント・アクセス権が管理されているか |
|
委託先が自社のシステムやクラウドサービスへアクセスする場合には、特に注意が必要です。 共用IDを使っていないか、必要以上の権限を与えていないか、退職者や担当変更後のアカウントが残っていないかなどを確認します。 委託業務が終了した場合には、アクセス権を確実に削除することも重要です。 |
|
| 3． | 端末やソフトウェアが適切に管理されているか |
|
委託先が利用するパソコンについても、
などが確認項目になります。
|
|
| 4． | バックアップやインシデント対応ができているか |
|
委託先でランサムウェア感染やシステム障害が発生した場合に備え、
についても確認しておきたいところです。 特に「事故が起きたら速やかに連絡してください」というだけでは、実際の事故発生時に対応が遅れることがあります。 委託先との間で、「何か不審なメールを開いてしまった」「パソコンを紛失した」といった事象が発生した際に、・委託先の「誰が」・自社の「誰に」・「いつまでに（例：発覚から2時間以内など）」・「どのような手段で」 連絡してくるのか、エスカレーション（報告）ルートを明確にしてフローチャート化しておきましょう。初期対応の遅れが、被害を何倍にも拡大させてしまいます。 |
|
委託先の対策状況を確認する方法の一つが「セキュリティチェックシート」です。
チェックシートを利用することで、「何となく安全そうだから大丈夫」という判断ではなく、一定の項目に基づいて状況を確認できます。
チェックシートを一から自作するのは大変ですので、IPA（情報処理推進機構）などが公開している標準的なフォーマット（例：IPA『中小企業の情報セキュリティ対策ガイドライン第4.0版』 付録5：「情報セキュリティ関連規程（サンプル）」内の「8-1 委託先情報セキュリティ対策状況確認リスト」など）を活用するか、それを自社の実態に合わせてカスタマイズして使用するのがおすすめです。
ただし、チェックシートを送って回答をもらえば委託先管理が完了するわけではありません。
たとえば、「セキュリティ教育を実施していますか」という質問に「はい」と回答されていても、毎年実施しているのか、入社時だけなのか、実施記録があるのかによって実態は異なります。
重要な委託先については、必要に応じて資料の提出やヒアリングを行い、回答内容を確認することも必要です。
反対に、リスクが低い委託先に対して何十項目、何百項目ものチェックシートを要求すると、発注側・受注側双方の負担が大きくなります。
委託する業務や扱う情報の重要度に応じて、確認する内容を変える
という考え方が重要です。
（参考）大手取引先のセキュリティチェックシートにどう対応する？中小企業が進めるべき改善の考え方
重要な情報を取り扱う委託先については、口頭での確認だけではなく、契約書や覚書などに必要な事項を明記しておくことが重要です。
取引を開始する前には、必ず「秘密保持契約（NDA）」を締結しましょう。しかし、NDAだけでは不十分です。実際の業務委託契約書の中にも、具体的なセキュリティ条項を盛り込むことが重要です。
たとえば、
✴️ 機密情報の取り扱い
✴️ 情報の目的外利用の禁止
✴️ アクセスできる担当者の範囲
✴️ セキュリティ対策の実施
✴️ 再委託を行う場合の条件
✴️ インシデント発生時の報告、損害賠償責任の範囲
✴️ 調査への協力
✴️ 契約終了時の情報削除・返却
✴️ アカウントやアクセス権の削除
などが考えられます。
特に見落としやすいのが再委託（孫請け）です。
自社がA社へ業務を委託していても、実際の作業をA社からB社（孫請け企業やフリーランス）へ委託している場合があります。
場合によっては、さらにその先へ再委託されていることもあります。
「自社の情報が最終的にどこで扱われているのか」が分からない状態にならないよう、重要な業務については再委託の有無や条件を確認しておきましょう。
これを防ぐためには、「業務の再委託は原則禁止とする」か、「再委託を行う場合は、必ず事前に発注元（自社）の書面による承諾を得ること」を契約で厳しく定めておく必要があります。承認する際も、再委託先が自社の求めるセキュリティ基準を満たしているかを確認しなければなりません。
委託先管理で特に注意したいのは、契約時に確認してそのままになってしまうことです。
企業の環境は変化します。
契約当初は問題がなくても、
✔️ 利用するシステムが変わった
✔️ 取り扱う情報が増えた
✔️ 再委託先が追加された
✔️ 担当者が変更された
✔️ 新しいクラウドサービスを利用するようになった
といった変化によってリスクも変わります。
IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」でも、自社へ影響を及ぼす可能性のある取引先について、対策状況を定期的に評価し、必要な是正と再確認を行い、その結果を記録することが示されています。
そのため、重要な委託先については、たとえば年1回や契約更新時など、定期的に状況を確認する仕組み（「セキュリティ対策状況の確認アンケート」や「報告書の提出」など）を作っておくとよいでしょう。
委託先管理を考えるうえで、今後大きく関係してくるのが「SCS評価制度」です。
SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化するための制度です。
★3・★4については、2026年度末頃の制度開始が予定されています。
これまで発注者側には、
「この委託先のセキュリティ対策は十分なのだろうか」
という判断の難しさがありました。
一方、受注者側には、
「取引先ごとに違うチェックシートへ回答しなければならない」
という負担がありました。
SCS評価制度では、取引内容やリスクに応じて、委託元が委託先に適切なセキュリティ対策の段階（★）を示し、その対策状況を確認することが想定されています。
つまり今後は、
「当社独自の100項目のチェックシートに答えてください」
というやり方だけでなく、
「この業務を委託するため、一定のセキュリティ水準を確認したい」
という形へ、少しずつ整理されていくことが期待されています。
ただし、SCS評価制度は任意の制度です。
「★を取得していなければ取引できない」と制度自体が定めているわけではありません。
重要なのは、制度開始を待つことではなく、今のうちから、
🔵 自社の委託先を把握する
🔵 重要度を整理する
🔵 どのような対策を求めるか決める
🔵 対策状況を確認する方法を決める
という準備を進めておくことです。
（参考「SCS評価制度とは？サプライチェーンセキュリティ対策を中小企業向けに解説
ここまで「委託元」の視点を中心に説明してきましたが、多くの中小企業にとっては、自社自身が大手企業などから業務を委託される「委託先」にあたります。
その場合、今回紹介した確認項目は、そのまま「これから取引先から確認される可能性がある項目」でもあります。
「セキュリティチェックシートが届いてから対応する」のではなく、
| 🔴 社内ルールを整備する 🔴 情報資産やアカウントを管理する 🔴 バックアップを確認する 🔴 インシデント時の連絡体制を決める 🔴 実施したことを記録として残す |
といった対策を今から進めておくことで、取引先からの確認にも対応しやすくなります。
SCS評価制度への準備も、特別なことを突然始めるのではありません。
日頃のセキュリティ対策を整理し、「自社はこのように管理しています」と説明できる状態を作ることが第一歩です。
委託先管理というと、
「取引先にチェックシートを書いてもらうこと」
と思われがちですが、それだけではありません。
まずは、自社がどの会社へ何を委託し、どの情報やシステムを預けているのかを把握すること。
そのうえで、リスクの高い委託先を特定し、必要な対策を確認し、契約やルールに反映し、継続的に状況を確認していくことが重要です。
そして、自社自身も誰かのサプライチェーンの一員です。
発注する側では「委託先を適切に管理できる会社」に、受注する側では「取引先から安心して業務を任せてもらえる会社」になることが求められます。
SCS評価制度は、そのための共通の基準を作ろうとする仕組みです。
制度開始直前になって慌てて対応するのではなく、まずは自社と取引先との関係を整理し、できていること・できていないことを確認するところから始めてみてはいかがでしょうか。
セキュリティ対策やSCS評価制度に関する不安、お悩みがございましたら、ぜひお気軽にLYSTまでお問い合わせください。