システムの委託先に聞くべき5つのこと

なぜ委託先を見るのか

国家サイバー統括室が2026年11月5日に出した注意喚起は、委託先や保守会社の環境を足がかりに発注元のシステムへ侵入された事案を挙げています。委託先のリモート接続は正規の認証情報で入れる入口になりやすいとしたうえで、サービスの停止や漏えいの影響は発注元が負うと指摘しています。

個人データの扱いを委託している場合は、個人情報保護法第25条により委託先を監督する義務もあります。注意喚起の対策例をもとに、最初に聞くことを5つに絞りました。それぞれに聞き方の例と、回答の読み方を添えます。

1. 誰がどの経路で入れるのか

VPN、リモートデスクトップ、保守用の回線など、委託先が自社のシステムに入る経路をすべて教えてもらい、多要素認証がかかっているかも聞きます。かけにくい経路については、接続元の制限や作業のときだけ開ける運用があるかを確かめます。

聞き方の例は「当社のシステムに接続する経路を、接続先、接続元、認証の方法が分かる表でください」です。

回答は3つに分けて読みます。多要素認証がかかっている経路は次の質問へ進みます。かかっていなくても接続元の制限、作業時だけの接続、作業記録で補っている経路は、切り替えの計画を聞きます。どれもない経路は重要度の高いものから先に直してもらいます。

1本の VPN で社内全体に届く形かどうかも確かめます。注意喚起は作業員ごとに、認められた端末から必要なサーバーや機能だけに通信を絞るよう示しています。IPA の内部不正防止ガイドラインは共有の ID を使わないよう求めているので、「保守用」という1つのアカウントを複数の人で使う運用も見直しの対象です。

2. 使い終わったアカウントは消しているか

作業が終わった担当者のアカウントや、付けたままの管理者権限が残っていないかを聞きます。IPA の内部不正防止ガイドラインは、委託先の異動や退職で削除漏れが起きないよう、体制が変わったら委託元に報告してもらう例を挙げています。

聞き方の例は「当社のシステムに入れるアカウントの一覧と、最後に棚卸しした日をください」です。一覧が出てこない、持ち主が1人ずつ特定できないという回答なら、ここから始めます。管理者権限は付けたままにせず作業の期間だけ与える形に変えられるかを相談します。社内側の手順は退職者のアカウント、片づけ漏れを防ぐ5つの手順にまとめています。

3. 使っている部品は分かっているか

Web サイトやアプリに組み込んだソフトの名前とバージョンの一覧があるかを聞きます。サポートが切れたものがあれば、更新の予定も確かめます。深刻な脆弱性が公表された日に、影響の有無をどのくらいで答えられるかも聞いておきます。

注意喚起が挙げる一覧の項目は製品名、バージョン、使っている場所です。SBOM（ソフトウェアの部品表）という形式もあり、開発や改修を頼むときに提出を契約や仕様に書き、検収で確かめる例が示されています。今あるシステムなら、まず表で受け取るところから始められます。

判断が要るのは緊急時の役割です。注意喚起は保守事業者任せにせず、影響を調べる責任者、委託先との役割分担、経営層への報告の基準を決めておくよう求めています。修正を当てるか、WAF での防御や機能の停止でしのぐかの判断の手順も同じです。回答が「その都度対応します」なら、誰がどのくらいの時間で判断するかを一緒に決めます。

4. 事故のときの連絡は決まっているか

何かあったとき、誰が、いつまでに、どこへ知らせるのかを確かめます。再委託の手続きと、契約が終わったときのデータの消去が契約書に書いてあるかも見ます。

個人データの漏えいでは、委託先から委託元への通知は施行規則第9条で速やかに行うものとされており、自社の報告はこの通知を受けて進みます。期限は「速やかに」のままにせず、日数と連絡先を決めます。報告の流れは個人データが漏れたときの報告 速報は3〜5日、確報は30日にまとめています。

委託先が使う外部サービスも聞きます。三井不動産が11月5日に公表した漏えいは、メールマガジンの配信の委託先が利用していたアララのメール配信システムで起きました。発注元が直接契約していないサービスでも、預けたデータは漏れます。聞き方の例は「当社のデータを置く外部サービスの名前と、再委託先を教えてください」です。

IPA のガイドラインは、事故のときに委託先が委託元の調査に協力する義務を確かめることも挙げています。再委託では再委託先の業務内容と情報の扱いを事前に報告してもらい、承認することが望まれるとしています。国家サイバー統括室の10月の文書は、委託先に渡す情報を必要最小限にすることも挙げています。

5. 第三者の評価や診断はあるか

第三者認証の有無を聞きます。2027年3月に申請の受付が始まる予定の SCS 評価制度も、今後の判断材料になります。脆弱性診断を受けているなら、いつ、どの範囲を診断し、見つかった問題を直したかを聞きます。

「診断済み」という回答は範囲まで確かめます。注意喚起は製品の既知の脆弱性だけでなく、自社や委託先が開発した部分に固有の欠陥も診断と修正の対象にするよう求めています。診断を第三者に頼む場合は、自動の診断だけでなく、手動の検証や業務の流れを考えた診断があるかを確かめるよう書いています。公開前だけでなく、認証、API、個人情報の扱いに関わる重要な変更のときも診断の対象です。

聞き方の注意

注意喚起は、委託先に対策を求めるときは費用の負担や方法をよく話し合い、一方的な押し付けにならないよう求めています。経済産業省と公正取引委員会も取引先とのパートナーシップの考え方を公開しています。まず現状を聞き、足りない点は一緒に計画にすると進めやすくなります。

この資料によると、対策を求めること自体は直ちに独占禁止法上の問題にはなりません。ただし発注側の立場が強く、相手が断りにくい場合は、方法や内容によって優越的地位の濫用になるおそれがあります。例に挙がっているのは次の3つです。

• 有償サービスの利用や認証の取得を求めながら、コストの上昇分を協議せず価格を据え置く
• 負担の額や算出の根拠をはっきりさせないまま、費用の負担を求める
• 相手が同等以上の対策をしているのに、指定の業者のより高いサービスを使わせる

費用が増える対策は、誰が負担するかを見積もりの段階で話し合います。回答は「できている」「できていない」で止めず、いつまでに何をするかを1行ずつ書き添えます。