外部委託・サプライチェーンリスク管理と委託先監査

委託先のリスク管理では、委託先の選定・契約・運用確認と再委託管理をつなげます。用語を覚えるだけでなく、事例の条件に合う対策を選べるように整理しましょう。

科目Aで基本的な意味を確認し、科目Bでは「守る情報・起きた事象・組織のルール・担当者の権限」を読み取ります。本文の確認問題は、考え方を練習するためのオリジナル問題です。

委託先の選定・契約・運用確認と再委託管理をつなげます。比較表と事例問題で確認した後は、正解以外の選択肢が条件に合わない理由も説明してみてください。

1. 委託元が負う「委託先監督義務」（個人情報保護法・ISMS）

「業務を外部に委託したのだから、情報漏えいが起きたら委託先の責任である」という考え方は通用しません。個人情報保護法第25条において、「個人データの取扱いの委託を受ける者に対する必要かつ適切な監督」が委託元に義務付けられています。

2. 再委託（再々委託）の統制と落とし穴

• 勝手な再委託の禁止（事前承諾制）：委託先が自社の承諾なしに孫請け（再委託先）にデータを渡すことを禁止する。再委託を認める場合も、委託先と同等以上のセキュリティ対策を義務付ける。

• サプライチェーンの可視化：どの事業者に自社のデータが渡っているかを完全に把握（サプライチェーンマッピング）する。

3. 科目B形式オリジナル実戦シナリオ演習

演習1：人事給与計算アウトソーシングにおける委託先統制

〔背景・企業概要〕A社は従業員200名の広告代理店である。人事業務の効率化を図るため、全社員の給与計算業務を外部のB社に委託することを決定した。

〔設問〕A社がB社との委託契約書に盛り込むべきセキュリティ条項として、最も適切なものはどれか。

• ア：B社は給与計算以外の新事業（マーケティング分析等）に、A社の社員給与データを自由に流用してよい。

• イ：B社における情報セキュリティ管理体制をA社が定期的に監査（確認）できる監査権条項、A社の事前承諾なしに第三者へ業務を再委託することを禁止する条項、および事故発生時の即時報告義務条項を明記する。

• ウ：万一B社から給与データが漏えいした場合、A社は全社員に対して「一切の責任はB社にあるためA社は無関係」と宣言する条項。

• エ：B社のセキュリティ対策費用を削減するため、B社のPCのウイルス対策ソフトをすべてアンインストールさせる条項。

【正解】：イ

根拠：再委託先まで情報の取扱いと責任を確認できるよう、契約した承認・報告の手順を守ることが必要です。委託したことだけで自社の管理責任がなくなるわけではありません。

確認する点：単に委託先を信頼して無条件に任せる対応や、再委託の実態を把握しない対応は、監督が不十分です。

演習2：業務委託契約終了時のデータ抹消確認

〔背景・企業概要〕C社は、コールセンター業務を委託していたD社との契約期間満了に伴い、業務委託を終了した。

〔設問〕C社のセキュリティリーダーが契約終了時にD社に対して実施すべき実務手続きとして、最も適切なものはどれか。

• ア：D社のサーバや端末に保存されているC社の顧客対応履歴・個人データが確実に消去されたことを確認するため、データ消去証明書の提出を求め、必要に応じて消去作業の立ち会い点検を行う。

• イ：D社が将来また受託するかもしれないので、顧客データをそのままD社のパソコンに残しておくよう指示する。

• ウ：D社の担当者に「ありがとうございました」と口頭で挨拶して手続きを完了とする。

• エ：D社のオフィスのパソコンをすべてハンマーで壊しに行く。

【正解】：ア

根拠：終了時には対象データの返却・消去を確認します。証明書は確認の資料の一つであり、全媒体にデータが残っていないことを単独で保証するものではありません。保存義務やバックアップの取扱いも契約で整理します。

確認する点：担当者の口頭説明だけで確認を終えたり、終了後も目的なくデータを保持させたりする対応は不適切です。

4. まとめと重要チェックリスト

1. 委託元の責任：個人情報保護法第25条「委託先に対する必要かつ適切な監督義務」。

2. 契約必須3箇条：目的外利用禁止、再委託の事前承諾制、監査権の確保。

3. 契約終了時：データ消去証明書の受領と残存データ完全消去の確認。

出典と仕様を確認する

IPA：情報セキュリティマネジメント試験 シラバス Ver.4.1