【連載第6回】つながりを守る！委託先管理とサプライチェーン対策
第1回で紹介したトヨタのサプライチェーン攻撃事例が示すように、自社のセキュリティがいくら万全でも、取引先や委託先がセキュリティホールになる可能性があります。
第6回では、委託先を含めたサプライチェーン全体のセキュリティ管理について解説します。なお、2026年度末に開始予定のSCS評価制度（サプライチェーン・セキュリティ対策評価制度）についてもあわせてご確認ください。
サプライチェーンリスクとは
現代のビジネスは多数の企業が連携して成り立っています。自社のセキュリティだけでなく、以下のような「つながり」すべてがリスクとなり得ます。
- 業務委託先: システム開発、データ入力、コールセンターなど
- クラウドサービス: SaaS、IaaS、ホスティングサービス
- 協力会社: 清掃業者、配送業者、設備保守業者
- 取引先: 受発注システムの接続先
まず「誰が自社のデータに触れるか」を棚卸しする
対策を考える前に、現状の把握が必要です。ここで契約書の一覧から出発すると漏れます。契約を結んでいない相手（無料SaaS、個人事業主への単発依頼）や、契約は総務が管理しているがデータには技術部門が渡している、といったケースが抜けるためです。
アクセス権から逆算してください。
- 自社のファイルサーバー・クラウドストレージに、社外のアカウントが招待されていないか
- 業務システムに、ベンダー用の保守アカウントが残っていないか
- VPNやリモートデスクトップで社内に入れる社外の人がいないか
- 個人情報や設計データを、メールやファイル転送サービスで渡している先はどこか
Microsoft 365 なら、Entra ID の「ゲストユーザー」の一覧を見れば、社外の誰が自社テナントに入れるかが分かります。退職済み・案件終了済みのゲストが残っているのはよくある状態です。棚卸しの初回は、まずここから着手すると効果が見えやすくなります。
委託先をリスクで3階層に分ける
すべての委託先に同じ管理をかけると、確認作業だけで手が止まります。扱うデータと接続の深さで階層を分け、重い管理は上位だけに適用してください。
| 階層 | 該当する委託先 | 求める管理レベル |
|---|---|---|
| 高 | 個人情報を預ける、社内システムに接続する | 契約条項＋年1回のチェックシート＋是正依頼 |
| 中 | 業務データを扱うが個人情報なし、限定的な接続 | 契約条項＋初回のチェックシート |
| 低 | 自社データに触れない（物品購入、清掃など） | 秘密保持契約のみ |
判断に迷ったら、「その委託先が侵害されたとき、自社は顧客に説明する立場になるか」で切り分けてください。説明責任が自社に及ぶなら高階層です。
委託先選定時のチェックポイント
新たに委託先を選定する際、価格や納期だけでなく、セキュリティの観点からも評価することが重要です。
- プライバシーマークまたはISMS認証を取得しているか
- 情報セキュリティポリシーが策定されているか
- インシデント発生時の連絡体制が整備されているか
- 再委託の有無と管理方法は明確か
- 契約終了時のデータ返却・削除の手順は明確か
チェックシートを配るだけでは機能しない
多くの企業がここでチェックシートを送付しますが、全項目に「はい」と回答が返ってくるだけで終わりがちです。形骸化を避けるには、回答の形式を工夫します。
- 「はい／いいえ」ではなく、根拠の記載を求める — 「実施している」ではなく「誰が、どの頻度で、何をしているか」を書いてもらう
- 証跡の添付を求める — ポリシーの表紙、認証登録証の写しなど。文書名だけの回答は実在確認ができない
- 「いいえ」を許容する設計にする — すべて「はい」でないと取引できない建て付けにすると、実態と違う回答を誘発します。「いいえ」でも、いつまでに何をするかを書ければ可とする
認証の有無だけで判断しないこと。 Pマークは個人情報に特化した制度で、システム開発の品質やソースコードの管理は範囲外です。認証は出発点であって、確認の代わりにはなりません（PマークとSECURITY ACTIONの違いも参考にしてください）。
契約に盛り込むべきセキュリティ条項
- 秘密保持義務の範囲と期間
- セキュリティ対策の実施基準
- インシデント発生時の報告義務と対応
- 再委託の制限と承認手続き
- 監査権（委託先のセキュリティ対策を確認する権利）
- 契約終了時のデータ処理方法
条項でとくに効くのは「報告義務」と「再委託」
条項を並べると網羅的に見えますが、実際にインシデント時に効くのは次の2つです。
報告義務は期限を数字で書く。 「速やかに報告する」では、委託先が全容を把握してから連絡してくることになります。自社は個人情報保護委員会への速報を数日以内に出す必要があるため（第8回参照）、委託先からの第一報は「認知後◯時間以内」と明記してください。「詳細が不明でも、判明している範囲で連絡する」ことも条文に入れます。
再委託は「禁止」ではなく「事前承諾＋一覧の提出」にする。 実務上、再委託を完全に禁止すると成立しない業務があります。禁止と書いておきながら黙認されている状態が最も危険です。承諾制にしたうえで、現在の再委託先の一覧を年1回出してもらう運用にしてください。攻撃者が狙うのは、契約書に名前が出てこない二次委託先です。
監査権は、行使しない前提でも入れる意味があります。 条項があると、有事に委託先が調査に協力せざるを得なくなります。平時に立入監査を実施する中小企業はほとんどありませんが、記載自体が交渉材料になります。
クラウドサービスのリスク管理
SaaSの利用が増える中、クラウドサービスのセキュリティ評価も重要です。サービス選定時は、SLA（サービスレベル契約）、データの保管場所（国内/海外）、バックアップ体制、障害時の対応などを確認しましょう。
「クラウド事業者が守ってくれる範囲」を誤解しない
クラウドには責任共有モデルがあり、事業者が守るのはインフラ側です。次は原則として利用者の責任範囲になります。
- アカウントとアクセス権の管理 — 侵害の大半はここが原因
- 共有設定 — 「リンクを知っている全員が閲覧可」で社外に出る事故
- データのバックアップ — 誤削除やランサムウェアからの復旧は利用者側の備え
- ログの確認 — 記録は残っていても、見る人がいなければ検知できない
「M365 を使っているからバックアップは不要」という誤解は特に多く見られます。標準の保持期間を過ぎたデータは戻りません（SaaSバックアップの考え方）。
契約していないクラウドが一番危ない
情シスが把握していないまま現場が使い始めたシャドーITは、サプライチェーンの穴になります。無料のファイル変換サイトやAIサービスに業務データを投入する行為は、実質的に「契約なしで社外に情報を渡している」のと同じです。
禁止だけでは止まりません。「業務で使ってよいサービスの一覧」を提示し、載っていないものを使いたい場合の申請先を明示する運用が現実的です。一覧に十分な選択肢がないと、現場は勝手に探し始めます。
自社が「委託先」の立場になったとき
サプライチェーン対策は、管理する側だけの話ではありません。取引先から自社にチェックシートが届くケースが増えています。特に大企業と取引がある場合、回答内容が取引継続の条件になることもあります。
- 回答は使い回せるように保管する — 同種の質問が別の取引先からも届きます。過去の回答と社内の実態を1つの資料にまとめておくと、都度の負荷が下がります
- できていない項目は正直に書き、期限を添える — 虚偽の回答は、インシデント時に契約違反として問題化します
- 窓口を1人に決める — 営業が個別に回答すると、社内で内容が食い違います
将来的には、SCS評価制度（サプライチェーン・セキュリティ対策評価制度）によって、この確認作業が共通の評価基準に置き換わっていく見込みです。IPAが2026年8月時点で公表している要求事項数は**★3で26項目、★4で43項目**、評価の有効期限は★3が1年・★4が3年とされています。制度の詳細や開始時期は今後の公表で変わり得るため、一次情報での確認をおすすめします。
まとめ
- 棚卸しは契約書一覧ではなくアクセス権から逆算する。Entra ID のゲストユーザーは残りやすい
- 委託先は扱うデータと接続の深さで3階層に分け、重い管理は上位だけに適用する
- 迷ったら「その委託先が侵害されたとき、自社が顧客に説明する立場になるか」で切り分ける
- チェックシートは根拠と証跡を求め、「いいえ」を許容する設計にしないと形骸化する
- 認証の有無は出発点。Pマークはシステム開発の品質やソースコード管理までは担保しない
- 報告義務は**「認知後◯時間以内」と数字で書く**。詳細不明でも連絡させる
- 再委託は禁止ではなく事前承諾＋年1回の一覧提出。攻撃者は二次委託先を狙う
- 監査権は行使しない前提でも記載する。有事の調査協力を担保できる
- クラウドは責任共有モデル。アカウント・共有設定・バックアップ・ログは利用者の責任
- シャドーITは禁止では止まらない。使ってよいサービス一覧と申請先の提示が要る
- 自社が委託先側になる場合、回答は再利用できる形で保管し、窓口を1人に決める
サプライチェーン全体のセキュリティは、自社だけでは完結しません。委託先・取引先との「信頼関係の可視化」が重要です。
次回は、テレワークとクラウド環境における安全な利用方法を解説します。
まとめ・ご相談
セキュリティ対策の強化をご検討の方は、Security365（セキュリティ運用・SOCライト）をご覧ください。
貴社のIT課題について、まずは60分の無料相談でお気軽にご相談ください。