システムの開発や運用を外部の会社に任せていると、ニュースで「委託先がサイバー攻撃を受け、取引先の情報も漏えいした」という話を目にして、ひやりとすることがあります。自社がどれだけ気をつけていても、預けた先で起きた事故は他人事にできません。
「システム会社や委託先が攻撃されたら、自社のお客様の情報も漏れると聞きました。委託先のセキュリティをどう確認して、契約で何を決めればいいのでしょうか」
先に結論をお伝えします。委託先で起きた漏えいでも、お客様に対する説明責任は委託元（発注者）に残ります。だからこそ「選ぶとき」「契約するとき」「運用が始まってから」の3つの場面で、最低限の確認を仕組みにしておくことが大切です。高度な技術知識は要りません。この記事では、確認する項目と契約で決めておく6つのこと、そのまま使えるチェックリストと質問例を紹介します（執筆時点：2026年10月）。
なぜ委託先の事故が自社の問題になるのか
個人データを預けたら「監督する義務」が発生する
お客様や従業員の個人情報（個人データ）の取り扱いを外部に任せる場合、個人情報保護法では、委託元に「委託先を適切に監督すること」が求められています。個人情報保護委員会のガイドラインでは、この監督を大きく次の3つに整理しています。
- 適切な委託先を選ぶこと
- 委託契約で、安全管理のために必要な内容を取り決めること
- 委託先が個人データをどう扱っているか、把握すること
📰 出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
つまり「開発会社に任せているから、うちは関係ない」とは言えません。契約して終わりではなく、選ぶ段階から運用中まで、発注者側にもやることがある、というのが法律の考え方です（個別の事案での法的な判断は、弁護士など専門家にご相談ください）。
開発会社も「狙われる側」になっている
開発会社は、複数のお客様のシステムやデータ、サーバーへのログイン情報を預かっています。攻撃者から見ると、1社を突破すれば多くの会社に手が届く「効率のよい入口」です。これはどの開発会社が悪いという話ではなく、どんなに真面目な会社でも狙われうる、という業界の構造です。
国もこの流れを重く見ています。IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」は、第4.0版（2026年3月公開）で、取引先・委託先を含めたサプライチェーン（＝取引でつながった会社の連なり）全体の対策という考え方を取り入れています。
📰 出典：IPA「中小企業の情報セキュリティ対策ガイドライン」
場面別：委託先のセキュリティを確認する3つのタイミング
1. 選ぶとき：「やっています」ではなく「見せてもらえるもの」で確認する
質問に「大丈夫です」と答えてもらうだけでは、判断材料になりません。確認の仕方のコツは、口頭の回答ではなく、書類や仕組みで見せてもらうことです。
- 情報セキュリティの基本方針や社内規程があるか
- 第三者の認証（ISMS／ISO27001、プライバシーマークなど）を取得しているか。ない場合は、代わりに何をしているか
- 預かった情報にアクセスできる人は誰か、どう制限しているか
- 再委託（＝開発会社がさらに別の会社へ作業を任せること）をするか、する場合の相手と管理方法
認証がないから即NG、あるから安心、というわけではありません。小さな開発会社でも、きちんと運用している会社は多くあります。「何を決めて、どう守っているか」を説明してもらえるかが見るポイントです。
2. 契約するとき：事故前提で「決めごと」を書面にする
契約書（または覚書）に入れておきたいのが、次の6つです。
- 預ける情報の範囲と使い道：どのデータを、何の目的でだけ使ってよいか（目的外の利用の禁止）
- 安全管理の内容：アクセス制限、データの暗号化、バックアップなど、守ってほしい最低ライン
- 再委託のルール：事前の承諾が必要か、再委託先にも同じ義務を負わせるか
- 事故が起きたときの連絡：発覚から何時間・何日以内に、誰が誰へ、何を連絡するか
- 調査・監査への協力：状況の報告や、必要時の確認に応じてもらえるか
- 契約が終わったときのデータの扱い：返却・削除と、削除したことの証明
とくに4つ目が重要です。事故の連絡が遅れると、お客様への報告や関係機関への届け出も遅れます。「分かり次第、すぐ」のような曖昧な書き方ではなく、期限の目安を書面で決めておくと、いざというときに慌てずに済みます。
3. 運用が始まってから：年に1回、現状を確認する
契約したあとも、メンバーの入れ替わりや新しいツールの導入で、状況は変わります。年に1回程度、次のことを確認するだけでも違います。
- 預けているデータと、アクセスできる人の一覧に変化がないか
- 退職・異動した担当者のアカウントが残っていないか
- 認証の更新や、規程の見直しがされているか
- 事故が起きたときの連絡先が、最新になっているか
やりがちな失敗
- 契約書に、事故時の連絡の取り決めが一行もない：事故が起きてから「誰に連絡すればいいのか」と探し回ることになります。
- 再委託先を把握していない：実際に作業しているのが、契約した会社ではなく、その先の別の会社だったというケースがあります。
- 古いデータを預けっぱなしにする：終了した案件のデータが、開発会社の手元に残り続けると、リスクだけが残ります。
- 確認が「アンケート1枚」で終わる：質問票に「はい」と書いてもらうだけでは、実態は分かりません。
発注者がやること チェックリスト
- ☐ 開発会社に預けているデータ（個人情報・取引先情報など）を一覧にした
- ☐ 契約書（覚書）に、利用目的・安全管理・再委託・事故時の連絡・終了時の削除が書かれているか確認した
- ☐ 事故が起きたときの連絡先（開発会社側・自社側）を決め、最新にしている
- ☐ 開発会社のアカウント（管理画面・サーバー等）の権限を、必要な人だけに絞った
- ☐ 終了した案件のデータが、開発会社の手元に残っていないか確認した
- ☐ 年に1回、委託先の状況を確認する日を、社内の予定に入れた
開発会社への質問例
打ち合わせや見直しのときに、そのまま使える質問です。責めるためではなく、お互いの認識を揃えるために聞くのがコツです。
- 「弊社のデータにアクセスできる方は、何名で、どの範囲まででしょうか」
- 「作業の一部を他社にお願いする場合は、事前にお知らせいただけますか。その会社にも同じ決まりを守ってもらえますか」
- 「万が一、情報漏えいの疑いがあった場合、弊社へはどのくらいの時間でご連絡いただけますか。連絡の手順は決まっていますか」
- 「契約が終わったあと、預けたデータはいつまでに削除され、削除したことをどう確認できますか」
- 「ISMSなどの認証や、社内でのセキュリティ教育について、現状を教えていただけますか」
まとめ
- 委託先で起きた情報漏えいでも、お客様への説明責任は発注者に残る。「任せたから大丈夫」ではなく、選ぶ・契約する・見守るの3つで備える
- 契約では「利用目的・安全管理・再委託・事故時の連絡・監査協力・終了時の削除」の6つを書面にする
- 確認は「口頭の回答」ではなく「書類や仕組み」で。年に1回の見直しを習慣にする
- 開発会社を疑うのではなく、一緒に事故に備える関係を作ることが、結果的にお互いを守る
「自社の契約書にどこまで書けばいいか分からない」「開発会社のセキュリティ体制をどう見ればいいか」など、お悩みがありましたらお気軽にご相談ください。
あわせて読みたい関連記事
