情報セキュリティ委託先管理とは？必要性から実務の進め方まで

「委託先で情報漏えいが起きた」というニュースを目にすることが、以前より確実に増えています。

IPAの「情報セキュリティ10大脅威 2026」でも、
「サプライチェーンや委託先を狙った攻撃」が組織向け脅威の2位に位置づけられました。
解説書では、「ランサム攻撃による被害」とあわせて、4年連続で1位・2位に選ばれたとされています。

自社のセキュリティ対策をいくら強化しても、委託先で事故が起きれば、その影響は自社にも及びます。
個人データを扱う委託であれば、委託先で事故が起きた場合でも、委託元は報告・説明責任から逃れられません。

この記事では、情報セキュリティ委託先管理について、なぜ必要なのか、法令が何を求めているのか、実務でどう進めるのか、そして続けるための運用まで、担当者向けに全体像を解説します。

情報セキュリティ委託先管理とは、業務を委託した相手方（委託先）が、情報を安全に扱える体制を持ち、実際に安全に扱っているかを、委託元として確認し続ける取り組みです。

対象になるのは、次のような委託です。

• 個人データや顧客情報の取り扱いを含む業務の委託
• 自社の機密情報や設計情報に触れる業務の委託
• 自社システムに接続する、または自社データを預ける外部サービスの利用（SaaS、クラウドサービスを含む）
• 情報システムの開発、運用、保守の委託

呼び方には、委託先管理、サプライヤー管理、ベンダーマネジメント、サードパーティリスク管理（TPRM）などがあります。
カバーする範囲はほぼ同じです。

実務では「委託先」を、契約書に「業務委託契約」と書かれた相手だけに限定して考えがちです。

しかし個人情報保護法の解釈では、契約の形態を問わず個人データの取扱いを他者に行わせる場合は「委託」に該当します。

クラウドサービスの利用も、事業者側が個人データを取り扱う設計であれば委託と評価されます。

一方、契約上、クラウドサービス提供事業者が保存された個人データを取り扱わず、適切なアクセス制御が行われている場合は、法25条の委託先監督義務の対象にはならないとされています。
ただし、その場合でも、利用者側は自らの安全管理措置としてクラウド利用時の管理を行う必要があります。

「サービスを買っているだけ」と思っていた取引が、法律上は委託関係にあるケースは少なくありません。

個人情報保護法第25条は、個人データの取扱いを委託する場合、委託元に対して「必要かつ適切な監督」を行うことを義務づけています。
ガイドライン（通則編）は、この監督を3つの要素で具体化しています。

• 適切な委託先の選定
• 委託契約の締結
• 委託先における個人データ取扱状況の把握

「委託しているから責任は委託先にある」という説明は、法律上は成立しません。
委託先で漏えいが起きた場合、原則として委託元と委託先の双方が個人情報保護委員会への報告義務を負います（詳細は末尾のFAQを参照）。

冒頭で触れたとおり、IPAの「情報セキュリティ10大脅威 2026」では「サプライチェーンや委託先を狙った攻撃」が組織向け脅威の2位に位置づけられ、「ランサム攻撃による被害」とあわせて4年連続で1位・2位に選ばれています。

攻撃者は、セキュリティ対策の強い本体を直接狙うより、対策が手薄な取引先・委託先・関連会社を経由して本体に到達する経路を選びます。
自社の壁を高くするだけでは守り切れない、という前提が広まっています。

大企業や上場企業では、自社の委託先に対して、定期的にセキュリティチェックシートへの回答を求める運用が広がっています。
この要求は、取引の継続条件になることもあります。

自社が誰かの委託先である立場から見ても、また自社が誰かに委託する立場から見ても、委託先管理は避けて通れないテーマになっています。

情報セキュリティ委託先管理は、ISO9001の取引先評価のような「品質・納期・コスト」を中心とした評価とは、見るべき観点が異なります。

品質面の評価は、納品物や成果物の品質を担保するための活動です。
一方、情報セキュリティ委託先管理は、情報の安全な取扱いを担保するための活動です。

同じ委託先に対して両方の評価を行う場合もありますが、確認項目、判断基準、記録の残し方はそれぞれ独立して設計するほうが実務的に扱いやすくなります。

情報セキュリティ委託先管理は、次の5つの段階に整理できます。

• 1. 選定：委託先候補の情報セキュリティ体制を評価し、委託可能かを判断する
• 2. 契約：安全管理措置、報告義務、監査権、再委託の条件、終了時の対応を契約に定める
• 3. 運用：委託開始後、定期的に委託先の状態を確認し、事故発生時の連絡体制を維持する
• 4. 更新：契約更新のタイミングで、体制や取扱内容の変化を反映する
• 5. 終了：委託終了時に、預けた情報の返却・削除と、削除の記録を残す

このうち多くの組織で手が回っていないのは、3の運用と5の終了です。
契約時に確認したまま数年放置されている委託先、契約は終わっているが預けた情報の削除確認ができていない委託先。
これらが実際のリスク源になります。

• 委託業務に必要な安全管理措置（組織的・人的・物理的・技術的）が整っているか
• ISMSやPマークなど、第三者認証の取得状況
• 過去のセキュリティ事故の発生状況と対応履歴
• 再委託の可能性と、再委託先の管理体制
• クラウドサービス利用の場合はデータの保管場所、暗号化、アクセス制御

認証取得は判断材料の1つですが、認証範囲が委託業務と一致しているかまで確認します。
認証があっても対象外の業務なら、その効力は限定的です。

• 委託の目的と範囲、取り扱う情報の範囲
• 委託先が講ずべき安全管理措置
• 従業員・再委託先への監督義務
• 事故発生時の報告義務と報告期限
• 委託元による監査・立入検査の権利
• 契約終了時の情報返却・削除と、削除の証跡提出

契約書のひな形が古いままだと、事故時の報告期限が個人情報保護法の要求（速報・確報）に対応していないケースがあります。
契約更新のタイミングで確認します。

• 定期的な自己申告（チェックシートによる状況確認）
• 委託先からのインシデント報告の有無
• 委託先の体制変更、担当者変更の通知
• 必要に応じた立入検査や外部監査結果の共有

年1回のチェックシートによる確認が実務の中心になりますが、これで足りるかは委託の重要度によります。
個人データの大量取扱いや、自社システムへの直接アクセスがある委託先には、より頻繁な確認や監査が必要です。

年1回の確認で何を見るべきかは、委託先管理は年1回で足りる？AI・SaaS・再委託の変更確認を解説もあわせて参考にしてください。

• 委託内容や取扱情報の変化
• 委託先の体制・工程の変更
• 関連法令、ガイドラインの改正への対応
• 過去の指摘事項・改善要求への対応状況

契約更新は、実務上の見直しの数少ない機会です。
ここで何を確認するかを、あらかじめ手順として決めておきます。

• 預けた情報の返却または削除
• バックアップを含む削除の証跡確認
• クラウドサービスの場合は解約後の自動削除条項の履行確認
• 委託先アカウント、アクセス権限の停止

終了時の対応が最も抜けやすい工程です。
契約は終わっているが、預けた情報がどう扱われたかを追えていない状態は、後々の事故の火種になります。

すべての委託先を同じ深さで管理する必要はありません。
委託先の数が数十から数百になる組織では、リスクベースで管理レベルを分ける発想が現実的です。

分類の観点は、たとえば次のようなものです。

• 取り扱う情報の機密度（要配慮個人情報を含むか、社外秘の範囲を超えるか）
• 取り扱う情報の量
• 自社システムへの接続の有無と権限の範囲
• 再委託の有無
• 事故時の影響範囲

高リスク層は毎年詳細な確認、中リスク層は簡易な自己申告、低リスク層は契約時確認のみ、といったランク分けができます。
すべてに同じ手間をかけるより、リスクの高いところに手間を集中させるほうが実効性は高くなります。

情報セキュリティ委託先管理では、チェックシートが実務の中心的な道具になります。
委託先に自己申告してもらう形式が、規模を問わず現実的だからです。

セキュリティチェックシートを使うことで、確認する観点を組織として揃え、結果を記録として残せます。
属人的な「何となくの確認」を防ぐ意味でも重要です。

具体的な確認項目については、委託先セキュリティチェックはどこまで見るべき？実務で本当に使われている確認項目で扱っています。

一方、チェックシートさえ運用すれば足りるわけではありません。
チェックシートに書かれた回答をどう読み、どう判断し、どう記録するか。
ここが委託先管理の質を決めます。

契約締結時に一度だけチェックシートで確認し、その後は更新時まで見直さない。
この運用が最も多く見られる失敗です。

委託先の体制、担当者、業務内容は年月とともに変化しますが、その変化は把握できません。

対策は、確認のタイミングを業務としてカレンダーに組み込むことです。

チェックシートの回収はしているが、内容を読み込んでいない。
回答の矛盾や空欄を差し戻さず、そのまま保管している。
この状態では、確認したことにはなりません。

対策は、確認者を明示し、確認プロセスを工程として位置づけることです。
委託先セキュリティチェックが形骸化する構造については、委託先セキュリティチェックが形骸化する理由と対策で扱っています。

回収したExcelファイル、差し戻しのメール、改善要求の議事録、対応完了の確認。
これらがそれぞれ別の場所に残されていると、いざ「あの委託先を確認したときの記録は？」と問われても、たどり着けません。

対策は、確認と判断の記録を1か所にまとめる運用を、早い段階で決めることです。

情報セキュリティ委託先管理の重要度は、今後さらに高まる方向にあります。

経済産業省と内閣官房国家サイバー統括室が進めている「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）は、2026年度末頃の制度開始を目指しており、サプライチェーン全体でのセキュリティ対策状況を可視化する仕組みが議論されています。

ただし、この制度は任意の評価制度であり、商取引を一律に規制するものではありません。
また、制度への対応として特定のセキュリティ製品の導入が必須になるわけでもありません。
「対応しないと取引できない」といった過度な不安を煽る勧誘には注意が必要です。

この制度が動き出すと、大企業からの委託先への調査要求は、より体系化された形で増えることが見込まれます。
今のうちに、自社の委託先管理の水準を整理し、記録を残せる状態にしておくことは、将来への準備にもなります。

SCS評価制度の詳細は、SCS評価制度で委託先管理はどう変わる？委託先管理ツール・チェックシート運用で準備できることで扱っています。

情報セキュリティ委託先管理を仕組みとして続けるためのポイントを3つ挙げます。

委託先ごとに個別にメールで依頼し、Excelで回収し、確認結果を別の台帳に記録する。
この分断された運用が、担当者の負担を増やし、記録の抜けを生みます。

依頼から記録までを1つの流れで扱えるようにしておくと、担当者の異動があっても運用が止まりにくくなります。

回答が不十分な場合、差し戻して再提出を求めることが、確認の質を左右します。

差し戻したこと、何を追加で聞いたこと、どう回答が変わったこと。
この記録が、監査や事故発生時に意味を持ちます。

委託先の数が少ないうちは、Excelとメールで運用が回ります。
しかし、数が増え、期限管理と督促に時間を取られ始めた段階で、仕組みの見直しを検討する時期に入っています。

マモリスのようなチェックシート運用のためのツールでは、委託先への依頼、回収、確認、差し戻し、記録の保管までを1つの流れで扱えます。
委託先はログイン不要で回答できるため、ITツールに慣れていない中小の委託先にも依頼しやすい形です。

情報セキュリティ委託先管理は、法令が求める義務であり、事故時の説明責任を果たすための基盤であり、取引継続の条件でもあります。

やるべきことは、選定・契約・運用・更新・終了という5段階を、リスクに応じた深さで確認し、その記録を残すこと。
この基本を、続けやすい仕組みに落とし込むことが実務の要諦です。

自社が誰かの委託元であり、同時に誰かの委託先でもあるという構造の中で、委託先管理は、自社を守ることと、取引を続けることの両方に関わる業務です。

Q1. 委託先管理は法律上の義務ですか？

個人データの取扱いを委託する場合は、個人情報保護法第25条により委託元に監督義務があります。また、事故発生時には、原則として委託元と委託先の双方が個人情報保護委員会への報告義務を負います。個人データを含まない業務委託は法律上の直接的な義務にはなりませんが、機密情報の保護や取引先からの調査要求への対応として、実務上は必要になります。

Q2. 委託先が事故を起こした場合、委託元の責任はどうなりますか？

個人データの取扱いを委託している場合、委託先で漏えい等の事故が発生すると、原則として委託元と委託先の双方に個人情報保護委員会への報告義務が生じます。委託先が委託元にこの事態を通知したときは委託先の報告義務は免除されますが、委託元の義務は残ります。委託元が事前にどのような監督を行っていたかは、事故後の対応と説明責任に直結します。

Q3. どのくらいの頻度で委託先を確認すべきですか？

法令上、頻度の一律の定めはありません。例えば、高リスクの委託先は年1回以上、中リスクは年1回、低リスクは契約更新時に確認する、といった分け方が考えられます。取引先からセキュリティチェックシートの回答を求められる場合も、多くは年1回の頻度で運用されています。

Q4. クラウドサービスの利用も委託先管理の対象ですか？

事業者側が個人データを取り扱う設計のクラウドサービスは、個人情報保護法上の「委託」に該当します。「サービスの購入」と考えていた取引が、法律上は委託関係にあるケースは少なくありません。SaaS、クラウドストレージ、外部API連携などを利用する場合は、委託関係の有無を整理したうえで、必要な確認を行います。

Q5. 委託先が回答に協力してくれない場合はどうすればよいですか？

契約に監督への協力義務と報告義務を明記しておくことが基本です。そのうえで、回答の負担を下げる工夫（設問を絞る、記入例を付ける、期限に余裕を持たせる）を用意します。取引先からのチェックシート回答の経験がない中小の委託先には、回答の意味と、自社の管理体制を示す機会になることを説明すると、協力を得やすくなります。

• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 個人情報保護委員会「クラウドサービス契約に関するQ&A（Q7-53）」
• IPA「情報セキュリティ10大脅威 2026」（組織編：サプライチェーンや委託先を狙った攻撃）
• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」
• 経済産業省・公正取引委員会「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」（SCS評価制度に関する注意喚起・独占禁止法／取適法との関係整理）