情報セキュリティ委託先管理とは？必要性から実務の進め方まで

「委託先で情報漏えいが起きた」というニュースを目にすることが、以前より確実に増えています。

IPAの「情報セキュリティ10大脅威 2026」でも、
「サプライチェーンや委託先を狙った攻撃」が組織向け脅威の2位に位置づけられました。
解説書では、「ランサム攻撃による被害」とあわせて、4年連続で1位・2位に選ばれたとされています。

自社のセキュリティ対策をいくら強化しても、委託先で事故が起きれば、その影響は自社にも及びます。
個人データの取扱いを委託している場合、委託先で起きた漏えい等が法令の定める報告対象にあたれば、委託元も個人情報保護委員会への報告や本人への通知を行う立場になります。

この記事では、委託元の情シス・管理担当者に向けて、情報セキュリティ委託先管理の全体像を解説します。
なぜ必要なのか、法令が何を求めているのかを押さえたうえで、対象とする委託先、確認の担当、確認項目、判断の記録をどう決めるかを、最初の1社に依頼する例とあわせて紹介します。

情報セキュリティ委託先管理とは、業務を委託した相手方（委託先）が、情報を安全に扱える体制を持ち、実際に安全に扱っているかを、委託元として確認し続ける取り組みです。

対象になるのは、次のような委託です。

• 個人データや顧客情報の取り扱いを含む業務の委託
• 自社の機密情報や設計情報に触れる業務の委託
• 自社システムに接続する、または自社データを預ける外部サービスの利用（SaaS、クラウドサービスを含む）
• 情報システムの開発、運用、保守の委託

呼び方には、委託先管理、サプライヤー管理、ベンダーマネジメント、サードパーティリスク管理（TPRM）などがあります。
カバーする範囲はほぼ同じです。

実務では「委託先」を、契約書に「業務委託契約」と書かれた相手だけに限定して考えがちです。

しかし個人情報保護法の解釈では、契約の形態を問わず個人データの取扱いを他者に行わせる場合は「委託」に該当します。

クラウドサービスの利用も、事業者側が個人データを取り扱う設計であれば委託と評価されます。

一方、契約上、クラウドサービス提供事業者が保存された個人データを取り扱わず、適切なアクセス制御が行われている場合は、法25条の委託先監督義務の対象にはならないとされています。
ただし、その場合でも、利用者側は自らの安全管理措置としてクラウド利用時の管理を行う必要があります。

「サービスを買っているだけ」と思っていた取引が、法律上は委託関係にあるケースは少なくありません。

個人情報保護法第25条は、個人データの取扱いを委託する場合、委託元に対して「必要かつ適切な監督」を行うことを義務づけています。
ガイドライン（通則編）は、この監督を3つの要素で具体化しています。

• 適切な委託先の選定
• 委託契約の締結
• 委託先における個人データ取扱状況の把握

「委託しているから責任は委託先にある」という説明は、法律上は成立しません。
委託先で起きた漏えい等が、要配慮個人情報を含む場合、財産的被害のおそれがある場合、不正の目的によるおそれがある場合、本人の数が1,000人を超える場合といった報告対象の事態にあたるときは、原則として委託元と委託先の双方が個人情報保護委員会への報告義務を負います（詳細は末尾のFAQを参照）。

冒頭で触れたとおり、IPAの「情報セキュリティ10大脅威 2026」では「サプライチェーンや委託先を狙った攻撃」が組織向け脅威の2位に位置づけられ、「ランサム攻撃による被害」とあわせて4年連続で1位・2位に選ばれています。

攻撃者は、セキュリティ対策の強い本体を直接狙うより、対策が手薄な取引先・委託先・関連会社を経由して本体に到達する経路を選びます。
自社の壁を高くするだけでは守り切れない、という前提が広まっています。

大企業や上場企業では、自社の委託先に対して、定期的にセキュリティチェックシートへの回答を求める運用が広がっています。
この要求は、取引の継続条件になることもあります。

自社が誰かの委託先である立場から見ても、また自社が誰かに委託する立場から見ても、委託先管理は避けて通れないテーマになっています。

情報セキュリティ委託先管理は、ISO9001の取引先評価のような「品質・納期・コスト」を中心とした評価とは、見るべき内容が異なります。

品質面の評価は、納品物や成果物の品質を担保するための活動です。
一方、情報セキュリティ委託先管理は、情報の安全な取扱いを担保するための活動です。

同じ委託先に対して両方の評価を行う場合もありますが、確認項目、判断基準、記録の残し方はそれぞれ独立して設計するほうが実務的に扱いやすくなります。

情報セキュリティ委託先管理は、次の5つの段階に整理できます。

• 1. 選定：委託先候補の情報セキュリティ体制を評価し、委託可能かを判断する
• 2. 契約：安全管理措置、報告義務、監査権、再委託の条件、終了時の対応を契約に定める
• 3. 運用：委託開始後、定期的に委託先の状態を確認し、事故発生時の連絡体制を維持する
• 4. 更新：契約更新のタイミングで、体制や取扱内容の変化を反映する
• 5. 終了：委託終了時に、預けた情報の返却・削除と、削除の記録を残す

このうち多くの組織で手が回っていないのは、3の運用と5の終了です。
契約時に確認したまま数年放置されている委託先、契約は終わっているが預けた情報の削除確認ができていない委託先。
これらが実際のリスク源になります。

何から始めるか迷う場合は、すべての委託先を一度に揃えようとせず、個人データや機密情報を預けている委託先から1社を選び、確認の流れを一度通してみる方法があります。
1社で通してみると、設問の量、回答にかかる日数、自社の確認にかかる時間が見えるため、2社目以降の対象・担当・確認項目を決めやすくなります。

以下は編集部が想定した運用例です。会社名や業務は架空で、公的な手順や合格基準を示すものではありません。

例：会員向けメール配信の運用を委託しているA社（架空）

1. 委託業務・預ける情報・アクセス範囲を確かめる

• 委託業務：会員向けメールマガジンの作成と配信
• 預ける情報：会員の氏名とメールアドレス
• アクセス範囲：A社の担当者が自社の配信システムにログインし、配信リストを更新する

個人データの取扱いを任せているか、自社システムへのアクセスがあるかをここで確かめておくと、どこまで確認するかを決めやすくなります。

2. 確認する項目を絞る

最初の依頼では、預ける情報とアクセス範囲に関わる項目に絞ります。例では次の項目を中心にしました。

• 配信システムにログインできる担当者の範囲と、退職・異動時の権限停止
• 会員情報を、配信システム以外の端末やサービスに保存していないか
• 作業の一部を再委託しているか
• 事故が起きたときの連絡窓口と、自社へ連絡するまでの流れ
• 委託終了時の配信リストの削除方法

3. 回答を依頼する

• 相手の回答担当：A社の窓口担当者に依頼し、技術的な設問は配信作業の責任者に答えてもらうよう頼む
• 回答期限：依頼日から2〜3週間を目安に、A社の繁忙期や社内承認の有無を聞いてから決める
• 依頼時に伝えること：確認の目的、設問数の目安、分からない項目は空欄にせず「不明」と書いてよいこと

4. 回答の内容を人が確認する

• 自社の確認担当：委託を発注した部署の担当者が業務内容に関わる回答を、情シスの担当者が技術的な回答を確認する
• 確認すること：空欄や「対応予定」の回答がないか、回答同士に食い違いがないか

5. 必要なら追加確認・再提出を依頼する

例では、「権限は担当者ごとに付与している」という回答に対し、退職者の権限をいつ停止したかを追加で質問し、補足を書いて再提出してもらいました。
根拠となる資料までどこまで求めるかは、セキュリティチェックで証跡や追加確認をどこまで求めるかで扱っています。

6. 確認結果を記録する

• 確認日、確認者、対象業務
• 追加で質問した項目と、再提出後の回答
• 残った課題と、次に確認する時期（例：次回の契約更新時、配信システムを変更するとき）

回答をもとに契約条件の見直しが必要になった場合は、法務担当や社内の契約手続で判断します。
チェックシートの回答だけで、契約上の可否を決めるわけではありません。

この例の3〜6（依頼・回収・確認・再提出・記録）は、マモリスの無料プランで試せます。
管理する側が無料登録し、1枚のチェックシートで、委託先への依頼から回答の確認、必要な場合の再提出までを通せます。回答する委託先はログイン不要で、届いたURLから回答できます。

委託先1社への確認依頼を、無料ではじめる

• 委託業務に必要な安全管理措置（組織的・人的・物理的・技術的）が整っているか
• ISMSやPマークなど、第三者認証の取得状況
• 過去のセキュリティ事故の発生状況と対応履歴
• 再委託の可能性と、再委託先の管理体制
• クラウドサービス利用の場合はデータの保管場所、暗号化、アクセス制御

認証取得は判断材料の1つですが、認証範囲が委託業務と一致しているかまで確認します。
認証があっても対象外の業務なら、その効力は限定的です。

• 委託の目的と範囲、取り扱う情報の範囲
• 委託先が講ずべき安全管理措置
• 従業員・再委託先への監督義務
• 事故発生時の報告義務と報告期限
• 委託元による監査・立入検査の権利
• 契約終了時の情報返却・削除と、削除の証跡提出

契約では、委託先が事故を把握したときの連絡先、連絡期限、伝える内容を決めます。
委託先から委託元への連絡と、個人情報保護委員会への法定の報告は別の手続です。委託元が報告対象かを判断し、必要な報告を進められるよう、連絡の手順を契約更新時にも確かめます。

• 定期的な自己申告（チェックシートによる状況確認）
• 委託先からのインシデント報告の有無
• 委託先の体制変更、担当者変更の通知
• 必要に応じた立入検査や外部監査結果の共有

年1回のチェックシートによる確認が実務の中心になりますが、これで足りるかは委託の重要度によります。
個人データの大量取扱いや、自社システムへの直接アクセスがある委託先には、年1回より多い確認や、変更があったときの確認、監査を検討します。どの頻度にするかは、自社の基準、委託業務、契約に応じて決めます。

年1回の確認で何を見るべきかは、委託先管理は年1回で足りる？AI・SaaS・再委託の変更確認を解説もあわせて参考にしてください。

• 委託内容や取扱情報の変化
• 委託先の体制・工程の変更
• 関連法令、ガイドラインの改正への対応
• 過去の指摘事項・改善要求への対応状況

契約更新は、実務上の見直しの数少ない機会です。
ここで何を確認するかを、あらかじめ手順として決めておきます。

• 預けた情報の返却または削除
• バックアップを含む削除の証跡確認
• クラウドサービスの場合は解約後の自動削除条項の履行確認
• 委託先アカウント、アクセス権限の停止

終了時の対応が最も抜けやすい工程です。
契約は終わっているが、預けた情報がどう扱われたかを追えていない状態は、後々の事故の火種になります。

すべての委託先を同じ深さで管理する必要はありません。
委託先の数が数十から数百になる組織では、リスクベースで管理レベルを分ける発想が現実的です。

分類の手がかりは、たとえば次のようなものです。

• 取り扱う情報の機密度（要配慮個人情報を含むか、社外秘の範囲を超えるか）
• 取り扱う情報の量
• 自社システムへの接続の有無と権限の範囲
• 再委託の有無
• 事故時の影響範囲

たとえば、高リスク層は年1回以上の詳細な確認、中リスク層は年1回の簡易な自己申告、低リスク層は契約時と契約更新時の確認、といったランク分けが考えられます。
これは編集部の例で、どの層をどの頻度で確認するかは、自社の基準、委託業務、契約に応じて決めます。すべてに同じ手間をかけるより、リスクの高いところに手間を集中させるほうが実効性は高くなります。

情報セキュリティ委託先管理では、チェックシートが実務の中心的な道具になります。
委託先に自己申告してもらう形式が、規模を問わず現実的だからです。

セキュリティチェックシートを使うことで、確認する項目を組織として揃え、結果を記録として残せます。
属人的な「何となくの確認」を防ぐ意味でも重要です。

具体的な確認項目については、委託先セキュリティチェックはどこまで見るべき？実務で本当に使われている確認項目で扱っています。

一方、チェックシートさえ運用すれば足りるわけではありません。
チェックシートに書かれた回答をどう読み、どう判断し、どう記録するか。
ここが委託先管理の質を決めます。

契約締結時に一度だけチェックシートで確認し、その後は更新時まで見直さない。
この運用が最も多く見られる失敗です。

委託先の体制、担当者、業務内容は年月とともに変化しますが、その変化は把握できません。

対策は、確認のタイミングを業務としてカレンダーに組み込むことです。

チェックシートの回収はしているが、内容を読み込んでいない。
回答の矛盾や空欄を差し戻さず、そのまま保管している。
この状態では、確認したことにはなりません。

対策は、確認者を明示し、確認プロセスを工程として位置づけることです。

回収したExcelファイル、差し戻しのメール、改善要求の議事録、対応完了の確認。
これらがそれぞれ別の場所に残されていると、いざ「あの委託先を確認したときの記録は？」と問われても、たどり着けません。

対策は、確認と判断の記録を1か所にまとめる運用を、早い段階で決めることです。

情報セキュリティ委託先管理の重要度は、今後さらに高まる方向にあります。

経済産業省と内閣官房国家サイバー統括室が進めている「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）は、2026年度末頃の制度開始を目指しており、サプライチェーン全体でのセキュリティ対策状況を可視化する仕組みが議論されています。

ただし、この制度は任意の評価制度であり、商取引を一律に規制するものではありません。
また、制度への対応として特定のセキュリティ製品の導入が必須になるわけでもありません。
「対応しないと取引できない」といった過度な不安を煽る勧誘には注意が必要です。

この制度が動き出すと、大企業からの委託先への調査要求は、より体系化された形で増えることが見込まれます。
今のうちに、自社の委託先管理の水準を整理し、記録を残せる状態にしておくことは、将来への準備にもなります。

制度の検討状況は、経済産業省のサプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針で確認できます。

情報セキュリティ委託先管理を仕組みとして続けるためのポイントを3つ挙げます。

委託先ごとに個別にメールで依頼し、Excelで回収し、確認結果を別の台帳に記録する。
この分断された運用が、担当者の負担を増やし、記録の抜けを生みます。

依頼から記録までを1つの流れで扱えるようにしておくと、担当者の異動があっても運用が止まりにくくなります。

回答が不十分な場合、差し戻して再提出を求めることが、確認の質を左右します。

差し戻したこと、何を追加で聞いたこと、どう回答が変わったこと。
この記録が、監査や事故発生時に意味を持ちます。

委託先の数が少ないうちは、Excelとメールで運用が回ります。
しかし、数が増え、期限管理と督促に時間を取られ始めた段階で、仕組みの見直しを検討する時期に入っています。

マモリスのようなチェックシート運用のためのツールでは、委託先への依頼、回収、確認、差し戻し、記録の保管までを1つの流れで扱えます。
委託先はログイン不要で回答できるため、ITツールに慣れていない中小の委託先にも依頼しやすい形です。

情報セキュリティ委託先管理は、個人データの取扱いを委託する場合には法令上の監督義務にかかわり、事故時の説明責任を果たすための基盤であり、取引継続の条件になることもあります。

やるべきことは、選定・契約・運用・更新・終了という5段階を、リスクに応じた深さで確認し、その記録を残すこと。
この基本を、続けやすい仕組みに落とし込むことが実務の要諦です。

自社が誰かの委託元であり、同時に誰かの委託先でもあるという構造の中で、委託先管理は、自社を守ることと、取引を続けることの両方に関わる業務です。

Q1. 委託先管理は法律上の義務ですか？

個人データの取扱いを委託する場合は、個人情報保護法第25条により委託元に監督義務があります。また、委託先で起きた漏えい等が報告対象の事態（要配慮個人情報を含む、本人の数が1,000人を超えるなど）にあたる場合は、原則として委託元と委託先の双方が個人情報保護委員会への報告義務を負います。個人データの取扱いを委託しない場合は、ここで説明した個人情報保護法第25条の委託先監督義務とは分けて考えます。他の法令や契約で求められる管理の有無は別に確認し、機密情報の保護など、自社に必要な確認を決めます。

Q2. 委託先が事故を起こした場合、委託元の責任はどうなりますか？

個人データの取扱いを委託している場合、委託先で起きた漏えい等が報告対象の事態にあたると、原則として委託元と委託先の双方に個人情報保護委員会への報告義務が生じます。報告対象かどうかは、要配慮個人情報を含むか、財産的被害や不正の目的によるおそれがあるか、本人の数が1,000人を超えるかなどで判断します。委託先が委託元にこの事態を通知したときは委託先の報告義務は免除されますが、委託元の義務は残ります。委託元が事前にどのような監督を行っていたかは、事故後の対応と説明責任に直結します。

Q3. どのくらいの頻度で委託先を確認すべきですか？

法令上、頻度の一律の定めはありません。例えば、高リスクの委託先は年1回以上の詳細な確認、中リスクは年1回の簡易な自己申告、低リスクは契約時と契約更新時に確認する、といった分け方が考えられます。頻度は自社の基準、委託業務、契約に応じて決め、委託内容や再委託先が変わったときの確認も別に決めておきます。取引先からセキュリティチェックシートの回答を求められる場合も、多くは年1回の頻度で運用されています。

Q4. クラウドサービスの利用も委託先管理の対象ですか？

事業者側が個人データを取り扱う設計のクラウドサービスは、個人情報保護法上の「委託」に該当します。「サービスの購入」と考えていた取引が、法律上は委託関係にあるケースは少なくありません。SaaS、クラウドストレージ、外部API連携などを利用する場合は、委託関係の有無を整理したうえで、必要な確認を行います。

Q5. 委託先が回答に協力してくれない場合はどうすればよいですか？

契約に監督への協力義務と報告義務を明記しておくことが基本です。そのうえで、回答の負担を下げる工夫（設問を絞る、記入例を付ける、期限に余裕を持たせる）を用意します。取引先からのチェックシート回答の経験がない中小の委託先には、回答の意味と、自社の管理体制を示す機会になることを説明すると、協力を得やすくなります。

• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」（報告対象となる事態と報告期限）
• 個人情報保護委員会「クラウドサービス契約に関するQ&A（Q7-53）」
• IPA「情報セキュリティ10大脅威 2026」（組織編：サプライチェーンや委託先を狙った攻撃）
• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」
• 経済産業省・公正取引委員会「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」（SCS評価制度に関する注意喚起・独占禁止法／取適法との関係整理）