委託先（開発会社・保守会社）のセキュリティを確認する方法｜契約前に聞くことと契約に入れること
「開発会社にサーバーの管理者権限を渡しているが、相手の管理は大丈夫だろうか」。システムの開発や保守を外部に任せると、委託先は会社の重要なデータや管理者の権限に触れることになります。IPAの「情報セキュリティ10大脅威 2026」（組織編）でも、委託先などを狙った攻撃は2位に挙げられており、委託先の管理は発注する側の責任でもあります。
この記事では、委託先のセキュリティを確認する方法を、契約前・契約時・委託後の3つの段階に分けて解説します。
この記事の結論
- 契約前は、アクセスの管理・端末・再委託・事故時の連絡の4点を必ず聞く
- 契約書には秘密保持・再委託の承認・事故の報告義務・契約終了時のデータ返却と削除を入れる
- 権限は必要な範囲だけ・個人ごとに渡し、共有アカウントは使わない
- 委託後は、年に1回の確認と、契約終了時の権限の回収を忘れない
委託先の管理が必要な理由
- 委託先が侵入口になる：委託先のPCやアカウントが乗っ取られると、そこから自社のシステムに入られる
- データが委託先に残る：開発や調査のために渡したデータのコピーが、委託先に残り続ける
- 取引先から問われる：セキュリティチェックシートやSCS評価制度では、委託先の管理状況も確認される
- 個人情報の管理責任：個人データの取り扱いを委託する場合、委託元には委託先を監督する義務がある
契約前に聞くこと
| 確認すること | 質問の例 |
|---|---|
| アクセスの管理 | 当社のサーバーやデータにアクセスするのは誰ですか。個人ごとのアカウントで、多要素認証を使いますか |
| 作業する端末 | 作業に使うPCは会社の管理下にありますか。ディスクの暗号化やウイルス対策はしていますか |
| データの扱い | 本番のデータを持ち出しますか。持ち出す場合、どこに保存し、いつ削除しますか |
| 再委託 | 作業の一部を別の会社や個人に任せることはありますか。その場合、事前に知らせてもらえますか |
| 事故時の連絡 | セキュリティの事故が起きたとき、どのくらいの時間で、誰に連絡しますか |
| 社内のルール | 情報セキュリティの方針や規程がありますか。社員への教育をしていますか |
| 開発の品質 | 開発するシステムで、脆弱性を作り込まないための確認（レビューや検査）をしていますか |
認証（ISMSやプライバシーマーク）の有無は目安になりますが、それだけで判断せず、実際の運用を聞くことが大切です。
関連記事失敗しないシステム開発会社の選び方｜比較すべき10のポイント
契約書に入れておくこと
- 秘密保持：業務で知った情報を目的外に使わない、第三者に渡さない
- 再委託の承認：再委託するときは事前に書面で承認を得る。再委託先にも同じ義務を負わせる
- 事故の報告義務：事故やそのおそれに気づいたら、速やかに報告する
- データの返却と削除：契約終了時に、預けたデータを返却・削除し、その結果を報告する
- 監査・確認への協力：委託元が管理状況の報告を求めたときに応じる
権限の渡し方
避けたい渡し方
- 自社の管理者アカウントのパスワードを教える
- 委託先の全員で1つのアカウントを使う
- 作業が終わっても権限をそのまま残す
望ましい渡し方
- 委託先の担当者ごとにアカウントを作る
- 作業に必要な範囲だけの権限にする
- 多要素認証を必須にし、作業の記録が残るようにする
- 契約終了時や担当者の交代時に、すぐに停止する
委託後に定期的に確認すること
- 年に1回の確認契約前の質問を、年に1回あらためて確認する。担当者の変更や再委託の有無も聞く
- アカウントの棚卸し委託先に渡しているアカウントと権限を一覧にし、不要なものを停止する
- 契約終了時の回収アカウントの停止、データの返却・削除の報告、管理者パスワードの変更を行う
オーバーエックスの取り組みオーバーエックスは、システムの開発・保守・情シス代行を受ける委託先として、お客様のシステムには担当者ごとのアカウントで、作業に必要な範囲の権限だけでアクセスすることを基本にしています。最上位の管理者アカウントはお客様に持っていただき、契約終了時には、権限の回収とお預かりしたデータの削除を行います。委託先の確認の質問にも、契約前にお答えします。取引先から届いたセキュリティチェックシートの回答の支援も行っています。
よくある質問
- 小さな開発会社や個人に頼む場合も、同じ確認が必要ですか？
- 必要です。規模が小さいほど、ルールが文書になっていないことが多いため、口頭でもよいので実際の運用を聞き、契約書に最低限の条項を入れておきましょう。
- 委託先が再委託しているかどうか、どうやって分かりますか？
- 契約で「再委託は事前の承認が必要」と決めておき、作業の担当者の名前を報告してもらうのが確実です。
- 契約が終わった委託先のアカウントが残っていました。どうすればよいですか？
- すぐに停止し、そのアカウントで最近ログインがないかを確認しましょう。管理者のパスワードを委託先が知っていた場合は、変更してください。
まとめ
委託先のセキュリティは、契約前にアクセスの管理・端末・再委託・事故時の連絡を確認し、契約書に秘密保持や報告義務、データの返却を入れておくことが基本です。権限は担当者ごとに必要な範囲だけ渡し、契約終了時には必ず回収しましょう。
この記事に関連するサービス
受託システム開発
業務システム・Webシステム・基幹システムを、要件が固まる前のご相談から設計・開発・運用保守まで一貫して開発します。プロトタイプで早い段階から画面を確認でき、開発資産の活用で品質を… サービスの詳細を見る
