2022年4月13日情報セキュリティ

委託先管理の基本。情報セキュリティ事故を防ぐために

昨今、事業拡大や生産性向上を目的として自社業務を外部へ委託することが増えています。しかし一方で、委託先における情報漏洩事故も頻発しています。外部委託において業務自体は第三者（委託先）が行いますが、委託元は委託先の情報セキュリティ対策について管理を行う必要があることは周知の事実です。本記事では、これから委託先管理に取り組むという企業に向けて、委託先管理の重要性やそのポイントについて解説します。

委託とは何か？

委託とは、社内で処理できない業務や委託したほうが効率や効果が期待できる業務を外部に任せることを言います。

業務を任せるということは自社の情報資産に対して第三者がアクセス・閲覧・加工等の取り扱いが可能になるため、セキュリティリスクを把握し管理することが重要です。情報漏洩のリスクを考慮して委託しなければなりません。モノやデータのみならず、業務におけるノウハウなども情報資産に当たります。

委託先管理の課題、重要性

委託業務の内容は企業によって様々ですが、昨今では個人情報を含む重要情報を取り扱うケースがよく見受けられます。業務効率化のため外部委託を選択することは賢明な判断ではありますが、安易な委託は情報漏洩のリスクを高めます。個人情報に対する法制度や世間の目が厳しくなっている昨今、小さな情報セキュリティ事故でも企業の経営を揺るがすほどの大きな社会的損失につながりかねません。そうならないためにも事故対策を徹底し事故を発生させないことが企業を守る最善策です。委託先管理は今、企業の喫緊の課題となっています。

委託先の漏洩事故事例

実際に委託先で発生している事故には以下のような事例があります。

■株式会社道新サービスセンターー委託先で個人情報管理ミスによる個人情報誤表示事案の未報告

業務基幹システムの構築業務において委託先の従業員が作業中にミスを起こし、委託元が保有する取引先情報（個人情報含む）が一時外部閲覧可能な状態にあった。また発生時の報告がなく、事後の発覚となった。

■厚生労働省ー委託先が外部アクセス可能な名簿データURLを関係者以外へ誤送信

厚生労働省管轄の研修事業において、受託企業の従業員が組織内向けの電子メールを研修申込者に誤送信した。メールには1,106名の受講生らの情報を記録した外部アクセス可能なクラウドサーバーのURLが記載されており、閲覧可能な状態にあったが、そもそも同省では委託時の仕様書にて、アクセス可能なクラウドサーバーでの情報管理を認めていなかった。

■神奈川県ー内部データが流出、HDD処分業者の従業員が不正転売

神奈川県庁ではサーバー更新の時期に合わせてハードディスクの入れ替えを行っており、ハードディスクに内部データが残ったままネットオークションで転売されてしまった。転売時にデータの消去が不十分だったため、情報が流出したという。また、ハードディスクの処分業務を受託していたブロードリンク社の従業員による持ち出しが流出の原因である。質・量ともに当時において国内で史上最悪の流出規模だったと言われている。

いずれの事例も委託先で情報管理が適切に行われていなかったことが要因となっています。また、事故発生時の対応も整備や徹底の面において、二次災害の可能性があったことも課題です。いずれにしても、委託先企業が引き起こす漏洩事故によって委託元は多大な影響・損失を被ることになるため、委託先選定や管理・運用・評価を徹底する必要があるのです。

委託先選定基準

委託先を選定する基準は各社の条件に基づくため、自社の基準を定めておく必要があります。具体的には以下のような基準が考えられます。

（例）

・データの取扱いに係る規律が整備されているか
・委託する内容に適した安全管理措置が実施されているか
・プライバシーマークなどの第三者認証を取得しているか
・受託実績が豊富か
・事故が発生した時の連絡体制が整備されているか
・取引先からの紹介

いずれも信頼して情報を預けられる委託先であるかがポイントとなります。

委託先管理のポイント

ここでは、委託前・委託中・委託後の3つのステップに分けてポイントを解説していきます。

1.委託前ー対策基準の整備と委託先評価

セキュリティ対策の基準については、専門部署が十分にリスク評価を行ったうえで、全社統一の基準を整備しておくことが望ましいでしょう。基準を統一することで、委託先によって基準が異なるといった課題が解消されます。さらに、基準を提示することは従業員が視覚的にリスクを認識できるため、リスク回避につながります。ここでのポイントは評価項目をより具体的にすることです。どのような対策がリスク回避につながるかを明確にし、チェック項目を設けましょう。

たとえば、委託先選定の際の評価項目を従業員が理解していると、高い基準や運用レベルを有する委託先を選定することにもつながることや再選定のロスが少なくなることがメリットと言えます。ただ、部署によって業務はさまざまであり、個人情報や重要情報の取り扱いの有無が存在するため、基準を柔軟に適用させなければなりません。

そして、決定した基準をもとに委託先として評価を実施しましょう。その手法には「委託先に訪問しての実地監査」、「評価アンケートの送付」、「自社評価基準による評価」などが挙げられます。評価により問題ないと判断された委託先に業務を任せることになります。

2.委託中ー確認とフォローアップ体制

委託中は委託先に完全に委ねるのではなく、報告の機会を設けたり委託先へ出向いたりするなどの定期的な状況把握が求められます。

一方で、運用が大変で、定期的な確認が行えないという企業への解決策として「確認の効率化」が挙げられます。
具体的には、全社単位で回答が同じだと想定される項目については全社組織が確認を行い、現場部門固有の項目については、現場部門が個別に確認をするというように、冗長な部分を省略することで、“現場部門だけでなく、委託先企業の負荷も下げる”ことができます。