社内のITベンダー・外注先、情報管理は大丈夫？委託先セキュリティの盲点

「ホームページの制作を外注しているけど、どんな情報を渡しているか把握していない」
「経理システムの保守をベンダーに任せているが、アクセス権限がどうなっているか確認したことがない」
「システム会社に顧客データを預けているけど、セキュリティ対策をしているかどうか聞いたことがない」

外注先・ベンダーへの情報管理は、中小企業で最も見落とされがちなセキュリティの盲点です。

委託先で情報漏えいが起きたとき、責任は委託元である自社にも及びます。 「任せているから大丈夫」は通用しません。

① 実際に起きている委託先経由の情報漏えい

事例1：業務委託先へのランサムウェア攻撃で150万件の個人情報が漏えい

2024年5月、全国の自治体や企業から印刷・情報処理業務を受託していた業務委託先企業がランサムウェア攻撃を受け、委託元から預かった個人情報が流出する事件が発生しました。少なくとも約150万件の個人情報が漏洩した可能性があると報告されています。

事例2：委託先従業員による不正持ち出し

2023年3月、NTTドコモの業務委託先の元派遣社員がお客さま情報を含む業務情報を不正に外部に持ち出したことで、約596万件の個人情報が漏えいしました。 

これらは大企業の事例ですが、中小企業でも同様のリスクは存在します。
むしろ、委託先の管理体制を確認する仕組みがない中小企業の方が、問題が発覚しにくい状態にあります。

② 委託先セキュリティの「盲点」4つ

盲点① 委託先が再委託していることを知らない

自社が依頼したベンダーが、さらに別の会社に再委託しているケースは珍しくありません。2024年2月、ダイキン工業では委託先が発注している別会社の委託先、つまり再々委託先の作業者が不正ダウンロードを行い、約2.2万件の仕入先情報が漏えいする可能性が生じました。
「うちのベンダーは信頼できる」と思っていても、その先の再委託先まで管理が届いていないケースがあります。

盲点② 契約書に情報管理のルールが書かれていない

「機密保持契約（NDA）を結んでいるから大丈夫」と思いがちですが、NDAは漏えいが起きたときの責任の所在を決めるものであり、漏えいを防ぐ仕組みではありません。どんなセキュリティ対策を取るべきかを契約書に明記していないと、ベンダー任せになってしまいます。

盲点③ ベンダーに必要以上のアクセス権限を渡している

「保守のために必要かと思って」と、社内システム全体にアクセスできる権限をベンダーに渡しているケースがあります。必要以上のアクセス権限は、万が一のときの被害範囲を広げます。

盲点④ 契約終了後もアクセス権限が残っている

取引が終わったベンダーのアカウントを削除していないケースは意外と多いです。退職者対応と同様に、取引終了時のアクセス権限削除を忘れると、情報漏えいの入口が残り続けます。

③ 委託先に情報を渡す前に確認すること

難しいことをする必要はありません。
以下を委託前に確認するだけで、リスクは大幅に下がります。

1️⃣ どんなセキュリティ対策を取っているか確認する

「ウイルス対策ソフトは入っているか」
「データの暗号化はしているか」
「社員へのセキュリティ教育はしているか」
以上を、口頭・書面で確認しましょう。
答えられないベンダーは要注意です。

2️⃣ 再委託の有無を確認する

「この業務を別の会社に再委託することはあるか」を事前に確認し、再委託する場合は事前承認を条件にしましょう。
契約書に明記しておくことが重要です。

3️⃣ 渡す情報・アクセス権限を必要最小限にする

「業務に必要な情報だけ」を渡すことを原則にしましょう。
顧客の個人情報が必要な業務かどうかを事前に精査し、不要な情報は渡さない判断も大切です。

4️⃣ 契約書に情報管理のルールを明記する

機密保持契約に加えて、以下を契約書に盛り込むことをおすすめします。

• 情報の利用目的・範囲の明確化

• 再委託の可否・条件

• 契約終了時のデータ削除・返却ルール

• 漏えい発生時の報告義務と対応フロー

5️⃣ 定期的に状況を確認する

契約時だけでなく、年1回程度の頻度でベンダーのセキュリティ対策状況を確認する機会を設けましょう。
「最近、セキュリティ対策で変わったことはありますか？」と一声かけるだけでも、相互の意識が高まります。

④ 委託先で漏えいが起きたとき、委託元はどうなるか

委託先が個人情報や機密情報を漏洩してしまった場合、機密保持契約を結んでいたとしても、発注元は監督責任を果たしていないと見なされ、その責任は発注元にも及びます。

つまり、委託先が起こした事故であっても、自社が適切な管理・監督をしていなかった場合、自社も責任を問われる可能性があります。
顧客への謝罪・賠償・信用の失墜──そのリスクを負うのは、委託元である自社です。

まとめ：「任せたから大丈夫」は、最も危険な状態

外注・委託は業務効率化に欠かせません。
しかし、情報を渡した瞬間から、そのリスク管理も自社の責任になります。

まず今日、現在取引しているITベンダー・外注先のリストを作り、
「どんな情報を渡しているか」
「アクセス権限はどうなっているか」
を確認するところから始めてみてください。

📖 参考情報

📖 あわせて読みたい

💬 ご相談はこちら

ITワークラボでは、中小企業向けに

• 委託先・ベンダーのセキュリティ管理体制の整備

• 情報管理ルール・契約書のチェックサポート

• 社内セキュリティ全般の見直し・改善提案

などをサポートしています。
「外注先の管理、どこから手をつければいいかわからない」という段階でも、お気軽にご相談ください。初回相談は無料です。