委託先とのセキュリティの取り決め。契約に書いておくこと

システムの開発や運用、保守を外部に委託するときは、セキュリティについての取り決めを契約に書いておくことが基本です。入れておきたいのは、守る情報の範囲、安全管理の内容、再委託の条件、事故が起きたときの報告、監査と報告、契約の終了時の返却と消去の6つです。個人データの取扱いを委託する場合は、個人情報保護法の委託先の監督の義務にも対応する形にしておきます。

なぜ、契約に書いておくのか

契約に書いておくのは、事故が起きてから「そこまで頼んでいない」「聞いていない」という食い違いを防ぐためです。委託先が攻撃の入口になったり、委託先で情報が漏れたりする例は少なくありません。経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」も、経営者が認識する原則の一つに、委託先を含むサプライチェーン全体への目配りを挙げています（サイバーセキュリティ経営ガイドラインの要点。経営者がすること）。

口頭の約束や、相手の会社の一般的な方針だけでは、自社の情報を扱う場面で何をしてもらえるかがはっきりしません。契約書や、契約に添える覚書・仕様書に書いておくことで、委託先も自社に求められていることを把握できます。

委託先を選ぶとき、契約するとき、使っている間に何を確かめるかの全体は、委託先・クラウドサービスの管理をどう確かめるかで扱っています。この記事では、契約に書く中身に絞って説明します。

個人情報を委託するとき、法律は何を求めているか

個人データの取扱いの全部または一部を委託するときは、個人情報保護法第25条により、委託元は、委託した個人データの安全管理が図られるよう、委託先に対して必要かつ適切な監督を行わなければなりません。

出典：個人情報の保護に関する法律（e-Gov法令検索）

個人情報保護委員会のガイドライン（通則編）は、委託先の監督として、適切な委託先を選ぶこと、委託の契約を結ぶこと、委託先での個人データの取扱いの状況を把握することの3つを挙げ、委託の契約には、双方が合意した安全管理の措置と、委託元が委託先の取扱いの状況を合理的に把握できることを盛り込むことが望ましいとしています。

出典：個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）

委託先で漏えいが起きた場合の報告の扱いは、個人データの漏えいが起きたら。委員会への報告と本人への通知で説明しています。

契約には、何を書いておくか

契約に書いておきたい6つの項目と、書くときの考え方をまとめます。

守る情報の範囲と、安全管理の内容

守る情報は、「業務で知り得た一切の情報」とだけ書くより、どの情報を重く守ってほしいのかを、情報の分類と取り扱いの決まりのつくり方の区分と合わせて示すと、委託先が具体的な対策を考えやすくなります。安全管理の内容は、すべてを契約の本文に書くと長くなるため、本文には「別紙の対策を講じる」とだけ書き、別紙に一覧を置く形もよく使われます。

再委託の条件

再委託の条件は、自社の情報を誰が実際に扱うのかを把握するための項目です。開発や運用の業界では、元請けの会社からさらに別の会社へ作業が渡されることがあります。事前の承諾を条件にし、再委託先にも同じ義務を負わせる、と書いておくのが基本です。多重の下請けで起きやすいことは、多重下請けの構造と、発注者が確かめることで扱っています。

事故の報告

事故の報告は、期限を具体的に書くことが要になります。「速やかに」とだけ書くと、受け止め方に差が出やすいためです。気づいた時点での第一報と、調査の後の詳しい報告を分けて決め、連絡先は担当者の個人名だけでなく、部署の連絡先も書いておくと、担当者の不在のときにも連絡が届きます。自社の側の初動の手順とつなげておく考え方は、セキュリティ事故に備える、初動の手順書のつくり方をご覧ください。

監査と報告

監査と報告は、委託元が委託先の取扱いの状況を把握するための項目です。立ち入りの監査をいつも行うのは双方の負担が大きいため、定期の報告書や、第三者の評価・認証（ISMSの認証やSOC報告書など）の提出で代える、という書き方もあります。そのうえで、事故が起きたときなどには立ち入りを求められる、としておくと、いざというときに確かめる手段が残ります。

終了時の返却と消去

契約の終了時の取り決めは、忘れられやすい項目です。預けたデータが委託先のサーバーや担当者のパソコン、バックアップに残ったままにならないよう、返却と消去の方法、消去したことの報告を書いておきます。システムの引き継ぎが要る場合は、設計書やアカウントの引き渡しも、この項目と合わせて決めておくと、委託先を替えるときに困りにくくなります。

契約の中身は、どう決めるか

契約の中身は、委託する業務の重さに合わせて決めます。すべての委託先に同じ厚さの条項を求めると、小さな委託でも交渉が長引き、かえって契約が進まないことがあるためです。

扱う情報の区分と、委託する業務が止まったときの影響で委託先を分け、重い委託先には6つの項目をすべて、軽い委託先には守る情報の範囲と事故の報告と終了時の消去を中心に、という分け方が考えられます。

システム開発の契約では、IPA（独立行政法人 情報処理推進機構）の「情報システム・モデル取引・契約書」の第二版（2020年12月22日公開）が参考になります。第二版では、民法の改正への対応に加えて、セキュリティについての見直しが行われ、セキュリティの仕様を作るためのガイドラインと手順も同時に公開されています。

出典：情報システム・モデル取引・契約書 第二版（IPA）

条項の具体的な書き方や、責任の範囲と損害賠償の定め方は、契約の全体と合わせて考える必要があります。個別の判断は、弁護士などの専門家にご確認ください。

書いた後は、どう確かめるか

契約に書いた取り決めは、使っている間に守られているかを確かめて、はじめて意味を持ちます。年に1回など頻度を決めて報告を受け、再委託先が増えていないか、事故の記録がないか、担当者が替わっていないかを確かめます。委託先から届くセキュリティの質問票に答える立場の会社も多いため、自社が委託を受ける側に立ったときの準備も合わせて考えておくと、両方の立場の感覚がそろいます（取引先から届くセキュリティチェックシートへの答え方）。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、委託先の管理の決まりを、会社の実情に合わせて整えることをご支援しています。重要な委託先の管理の状態を第三者の立場で確かめたい場合は、システム監査でお受けしています。開発や運用を当社にご依頼いただく場合の契約の形は、関わり方でご案内しています。