--- title: "委託先とのセキュリティの取り決め。契約に書いておくこと｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/outsourcing-security-clauses/ description: "システムの開発や運用を委託するときは、守る情報の範囲、安全管理の内容、再委託の条件、事故の報告、監査と報告、契約の終了時の返却と消去を契約に書いておくことが基本です。条項ごとの書き方の考え方と、個人情報を委託するときの注意を説明します。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # 委託先とのセキュリティの取り決め。契約に書いておくこと システムの開発や運用を委託するときは、守る情報の範囲、安全管理の内容、再委託の条件、事故の報告、監査と報告、契約の終了時の返却と消去を契約に書いておくことが基本です。条項ごとの書き方の考え方と、個人情報を委託するときの注意を説明します。 2026.11.12 [開発の発注と契約](https://www.ameliatechnology.co.jp/blog/category/outsourcing/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） 開発の発注と契約（OUTSOURCING）のコラム ## この記事の要点 - 委託の契約には、守る情報の範囲、安全管理の内容、再委託の条件、事故の報告の期限と方法、監査と報告、終了時の返却と消去の6つを入れておくと、抜けが少なくなります。 - 個人データの取扱いを委託する場合、個人情報保護法第25条により、委託元には委託先への必要かつ適切な監督が求められます。 - 契約に書いた取り決めは、使っている間の報告と確認で守られているかを確かめて、はじめて意味を持ちます。 システムの開発や運用、保守を外部に委託するときは、セキュリティについての取り決めを契約に書いておくことが基本です。入れておきたいのは、守る情報の範囲、安全管理の内容、再委託の条件、事故が起きたときの報告、監査と報告、契約の終了時の返却と消去の6つです。個人データの取扱いを委託する場合は、個人情報保護法の委託先の監督の義務にも対応する形にしておきます。 ## なぜ、契約に書いておくのか 契約に書いておくのは、事故が起きてから「そこまで頼んでいない」「聞いていない」という食い違いを防ぐためです。委託先が攻撃の入口になったり、委託先で情報が漏れたりする例は少なくありません。経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」も、経営者が認識する原則の一つに、委託先を含むサプライチェーン全体への目配りを挙げています（[サイバーセキュリティ経営ガイドラインの要点。経営者がすること](https://www.ameliatechnology.co.jp/blog/cyber-security-management-guideline/)）。 口頭の約束や、相手の会社の一般的な方針だけでは、自社の情報を扱う場面で何をしてもらえるかがはっきりしません。契約書や、契約に添える覚書・仕様書に書いておくことで、委託先も自社に求められていることを把握できます。 委託先を選ぶとき、契約するとき、使っている間に何を確かめるかの全体は、[委託先・クラウドサービスの管理をどう確かめるか](https://www.ameliatechnology.co.jp/blog/vendor-cloud-oversight/)で扱っています。この記事では、契約に書く中身に絞って説明します。 ## 個人情報を委託するとき、法律は何を求めているか 個人データの取扱いの全部または一部を委託するときは、個人情報保護法第25条により、委託元は、委託した個人データの安全管理が図られるよう、委託先に対して必要かつ適切な監督を行わなければなりません。 出典：[個人情報の保護に関する法律（e-Gov法令検索）](https://laws.e-gov.go.jp/law/415AC0000000057) 個人情報保護委員会のガイドライン（通則編）は、委託先の監督として、適切な委託先を選ぶこと、委託の契約を結ぶこと、委託先での個人データの取扱いの状況を把握することの3つを挙げ、委託の契約には、双方が合意した安全管理の措置と、委託元が委託先の取扱いの状況を合理的に把握できることを盛り込むことが望ましいとしています。 出典：[個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/) 委託先で漏えいが起きた場合の報告の扱いは、[個人データの漏えいが起きたら。委員会への報告と本人への通知](https://www.ameliatechnology.co.jp/blog/personal-data-breach-response/)で説明しています。 ## 契約には、何を書いておくか 契約に書いておきたい6つの項目と、書くときの考え方をまとめます。 | 項目 | 書いておくことの例 | |---|---| | 守る情報の範囲 | 秘密として扱う情報の定義、目的の外での利用の禁止、[NDA](https://www.ameliatechnology.co.jp/glossary/nda/)との関係 | | 安全管理の内容 | アクセスできる人の限定、保存の場所、持ち出しの制限、[多要素認証](https://www.ameliatechnology.co.jp/glossary/mfa/)など最低限の対策 | | 再委託の条件 | 再委託するときの事前の承諾、再委託先にも同じ義務を負わせること、再委託先の名前と業務の範囲の通知 | | 事故の報告 | 事故や事故のおそれに気づいたときの報告の期限と連絡先、調査への協力、再発の防止策の報告 | | 監査と報告 | 定期の報告の内容と頻度、委託元が確かめる方法（資料の提出、聞き取り、立ち入り） | | 終了時の返却と消去 | 預けた情報の返却、データの消去の方法、消去したことの報告 | ### 守る情報の範囲と、安全管理の内容 守る情報は、「業務で知り得た一切の情報」とだけ書くより、どの情報を重く守ってほしいのかを、[情報の分類と取り扱いの決まりのつくり方](https://www.ameliatechnology.co.jp/blog/data-classification-rules/)の区分と合わせて示すと、委託先が具体的な対策を考えやすくなります。安全管理の内容は、すべてを契約の本文に書くと長くなるため、本文には「別紙の対策を講じる」とだけ書き、別紙に一覧を置く形もよく使われます。 ### 再委託の条件 再委託の条件は、自社の情報を誰が実際に扱うのかを把握するための項目です。開発や運用の業界では、元請けの会社からさらに別の会社へ作業が渡されることがあります。事前の承諾を条件にし、再委託先にも同じ義務を負わせる、と書いておくのが基本です。多重の下請けで起きやすいことは、[多重下請けの構造と、発注者が確かめること](https://www.ameliatechnology.co.jp/blog/multi-layer-subcontracting-risk/)で扱っています。 ### 事故の報告 事故の報告は、期限を具体的に書くことが要になります。「速やかに」とだけ書くと、受け止め方に差が出やすいためです。気づいた時点での第一報と、調査の後の詳しい報告を分けて決め、連絡先は担当者の個人名だけでなく、部署の連絡先も書いておくと、担当者の不在のときにも連絡が届きます。自社の側の初動の手順とつなげておく考え方は、[セキュリティ事故に備える、初動の手順書のつくり方](https://www.ameliatechnology.co.jp/blog/incident-response-plan/)をご覧ください。 ### 監査と報告 監査と報告は、委託元が委託先の取扱いの状況を把握するための項目です。立ち入りの監査をいつも行うのは双方の負担が大きいため、定期の報告書や、第三者の評価・認証（[ISMS](https://www.ameliatechnology.co.jp/glossary/isms/)の認証や[SOC報告書](https://www.ameliatechnology.co.jp/glossary/soc-report/)など）の提出で代える、という書き方もあります。そのうえで、事故が起きたときなどには立ち入りを求められる、としておくと、いざというときに確かめる手段が残ります。 ### 終了時の返却と消去 契約の終了時の取り決めは、忘れられやすい項目です。預けたデータが委託先のサーバーや担当者のパソコン、バックアップに残ったままにならないよう、返却と消去の方法、消去したことの報告を書いておきます。システムの引き継ぎが要る場合は、設計書やアカウントの引き渡しも、この項目と合わせて決めておくと、委託先を替えるときに困りにくくなります。 ## 契約の中身は、どう決めるか 契約の中身は、委託する業務の重さに合わせて決めます。すべての委託先に同じ厚さの条項を求めると、小さな委託でも交渉が長引き、かえって契約が進まないことがあるためです。 扱う情報の区分と、委託する業務が止まったときの影響で委託先を分け、重い委託先には6つの項目をすべて、軽い委託先には守る情報の範囲と事故の報告と終了時の消去を中心に、という分け方が考えられます。 システム開発の契約では、IPA（独立行政法人情報処理推進機構）の「情報システム・モデル取引・契約書」の第二版（2020年12月22日公開）が参考になります。第二版では、民法の改正への対応に加えて、セキュリティについての見直しが行われ、セキュリティの仕様を作るためのガイドラインと手順も同時に公開されています。 出典：[情報システム・モデル取引・契約書第二版（IPA）](https://www.ipa.go.jp/digital/model/model20201222.html) 条項の具体的な書き方や、責任の範囲と損害賠償の定め方は、契約の全体と合わせて考える必要があります。個別の判断は、弁護士などの専門家にご確認ください。 委託の重さに合わせた、契約の項目の厚さ（分け方の一例） - **重い委託先**：6つの項目をすべて入れる - **軽い委託先**：守る情報の範囲と事故の報告と終了時の消去を中心に 委託先は、扱う情報の区分と、業務が止まったときの影響で分けます。条項の書き方は**弁護士などの専門家にご確認ください** ## 書いた後は、どう確かめるか 契約に書いた取り決めは、使っている間に守られているかを確かめて、はじめて意味を持ちます。年に1回など頻度を決めて報告を受け、再委託先が増えていないか、事故の記録がないか、担当者が替わっていないかを確かめます。委託先から届くセキュリティの質問票に答える立場の会社も多いため、自社が委託を受ける側に立ったときの準備も合わせて考えておくと、両方の立場の感覚がそろいます（[取引先から届くセキュリティチェックシートへの答え方](https://www.ameliatechnology.co.jp/blog/security-check-sheet-answers/)）。 ## 当社のご支援 アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、委託先の管理の決まりを、会社の実情に合わせて整えることをご支援しています。重要な委託先の管理の状態を第三者の立場で確かめたい場合は、[システム監査](https://www.ameliatechnology.co.jp/service/system-audit/)でお受けしています。開発や運用を当社にご依頼いただく場合の契約の形は、[関わり方](https://www.ameliatechnology.co.jp/engagement/)でご案内しています。 - 委託先管理 - 契約 - 情報セキュリティ - 個人情報 ## この記事に出てくる用語 - [再委託](https://www.ameliatechnology.co.jp/glossary/subcontracting-consent/) - [個人情報（個人情報保護法）](https://www.ameliatechnology.co.jp/glossary/personal-information/) - [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/) - [仕様書](https://www.ameliatechnology.co.jp/glossary/specification/) - [秘密保持契約（NDA）](https://www.ameliatechnology.co.jp/glossary/nda/) - [多要素認証（MFA）](https://www.ameliatechnology.co.jp/glossary/mfa/) - [情報の分類（機密区分）](https://www.ameliatechnology.co.jp/glossary/data-classification/) - [元請け・下請け](https://www.ameliatechnology.co.jp/glossary/prime-contractor/) ## 関連する法令・指針（参考情報） - 法令 個人情報保護法第25条（委託先の監督） 個人データの取扱いの全部または一部を委託する場合は、委託を受けた者において個人データの安全管理が図られるよう、委託先に対して必要かつ適切な監督を行わなければなりません。 個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057) - 指針 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成28年11月（令和8年6月一部改正）） 個人情報保護法について、事業者が守る事項の解釈と具体例を示したガイドラインです。本人から得た情報から行動や関心などを分析する場合は、本人が予測・想定できる程度に利用目的を特定する必要があるとしています。 [発行元の公式ページで開く](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/) - 指針 独立行政法人情報処理推進機構（IPA）「情報システム・モデル取引・契約書」（第二版（2020年12月22日）） 情報システムの受託開発（一部の企画を含む）と保守運用の取引について、モデル契約と解説をまとめた資料です。民法の改正に直接関係する論点と、それ以外の論点の両方を見直しています。 [発行元の公式ページで開く](https://www.ipa.go.jp/digital/model/model20201222.html) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [開発会社を替えるときの引き継ぎと、そろえておく資料](https://www.ameliatechnology.co.jp/blog/vendor-switch-handover/) - [取適法（中小受託取引適正化法）とシステム開発の発注](https://www.ameliatechnology.co.jp/blog/toriteki-act-system-development/) - [システム開発の成果物の著作権は誰のものか](https://www.ameliatechnology.co.jp/blog/software-copyright-ownership/) [開発の発注と契約のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/outsourcing/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 現場に入るチームに任せる 技術者がお客様の現場に入り、要件定義から開発・運用までを担います。 [FDEを見る](https://www.ameliatechnology.co.jp/fde/) ### まずは30分、オンラインで話してみる 何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。 [無料で相談する](https://www.ameliatechnology.co.jp/contact/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「委託先とのセキュリティの取り決め。契約に書いておくこと｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/outsourcing-security-clauses/