委託先のセキュリティ確認｜契約・権限・事故時の初動チェック

委託業務の範囲と責任者を把握する

委託先のセキュリティを確認するときは、まず「何の業務とデータを任せているか」「誰が対応を判断するか」を整理します。契約があるだけで、事故時の連絡や復旧まで自動で進むわけではありません。

以下はIPAの中小企業向け資料を参考にした確認の観点です。自社の扱う情報と業務への影響に応じて、委託先と具体的な役割分担を決めてください。

平時に確認する契約・権限・記録

契約・連絡：委託する業務、取り扱う情報、再委託の条件、事故時の連絡先と連絡方法を確認します。夜間や担当者不在時の連絡も想定します。

権限・更新：業務に必要なアクセス権に絞り、担当変更や契約終了時の削除手順を決めます。システム更新を誰が行い、問題を誰が確認するかも整理します。

記録・復旧：ログの保存範囲と提供方法、バックアップの担当、復旧に必要な条件を確認します。検証を依頼する場合は、対象・方法・実施時間を事前に合意し、許可なく相手のシステムを調査しないでください。

事故の疑いがあるときの連絡と記録保全

異常を見つけたら、社内の責任者と委託先の窓口へ連絡し、発見時刻、対象システム、現象、これまでの対応を記録します。確認できた事実と推測を分けます。

被害拡大の恐れがある場合は、責任者の判断でネットワークの遮断や対象の隔離などを進めます。IPAは、不用意に電源を切るなどして記録を消さないよう注意を促しています。自己判断で初期化を急がず、必要に応じ専門家に相談してください。

報告先や通知の要否は、扱う情報、法令、契約によって異なります。関係部署と確認し、把握できた内容を整理して対応します。

復旧と再発防止を委託先と確認する

復旧は、単に動く状態に戻すだけでなく、原因への対処と安全に再開できる条件を確認して進めます。調査、修正、復旧確認を誰が担当するかを委託先と共有します。

対応後は、連絡が遅れた理由や足りなかった記録も振り返ります。原因が未確定なら、その点を明示し、調査の担当と次の確認時期を決めておきましょう。

担当者と見直し日を決めて運用する

確認項目を作ったら、担当者と見直し日を付けて運用します。契約更新、人員変更、システム変更の際にも、連絡先や権限が実態と合っているかを点検します。

必要な対策や費用は業務によって異なります。チェックリストだけで安全を保証することはできません。自社で判断できない部分は、保守担当やセキュリティの相談窓口と確認してください。