委託先管理とは？「うちは大丈夫」が通じない理由と、今日から始める4つの実務
📌 この記事のポイント
- 委託先や取引先を踏み台にする攻撃は、IPA脅威ランキングで4年連続2位。自社の対策だけでは防げない
- 国は委託先の対策状況を★で「見える化」するSCS評価制度を準備中。2026年度末頃の開始が想定されている
- 最初の一歩は「誰に何を預けているか」の棚卸し。本記事では、そのまま使える台帳の項目例をご紹介
委託先管理は、業務やデータを外部に預ける際、その情報が委託先でも適切に守られている状態を、契約と定期的な確認によって維持し続ける取り組みのことです。
自社のセキュリティは固めた。定期的に外部アセスメントを受け、自社環境の危険な脆弱性は徹底的に排除してきた。それなのに情報が漏れた――近年増えているのは、こうした「原因が自社の外にある」インシデントです。攻撃者は守りの堅い会社を正面から崩そうとはしません。セキュリティ対策が進んでいない委託先や子会社、関連会社など、より入りやすい入口を探して侵入し、連鎖的に被害を拡大させます。今回は、なぜいま委託先管理が避けて通れないのか、何から始めればよいのかを整理し、4つの実践的な対応方法をご紹介します。
1. なぜ今、委託先管理なのか――「10大脅威ランキング4年連続2位」が示す現実
委託先を経由した攻撃は一時の流行ではありません。
情報処理推進機構（IPA）が毎年公表する「情報セキュリティ10大脅威」。2026年版において、組織向け脅威の2位にランクしているのが「サプライチェーンや委託先を狙った攻撃」です。1位の「ランサム攻撃による被害」とあわせ、この顔ぶれは2023年から4年連続で変わっていません。この脅威が上位に居座り続けるのは、他社を巻き込む規模の被害が現実に繰り返されているからにほかなりません。
2. 攻撃者はなぜ「あなたの取引先」を選ぶのか
理由は単純。正面から攻めるより、弱い入口から段階的に入るほうが簡単だからです。
IPAの解説資料は、この攻撃を「間接的および段階的に標的組織を攻撃する」ものと整理しています。攻撃者はまず、標的とつながりのある、相対的に守りの手薄な組織や拠点を侵害します。そこを足がかりに、正規のアクセス権限や取引上の信頼関係を悪用しながら、本来の標的へにじり寄っていきます。
侵入経路として代表的な手法の例
・セキュリティが脆弱な取引先・委託先そのものを経由して侵入する
・利用しているソフトあるいはクラウドサービスの提供元や配布経路が侵害され、不正なプログラムの配布を足がかりにして侵入する
・利用しているクラウドサービスやITサービス事業者が被害を受けてサービスの業務利用ができなくなる
いずれにも共通するのは、「自社の対策だけでは防ぎきれない」という事実です。
人手や予算の限られる中小企業や中堅企業ほど、対策が後回しになり、踏み台にされやすいのが現実です。だからこそ委託先管理は「相手を疑う」話ではなく、「弱点を一緒に塞ぐ」取り組みとして捉える必要があります。
3. 国の新制度で、セキュリティ対策は「見える化」される
この「お役立ちブログ」でも過去にご紹介していますが、現在、経済産業省と内閣官房国家サイバー統括室は、サプライチェーン全体の対策水準を底上げする「セキュリティ対策評価制度（SCS評価制度）」を整備しており、2026年度末頃の制度開始が想定されています。
一般的なサイバー脅威への対処に必要となる、基礎的なセキュリティ対策水準として位置づけられている★3は、セキュリティ専門家の確認を経て経営層が自己適合を宣誓する「専門家確認付き自己評価」で取得でき、有効期間は1年。★4では評価機関による第三者評価と技術検証が加わり、有効期間は3年。★5はより高度な水準として位置づけられており、その詳細は今後具体化される予定です。
ここで押さえておきたいのは「★3は有効期間が1年とされているため、制度運用上、継続的な対応が求められる」という点です。一度やって終わりではなく、回し続けるもの――その前提が、制度そのものに組み込まれていると読み取れます。
4. 今回の本題：委託先管理は何から始める？――今日からできる4つの実務
（1）「誰に何を預けているか」をリストアップする
私たちが支援させていただく際、現場でよく見つかるのは、終了した案件のアカウントが委託先に残ったままになっているケースや、情報システム部門が把握していない事業部門の直接契約です。台帳に載っていない委託先は、管理のしようがありません。まずは図3の項目を一覧にするだけで、リスクの濃淡が見えてきます。
図３ 委託先の棚卸し台帳 最低限そろえたい8つの項目（例）
| 項目 | 記録する内容 |
| 預けている情報とその重要度 | 「機密性の高い情報」に該当する情報資産とその重要度の評価 |
| アクセス権の付与・回収状況 | 付与したアクセス権と契約終了時の回収・破棄の記録 |
| 契約・覚書の状況 | セキュリティ条項の有無、委託先の責任・実施すべき対策の明記 |
| 緊急時の役割・連絡体制 | インシデント発生時の報告、役割分担、連絡先と報告期限の合意 |
| 情報管理・セキュリティ管理体制 | 社内管理体制の有無、セキュリティ管理責任者・担当部署は誰か |
| セキュリティアセスメント・対策の実施状況 | ISMS・Pマーク等の認証、SOC2レポート、年次監査等への対応 |
| 委託先の基本情報・業務内容 | 委託先名、窓口担当、委託業務と自社資産が接続するシステム |
| 確認の履歴 | 自社が実施した確認の日付・結果と、次回の確認予定 |
（2）守ってほしい水準を、契約に書き込む
求めるセキュリティ水準と、インシデント発生時の報告義務・報告期限を契約や覚書に明記します。実務で抜けやすいのが再委託の条項です。事前承認のない再委託を認めるのか否か。ここを曖昧にしたまま事故が起きると、責任の所在ごと宙に浮きます。
（3）任せきりにせず、年1回は確認する
取り決めとそれが実際に守られているかは、別の話です。チェックリストでの確認や重要な委託先への監査を、年1回の仕組みとして回します。全委託先を同じ濃さで見る必要はありません。預けている情報の重要度とアクセス権限の広さでランク分けし、リスクの高い相手から手厚く確認することが現実的です。
（4）「もし起きたら」の連絡網を先に作る
インシデントは起きる前提で備えるのが鉄則です。委託先で問題が起きたとき、誰が・誰へ・いつまでに報告するのか。この緊急連絡体制を平時に決めておくだけで、初動の速さがまるで変わります。
5. 「やるべきは分かった。でも手が回らない」ときは
ここまで読んで、必要性は理解できたものの「自社だけで回すのは難しい」と感じた方も多いかと思います。現状把握、棚卸し、リスク評価、契約への落とし込み、毎年の確認――どれも専門知識と継続的な手間や工数を要します。
セキュビットでは、内部不正対策・ID統制・ゼロトラストへの移行支援などと地続きで、委託先管理の体制づくりを伴走支援しています。また一方で、サプライチェーンの川下の立場で委託先管理のチェックを受けるケースも多々あろうかと思います。そうした企業様向けには2026年７月より、自社の現状を簡単に把握できる、完全無償の簡易診断サービスの提供も行っています。
現在、本サービスのご利用が増えており、業種・業界問わず課題を抱えていらっしゃるご様子が垣間見れます。診断からレポートまで完全無償で提供していますので、課題解決の一助として、まずは現状分析からお気軽にご活用ください。
SCS評価制度の”手前”の段階の課題解決を支援
自社の現状を客観的に把握・分析できる無料の簡易診断サービス
6. よくある質問（FAQ）
Q1．委託先管理は、どのくらいの規模の会社から取り組むべきですか？
規模を問わず、外部に情報や業務を預けている会社は「委託先管理」に取り組むことをおすすめしています。対策に手が回りにくい中小企業ほど踏み台として狙われやすいのが現状です。預けている情報が1件でもあるなら、今すぐ着手する価値があります。
Q2．委託先が多すぎて、すべてを同じ水準で管理しきれません。
必ずしも一律に同水準で扱う必要はありません。預けている情報の重要度とアクセス権限の広さで委託先をランク分けし、リスクの高い相手から優先的に手厚く管理するのが現実的です。
Q3．契約書にセキュリティ条項を入れるだけで十分でしょうか？
契約は出発点であり、ゴールではありません。取り決めが実際に守られているかを定期的に確認する仕組みまで用意することで、はじめて実効性のある管理になります。
Q4．SCS評価制度が始まるまで待ったほうがよいですか？
すでに国から評価の概要や基準案は開示されており、人員やリソースに制約がある企業ほど早めに着手し備えておくことをおすすめしています。特に現状把握や契約整備はSCS評価制度の有無にかかわらず必要な作業でもあります。
セキュビットでは、「何から始めればいいか分からない」という段階からのご相談を歓迎しています。規模・業種・現状に合わせて、過剰投資を避けた現実的なプランをご提案します。まずはお気軽にご相談ください。
この記事を書いた人
増村 洋二（Yoji Masumura）
株式会社セキュビット 代表取締役。サイバー犯罪対策からITガバナンスまで、20年以上にわたり情報セキュリティの最前線に従事。LINEの情報セキュリティ室マネジャーや楽天グループのサイバー犯罪対策室長兼情報セキュリティ統括室室長、CCCのセキュリティ統括部長などを経て現職。実務者目線と経営的視座を兼ね備えたコンサルティングを展開。