委託先で情報漏えいが起きても、委託元の責任はなくならない。個人情報保護法は、個人データの取扱いを委託する側に、委託先の監督を求めているとされる。責任が委託先だけにある、あるいは委託元だけにある、とは一概に言えない。だから、SES（準委任）の要員を自社に常駐させる受け入れ側は、端末、アクセス権、持ち出し、入退場、退場時の返却の5点と、再委託の有無を、契約の前後で確認しておく必要がある。
なお、本記事は一般的な情報提供であり、法的助言ではない。契約条項と責任分担の判断は、弁護士に確認してほしい。令和8年の個人情報保護法改正（2026年7月成立・公布済み）の施行日は政令で定められ、現時点では未確定である。本記事は現行の制度に基づく（出典: 個人情報保護委員会 ppc.go.jp/personalinfo/legal/r8kaiseihogohou）。改正と委託先の関係は、個人情報保護法の2026年改正で整理する。
結論：委託しても委託元の責任は残る
個人情報保護法は、個人データの取扱いの全部または一部を委託する場合に、委託元が委託先に対して必要かつ適切な監督を行うことを求めているとされる（第25条）。個人情報保護委員会のガイドラインでは、その内容として、適切な委託先の選定、委託契約の締結、委託先における取扱状況の把握が示されているとされる。
実務でも、委託先の監督は指摘の対象になっている。個人情報保護委員会が2026年9月2日の委員会で公表した、2026年度第1四半期の指導・助言は、民間事業者への98件のうち、委託先監督の不備が12件だった（出典: 個人情報保護委員会、ppc.go.jp の報告PDF）。IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの2位は「サプライチェーンや委託先を狙った攻撃」である（IPA、2026-01-29。ipa.go.jp）。経済産業省の「サイバーセキュリティ経営ガイドライン Ver3.0」（2023-03-24）も、3原則にサプライチェーン全体の俯瞰を含める（meti.go.jp）。
では「誰の責任か」。個人情報保護委員会の案内では、委託先で漏えい等が起きた場合の報告は、原則として委託元と委託先の双方に義務がある。ただし、委託先が委託元へ所定の事項を速やかに通知すれば、委託先の報告義務は免除される（出典: 個人情報保護委員会、ppc.go.jp/legal/rouei）。民事上の責任の分担は、契約、事故の原因、各当事者の対応で決まる。本人や監督官庁との関係では委託元が説明を求められうる。委託元と委託先の間の負担は、契約で定める。この二層に分けて考える。
SES（準委任）の要員が自社のシステムで個人データを扱う場合は、個人データの取扱いの委託に当たりうる。一方、労働者派遣の派遣労働者は、ガイドライン上、派遣先の「従業者」に含まれるとされている。どちらに当たるかは、契約の名称ではなく実態で判断される。違いはSESと派遣と請負の違いで整理した。
委託先管理で見る8項目
次の8項目を、契約の前に確認し、契約後も定期的に確かめる。
| 項目 | 確認すること | 確認の方法 |
|---|---|---|
| 1 契約・秘密保持 | 秘密保持、目的外利用の禁止、事故時の通知義務が契約にあるか | 契約書、NDA |
| 2 商流・再委託 | 要員の所属会社。再委託の有無と、再委託先 | 商流図、再委託の承諾書 |
| 3 要員の管理 | 身元確認、守秘の誓約、セキュリティ教育 | 誓約書、教育の記録 |
| 4 端末 | 貸与か持ち込みか。暗号化、EDR、資産管理 | 端末管理台帳 |
| 5 アクセス権 | 必要最小限か。個人ごとのアカウントか。多要素認証があるか | アカウント台帳、権限申請書 |
| 6 持ち出し・保管 | USB、クラウド、私物のスマートフォン、生成AIへの入力の制限 | 運用ルール、ログ |
| 7 事故時の連絡 | 窓口、通知の期限、調査への協力、ログの提供 | 連絡体制図、契約条項 |
| 8 終了時の対応 | 貸与物の返却、アカウントの削除、データ消去の確認 | 返却・消去の確認書 |
ガイドラインが示すとされる3つの観点との対応は、選定が項目2と3、契約が1と7、取扱状況の把握が4〜6と8である。個人情報以外の営業秘密や技術情報を渡す場合も、同じ項目で確認できる。
SES常駐の場合の管理：端末・アクセス権・持ち出し・入退場・退場時の返却
端末
貸与を原則にする。私物の端末は、暗号化、EDR、資産管理などの条件を満たせない限り、業務データに触れさせない。誰にどの端末を貸したかを、台帳で追えるようにする。
アクセス権
業務に必要な範囲だけを付与し、期間を区切る。アカウントは個人ごとにする。共有アカウントでは、ログから誰の操作か分からない。管理者権限は申請制にし、多要素認証を必須にする。
大手の通販事業者が公表した調査結果では、業務委託先に付与していた管理者アカウントに、例外的に多要素認証が適用されておらず、そのIDとパスワードが漏えい・悪用されたとされている。ログの一部が削除され、初期の侵入の手口は完全には特定できていない、ともされている。再発防止策として、多要素認証の全面適用、全サーバーへのEDR導入と24時間の監視が公表されている（出典: ScanNetSecurity、2026-08-17の記事）。原因の全体は断定できない。確かなのは、委託先に付与したアカウントの管理が、付与した側の管理項目でもある、という点である。
持ち出し
USBメモリ、外部ストレージ、個人のクラウド、私物のスマートフォンでの撮影、メールの転送を、どう制限するかを決める。生成AIへの業務情報の入力も対象にする。IPAの「10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向けの3位に初めて入った。
入退場
入退室の管理、入場前の守秘の誓約、作業場所の限定、社員と見分けがつく入館証を決める。
退場時の返却
退場日に、貸与端末、入館証、鍵を返却させ、アカウントを削除する。持ち出しがないことを確認する。守秘義務が終了後も続くことは、契約で確かめる。
セキュリティ上のルールを守ってもらうことと、作業内容を細かく指示することは、別の話である。準委任では、発注側が要員へ直接、業務の指揮命令をすると、契約形態の問題が生じうる。ルールは契約や運用手順として、SES会社を通じて定める。線引きは偽装請負のチェックリストで扱った。個別の判断は、弁護士や社労士に確認してほしい。
体制づくりの相談
SOC・CSIRT・脆弱性診断・クラウドセキュリティの要員と体制づくりについて、Heyday がお話を伺います。
再委託・多重下請けの確認
契約で、再委託を原則禁止にするか、事前承諾にするかを決める。再委託を認める場合は、再委託先の名称、業務の範囲、扱う情報を通知させ、同等の義務を課す。ガイドラインでも、再委託先の取扱いを委託元が把握することが求められているとされる。
見落としやすいのは、要員の所属である。契約相手の社員か、個人事業主か、さらに先の会社の所属か。商流図を出してもらい、要員の所属まで確認する。
Heydayが受信した案件票では、商流は書かれていないことが多い。「セキュリティ/SOC/CSIRT」のタグが付いた358件のうち、商流が読み取れたのは29件だった。
| 商流の記載 | 件数 |
|---|---|
| エンド直 | 22 |
| 1次 | 3 |
| 2次以深 | 4 |
| 記載なし・不明 | 329 |
（出典: Heydayの案件データベース（案件メール由来の掲載行）。2026年3〜8月に受信、重複除去前。技術タグ「セキュリティ/SOC/CSIRT」は、必須スキルと案件名にキーワードを含む行で、1件が複数のタグに入りうる）
この数字は、案件票への記載の有無を示すもので、実際の商流の深さや、発注側が商流を確認していない割合を示すものではない。ただ、案件票の段階では商流が分からないことが多い以上、受け入れ側から尋ねる必要がある。商流の仕組みは商流の階層構造を理解する、元請け案件はSESの元請け（プライム）案件とはに書いた。
経産省のSCS評価制度と、関連する動き
経済産業省と国家サイバー統括室は、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の構築方針（案）を2025年12月26日に公表し、2026年3月27日に正式版を示した。IPAは2026年8月28日に基本規程（SCS-100）を公開している。★3は専門家の確認を伴う自己評価（有効期間1年）、★4以上は技術検証を含む第三者評価（同3年）とされる。申請の受付は2027年3月頃の見込みで、確定ではない。制度は任意で、「取得しないと入札から除外される」は誤りだと経済産業省が注意喚起していると解説されている（出典: 経産省、2025-12-26。meti.go.jp の PDF。IPA、ipa.go.jp の SCS-100。解説: fujifilm.com）。
取引先から評価の取得や同等の対策の説明を求められる場面が、どの程度出てくるかは、運用が始まっていない現時点では分からない。準備として役立つのは、上の8項目を、委託先にも自社にも同じ目で確かめておくことである。
もう一つ、サイバー対処能力強化法（能動的サイバー防御）は、主要な規定が2026年10月1日から始まったと説明されている。直接の義務を負うのは、経済安全保障推進法の特定社会基盤事業者のうち一定の要件に当たる「特別社会基盤事業者」で、一般の企業に直接の義務はない（出典: @IT、2026-10-03の記事）。
受託側（SES会社）が示すべき証跡
SES会社を選ぶ側から見ると、次の証跡を文書で示してもらえるかが、比較の材料になる。
- 契約書のひな形、NDA、再委託に関する条項
- 商流図（要員の所属会社まで）と、再委託の有無
- 要員の雇用形態（自社社員、個人事業主、他社所属）と、身元確認の方法
- 守秘の誓約書と、セキュリティ教育の実施記録
- 貸与端末の管理方法（暗号化、EDR、資産管理）
- 退場時の手順（返却、アカウント削除、データ消去の確認）
- 事故時の連絡体制と、通知までの時間の定め
- 第三者認証（ISMS、プライバシーマークなど）がある場合は、その範囲と有効期限
認証は、取得していること自体が管理の十分さを保証するものではない。認証の対象範囲に、自社へ常駐する要員の業務が含まれるかを確認する。示せる証跡の量と具体性は、会社ごとに違う。比べて選ぶ（SES企業の選び方）。
事故が起きたときの責任分担と契約条項
事故の連絡と費用の分担は、起きてから決めると揉める。契約に、次の8点を入れておく。
- 秘密保持と、目的外利用の禁止
- 再委託の事前承諾と、再委託先への同等の義務
- 事故が起きたときの通知の窓口・方法・期限
- 調査への協力と、ログの提供
- 監査や報告を求める権利
- 終了時の返却・消去と、その証明
- 損害賠償の範囲と上限、保険の有無
- 要員の交代と、入場停止の条件
委託先からの通知の窓口と形式を決めておくと、前述の報告義務の免除の条件（所定の事項の速やかな通知）を満たしやすい。報告の要件と期限は、漏えい等の報告義務と期限で整理する。契約形態ごとの違いは、セキュリティ人材をSES・業務委託・派遣で入れる違いにまとめる。
よくある質問（FAQ）
Q. 委託先が起こした漏えいは、自社の責任ですか？
一概に言えない。委託元には監督の責任が残り、委託先にも自らの義務がある。報告義務は原則として双方にあり、民事上の責任は契約と事故の原因で決まる。個別の判断は、弁護士に確認してほしい。
Q. 常駐エンジニアの私物端末は認めてよいですか？
原則は貸与端末のみとする。例外を認めるのは、暗号化、EDR、資産管理などの条件を満たし、データを端末に残さない運用ができるときに限る。
Q. 再委託は禁止すべきですか？
扱う情報の重要度で決める。重要な情報を扱う業務は、原則禁止か事前承諾とし、再委託先の名称と業務範囲の通知を契約に入れる。
Q. SCS評価制度は、中小企業に関係しますか？
制度は任意で、申請の受付は2027年3月頃の見込みである。取引先から求められるかどうかは、現時点では分からない。いまは、委託先管理の8項目を整える準備の時期にあたる。
関連記事
- セキュリティ人材・体制の相談先
- セキュリティ人材をSES・業務委託・派遣で入れる違い
- 漏えい等の報告義務と期限
- セキュリティエンジニアSES単価2026
- 情報処理安全確保支援士はフリーランスで意味ないのか
