2026.09.06 セキュリティ

セキュリティクリアランスとは？適合事業者の認定要件と適性評価7項目を実務目線で解説

2025年5月16日、経済安全保障の分野で政府が指定した情報を扱う企業と個人を、あらかじめ政府が確認する仕組みが動き出しました。セキュリティクリアランスは個人の資格のように語られますが、建て付けは企業側の認定と個人側の適性評価が対になった二段構造です。この記事では令和6年法律第27号と、内閣府が公表した運用基準・適合事業者編ガイドラインの記載に沿って、企業が満たす組織要件と施設設備の水準、調査7項目の範囲、受託開発の現場で何が変わるかを整理します。認定を取りに行くかどうかを決める材料に重心を置きました。

まとめ：認定を検討する企業が着手順に確かめるべき4つの分岐

結論から示します。セキュリティクリアランスは、政府が指定した情報を扱う企業を認定し、その企業の中で実際に情報に触れる従業者を個別に評価する制度です。個人が先に取得して持ち歩けるものではありません。

確かめる順序は4つです。契約先の行政機関が自社へ情報を提供する必要性を認めるか、議決権5%超の株主と役員の国籍・帰化歴を継続把握できるか、出入口を一箇所に絞った区画とインターネット非接続の端末を用意できるか、対象の従業者へ適性評価の同意を求められる関係か。最初の1つが立たなければ以降の投資は空振りになり、三番目が最も重い関門になります。同意しない自由は法律で守られているため、人事側の設計も並行して要ります。

受託開発会社の多くは、第三の関門で止まります。それは失敗ではありません。機微な部分を除いた情報で受注する道が制度上も残されており、以下では各分岐の判断材料を内閣府の公開資料の記載に沿って具体化します。

セキュリティクリアランスが指す制度の範囲と重要経済安保情報の二段構造

言葉の指す範囲がずれたまま議論が進みやすい領域です。まず制度の輪郭と、根拠となる2本の法律の関係を押さえます。

特定秘密保護法と対象情報が分かれる令和6年法律第27号の位置づけ

内閣府の資料は、セキュリティ・クリアランスを「政府が保有する安全保障上重要な情報として指定された情報に対して、アクセスする必要がある者のうち、情報を漏らすおそれがないという信頼性を確認した者の中で取り扱うとする制度」と定義しています。日本でこれを規定する法律は2本あり、防衛・外交・スパイ活動・テロ防止の4分野を対象とする特定秘密保護法と、経済分野を対象とする令和6年法律第27号です。後者は2024年5月10日に成立、同月17日に公布され、2025年5月16日に施行されました。制度の全体像と関係資料は内閣府の制度紹介ページに集約されています。

経済分野を扱う法律という点で、経済安全保障推進法の基幹インフラ届出とリスク管理措置と混同されがちですが、両者は別物です。推進法は特定社会基盤事業者に設備導入の届出義務を課す規制であり、こちらは政府側が持つ情報を民間へ渡すための保全制度。義務の向きが逆になります。

適合事業者の認定と従業者の適性評価という二段階のアクセス条件

情報にたどり着くまでに関門は2つあります。1つ目が事業者の認定です。行政機関が情報を提供する必要性を認め、かつ保護のために必要な施設設備の設置その他の基準に適合すると判断した事業者だけが、契約に基づいて情報の提供を受けられます。2つ目が個人の適性評価で、認定された事業者の中で、実際にその情報を扱う従業者に対して国が調査を行います。

この順序には実務上の含意があります。従業者が先に評価を受けて待機しておくことはできません。採用要件として個人に取得を求める発想は、制度の建て付けと噛み合わないことになります。

漏えいに5年以下の拘禁刑を科す罰則と教唆に及ぶ処罰範囲の広さ

罰則の重さは、社内ルールの設計水準を決める材料になります。運用基準に添付された条文によれば、取扱いの業務に従事する者がその業務で知り得た情報を漏らしたときは、5年以下の拘禁刑もしくは500万円以下の罰金、またはその併科。業務に従事しなくなった後も同じ扱いが続きます。提示・提供を受けた側が漏らした場合は3年以下の拘禁刑もしくは300万円以下の罰金です。条文と運用の細目は令和7年1月31日に閣議決定された運用基準にまとめられています。

見落とされやすいのが教唆です。ガイドラインは、取扱いを認められていない上司等が、業務命令の形であっても自分に情報を提供するよう求めた場合、漏えいの教唆として3年以下の拘禁刑または300万円以下の罰金の対象になり得ると注意を促しています。役職の上下と情報アクセス権が一致しない状態を、組織として先に受け入れておく必要があります。

適合事業者の認定で問われる株主構成と保護責任者の職位という組織要件

施設の話に入る前に、書類段階で落ちる要素を確認します。認定申請書の記載項目から、行政機関が何を警戒しているかが読み取れます。

議決権5%超の保有者と役員の国籍・帰化歴を継続把握する内部体制

認定にあたっては、株主や役員の状況に照らして、事業者の意思決定に外国からの所有・支配・影響がないと認められるかが問われます。申請書に記載するのは、議決権の5%超を直接保有する者の名称・設立準拠法国・議決権保有割合、役員の氏名・国籍・帰化歴の有無、そして外国との取引に係る売上高の割合です。ガイドラインは、外国取引の売上高比率が50%以上という閾値を超えるかどうかを把握しておく必要があると述べています。

上場企業では信託口の名義が並び、真の株主が把握できない状態が起こります。ガイドラインはこの点を名指しし、真の株主に関する情報は確認のために必要であり、行政機関から調査を求められると明記しました。申請時に一度そろえれば済むものでもありません。認定後も変動があれば報告義務が生じるため、把握を継続する手続まで含めて設計しておきます。役員の国籍・帰化歴も本人へのヒアリングを経て把握しておく必要があるとされており、株主名簿の管理だけでは足りません。

保護責任者は執行役員以上・業務管理者は部長課長級という指名の水準

体制面では2つの役割を置きます。保護責任者は情報保護の全体責任を負い、どの範囲の従業者に適性評価を受けさせるか、どの部署でどの施設に管理させるかを決める立場です。ガイドラインは、株式会社であれば通常は取締役や執行役クラスが想定され、最低限執行役員以上の権限を有することが適当だとしています。所属としては総務や経営企画など社内を束ねる部門が想定されており、指名にあたっては取締役会による決定など然るべき内部手続も要るとされました。

もう一方の業務管理者は、情報を扱う場所での人の出入りと情報そのものの管理を監督する役割で、実務と責任を兼ねる観点から部長職や課長職相当が適当とされています。複数配置も、一人が複数の場所を兼ねることも差し支えありません。なお保護責任者・業務管理者に指名されたこと自体は、適性評価が必要になる理由にはなりません。

年1回以上の教育と取締役会レベルで決める規程という運用の下限

教育の頻度には具体的な下限があります。事業者が作成した教育資料を用いて、最低限年1回、保護責任者や業務管理者が情報を扱う者へ教育の機会を提供しなければなりません。新たに扱う予定の者には取り扱う前に同じ教育を実施します。教育資料は認定申請書に添付するため、社内向けの体裁のまま流用できるとは限りません。

規程についてガイドラインは、保護責任者や役員を規律し、議決権の5%超を保有する者の行動にも関わる内容であることから、取締役会のレベルで決定することが望ましいと述べています。既に情報セキュリティマネジメントの仕組みを持つ企業なら、情報セキュリティの3要素とISMSの基本で整理した文書体系の上に乗せる形になりますが、認証取得の有無が認定の代替にはならない点に注意が必要です。

重要経済安保情報取扱区画の施設設備とインターネット非接続端末の要求水準

ここが検討の山場です。ガイドラインが挙げる施設設備の水準は、一般的なオフィスセキュリティの延長では届きません。具体の記述を確認します。

出入口は原則一箇所・窓は遮蔽という区画の物理要件の具体的な水準

情報を取り扱う場所は「重要経済安保情報取扱区画」と呼ばれ、行政機関による現地確認を経て承認されます。内閣府の適合事業者編ガイドラインが示す例は、天井・壁・床が容易に破壊されないよう鉄筋コンクリートまたは頑丈な不燃性の資材であること、出入口は原則一箇所とすること、扉には容易に開錠が困難な鍵か職員証・生体認証による開錠装置を採用すること、窓がない部屋が推奨され、窓がある場合はブラインドを常時閉めるなどの遮蔽措置を講じることなどです。ダクトや天窓といった開口部に盗聴・盗見のおそれがあれば金網や鉄格子まで求められます。

条件は区画の外側にも及びます。社屋への入場時に職員証による認証がなされるなど、従業者以外の入場が制限されていること。制約なく出入りできる社屋なら、敷地の周囲を金網等で囲んだ上で入退室管理システムの認証方式と選び方で扱うような仕組みの構築を求められます。保管場所には三段式文字盤鍵のかかる金庫か鋼鉄製の箱、文書を廃棄するならクロスカット裁断など復元が困難な裁断機も要ります。

スタンドアロン端末と生体認証によるアクセス制限が課す設計の制約

電子データとして情報を扱う場合の要件は、現代のシステム運用と正面からぶつかります。ガイドラインは、当該情報を取り扱う設備として、生体認証等により取扱いを認められた者のみがアクセス可能となるようアクセス制限を講じた、スタンドアロンまたはインターネットに接続していない電子計算機を設置することを求めています。この端末は区画内に置き、持出しや盗難を防ぐためワイヤで固定するなどの措置も必要とされました。アクセス制限そのものについても、行政機関の認定を受けることが条件になります。

役割単位の権限設計はRBACによるロールベースアクセス制御の仕組みで扱う考え方と重なりますが、決定的に違うのは、権限の分離が論理層ではなく物理層から要求される点です。通常の社内システムとの差は次の通りです。

項目	通常の社内システム	取扱区画の端末
ネットワーク	社内LANやVPNで接続	非接続かスタンドアロン
認証	IDとパスワードにMFA	生体認証等の制限を認定
媒体の書き出し	社内ポリシーで制限	書き出しログを保存
端末の設置	執務室に自由に配置	区画内でワイヤ固定
運用の根拠	社内規程で自律運用	行政機関の承認が前提

書き出しログと印刷ログの保存・可搬媒体の暗号化という記録義務

運用フェーズで発生する記録も具体的に決まっています。電子データを端末で取り扱う場合、可搬記憶媒体への書き出しログと印刷ログを保存しなければなりません。USBメモリなどで提供された媒体は、暗号化措置を施した上で承認済みの保管容器に入れます。区画への立入りについても、実際に立ち入った者の所属・氏名・時刻を記録することが求められます。

複製と新規作成の扱いは、ソフトウェア開発の常識と最も遠い部分です。ガイドラインは、提供された文書等が事業者内で複製されたり、情報を記録する文書が新たに作成されたりすることを基本的に想定していないと述べ、複製・作成にはあらかじめ行政機関の許可を得た上で、実際の作業には行政機関の立ち会いを要するとしています。バージョン管理もテスト環境へのデータコピーも、原則として発生しない前提で考えます。

適性評価で調査される7項目と再実施10年という個人側の手続の全体像

個人側の手続は、人事部門と現場管理者の両方に影響します。何がどこまで調べられ、拒否したときに何が起きるのかを正確に押さえておきます。

毀損活動との関係から経済状況まで及ぶ調査7項目の具体的な範囲

運用基準の告知書ひな形が列挙する調査事項は7つです。

重要経済基盤毀損活動との関係に関する事項（スパイ活動やテロ組織との関わり）
犯罪及び懲戒の経歴に関する事項（執行猶予付きの有罪判決を含む）
情報の取扱いに係る非違の経歴に関する事項
薬物の濫用及び影響に関する事項
精神疾患に関する事項
飲酒についての節度に関する事項
信用状態その他の経済的な状況に関する事項

3番目の項目は、システムに関わる人ほど身近です。運用基準は、使用してはならないとされている記録媒体に情報を保存した、必要な手続を経ずに文書を複写した、職務に関連した事項をインターネット上のサイトに公表したといった行為で、懲戒処分や訓告・厳重注意を受けたことがあるかを調べると具体的に書いています。7番目の経済状況では、住宅や車両の購入・教育といった一般的な目的とは異なる借入れ、債務の不履行、資力に照らして不相応な金銭消費が対象です。なお該当事実があっても、直ちに漏らすおそれがあると判断されるものではないと明記されています。

家族と同居人は氏名・生年月日・国籍・住所に限るという調査の線引き

本人以外への調査範囲は限定されています。家族と同居人については、氏名・生年月日・国籍・住所に限って調査され、それ以外の事項は調査しないと運用基準が明示しました。目的は、外国の情報機関等からの働きかけの有無を確認する参考とするため。本人が家族や同居人にこのことを知らせても差し支えないとされています。

質問票では、家族・同居人の国籍のほか、出張を除く過去10年間の渡航履歴も記載します。配偶者の欄には事実上婚姻関係と同様の事情にある者が含まれ、内閣府のQ&Aは事実婚の同性の方も含まれると回答しました。事実確認ができない事項は「不明」でよい一方、正当な理由なく記載を欠けば結果に影響します。

再実施は10年後・転職時は再調査なしという結果の有効期間の扱い

一度受けたあとの扱いは、要員計画に直結します。同一の行政機関から提供される情報の取扱業務に従事し続ける場合、再実施までの期間は10年間です。ただしその間でも、引き続き漏らすおそれがないと認めることに疑いを生じさせる事情があると認められれば、改めて実施されます。内閣府が調査を実施した評価で適性が認められた人が10年以内に転職し、他の行政機関で改めて評価を受けることになった場合、再度の調査は行いません。この扱いは内閣府が公表した適性評価に関するQ&AのQ4・Q5に記載があります。

結果の使い道には強い制限がかかります。評価の実施に同意しなかった事実や評価結果などの個人情報を、情報保護以外の目的で利用または提供することは禁止されており、運用基準は目的外利用の例として解雇・減給・降格・懲戒処分・自宅待機命令・不利益な配置の変更を挙げています。評価に伴って取得した情報を人事評価に流用する運用は、制度上成立しません。

受託開発会社が認定を取りに行く条件と取らずに受注する場面の切り分け

ここからは判断です。制度の解説は各所にありますが、外注先として関わる側が何を選ぶべきかは、あまり書かれていません。条件を切って言い切ります。

子会社と協力会社まで及ぶ認定の連鎖と取扱者名簿の運用負荷の実際

多重下請けの構造は、この制度の中では素直に通りません。ガイドラインは、適合事業者の子会社や契約に基づく協力関係にある事業者についても、情報を取り扱うことが想定されるなら別途認定を受ける必要があるとしています。ただし子会社等の施設で保管・管理をせず、適合事業者の取扱区画のみで取り扱う場合には、施設設備を考慮要素としない扱いも差し支えないとされました。設備投資を親会社側に集約する道は残されています。

その場合でも手続は増えます。子会社等の取扱者名簿、適合事業者側で作る自社従業者以外の名簿、区画ルールの説明、閲覧簿への記入と、承認と記録が二重に走るためです。要員の入れ替えが前提のプロジェクト体制とは相性が悪く、体制表を固定できる案件かどうかが先に問われます。

クラウド前提の開発体制と区画要件が両立しなくなる分岐の見極め

結論を言い切ります。対象情報そのものを扱う工程を、クラウド前提の開発体制の中に置くことはできません。スタンドアロンまたはインターネット非接続という要件は、リポジトリのホスティング、CIパイプライン、リモート開発環境、SaaS型のチケット管理といった現在の標準構成すべてと排他だからです。区画内に閉じた開発を行うなら、そこは事実上オフラインの島になります。

したがって現実的な設計は、情報そのものを扱う部分と、それ以外を分離することに尽きます。政府から提供される指定情報を直接参照する解析・検討の工程だけを区画内の端末に閉じ込め、その成果として得られた指定情報を含まない仕様や成果物を通常の開発環境で扱う。この線を引けない案件、たとえば指定情報がそのままシステムの入力データになるような案件は、認定を取得しない限り受けられません。ここは工夫で乗り越える領域ではなく、受注可否の判断に直結する境界です。

認定を取らずに機微な情報を除いた形で受注する選択が妥当になる条件

認定を見送る判断は、制度からの脱落ではありません。ガイドラインは、全ての要件を満たさない事業者であっても、行政機関に提供の意向があれば、機微な情報を削除し指定情報そのものを含まない形で提供する方法が考えられると述べています。取引を失うかどうかの分岐は、認定の有無ではなく、案件の設計にあります。

見送りが妥当なのは、次の条件が重なる場合です。指定情報を直接参照しなくても要件定義が成立する。区画に常駐できる固定要員を確保できない。案件の継続期間が、施設投資と適性評価の所要期間を回収できるほど長くない。適性評価の所要期間について内閣府のQ&Aは、個別の要素で変動するため一律に示すことは困難としており、期間を前提にした計画が立てにくい点も判断材料になります。

認定を見送る場合に投資すべき先は、区画ではなく通常環境側の防御です。指定情報を含まない設計書や試験データも、この種の案件の周辺情報である以上は狙われます。境界の外側にあるシステムの権限設計とアクセス経路を点検するなら、脆弱性診断・セキュリティ診断のように第三者が実際に侵入経路を試す形の検証が、規程の整備よりも先に効きます。区画を作る費用と比べれば桁が違い、対象案件を選ばずに効果が残る点でも投資効率が良い選択です。

よくある質問

制度の運用開始後に問い合わせが多い論点を、内閣府の公開資料の記載に沿って回答します。

セキュリティクリアランスは個人で申し込んで取得できますか？

できません。内閣府のQ&Aは、個人からの申し込みを受け付ける制度ではないと明記しています。所属先の行政機関または適合事業者の中で、その人が指定情報を取り扱う必要があると判断された場合に限って実施される仕組みです。就職や転職の際に個人の資格として提示するものではなく、企業側の認定と担当業務が先に存在することが前提になります。

適性評価に同意しなかった場合、不利益な取扱いを受けますか？

同意する意思がなければ同意書を提出する必要はなく、行政機関や適合事業者がその理由を問うことも、不同意を理由に不利益な取扱いを行うことも禁止されています。さらに、同意しなかった事実や評価結果を情報保護以外の目的で利用・提供することも禁じられており、運用基準は解雇・減給・降格・懲戒処分・自宅待機命令・不利益な配置の変更を目的外利用の例として挙げています。人事制度の側で先に決めておくべきは、不同意者の配置転換ルールです。

適性評価の結果が出るまでどのくらいの期間がかかりますか？

内閣府のQ&Aは、調査対象者の状況など個別具体的な要素で処理に要する期間が変動するため、一律に示すことは困難だと回答しています。今後の運用を踏まえて目安の期間を示すことは検討中とされました。長期間通知が来ない場合は、告知書や質問票に記載された行政機関または内閣府の窓口に進捗を確認できます。要員計画上は、評価完了を前提とした稼働開始日を契約に書き込まない組み方が安全です。

中小企業でも適合事業者の認定を受けられますか？

資本の規模による認定基準の違いはありません。ガイドラインは、施行令および運用基準に定める認定基準は事業者の資本規模にかかわらず同様であり、中小企業であっても要件が緩和・免除されるものではないと明記しています。一方で、施設設備等の整備に関する支援を検討する行政機関もあると考えられるとも記載されました。区画の新設費用を単独で負担できるかを試算し、契約予定の行政機関に支援の有無を早めに確認します。

委託先や協力会社の技術者に指定情報を扱わせることはできますか？

その技術者の所属企業が別途認定を受けている必要があります。ただし、協力会社の施設で保管・管理をせず、適合事業者の取扱区画の中だけで取り扱う場合には、施設設備を考慮要素としない扱いも差し支えないとされています。この場合、協力会社側は自社の取扱者名簿に記入して行政機関の承認を受け、適合事業者側は自社従業者以外の者に関する名簿を別に作成して承認を受ける流れです。派遣労働者を受け入れるときは、名簿掲載への同意取得と派遣元事業主との取り決めも要ります。