委託先管理とは？個人情報保護法25条の監督義務とチェックリスト・契約条項の実務

委託先管理とは、業務やシステムの運用を外部に任せたあとも、委託元が委託先の安全管理を確かめ続けることです。個人データを扱う業務なら、個人情報保護法25条が委託元に「必要かつ適切な監督」を義務づけています。本記事では、条文と個人情報保護委員会のガイドラインに沿って、委託先の選定・契約・取扱状況の把握・再委託の扱いを整理します。2026年に続いた委託先起点の漏えい事案から読み取れる型、委託先チェックリストと管理台帳の項目、2026年度末に始まる予定のSCS評価制度の★3・★4までを、実務で使う順番に並べました。

まとめ：委託先管理で委託元が負う義務と、今期に手を付ける順番

• 義務の根拠は法25条：個人データの取扱いを委託したら、委託先の安全管理が図られるよう監督する義務が委託元に残ります。任せた時点で責任が移るわけではありません。
• 監督は3つの措置で構成：適切な委託先の選定、委託契約の締結、委託先での取扱状況の把握。再委託先・再々委託先まで及びます。
• 漏えいしたら報告するのは委託元：委託先が委託元に通知すれば、委託先の報告義務は外れます。期限は委託元が知った日から数えます。
• 2026年の事案は2つの型：委託先に残っていた顧客データが抜かれる型と、委託先の正規アカウントで委託元の環境へ入られる型です。
• 判断：全委託先に同じ質問票を配るのはやめ、個人データとシステム接続の有無で3段に分けて濃淡をつけてください。手を付ける順番は、台帳づくり、高リスク先の契約見直し、年次点検です。

委託先管理とは何か｜個人情報保護法25条が委託元に課す監督義務の範囲

委託先管理という言葉は、品質管理や下請取引の文脈でも使われます。本記事が扱うのは、個人データと情報システムの安全管理としての委託先管理です。

法25条の条文と「必要かつ適切な監督」が安全管理措置と同じ水準になる理由

個人情報保護法25条は、個人データの取扱いの全部または一部を委託する場合に、その個人データの安全管理が図られるよう、委託を受けた者に対して必要かつ適切な監督を行わなければならないと定めています。直前の23条が自社の安全管理措置、24条が従業者の監督です。25条はこの並びの中にあり、委託先を「社外にいる従業者」に近い位置に置いた条文と読めます。

ガイドライン（通則編）の3-4-4は、委託先に求める水準を、委託元が23条で自ら講じるべき安全管理措置と同等としています。ただし、委託元が法の水準を超える措置を取っていても、委託先に同じ水準を求める趣旨ではないとも書かれています。委託先に課すのは、自社と同じ厳しさではなく法の水準です。

委託に当たる取引と当たらない取引｜クラウド利用を分けるQ&A7-53の基準

委託先管理の対象を決めるには、どの取引が「委託」かを先に切り分けます。法27条5項1号は、利用目的の達成に必要な範囲で個人データの取扱いを委託することに伴う提供を、第三者提供に当たらないとしています。本人の同意なしに渡せる代わりに、25条の監督が付いてくる、という関係です。契約の形が請負か準委任かは問いません。契約類型の違いは委託とは？委任・請負・受託との違いで整理しています。

迷いやすいのがクラウドサービスです。委員会のQ&A 7-53は、判断の基準を「保存しているデータに個人データが含まれるか」ではなく「クラウド事業者がその個人データを取り扱うことになっているか」に置いています。契約で取り扱わない旨が定められ、適切なアクセス制御が行われていれば、委託には当たらず25条の監督義務も生じません。この場合も、自社の安全管理措置としてクラウドの設定を管理する責任は残ります。

委託先で漏えいしても報告と本人通知の主体が委託元になる26条ただし書き

法26条1項ただし書きにより、委託先が漏えい等の事態を委託元へ通知すれば、委託先の委員会への報告義務は免除されます。報告と本人への通知を行うのは、原則として委託元です。委託元にとって速報の期限は、委託先から通知を受けて事態を知った時点から進み始めます。

このため、委託契約に「委託先は事故を知ってから何時間以内に委託元へ連絡するか」を書いていないと、委託元は自社の期限を管理できません。報告の4類型と速報・確報の期限は個人情報保護委員会への報告義務で詳しく扱っています。

委託先が攻撃の入口になった2026年の事案と、IPA10大脅威2位の位置付け

IPAの情報セキュリティ10大脅威2026では、組織向けの2位が「サプライチェーンや委託先を狙った攻撃」でした。2019年の初選出から8年連続です。2026年の公表事案を並べると、被害の型は2つに分かれます。攻撃手法の全体像はサプライチェーン攻撃とはを参照してください。

大和証券の事案に見る、委託先のサーバーに残っていた顧客データの漏えい

大和証券は2026年10月5日、問い合わせ管理に使うサービスの提供元のサーバーへ不正アクセスがあり、約11万人分の氏名・メールアドレス・口座番号などを含む情報が漏洩した可能性があると公表しました。大和証券自身のシステムへの不正アクセスは確認されていません。経過は大和証券の情報漏洩・不正アクセスで整理しています。

自社がどれだけ守りを固めても、委託先に写しが残っていれば、そこが破られた時点で漏れます。委託先管理で最初に問うべきは、委託先のセキュリティ対策の水準より前に、何を渡し、いつまで残させているかです。

NECと両毛システムズで悪用された、委託先の正規アカウントとVPN

NECは2026年10月20日、システム開発と保守の委託先が9月下旬に攻撃を受け、盗まれた正規アカウントで顧客の環境へ不正アクセスされたと公表しました。顧客のサーバーではファイルが暗号化されています。顧客の大阪公立大学から見ると、NECの委託先は再委託先にあたります（NEC委託先の不正アクセス）。

両毛システムズは9月25日の第3報で、8月12日にVPN機器のアカウントを悪用されて侵入されたと公表しました。委託元のガス事業者などが相次いで漏えいの可能性を発表し、大東ガスの対象は2年以上前の業務で受け渡したデータでした（両毛システムズのランサムウェア被害）。委託先のアカウントと委託先に残ったデータ。どちらも契約と年次点検で確認できる項目です。

ガイドライン3-4-4に沿う委託先管理の流れ｜選定・契約・把握・再委託

ガイドラインは監督の中身を、選定、契約、取扱状況の把握の3つに分けています。再委託はそのすべてに掛かる論点です。

委託先選定で確認する安全管理措置の項目と、事前評価シートの組み立て方

ガイドラインは選定にあたり、委託先の安全管理措置が少なくとも委託元に求められる水準と同等であることを、事前に確かめるよう求めています。確認の対象は、ガイドライン10章（別添）の安全管理措置の項目です。具体的には、基本方針と規程、組織体制、従業者の教育、物理的な管理、アクセス制御などの技術的な管理、外国で取り扱う場合の環境の把握が並びます。

事前評価シートは、この10章の見出しに沿って作ると漏れが出ません。ISMSやPマークの認証を持つ委託先なら、認証範囲に今回の業務と拠点が含まれるかを確かめたうえで、重なる質問を省けます。

委託契約に入れる条項｜再委託・事故報告期限・返却削除・監査権限

ガイドラインは、合意した安全管理措置の内容を契約に盛り込み、委託先での取扱状況を委託元が合理的に把握できるようにすることが望ましいとしています。2026年の事案を踏まえて、最低限入れておきたい条項は次のとおりです。

優先順位をつけるなら、事故の連絡期限と返却・削除の2つが先です。どちらも委託先の負担は小さく、両毛システムズの事案では2年以上前に受け渡したデータが委託先に残っていました。

取扱状況の把握と、契約後に放置して監督不足とされる4つの事例

3つ目の措置は、定期的な監査などで契約の実施状況を確かめ、必要なら委託内容を見直すことです。ガイドラインは、監督を行っていない例として次の4つを挙げています。

1. 契約時も含め委託先の安全管理状況を把握せず、委託先から漏えいした
2. 委託先に必要な安全管理措置の内容を指示せず、漏えいした
3. 再委託の条件を指示せず、取扱状況も確認しないまま、再委託先から漏えいした
4. 契約に再委託状況の把握を定めていたのに報告を求めず、委託元の知らない再委託先から漏えいした

4つ目は、契約書を整えただけでは監督したことにならないという意味です。契約に書いた報告を毎年実際に受け取り、記録に残すところまでが監督に含まれます。

再委託・再々委託先まで監督が及ぶ範囲と、事前承認で押さえる事項

委託先が再委託する場合、ガイドラインは委託元が再委託先・業務内容・取扱方法について事前に報告を受けるか承認し、定期的な監査などで再委託先の安全管理措置を確かめることが望ましいとしています。再々委託以降も同じです。委託先が不適切な再委託をし、再委託先が不適切に取り扱った場合、委託元の法違反と判断されうるとも書かれています。

システム開発では、元請けの下に複数の開発会社が入る構造が珍しくありません。承認の申請書には、再委託先の名称、触れるデータとシステム、作業の場所と端末の3つを書かせてください。

委託先チェックリストの項目例｜データとアクセス権で分ける管理台帳の作り方

委託先管理を回す道具は、委託先の一覧である管理台帳と、点検に使うチェックリストの2つです。

委託先管理台帳に記録する項目｜金融庁ガイドライン2.6の台帳例を一般企業へ

金融庁の金融分野におけるサイバーセキュリティに関するガイドライン（2024年10月4日）は、2.6でサードパーティリスク管理を定め、外部委託先だけでなくクラウドなどのサービス提供事業者も対象にしています。台帳の管理項目の例は、名称、提供する商品・サービスと機能、自組織のシステムに対するアクセスレベル、保持・処理する自組織のデータの種類と機密性、その場所です。

金融機関向けの文書ですが、この項目立ては一般企業の台帳にそのまま使えます。特に「アクセスレベル」と「データの種類」の2列は、後で述べる委託先ごとのリスクの振り分けに使う判断材料です。これに契約の終了日と最終点検日を足せば、点検漏れも台帳から拾えます。

委託先チェックリストの項目例｜契約前・年次点検・契約終了時の3区分

チェックリストは時点で分けると運用しやすくなります。項目の例を挙げます。

• 契約前：情報セキュリティの基本方針と規程の有無、認証（ISMS・Pマーク）の範囲、過去の事故と公表の有無、再委託の予定と相手先
• 契約前：委託元のシステムに接続する方法、接続に使う端末の管理者、多要素認証の有無
• 年次点検：預けた個人データの保存場所と件数、不要になったデータの削除状況
• 年次点検：委託先に発行したアカウントの一覧と最終利用日、退職者のIDの失効状況
• 年次点検：再委託先の変更の有無、従業者教育の実施記録、脆弱性への対応状況
• 契約終了時：データの返却または削除の完了報告、アカウントとVPN接続の停止確認

年次点検で回答を受け取るだけでなく、アカウントの一覧は委託元の側のログと突き合わせてください。委託先の申告と、自社の認証基盤に残る最終ログイン日が食い違えば、そこが点検の入口です。委託先から証跡を出してもらう段取りはシステム監査とはでも扱っています。

SCS評価制度の★3・★4で変わる委託先評価｜2026年度末の開始に向けた準備

委託先ごとに独自の質問票を送り合う手間を減らす仕組みとして、国の評価制度が始まろうとしています。

制度構築方針（2026年3月27日）が示した★3・★4の評価方式と開始時期

経済産業省と内閣官房国家サイバー統括室は2026年3月27日、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の構築方針を公表しました。取引契約の中で、委託元が委託先に適切な段階（★）を示し、対策を促して実施状況を確かめる使い方を想定しています。対象は企業のIT基盤（クラウド環境を含む）で、工場の制御システムは直接の対象外です。

段階は★3と★4で、★3は専門家の確認を経た自己評価、★4は第三者評価機関による評価です。★3・★4の申請受付は2026年度末頃の開始を目指すとされ、★5は今後の検討です。要求事項を満たす実装例をまとめた評価ガイド等は、2026年秋頃を目途に公表する予定とされていました。

自社の独自チェックシートを★で置き換える範囲と、置き換えられない項目

制度が始まれば、委託先の一般的なセキュリティ体制の確認は、★の取得状況の確認に置き換えられます。中小の委託先に数十問の独自シートを毎年送る運用は、ここで減らせます。

置き換えられないのは、自社と委託先の間に固有の事項です。どの個人データを何件預けているか、委託先のどのアカウントが自社のどのシステムに入れるか、業務終了後にデータを消したか。★は委託先の会社としての水準を示すもので、自社の預けたデータの行方は示しません。台帳とアカウントの点検は、制度開始後も委託元の仕事として残ります。

委託先管理を一律に厚くしない判断｜監督の濃さをリスクで3段に分ける基準

委託先管理が形骸化する典型は、全委託先に同じ重さの手続を課し、どれも浅くなることです。濃淡は先に決めてしまいます。

個人データとシステム接続の有無で委託先を高・中・低に振り分ける線引き

振り分けの軸は、台帳の「データの種類」と「アクセスレベル」の2列です。

NECと両毛システムズの事案は「高」の委託先で起きています。開発・保守を任せている会社は、ほぼ例外なくこの区分に入ります。

全委託先に同じ質問票を送る運用を見送るべき場面と、立入点検が要る場面

清掃や備品の納入のように、個人データにも社内システムにも触れない委託先へ、100問の質問票を送る必要はありません。回答の確認に担当者の時間が取られ、肝心の「高」の委託先の点検が薄くなります。この運用は見送ってください。

逆に、書面だけで済ませてはいけないのは、委託先が自社の本番環境へ常時接続している場合です。委託先が使う端末の管理状況や、委託元の環境へ入るアカウントの共有の有無は、回答書からは見えません。この区分では、年1回は接続の実態を確かめる場を設けます。内部統制の評価として外部の専門家に委託先評価を任せる考え方は内部統制を外注する際の注意点で解説しています。

委託先に渡すデータを減らす設計と、委託先が作ったシステムの第三者診断

委託先管理の負担を最も確実に減らす手段は、委託先に渡す個人データを減らすことです。問い合わせ管理に口座番号を送らない、配信停止リストを平文で持たせない、といった設計の段階での判断が、契約や点検より効きます。配信停止アドレスが会員DBとは別のサーバーに残っていた事案は東京メトロ（メトポ）の不正アクセスで取り上げています。

もう1つの盲点が、委託先が開発し、委託先が保守しているシステムです。作った本人が点検しても、見落としは残りがちです。外部に公開しているWebシステムや、委託先の保守用の接続口を第三者の目で確かめるなら、脆弱性診断・セキュリティ診断で、診断から報告、修正後の再診断まで依頼できます。

委託先管理でよくある質問｜規程・罰則・認証・点検頻度・ツール

委託先管理の体制づくりで問い合わせの多い点を、条文と公的な資料に沿って答えます。

委託先管理規程にはどのような項目を書けばよいですか？

規程には、対象となる委託の定義、委託先のリスク区分と区分ごとの手続、選定時の評価方法、契約に必ず入れる条項、年次点検の方法と頻度、再委託の承認手続、事故時の連絡経路、契約終了時のデータ返却・削除の確認、台帳の管理責任者を書きます。規程の骨格は、ガイドライン通則編3-4-4の選定・契約・把握の3つに、再委託と契約終了時の手続を加えた構成です。条文の言い換えに終わらせず、区分ごとに誰が何を確認するかまで書くと運用できる規程になります。

委託先の監督を怠った場合、罰則はありますか？

25条違反そのものに直接の罰則はありません。個人情報保護委員会は、25条に違反した事業者に是正を勧告でき、正当な理由なく従わず重大な権利利益の侵害が切迫している場合などには命令を出せます（法148条）。命令に違反すると、行為者は1年以下の拘禁刑または100万円以下の罰金（法178条）、法人は1億円以下の罰金（法184条）の対象です。罰則より大きいのは、委託先の事故でも委託元が報告と本人通知の当事者になる実務上の負担です。

ISMSやPマークを取得している委託先なら評価を省略できますか？

一般的な体制の確認は、認証の範囲を確かめたうえで省略してかまいません。ただし、認証の範囲に今回の業務・拠点が入っているか、有効期限が切れていないかは必ず確かめてください。認証は会社の管理の仕組みを示すもので、預けた個人データの保存場所や削除の状況、委託先のアカウントの管理までは示しません。両制度の違いはPマークとISMSの違いで整理しています。

委託先の点検は年1回で足りますか？

法令やガイドラインに頻度の定めはありません。ガイドラインが取扱状況の把握の方法として挙げているのは「定期的な監査等」です。リスク区分の「中」は年1回の書面点検で足ります。「高」は年1回の点検に加え、契約更新、再委託先の変更、委託先の重大な事故の公表、自社システムの大きな変更のときに随時確かめます。アカウントの棚卸しは、四半期ごとに自社のログで機械的に行うと負担が増えません。

委託先管理のツールやサービスは導入すべきですか？

委託先が数十社を超え、質問票の配布と回収を表計算ソフトで回しきれなくなった段階で検討してください。ツールが肩代わりできるのは、台帳の管理、質問票の配布と回収、期限の通知です。リスク区分の判断と、アカウントやデータの実態の突合は、ツールを入れても自社で行う必要があります。委託先が10社程度なら、本記事の台帳項目とチェックリストを表計算で運用するほうが早く始められます。

関連記事

• 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務：委託先で漏えいしたときに委託元が出す報告の期限と項目
• サイバー対処能力強化法とは？2026年10月施行の届出・報告義務と委託先への影響：基幹インフラ事業者の委託先に回ってくる作業
• サプライチェーン攻撃とは？起点別3類型と最新事例・対策の優先順位：委託先を起点にした攻撃の型の全体像
• 委託とは？委任・請負・受託との違いと発注者が押さえる契約の選び方：委託契約の類型と発注者の選び方
• システム監査とは？2023年改訂の基準12項目と委託先が用意する証跡を解説：委託先に出してもらう証跡の考え方