外部委託の終了時の措置
シラバス案 Ver.0.1（2026年9月30日公表）の科目B 大項目7 業務の外部委託における情報セキュリティの確保：『7-3 外部委託の終了』
事例
A 社は、従業員 300 名の食品メーカーである。販売部は、新商品の顧客アンケート（回答者の氏名、メールアドレス、回答を含む）の集計を、B 社に委託してきた。委託の開始前に、販売部の情報セキュリティ担当者（以下、担当者）は、契約担当者と協力して、B 社の規程と A 社の要求事項の差を確認し、差があった「再委託の扱い」と「返却・消去の方法」を契約条項に加えた。委託中は、B 社が年に一度出す書面の報告で、実施状況を確認してきた。
契約書の抜粋を表1に示す。
| 条 | 内容 |
|---|---|
| 第3条（秘密保持） | B 社は、業務で知った情報を第三者に開示しない。この義務は、契約の終了後も続く。 |
| 第4条（再委託） | B 社は、A 社の書面による事前の承諾を得て再委託できる。再委託先にも本契約と同じ義務を負わせ、その責任は B 社が負う。 |
| 第5条（実施状況の報告） | B 社は、年に一度、実施状況を書面で A 社に報告する。A 社は、必要な場合に確認を求めることができる。 |
| 第7条（契約終了時の措置） | B 社は、契約が終了したときは、A 社から預かったデータとその複製を、A 社が指示する方法で返却又は消去し、結果を書面で A 社に報告する。 |
今回、B 社との契約が 3 月 31 日で終了し、4 月 1 日から新しい委託先の D 社に移ることになった。担当者は、終了時の確認のため、B 社に回答データの保管状況を聞き取り、結果を表2にまとめた。B 社は、自由回答の入力作業を C 社に再委託しており、この再委託は A 社が書面で承諾している。また、A 社の共有フォルダーには、B 社の従業員 3 名に付与した利用者 ID が残っている。
| 保管場所 | 保管している者 | 内容 | 備考 |
|---|---|---|---|
| 作業用サーバー | B 社 | 回答データ 12,400 件 | 集計作業に使用 |
| 日次バックアップ | B 社 | 作業用サーバーの複製 | 30 日分を保持し、古いものから上書き |
| 担当者のノート PC | B 社 | 集計作業用の一時コピー | 作業のたびに作成 |
| 入力作業用の PC | C 社 | 自由回答の入力用データ | 入力後に消した記録はない |
A 社の規程のうち、外部委託の終了に関わる部分は次のとおりである。
・外部の者に付与した利用者 ID は、利用の必要がなくなった日に無効にする。
・委託の終了時は、回収・消去の結果を文書にまとめ、販売部長に報告する。
担当者は、契約担当者と相談して、契約終了にあたって A 社が行う措置の案を (一)〜(七) にまとめた。
次の(一)〜(七)のうち、契約終了にあたって A 社が行う措置として適切なものだけを全て挙げた組合せを、解答群の中から選べ。
- (一) 返却・消去の対象を、表2の保管状況のすべて（C 社の保管分を含む）として、B 社に文書で指示する。
- (二) 日次バックアップは 30 日で自動的に上書きされるので、対象から外し、作業用サーバー、ノート PC、C 社の PC の三つを対象とする。
- (三) 消去の結果は、第5条の年に一度の報告にまとめて出させ、終了時の個別の書面は求めない。
- (四) B 社から消去の方法と日付を書いた書面を受け取り、その内容を文書にまとめて販売部長に報告する。
- (五) B 社の従業員 3 名分の利用者 ID は、D 社への引き継ぎが終わる 4 月 1 日まで残し、その日に無効にする。
- (六) B 社の従業員 3 名分の利用者 ID を、契約終了日の 3 月 31 日に無効にする。
- (七) A 社は C 社と契約がないので、C 社の保管分は、A 社が C 社に直接消去を指示する。
正解：キ (一)、(四)、(六)
ポイント
業務の外部委託が終わるときに、委託元が行う措置を、契約と規程から判断する事例です。
考え方と解き方
決め手は、表1の第4条・第5条・第7条、表2の保管状況、本文の A 社の規程です。第7条は複製も対象にして A 社が指示し、終了時に書面で報告させます。規程は、利用者 ID を「利用の必要がなくなった日」に無効にし、結果を販売部長に報告させます。一つの条件だけが外れた記述を見分けます。
- 表2では、複製が、作業用サーバー、バックアップ、ノート PC、C 社の PC にあります。第7条は複製も対象にし、第4条は再委託先の責任を B 社に負わせるので、(一)は適切です。(二)(七)は範囲や指示の相手が外れます。
- 第7条は終了時に書面で報告させる定めで、規程は結果を文書にまとめて販売部長に報告させる定めです。(四)は適切で、(三)は第5条の年に一度の報告で済ませているので不適切です。
- 規程は、利用者 ID を「利用の必要がなくなった日」に無効にします。B 社の利用は 3 月 31 日で終わるので、(六)は適切で、(五)は 4 月 1 日まで残すので不適切です。
- 適切なのは (一)、(四)、(六) の全てで、キ です。
ほかの選択肢
- ア (二)は不適切です。第7条は「その複製」まで対象にしており、バックアップも表2に残っています。(五)は不適切です。規程は「利用の必要がなくなった日」に無効にするので、委託が終わる 3 月 31 日です。(七)は不適切です。第4条と第7条で、指示する相手は B 社で、C 社の分は B 社が責任を負います。(一)が欠けています。範囲を指示しないと、バックアップや C 社の保管分が残ります。(四)が欠けています。規程のとおり、結果を文書にまとめて販売部長に報告する措置が足りません。(六)が欠けています。規程のとおり、不要になった日に利用者 ID を無効にする措置が足りません。
- イ (三)は不適切です。第5条は年に一度の報告で、第7条は終了時に書面で報告させると別に定めています。(五)は不適切です。規程は「利用の必要がなくなった日」に無効にするので、委託が終わる 3 月 31 日です。(四)が欠けています。規程のとおり、結果を文書にまとめて販売部長に報告する措置が足りません。(六)が欠けています。規程のとおり、不要になった日に利用者 ID を無効にする措置が足りません。
- ウ (二)は不適切です。第7条は「その複製」まで対象にしており、バックアップも表2に残っています。(三)は不適切です。第5条は年に一度の報告で、第7条は終了時に書面で報告させると別に定めています。(五)は不適切です。規程は「利用の必要がなくなった日」に無効にするので、委託が終わる 3 月 31 日です。(一)が欠けています。範囲を指示しないと、バックアップや C 社の保管分が残ります。(四)が欠けています。規程のとおり、結果を文書にまとめて販売部長に報告する措置が足りません。(六)が欠けています。規程のとおり、不要になった日に利用者 ID を無効にする措置が足りません。
- エ (二)は不適切です。第7条は「その複製」まで対象にしており、バックアップも表2に残っています。(五)は不適切です。規程は「利用の必要がなくなった日」に無効にするので、委託が終わる 3 月 31 日です。(一)が欠けています。範囲を指示しないと、バックアップや C 社の保管分が残ります。(四)が欠けています。規程のとおり、結果を文書にまとめて販売部長に報告する措置が足りません。
- オ (二)は不適切です。第7条は「その複製」まで対象にしており、バックアップも表2に残っています。(七)は不適切です。第4条と第7条で、指示する相手は B 社で、C 社の分は B 社が責任を負います。(四)が欠けています。規程のとおり、結果を文書にまとめて販売部長に報告する措置が足りません。(六)が欠けています。規程のとおり、不要になった日に利用者 ID を無効にする措置が足りません。
- カ (七)は不適切です。第4条と第7条で、指示する相手は B 社で、C 社の分は B 社が責任を負います。(一)が欠けています。範囲を指示しないと、バックアップや C 社の保管分が残ります。
- ク (二)は不適切です。第7条は「その複製」まで対象にしており、バックアップも表2に残っています。(三)は不適切です。第5条は年に一度の報告で、第7条は終了時に書面で報告させると別に定めています。(七)は不適切です。第4条と第7条で、指示する相手は B 社で、C 社の分は B 社が責任を負います。(一)が欠けています。範囲を指示しないと、バックアップや C 社の保管分が残ります。(四)が欠けています。規程のとおり、結果を文書にまとめて販売部長に報告する措置が足りません。(六)が欠けています。規程のとおり、不要になった日に利用者 ID を無効にする措置が足りません。
- ケ (二)は不適切です。第7条は「その複製」まで対象にしており、バックアップも表2に残っています。(五)は不適切です。規程は「利用の必要がなくなった日」に無効にするので、委託が終わる 3 月 31 日です。(四)が欠けています。規程のとおり、結果を文書にまとめて販売部長に報告する措置が足りません。(六)が欠けています。規程のとおり、不要になった日に利用者 ID を無効にする措置が足りません。
- コ (三)は不適切です。第5条は年に一度の報告で、第7条は終了時に書面で報告させると別に定めています。(五)は不適切です。規程は「利用の必要がなくなった日」に無効にするので、委託が終わる 3 月 31 日です。(一)が欠けています。範囲を指示しないと、バックアップや C 社の保管分が残ります。(六)が欠けています。規程のとおり、不要になった日に利用者 ID を無効にする措置が足りません。
覚えておくこと
- 委託の終了時は、複製と再委託先の分まで返却・消去の範囲を委託元が指示し、終了時に書面で結果を受け取る
- 外部の者に付与した利用者 ID は、利用の必要がなくなった日に無効にする。回収・消去の結果は文書にまとめて上位者に報告する