再委託先と要求事項の照らし合わせ
シラバス案 Ver.0.1（2026年9月30日公表）の科目B 大項目7 業務の外部委託における情報セキュリティの確保：『7-1 外部委託先の情報セキュリティの調査』『7-2 外部委託先の管理における情報セキュリティの確保』
事例
A 社は、従業員 180 名で、15 のスポーツクラブを運営する会社である。会員サービス部は、会員約 40,000 名の氏名、住所、電話番号、引落口座、入退館の記録を、会員管理システムで管理している。会員管理システムの保守は B 社に委託しており、B 社の技術者は、A 社が許可した保守用の端末から、リモート接続で保守を行っている。B 社との契約では、再委託には A 社の書面による事前の承諾が要る。
A 社は、会員の個人データを扱う委託先と再委託先に、次の三つの要求事項を示している。
(1) 個人データを、A 社のシステムの外に保存しない。
(2) システムへの接続は、A 社が作業者ごとに発行した利用者 ID で行い、利用者 ID を共用しない。
(3) 接続の日時と作業の内容を記録し、委託先を通じて A 社に提出する。
A 社の規程では、再委託の申し出があったときは、会員サービス部の情報セキュリティ担当者（以下、担当者）が、契約担当者と協力して、再委託先の現状を要求事項 (1)〜(3) と一つずつ照らし合わせ、食い違いの有無を会員サービス部長に報告する。部長は、食い違いをなくすことを条件にして承諾するかどうかを決める。
ある日、B 社から、会員管理システムのデータベースの性能調整を、来月から C 社に任せたいという申し出があった。担当者は、B 社と C 社に作業の進め方を確かめ、照らし合わせの結果を表1にまとめた。
| 項目 | C 社の作業の進め方 | 照らし合わせの結果 |
|---|---|---|
| 作業の内容 | データベースの性能調整（月に 2 回、各 4 時間程度）。C 社の技術者 2 名が行う。 | ― |
| 接続に使う利用者 ID | A 社が B 社の技術者 D さんに発行した保守用の利用者 ID を、C 社の 2 名にも使わせる。 | a1 |
| 調査の方法 | 会員のデータを C 社の PC に複製し、処理の速さを分析する。 | a2 |
| 作業の記録 | 接続の日時と作業の内容を C 社が記録して月に一度 B 社に渡し、B 社がまとめて A 社に提出する。 | a3 |
| 秘密保持 | C 社は、B 社と秘密保持の契約を結んでいる。 | ― |
表1中の a1〜a3 に入れる照らし合わせの結果の組合せとして、適切なものを、解答群の中から選べ。
正解：エ a1：(2) と食い違う／a2：(1) と食い違う／a3：食い違いはない
ポイント
委託先から再委託の申し出があったときに、再委託先の作業の進め方を要求事項と一つずつ照らし合わせ、食い違いを見つける事例です。
考え方と解き方
決め手は、本文の要求事項 (1)〜(3) の字句と、表1の各行の「だれが」「どこに」「どの利用者 ID で」です。A 社が発行した利用者 ID なら問題ない、記録を C 社が直接出していないから食い違う、と読む所で間違えやすいです。
- a1：利用者 ID は A 社が発行した物ですが、D さんの ID を C 社の 2 名にも使わせると共用になり、(2) の「作業者ごとに発行」「共用しない」と食い違います。
- a2：会員のデータを C 社の PC に複製すると、A 社のシステムの外に個人データを保存することになり、(1) と食い違います。
- a3：記録は C 社が作り、委託先の B 社がまとめて A 社に提出するので、(3) の「委託先を通じて A 社に提出する」に合っており、食い違いはありません。
- したがって、適切な組合せは エ です。
ほかの選択肢
- ア a1 と a2 が誤りです。D さんの ID の共用は (2) と、C 社の PC への複製は (1) と食い違います。
- イ a3 が誤りです。記録は B 社を通じて A 社に提出されるので、(3) と食い違いはありません。
- ウ a2 と a3 が誤りです。C 社の PC への複製は (1) と食い違い、記録は (3) に合っています。
- オ a1 と a3 が誤りです。D さんの ID の共用は (2) と食い違い、記録は (3) に合っています。
- カ a1 と a2 が誤りです。A 社が発行した ID でも共用すれば (2) と食い違い、C 社の PC への複製は (2) ではなく (1) と食い違います。
- キ a2 と a3 が誤りです。複製は保存の場所の問題で (1) と食い違い、記録は (3) に合っています。
- ク a1〜a3 の全てが誤りです。ID の共用は (2) と、C 社の PC への複製は (1) と食い違い、記録は B 社を通じて A 社に提出されるので (3) に合っています。
覚えておくこと
- 再委託の申し出には、再委託先の作業の進め方を、委託元の要求事項と一つずつ照らし合わせてから承諾を決める
- 委託元が発行した利用者 ID でも、複数の作業者で共用すれば、だれが操作したかが分からなくなる