「民間企業へ業務を委託する際、相手方のセキュリティ体制をどこまで確認すればよいのだろうか」
「自治体向けの委託先管理ガイドラインを整備したいが、どのようなチェック項目を設けるべきか迷っている」
このように、地方公共団体（地方自治体）や公的機関において、業務委託に伴うサプライチェーンリスクの管理に頭を悩ませている情報政策・DX推進・情報セキュリティ担当者の方は少なくありません。
近年の自治体行政においては、窓口業務の民間開放や、データ入力、情報システムの運用保守など、外部の専門事業者へ業務を委託（アウトソーシング）することが不可欠となっています。
しかし、住民の個人情報や機密性の高い行政文書を扱う以上、委託先（あるいはその先の再委託先）における管理の不備は、そのまま自治体自身の情報漏洩インシデントへと直結する恐れがあります。
総務省のガイドライン等でも、委託先に対する「必要かつ適切な監督」が強く求められています。
本記事では、地方自治体が業務委託を行う際に、実務として最低限押さえておくべきセキュリティチェック項目と、管理運用のポイントについて解説します。
1. なぜ自治体に厳格な「委託先管理」が求められるのか
自治体が扱うデータは、住民の権利や財産に直結するものが多く、民間企業以上に高い安全管理措置が期待されています。
委託先管理を徹底すべき理由は主に2つあります。
理由①：法律上（個人情報保護法）の「監督義務」
個人情報保護法第25条に基づき、地方公共団体を含む個人情報取扱事業者は、データの取扱いを委託する場合、その安全管理が図られるよう委託先に対して「必要かつ適切な監督」を行う義務を負っています。
「委託先が勝手に起こした事故だから」
という理由で、自治体側の責任を免れることは難しいと考えられています。
理由②：「再委託・再々委託」によるガバナンスの風化
過去の重大なインシデント事例を振り返ると、一次委託先から二次、三次へと業務が再委託される過程でルールが形骸化し、データが適切でない環境（暗号化なしの物理媒体など）で持ち出されて紛失に至ったケースが多々見られます。 委託先だけでなく、「その先の再委託先」までを見通した管理体制が不可欠です。
2. 業務委託時に最低限確認すべき「5つのセキュリティチェック項目」
自治体が委託先を選定・評価する際、仕様書やチェックシートに盛り込むべき代表的な実務項目です。
項目1：組織的な「安全管理体制」の有無
- 確認ポイント：個人情報の取扱いに関する基本方針や社内規程が整備されているか。 情報セキュリティの責任者（CISO等）が明確に定められているか。プライバシーマークやISMS（ISO/IEC 27001）などの外部認証の取得状況も、組織の信頼性を測る一つの指標となります。
項目2：データの「持ち出し・保管ルール」の厳格さ
- 確認ポイント：自治体から預かったデータを外部環境へ持ち出す際の承認プロセスはどうなっているか。 業務で使用するPCや記録媒体（USBメモリ等）に、強固なパスワードロックやデバイス全体の暗号化が施されているか。また、業務終了後のデータ消去（廃棄）の方法や証明書の提出有無について明確になっているか。
項目3：従業員（スタッフ）に対する「セキュリティ教育の実施状況」
- 確認ポイント：委託先（および再委託先）の全従業員に対して、定期的な情報セキュリティ研修や注意喚起が行われているか。 また、委託業務に携わる全スタッフから、秘密保持に関する誓約書を個別に回収しているか。
項目4：「再委託」に関する厳格な制限
- 確認ポイント：発注元である自治体の事前承認なしに、業務の全部または一部を第三者へ再委託することを禁止しているか。 再委託を認める場合、一次委託先が二次委託先に対して、自治体と同等のセキュリティ基準を遵守させる契約および監督を行う仕組みになっているか。
項目5：インシデント発生時の「報告・協力体制」
- 確認ポイント：万が一、ウイルス感染やデータの紛失・漏洩が発生（またはその疑いが生じた）した際、どのようなルートで自治体へ「最速で第一報」を上げる体制になっているか。 原因究明のためのアクセスログの開示や、調査への協力義務が契約上明確になっているか。
3. ガイドラインを実効性の高いものにするためのポイント
チェックシートを提出させて「終わり」にするだけでは、現場の運用は形骸化しやすくなります。
- 「実地確認（オンサイト監査）」の標準化： 年に1回、あるいは機密性の極めて高いデータを扱う業務については、仕様書に基づき、実際の作業現場（オフィスやデータセンター）に自治体職員が赴き、目視による監査を行う運用の仕組み化が有効です。
- 新たなITリスク（生成AIなど）への配慮： 近年では、委託先が業務効率化のために自社の判断で「生成AI」などのクラウドサービスへ行政データを通し、意図せず外部へ情報を漏洩させてしまう新しいリスクも想定されます。仕様書等において、委託業務内での生成AI等の利用に関する条件を明確にしておくことが重要です。
4. 委託先を適切に監督するための「職員向けリテラシー教育」
委託先に対して厳しい基準を求める一方で、発注元である自治体職員の側に「丸投げの意識」があると、契約書の不備やチェックの見落としが発生し、ガバナンスが破綻しかねません。
- 要点を凝縮した「監査リテラシー動画」による底上げ： 担当職員に対して「適切な監督を行いなさい」と伝えるだけでは、具体的に現場で何をどう見ればいいのか分からないケースが多々あります。 「業務委託時の契約書やチェックシートにおいて、どの文言を見落とすと将来的に自治体自身が重大な社会的責任を負うことになるのか」を、わかりやすく解説した動画教材を導入します。 多忙な公務の合間に効率よく学べる動画を活用し、定期的な研修を実施しておくことで、職員一人ひとりの「発注者としてのガバナンス意識」を強固な防衛ラインへと定着させることができます。
よくある質問（FAQ）
Q. 小規模な地元企業へ業務を委託する場合、大企業並みの厳格なセキュリティチェックを課すと入札への参加が難しくなってしまいます。どうバランスをとるべきですか？
A. 委託する「業務のリスクレベル（扱う情報の重要度）」に応じて、段階的な基準を設定する手法が現実的と考えられます。
すべての委託業務に一律で最高水準のセキュリティ（ISMS取得など）を求めると、地域の事業者が排除されてしまう恐れがあります。
例えば、「住民の個人情報を取り扱う業務」「一般の公開情報のみを取り扱う業務」といった形でリスクを分類し、チェック項目の厳しさを柔軟に変動させるガイドラインを策定するのが安全な運用の選択肢の一つと言えます。
Q. 委託先がセキュリティチェックシートで「実施している」と回答していたにもかかわらず、実際は嘘で、漏洩事故が起きてしまいました。自治体側の責任はどうなりますか？
A. 委託先へ虚偽報告のペナルティや賠償請求を行える可能性はありますが、自治体自身の「監督責任」が完全に免除されるとは限らないと考えられます。
公的な機関として、「書面を鵜呑みにするだけで、実態の確認を一度も怠っていた」とみなされた場合、社会的な批判や個人情報保護委員会からの指導を避けることは困難な場合があります。
トラブルを防ぐためにも、重要な業務については書面チェックだけでなく、抜き打ちのヒアリングや実地確認を行うプロセスを組み込んでおくことが推奨されます。
まとめ
地方自治体の委託先管理ガイドラインの本質は、外部の業者を厳しく取り締まることではなく、適切なルールと確認によって「住民の大切なデータをサプライチェーンの脅威から組織的に守り抜くこと」にあります。
- 個人情報保護法に基づき、自治体には委託先（および再委託先）への適切な監督義務がある
- 仕様書や契約において、持ち出し制限、再委託の事前承認、緊急報告ルートを必ず明確にする
- 職員自身の管理・監督能力を高めるために、日頃から研修動画などを活用した実務教育を継続する
※具体的な情報セキュリティポリシーの改定、各種仕様書・契約書のリーガルチェック、または実際に発生した委託先トラブルに関する法的な個別判断については、自組織だけで処理せず、必ず管轄の省庁や法務の専門家、弁護士などの専門家へご相談ください。
情報セキュリティ研修をご検討中の方へ
当サイトでは、企業・自治体向けに以下のサービスをご提供しています。
- 研修動画パッケージ（買い切り型）
- 講師派遣による対面・オンライン研修
- 社内啓発に活用できる無料「情報セキュリティ10箇条」ポスター
動画研修には、スライド一式・理解度確認テスト・研修実施報告書テンプレート・社内掲示用ポスターも付属しており、研修担当者の負担軽減にも役立ちます。
料金やカリキュラムの詳細は、[情報セキュリティ研修サービス一覧] をご覧ください。
