ITの委託先に何を聞く？契約前にそろえるセキュリティの質問

認証マークの有無だけで終えず、自社が任せる仕事について聞く。

質問表の前に、任せる仕事を一行にする

NISTの中小企業向けガイドは、契約関係を結ぶ前に供給元や第三者のリスクを確認する観点を示しています。SONAEは、その入口として「何の仕事を任せ、何の情報を渡すか」を先に書く方法を提案します。公開サイトの制作、給与計算、社内端末の保守では必要な質問が異なります。長い質問表をそのまま送るより、自社に関係する判断を決めるための確認に絞ります。

情報と権限の扱いを聞く

閲覧できる担当、作業に使うアカウント、再委託の有無、データの受け渡しと保存の扱いを確認します。架空のWeb保守契約なら、管理者権限が必要な作業と、通常の更新作業を分けて説明してもらいます。パスワードをメール本文で共有する前提で進めず、安全な受け渡しや個別のアカウントを使えるかを相談します。質問の回答は口頭だけでなく、参照できる形で残してください。

事故と変更の連絡を具体的にする

委託先で問題が起きたとき、どの窓口へ、どのような情報を伝えてもらうかを話し合います。対応時間や報告条件は契約で確認する事項です。この記事のひな型から、一律の時間や法的義務を決めることはできません。担当者変更、再委託先変更、利用サービスの追加など、普段の変更を知らせる条件も確認します。

解約するときの返却と削除を聞く

契約終了時に業務データを受け取れる形式、アクセスを終了する作業、保存済みデータやバックアップの扱いを確認します。削除できないものがあるなら、理由と保存期間を確認事項に残します。新しい事業者へ移行する際の協力範囲と費用も、終了してからではなく契約前に聞いておくと判断しやすくなります。

未回答を、承認する人に見せる

すべての質問に希望どおりの回答が返るとは限りません。業務への影響、未確認事項、代替案をまとめ、契約を判断する人へ渡します。認証や第三者評価は参考情報として、その対象や有効な範囲も確認します。完了の目安は、任せる仕事の責任分担と、残る不明点を含めて意思決定したことです。回答の多さを安全性の点数として扱わないようにしましょう。

回答がそろわないときの、比較表の例

架空の候補Aは権限と窓口を説明できたものの、契約終了後の保存条件が未回答でした。候補Bは保存条件を示しましたが、移行作業は別料金でした。この二つを単純な合格・不合格にせず、自社が渡す情報と移行の必要性に照らして比較します。表には質問、回答、根拠資料、未確認の点、追加確認の担当を設けます。「対応しています」という返答には、対象のサービスと契約に含まれる範囲を追加で確認します。必要な条件を満たせない場合は、渡す情報を減らす案や別の事業者を選ぶ案を承認者へ示します。契約に関する判断は必要な専門担当と相談し、記事の質問表を満たしたことだけで契約の適切さを保証しないようにします。

相談前の確認表

• 任せる仕事と渡す情報を特定した
• 作業権限と担当を確認した
• 事故・変更・終了時の扱いを聞いた
• 未回答を含めて承認者へ共有した

参考資料（確認日：2026年10月23日）：NIST SP 1300：Small Business Quick-Start Guide ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。