BPOセキュリティとは？委託先監督・契約条項・選定基準を解説

お役立ち記事

Share

Check!

  • BPOセキュリティの意味と、委託元に求められる委託先監督の基本がわかる
  • 委託先選定で確認すべき4つのポイントと、認証の正しい見方がわかる
  • セキュリティ対策を契約条項に落とし込み、委託後も継続して確認する方法がわかる

給与計算、経理、コールセンター、データ入力など、業務をまるごと外部に任せるBPO(ビジネス・プロセス・アウトソーシング)を使う企業は増えています。一方で、委託した業務には顧客や従業員の個人情報、取引先との機密情報が含まれることが多く、委託先で情報漏えいが起きれば、委託した側の企業も責任を問われます。「認証を持っている会社なら安心」「秘密保持契約を結んだから大丈夫」と考えてしまいがちですが、個人情報保護法は委託元に対して委託先を監督する義務を定めており、任せきりにはできません。この記事では、BPOセキュリティの基本となる委託先監督の考え方を、委託先の選定、契約条項、委託後のモニタリング、契約終了時の扱いまで順に整理します。あわせて、委託する業務のリスクの大きさに応じて監督の強さを変える考え方や、よくある失敗パターンも解説します。

BPOセキュリティで気になることを診断

Q1. 委託先のセキュリティ管理で、いちばん不安なのはどれですか？

おすすめ記事

目次

開く

閉じる
  1. 委託先とのセキュリティ条項管理に役立つ契約書管理システムの比較
  2. BPOセキュリティとは｜委託先監督の基本
  3. 委託先選定時に確認すべき4つのポイント
  4. 個人情報保護委員会が示す委託元の監督責任
  5. セキュリティ対策を契約に落とし込む方法
  6. BPOセキュリティでよくある失敗パターン
  7. 委託先監督の効果をどう確認するか
  8. よくある質問(FAQ)
  9. まとめ
  10. 参考文献

委託先とのセキュリティ条項管理に役立つ契約書管理システムの比較

BPOセキュリティの要は、委託先と取り決めた安全管理の内容を契約書に明記し、その内容どおりに運用されているかを確かめ続けることです。個人情報保護委員会の資料でも、委託先の選定、委託契約の締結、委託先での取扱状況の把握の3点が委託元の留意事項として示されています。ところが実務では、委託先が増えるほど「どの委託先と、どんなセキュリティ条項で契約しているのか」「再委託を認めている先はどこか」「契約の更新日はいつか」が担当者の記憶やファイルサーバーの奥に埋もれがちです。

そこで役立つのが契約書管理システムです。契約書を一か所に集めて検索できるようにし、更新期限の通知や閲覧権限の管理を行えるため、委託先ごとの条項を確認したうえで監査や見直しに臨めます。中小企業向けの比較記事で紹介されている主なサービスを整理しました。

サービス名(運営会社) 強み 留意点
Hubble(株式会社Hubble) 3つの画面で構成されたシンプルな操作性、他ツールとの連携、サポート体制 規模に応じてプラン・料金が異なるため、利用人数を想定して確認が必要
マネーフォワード クラウド契約(株式会社マネーフォワード) 紙と電子の契約書を一元管理でき、契約書の送信料・保管料がかからない 同社の他サービスとの併用を前提にするかどうかで使い勝手が変わる
Contract One(Sansan株式会社) AIを活用して契約書をデータベース化し、全社で契約情報を活用しやすい 導入時に業務フローの見直しが必要になる場合がある
OPTiM Contract(株式会社オプティム) スキャン済みの紙の契約書も保管でき、機能が豊富 スタータープランは月のアップロード件数に上限がある

どのサービスにも得意・不得意があり、委託先の数や紙の契約書の多さ、社内で契約書を見る人の範囲によって向き不向きが変わります。各サービスの詳しい特徴や選び方は、比較記事で確認できます。

BPOセキュリティとは｜委託先監督の基本

BPOセキュリティとは、業務を外部に委託する際に、委託先で扱われる個人情報や機密情報が漏えい・改ざん・紛失しないよう、委託元と委託先の双方で講じる対策のことです。対策の主体は委託先だけではありません。委託元が委託先を選び、契約で安全管理のルールを決め、運用状況を確かめるという一連の監督が含まれます。

BPOで起こりやすい3つのリスク

BPOで想定される情報漏えいのリスクは、大きく3つに分けられます。1つ目は、委託先のシステムが不正アクセスやランサムウェアなどのサイバー攻撃を受けるリスクです。近年は、守りの固い大企業を直接狙うのではなく、取引先や委託先を経由して侵入するサプライチェーン攻撃が注目されています。2つ目は、メールの誤送信や書類の置き忘れ、設定ミスといったヒューマンエラーです。大量の定型業務を扱うBPOでは、一度のミスで影響が広がりやすい点に注意が必要です。3つ目は、委託先の従業員による不正な持ち出しです。件数は多くなくても、権限のある人が意図的に持ち出すと被害が大きくなりやすい傾向があります。

主な認証・報告書の違い

委託先の体制を外から確かめる手がかりとして、第三者による認証や報告書があります。ただし、それぞれ対象や意味が異なるため、違いを理解したうえで確認することが大切です。

名称 対象 確認するときのポイント
プライバシーマーク 個人情報の取扱い体制(事業者単位で付与) 個人情報の保護に特化した制度。有効期間内か、更新が続いているかを確認する
ISMS認証(ISO/IEC 27001) 情報セキュリティマネジメントの仕組み全般 組織の一部だけを対象に取得できるため、委託する業務の拠点・部門が認証範囲に入っているかを確認する
ISMSクラウドセキュリティ認証(ISO/IEC 27017) クラウドサービスの提供・利用に関する管理策 委託先がクラウド上で業務を行う場合に追加で確認すると役立つ
SOC2報告書 受託業務に関する内部統制を監査人が評価した報告書 認証ではなく報告書。対象期間や指摘事項の有無まで読み、外資系や大手の委託先で提出を求めることが多い

これらはいずれも「一定の仕組みがある」ことを示すもので、個々の業務で事故が起きないことを保証するものではありません。認証の有無は選定の入口と考え、委託する業務そのものの運用をあわせて確認する姿勢が欠かせません。

委託先選定時に確認すべき4つのポイント

委託先を選ぶ段階で確認すべきことは多岐にわたりますが、整理すると次の4つに集約できます。事前にチェックシートとしてまとめ、複数の候補に同じ質問を投げて比べると判断しやすくなります。

1. 組織としての方針と体制

情報セキュリティ基本方針や個人情報保護方針が定められているか、責任者が明確か、従業員への教育が定期的に行われているかを確認します。前述の認証を取得している場合は、認証の範囲と有効期限も確かめます。方針が文書になっていても形だけになっていないかを見るには、直近の教育実施記録や内部監査の頻度を聞くのが効果的です。

2. 物理的なセキュリティ

作業場所への入退室管理、監視カメラの設置、私物のスマートフォンや記録媒体の持ち込み制限、書類の保管・廃棄の方法などを確認します。紙の書類を扱う業務や、コールセンターのように多くの人が同じ空間で作業する業務では特に重要です。可能であれば作業場所の見学を申し込み、説明と実際の様子が一致しているかを自分の目で確かめましょう。在宅勤務で業務を行う場合は、自宅での作業ルールがどう定められているかも確認します。

3. 技術的なセキュリティ

データの受け渡し方法(暗号化の有無、専用のファイル転送の仕組みを使うか)、業務システムへのアクセス制御、多要素認証の導入、操作ログの取得と保存期間、ウイルス対策や脆弱性への対応方針を確認します。委託元のデータを他社のデータと同じ環境で扱うのか、分離された環境で扱うのかも重要な確認点です。過去には、委託先のネットワーク分離が不十分だったことで被害が広がった事例も報じられています。

4. 事故発生時の対応力と再委託の管理

情報漏えいなどの事故が起きたときに、誰が、どのくらいの時間で委託元に報告するのか、原因調査や復旧の手順が決まっているかを確認します。あわせて、業務の一部をさらに別の会社に任せる再委託の有無と、その管理方法も確かめます。再委託先の管理が甘いと、委託先自体がしっかりしていても事故の入り口になりかねません。バックアップや災害時の事業継続の備えも、業務が止まるリスクを避けるうえで確認しておきたい項目です。

確認の観点 候補に聞く質問の例
方針と体制 認証の範囲に今回の業務を行う拠点は含まれますか。従業員教育は年に何回行っていますか。
物理的対策 作業エリアへの私物の持ち込みはどう制限していますか。書類はどの方法で廃棄しますか。
技術的対策 当社のデータは他社と分離された環境で扱いますか。操作ログはどのくらいの期間保存しますか。
事故対応と再委託 事故発生から当社への第一報までの目安時間は決まっていますか。再委託先はどこで、どう管理していますか。

個人情報保護委員会が示す委託元の監督責任

BPOセキュリティを考えるうえで土台になるのが、個人情報の保護に関する法律(個人情報保護法)です。同法第25条は、個人データの取扱いの全部または一部を委託する場合、委託元は委託先に対して「必要かつ適切な監督」を行わなければならないと定めています。つまり、委託先で事故が起きたとき、委託元が監督を怠っていれば委託元の責任も問われ得るということです。

ガイドラインが示す3つの措置

個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン(通則編)」では、必要かつ適切な監督の内容として、次の3つが示されています。

  1. 適切な委託先の選定：委託先の安全管理措置が、委託元自身に求められる水準と同等であることを事前に確認する。
  2. 委託契約の締結：安全管理措置の内容に加え、委託先での個人データの取扱状況を委託元が把握できる内容を契約に盛り込む。
  3. 委託先における個人データ取扱状況の把握：定期的な監査などで、契約内容が守られているかを確認し、必要に応じて見直す。

また、委託先が再委託を行う場合は、委託元が事前に報告を受けるか承認を行い、再委託先についても委託先を通じて、または必要に応じて自ら監督することが求められています。委員会がウェブサイト運営の委託事業者向けに作成した資料でも、不正アクセスへの対策を「委託先に任せっきりにせず委託元の事業者も取り組む必要がある」と注意が促されています。さらに同資料では、一般的な業務委託契約にはセキュリティの項目が含まれていないことが多いため、確認のうえで対策を盛り込む必要があると指摘されています。

漏えいが起きたときの報告義務

個人情報保護法第26条では、一定の要件に当たる個人データの漏えいなどが発生した場合に、個人情報保護委員会への報告と本人への通知が義務付けられています。委託先で事故が起きた場合、原則として委託元と委託先の双方が報告義務を負うとされていますが、委託先が委託元に通知したときは委託先の報告義務が免除される扱いがあります。いずれにしても、委託元が事故を早く知らなければ期限内の報告は難しくなります。委託先から委託元への報告期限や報告内容を契約で決めておくことが、法令対応の面でも重要になります。

なお、本記事は一般的な情報提供を目的としたもので、個別の事案についての法的助言ではありません。具体的な契約内容や事故対応の判断にあたっては、個人情報保護委員会の最新のガイドラインを確認し、必要に応じて弁護士などの専門家に相談してください。

セキュリティ対策を契約に落とし込む方法

選定時にどれだけ丁寧に確認しても、その内容が契約書に書かれていなければ、委託先に守ってもらう根拠になりません。秘密保持契約(NDA)だけでは、情報を漏らさない義務は定められても、具体的な管理方法や監査の権利、事故時の対応までは決まっていないことが多くあります。業務委託契約や別紙の覚書で、次のような条項を明記しておくと安心です。

条項 定めておく内容の例
安全管理措置 アクセス制御、暗号化、作業場所の管理など、選定時に確認した対策を守る義務
目的外利用の禁止 委託業務以外の目的でデータを使わないこと、複製の制限
再委託 再委託は委託元の事前承認を必要とすること、再委託先にも同等の義務を課すこと
監査・報告 委託元が監査や立ち入り確認、資料提出を求められること、定期報告の頻度
事故時の対応 事故発覚から委託元への報告期限、報告内容、調査・再発防止への協力義務
契約終了時の扱い データの返却または消去の方法、消去したことを示す証明書の提出
損害賠償・責任分担 事故が起きた場合の費用負担や責任の範囲

委託する業務のリスクに応じて条項の強さを変える

すべての委託先に同じ厳しさの条項を求めると、小規模な委託先との交渉が進まなかったり、管理する側の負担が大きくなりすぎたりします。そこで、委託する業務で扱う情報の重要度と量に応じて、委託先をいくつかの段階に分ける考え方が有効です。たとえば、マイナンバーや健康情報、大量の顧客情報を扱う給与計算やコールセンターは「高」として立ち入り監査の権利や短い報告期限を求め、社名や担当者名程度しか扱わない業務は「低」として書面での自己点検報告にとどめる、といった具合です。

リスク区分 業務の例 監督の目安
高 給与計算、コールセンター、個人情報を含むデータ入力 立ち入りを含む定期監査、短い事故報告期限、再委託の原則禁止
中 経理の記帳代行、社内システムの保守 年1回のチェックシート回答と証跡の提出、再委託は事前承認制
低 個人情報をほとんど含まない資料作成や調査 契約時の確認と更新時の自己点検報告

こうした区分ごとに条項のひな形を用意しておくと、契約交渉のたびに一から考えずに済みます。ただし、ひな形を作っても、どの委託先とどの区分の条項で契約したのかを後から追えなければ、監査の場面で役に立ちません。締結した契約書を委託先・区分・更新日で検索できる状態に保つには、契約書管理システムで一元管理するのが現実的な方法です。

BPOセキュリティでよくある失敗パターン

BPOセキュリティの失敗は、委託先の悪意よりも、委託元の思い込みや確認不足から生まれることが少なくありません。よく見られるパターンと、その対策を整理しました。

失敗パターン 起こりやすい問題 対策
認証があるだけで安心してしまう 委託した業務の拠点が認証範囲外で、実際の運用が確認されていなかった 認証範囲を確認し、業務単位の運用をチェックシートや見学で確かめる
NDAだけで契約を済ませる 監査の権利や事故時の報告期限がなく、事故発覚が遅れた 安全管理措置、監査、事故対応、契約終了時の扱いを業務委託契約に明記する
再委託を把握していない 知らない会社にデータが渡っており、そこから漏えいした 再委託は事前承認制にし、再委託先の一覧を定期的に提出してもらう
契約したら見直さない 数年前の条項のまま、新しいクラウドサービスの利用や在宅勤務がルール外で行われていた 更新時期を管理し、業務内容の変化にあわせて条項を見直す
契約終了時のデータを放置する 取引終了後も委託先にデータが残り、後から漏えいした 返却・消去の方法を契約で決め、消去証明書を受け取って保管する
委託元側の受け渡しが甘い 自社からの送付時に暗号化せずメールで送ってしまった 受け渡し方法を双方で決め、委託元の社内ルールにも反映する

特に見落とされやすいのが、契約終了時と委託元側の受け渡しです。BPOセキュリティというと委託先の対策ばかりに目が向きがちですが、データを送る側の自社の運用や、取引が終わった後のデータの行方も、監督の範囲に含めて考える必要があります。

委託先監督の効果をどう確認するか

監督の仕組みを作っても、実際に機能しているかを確かめなければ形だけになってしまいます。委託後の確認は、年間の計画として次のような流れで進めると無理なく続けられます。

  1. 委託先の一覧を作る：委託先ごとに、扱う情報、リスク区分、契約書の保管場所、更新日、再委託の有無をまとめる。
  2. 定期報告を受け取る：リスク区分に応じて、チェックシートの回答、教育の実施記録、事故やヒヤリハットの件数などを提出してもらう。
  3. 監査を行う：リスクの高い委託先には書面だけでなく、立ち入りやオンラインでの確認を行い、契約条項どおりに運用されているかを確かめる。
  4. 結果を記録し改善を求める：指摘事項と改善の期限を記録し、次回の監査で改善状況を確認する。
  5. 契約更新時に見直す：監査結果や業務内容の変化を踏まえ、条項の追加や委託先の変更を検討する。

効果を測るための指標としては、定期報告の提出率、監査での指摘件数とその改善率、事故報告から委託元が把握するまでの時間、契約更新時に条項を見直した委託先の割合などが考えられます。数字で追うことで、どの委託先に手厚い監督が必要か、社内のどの手順が抜けているかが見えやすくなります。

この確認作業で毎回必要になるのが、委託先ごとの契約書です。「この委託先とは監査の権利を定めていたか」「報告期限は何時間と決めていたか」をその場で確認できなければ、監査の質は上がりません。更新日の通知や条項の検索ができる仕組みを整えておくと、定期的な見直しの漏れも防ぎやすくなります。

よくある質問(FAQ)

Q. BPOセキュリティとは何ですか？

A. 業務を外部に委託する際に、委託先で扱われる個人情報や機密情報を漏えいや紛失から守るための対策です。委託先の対策だけでなく、委託元が委託先を選び、契約でルールを決め、運用状況を確認する監督も含まれます。

Q. プライバシーマークやISMS認証があれば委託先は安心ですか？

A. 認証は一定の管理の仕組みがあることを示す目安になりますが、事故が起きないことを保証するものではありません。特にISMS認証は組織の一部だけで取得できるため、委託する業務の拠点が認証範囲に含まれているかを確認し、業務ごとの運用もあわせて確かめることが大切です。

Q. 委託元にはどのような法的義務がありますか？

A. 個人情報保護法第25条により、個人データの取扱いを委託する場合、委託先に対して必要かつ適切な監督を行う義務があります。個人情報保護委員会のガイドラインでは、適切な委託先の選定、委託契約の締結、委託先での取扱状況の把握が具体的な内容として示されています。

Q. 秘密保持契約(NDA)だけでは不十分ですか？

A. NDAは情報を漏らさない義務を定めるものですが、具体的な管理方法、監査の権利、再委託の条件、事故時の報告期限、契約終了時のデータ消去などは含まれていないことが多くあります。業務委託契約や覚書でこれらを明記しておくことをおすすめします。

Q. 委託先が再委託する場合はどうすればよいですか？

A. 再委託は委託元の事前承認を必要とする条項を設け、再委託先にも委託先と同等の安全管理を求めることが一般的です。ガイドラインでも、再委託先について委託先と同様の監督が必要とされているため、再委託先の一覧や管理状況を定期的に報告してもらうとよいでしょう。

Q. 委託先との契約書はどのように管理すればよいですか？

A. 委託先ごとに、扱う情報、リスク区分、主なセキュリティ条項、更新日をすぐに確認できる状態にしておくことが重要です。委託先が多い場合は、検索や更新期限の通知、閲覧権限の管理ができる契約書管理システムを使うと、監査や定期的な見直しを効率よく進められます。

まとめ

BPOセキュリティは、委託先の対策を確認して終わりではなく、選定、契約、継続的な確認、契約終了までを通した委託元の監督によって成り立ちます。最後に、押さえておきたいポイントを整理します。

  1. BPOのリスクはサイバー攻撃、ヒューマンエラー、内部不正の3つ。委託元にも個人情報保護法上の監督義務がある。
  2. 認証は選定の入口と考え、認証範囲と業務ごとの運用を、方針・物理・技術・事故対応と再委託の4つの観点で確認する。
  3. 安全管理措置、再委託、監査、事故時の報告期限、契約終了時のデータ消去を契約に明記し、業務のリスクに応じて条項の強さを変える。
  4. 委託先一覧、定期報告、監査、改善、更新時の見直しを年間計画で回し、提出率や指摘の改善率などで効果を確かめる。
  5. 委託先ごとの契約書と条項を、契約書管理システムなどで検索・更新管理できる状態に保ち、監督の土台にする。

参考文献

この記事に興味を持った方におすすめ

同じカテゴリの記事を探す

同じタグの記事を探す

同じタグの記事はありません

掲載希望の方はこちら
top