情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問38

外部委託の監査権限【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 契約形態を確認する（請負か派遣か）。
   • 請負：成果責任。受託側の要員は委託側の指揮命令下にない。
   • 派遣：労働者の指揮命令が派遣先にある。
2. 監査対象の範囲を考える（誰がどのシステムにアクセスするか、物理的・論理的アクセス）。
3. 契約に盛り込むべき条項を列挙する（監査権、ログ提供、機密保持、再委託の制限など）。
4. 各選択肢を「契約上・現場運用上の妥当性」で比較する。
   • 指揮命令の有無を根拠に誤りを見つける。
   • 監査の主体・範囲の責任分担を確認する。

選択肢別の誤答解説

• ア（正解）
  受託側要員が委託側のシステムにアクセスする場合、委託側はアクセス管理の妥当性を確認する必要があります。契約に「監査権」を入れておけば、委託側はログの確認や現地監査が可能になります。
• イ（誤り）
  請負契約では、受託側要員は受託者の指揮命令下にあります。委託側の責任者が直接指揮命令を行うことは契約形態の実態と矛盾します。もし委託側が日常的に指揮するなら、それは「派遣」や「雇用」に近い関係になり、契約形態自体の見直しが必要です。
• ウ（誤り）
  品質管理状況をまったく委託側が監査しないのは不適切です。委託側は受託成果を受け入れる立場であり、受託側が実施した品質管理の確認（受入テスト、監査、成果物チェック）は委託側の責務です。受託側の自己監査に加え委託側監査や第三者監査を利用するのが一般的です。
• エ（誤り）
  監査結果で「自社開発に切り替えるよう勧告する」ことは、改善の一案としてはありえますが、監査の一般的役割は問題点の指摘と是正勧告です。コストや工数、ノウハウの観点で外部委託が合理的な場合も多く、安易に「自社開発へ切替え」を一律の勧告とするのは現実的でありません。監査は現状評価と改善策提示が主で、経営判断に踏み込みすぎないことが原則です。

よくある誤解

• 請負＝委託先の行動に一切責任がない：請負でも委託側は成果受入や安全確保のため監査権や要件定義、検収を行う責任があります。
• 監査権を契約に入れればすべて自由に調査できる：委託先の営業秘密や個人情報に配慮し、監査方法（非公開情報の扱い、立会い、事前通知など）を契約で調整する必要があります。
• 監査は年1回のチェックだけで十分：業務の重要度やリスクによって頻度を決めます。高機密なら定期的・事後調査・ログ監視の組合せが必要です。

補足コラム

• 監査権（範囲、頻度、事前通知の有無）
• ログの保存期間・提供方法
• 物理アクセス管理（受託側の作業場所での端末管理）
• 再委託の可否と再委託先の管理方法
• インシデント（事故）発生時の報告・対応義務
• 機密保持（NDA）と人的セキュリティ（身元確認・教育）
  職場運用の例：外部委託先がシステムにアクセスする場合、契約で週次のアクセスログ提供と四半期ごとの現地監査を明記。監査は委託側の情報セキュリティ担当が実施し、重大な違反は改善計画を提出させる。改善がされない場合は契約解除条項を発動する。

FAQ