委託先管理（外部委託）とは？
委託先管理（外部委託）とは、開発や運用、データ処理を社外へ任せる際に、委託先の選定、契約での要求事項の明示、作業中の監督、終了時の返却や消去確認までを管理すること。個人情報を扱わせる場合、委託元には必要かつ適切な監督義務があり、責任は免れない点が問われる。
情報セキュリティマネジメント試験の過去問では2回出題されています（2017年度〜2018年度）。
いたくさきかんり
委託先管理（外部委託）の意味
開発や運用、データ処理を社外へ任せる際に、委託先の選定、契約での要求事項の明示、作業中の監督、終了時の返却や消去確認までを管理すること。個人情報を扱わせる場合、委託元には必要かつ適切な監督義務があり、責任は免れない点が問われる。
委託先管理（外部委託）の具体例
名簿の入力作業を外部業者へ委託する際、秘密保持契約に加えて、作業場所の限定、作業者名簿の提出、作業端末からの持ち出し禁止を契約書に明記した。作業完了後はデータの消去証明書を受け取り、年1回は現地確認を行う取り決めとした。
委託先管理（外部委託）は試験でどう引っ掛けられる？
「委託したので責任も移る」は誤り。委託元の監督責任は残り、事故時は委託元が説明を求められる。また再委託を無条件に認めると管理の目が届かなくなるため、事前承認の条項が要る。
委託先管理（外部委託）と関連する用語
委託先管理（外部委託）が出た過去問
外部委託管理の監査に関する記述のうち，最も適切なものはどれか。
正解：請負契約においては，委託側の事務所で作業を行っている受託側要員のシステムへのアクセスについて，アクセス管理が妥当かどうかを，委託側が監査できるように定める。
要点：外部委託は契約で委託側の監査権を確保しておく
外部委託では、委託先の要員が委託側の情報資産にアクセスすることが多いため、アクセス権の付与・変更・削除が妥当に管理されているかを委託側が確かめられる状態にしておく必要がある。契約時に監査権（アクセス権や作業状況を委託側が監査できること）を定めておくのが適切な対応である。なお請負契約では委託側が受託側要員を直接指揮命令できず、それを行えば偽装請負となる。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問38（IPA）A社は、情報システムの運用をB社に委託している。当該情報システムで発生した情報セキュリティインシデントについての対応のうち、適切なものはどれか。
正解：情報セキュリティインシデントの発生をA社及びB社の関係者に迅速に連絡するために、あらかじめ定めた連絡経路に従ってB社から連絡した。
要点：委託しても責任は委託元、手順と連絡経路を事前に定める
運用を外部委託していても、情報セキュリティの最終的な責任は委託元にある。したがって、緊急時の手続や連絡経路をあらかじめ契約やSLAで定め、その定めに従って迅速に情報共有することが適切な対応となる。契約継続の可否や再発防止策の決定といった経営判断を委託先に委ねてはならない。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問8（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。