自治体の業務システム保守の契約書を、頭から読み進めていました。「作業者の所属及び作業場所」「定期報告」の条項で、手が止まります。自宅で作業する自分は、ここに何を書けばよいのでしょうか。自治体の情報セキュリティポリシーを手がかりに考えると、契約の条項は、ガイドラインが委託先に求める項目と並べて読めます。

1. 自治体の情報セキュリティポリシーを確かめる理由

契約書のセキュリティ条項が指すもの

自治体の案件の契約書にセキュリティの条項が並んでいても、フリーランスエンジニアにとっては、何を約束するのかが見えにくいものです。

手がかりになる資料が、総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」です。令和7年3月版が公表されています¹。自治体が情報セキュリティの方針や対策を定めるときの手引きで、外部委託についても記載があります。

再委託で入る場合の関わり方

委託元の事業者から再委託を受けて参画する場合も、無関係ではありません。ガイドラインは、開発・保守等を発注するときは再委託事業者も含めて説明を行うと書いているためです¹。詳しい中身は次の節で順に見ていきます。

Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です²。自宅で作業する前提の読者ほど、契約の作業場所の条項は自分の働き方に直結します。次の節では、ガイドラインが委託の全体をどう位置づけているかを見ます。

2. ガイドラインと外部委託の位置づけ

発注側が行う説明の範囲

ガイドラインによると、ネットワークや情報システムの開発・保守等を事業者に発注する場合、再委託事業者も含めて、委託事業者が守るべき内容の遵守とその機密事項を説明しなければなりません¹。説明する主体は発注する側で、対象は委託事業者と再委託事業者の両方です。

たとえば、自治体から事業者Aが受託し、Aから自分が再委託を受ける形を考えます。この場合、守るべき内容と機密事項の説明は、自分が属する再委託の段まで及ぶ対象です。

出典：総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」（令和7年3月版）をもとに作成

契約に要件を明記する場面

説明とは別に、ガイドラインは契約の面にも触れています。重要な情報資産を取り扱う業務を委託する場合は、必要に応じて情報セキュリティ等に係る要件を明記した契約を締結する、という書き方です¹。

ここでの条件は「重要な情報資産を取り扱う業務」で、書き方も「必要に応じて」です。すべての委託契約に同じ項目が並ぶとは、この資料からは言えません。

では、その契約には具体的にどんな項目が書かれるのでしょうか。

3. 契約に明記する項目

作業者と作業場所、アクセス範囲

冒頭で手が止まった条項から見ます。ガイドラインは契約に明記する要件として、委託事業者の責任者、委託内容、作業者の所属、作業場所の特定を挙げています¹。作業者がどこの所属で、どこで作業するのかを、契約の段階で特定しておく項目です。

もう一つが、アクセスの範囲です。委託事業者にアクセスを許可する情報の種類と範囲、アクセス方法を明確にすることが挙げられています¹。どの情報に、どの方法で触れてよいかが書かれていれば、作業中に迷う場面を減らせます。

守秘と再委託の制限

守秘義務は、業務上知り得た情報が対象です¹。契約を終えたあとの扱いは、この資料の範囲では書かれていないため、契約書の文言で確かめる箇所になります。

再委託については、制限事項の遵守が要件として挙げられています¹。委託元の事業者から再委託を受ける立場なら、制限の内容が自分の参画の仕方に当たるかどうかが論点です。さらに自分が別の人へ再委託する形があるなら、そこも制限の範囲に入るかを読みます。

契約項目と資料の書きぶり

ここで挙げた4項目を、資料の記載と並べて表にまとめました。右の列は、契約書を読むときにどこへ目を向ければよいかを示しています。

契約に明記する項目	資料の記載	契約書で見る箇所
作業者と作業場所	委託事業者の責任者、委託内容、作業者の所属、作業場所の特定1	作業者の所属、作業場所の条項
アクセスの範囲	アクセスを許可する情報の種類と範囲、アクセス方法の明確化1	扱う情報とアクセス方法の条項
守秘義務	業務上知り得た情報の守秘義務1	秘密保持の条項
再委託の制限	再委託に関する制限事項の遵守1	再委託の条項

契約には、これらに加えて終了時の扱いと報告の項目も入ります。次の節で見ます。

4. 終了時と報告の項目

返還・廃棄と報告の約束

ガイドラインが契約に明記する要件として挙げるものには、委託業務終了時の情報資産の返還、廃棄等があります¹。作業のために手元に置いた資料やデータを、終わったときにどうするかを決めておく項目です。

報告の面では、委託業務の定期報告及び緊急時報告義務が挙げられています¹。定期の報告と、何かが起きたときの報告は、別の約束です。契約書では、報告する頻度と、緊急時にどこへ連絡するかを分けて読みます。

重要情報を受け取るときの秘密保持契約

契約とは別に、秘密保持契約にも触れておきます。ガイドラインによると、委託事業者に重要情報を提供する場合は、秘密保持契約（NDA）を締結します¹。

重要情報を渡される案件なら、本契約のほかにNDAの書面が別に届くことがあります。どの情報がNDAの対象で、どの情報が契約本体の守秘義務の対象かを、書類ごとに確かめておくと、あとの混乱を避けられます。

出典：総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」（令和7年3月版）をもとに作成

契約を結んだあと、実施中に何を求められるのかは、次の節で見ていきます。

5. 委託の実施中に求められること

履行状況の定期的な報告

契約を結んだら終わり、ではありません。ガイドラインによると、業務委託の実施期間中、委託事業者には、契約に基づき実施する情報セキュリティ対策の履行状況の定期的な報告が求められます¹。

報告の対象は「履行状況」です。契約に書いた対策を実際に行っているかどうかを、決まった間隔で伝える形になります。契約書の定期報告の条項では、報告の頻度と、何を報告の中身にするかの2点を読みます。

この資料には、報告の頻度や書式の決まりは載っていません。月に一度なのか、四半期ごとなのかは、契約書か仕様書の記載で確かめる箇所です。

事故や目的外利用に気づいたとき

もう一つの場面が、何かが起きたときです。ガイドラインによると、委託した業務で情報セキュリティインシデントの発生や情報の目的外利用等を認知した場合、委託事業者には、委託事業の一時中断などの必要な措置を含む対処が求められます¹。

対処に含まれる措置の例として挙げられているのが、委託事業の一時中断です。気づいたあとの動きに、作業を止める判断が入りうる点は、契約の前に知っておく意味があります。一方で、連絡先や連絡の期限は、この資料の範囲では書かれていないため、契約書の緊急時報告の条項で確かめます。

実施中の約束と資料の書きぶり

契約に明記する報告の項目と、実施中に求められる2つの動きを並べました。右の列は、契約書で該当しそうな条項です。

場面	資料の記載	契約書で見る箇所
契約に明記する報告	委託業務の定期報告及び緊急時報告義務1	報告の頻度と緊急時の連絡の条項
実施期間中	情報セキュリティ対策の履行状況の定期的な報告1	定期報告の内容と提出先の条項
事故や目的外利用の認知	委託事業の一時中断などの必要な措置を含む対処1	緊急時報告と対処の条項

次の節では、終わるときに求められる検収と、運用・保守の委託での報告を取り上げます。

6. 終了時の検収と運用・保守の報告

検収の受検に含まれる報告

委託が終わるときにも、求められることがあります。ガイドラインによると、業務委託の終了に際して、委託事業者には、セキュリティ対策が適切に実施されたことの報告を含む検収の受検が求められます¹。

検収というと、納品物の出来を見てもらう場面を思い浮かべます。ガイドラインが書いているのは、そこにセキュリティ対策の報告が含まれる点です。成果物と一緒に、対策を実施した記録も出せる形にしておく必要があります。

終了時には、前に見た情報資産の返還、廃棄等も契約の項目に挙がっています¹。検収の時期と返還・廃棄の時期がどう並ぶのかは、契約書の日程で確かめます。

運用・保守の委託で変わること

開発ではなく、運用・保守を受ける案件では、もう一つの報告があります。ガイドラインによると、情報システムの運用・保守を業務委託する場合、対策による情報システムの変更内容について、委託事業者に速やかな報告が求められます¹。

対象は、対策によって情報システムに加えた変更です。設定の変更や修正を入れたら、その内容を速やかに伝える流れになります。「速やかに」の具体的な期限は、この資料からは分かりません。保守の手順書や契約書の報告の条項で、期限と報告先を確かめます。

出典：総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」（令和7年3月版）をもとに作成

では、これらを契約書の前でどの順に確かめればよいのでしょうか。

7. 契約書を受け取ったときに確かめる順番

5つの観点と契約書の箇所

契約書は、頭から全文を読む前に、確かめる観点を5つに絞って読み進めると迷いません。資料に挙がっていた項目のうち、働き方に直結する5つを選び、資料の記載と契約書で見る箇所を対応させました。

順	確かめること	資料の記載	契約書で見る箇所
1	作業者の所属と作業場所の書き方	作業者の所属、作業場所の特定1	作業者と作業場所の条項
2	アクセスしてよい情報の範囲	アクセスを許可する情報の種類と範囲、アクセス方法1	扱う情報の範囲の条項
3	再委託の制限に自分が当たるか	再委託に関する制限事項の遵守1	再委託の条項
4	定期報告と緊急時報告の段取り	委託業務の定期報告及び緊急時報告義務1	報告の頻度と連絡先の条項
5	終了時の検収と情報の返却・廃棄	報告を含む検収の受検1、情報資産の返還、廃棄等1	検収と終了時の扱いの条項

最初に作業者の所属と作業場所を置いたのは、冒頭で手が止まった条項だからです。自宅で作業する場合に、作業場所をどう書くかは、契約書の記載のしかたと発注側への確認で決まります。この資料は、書き方の例までは示していません。

2番目のアクセス範囲は、作業の最中に「この情報に触れてよいのか」と迷わないための確認です。3番目の再委託は、自分の参画の形が制限に当たるかを読みます。4番目と5番目は、約束した報告と、終わるときの扱いの段取りです。

図の作成：Remogu編集部。ガイドラインの記載を契約書で読む順に並べたもので、統計データではありません

契約書と並べて読む

冒頭で手が止まった条項に戻ります。「作業者の所属及び作業場所」と「定期報告」は、ガイドラインが契約に明記する要件として挙げる項目と重なっていました¹。契約の条項は、ガイドラインが委託先に求める項目と並べて読めます。

条項の意味が分からないまま署名する必要はありません。資料と並べれば、分からない箇所がどの項目に当たるのかが見えます。そのうえで、自治体ごとの運用や自分の案件への当てはめは、契約書と発注側への確認で決めます。

次の案件の契約書が届いたら、5つの観点を横に置いて読み比べてみましょう。リモートで参画できる案件を見ながら、登録して自分の条件に合う案件を確かめる一歩も、あわせて試してください。

8. よくある質問

再委託で入る自分にもポリシーの説明はありますか

ガイドラインは、ネットワークや情報システムの開発・保守等を事業者に発注する場合、再委託事業者も含めて、守るべき内容の遵守とその機密事項を説明しなければならないと書いています¹。再委託で入る場合も、説明の対象に含まれています。実際にいつ、どのような形で説明が行われるかは、この資料には書かれていません。契約書と、委託元の事業者への確認で確かめます。

契約が終わったら手元の資料はどうしますか

ガイドラインは、契約に明記する要件として、委託業務終了時の情報資産の返還、廃棄等を挙げています¹。また、終了に際して、セキュリティ対策が適切に実施されたことの報告を含む検収の受検が求められます¹。何を返し、何を廃棄するのかは契約書の条項で決まるため、手元の資料は自己判断で消さず、条項と照らして対応します。

作業中に事故に気づいたらどうしますか

契約に明記する要件には、緊急時報告義務が挙げられています¹。また、情報セキュリティインシデントの発生や情報の目的外利用等を認知した場合、委託事業者には、委託事業の一時中断などの必要な措置を含む対処が求められます¹。連絡先や期限は契約書の緊急時報告の条項で確かめ、参画前に、どこへ連絡するのかを決めておきます。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」（2025年3月・2026年10月確認）
＊2 Remogu（株式会社LASSIC運営）公開情報：扱う案件の90%以上がフルリモート可能