ISMS認証を取っている企業との業務委託で、参画前の打ち合わせの終わりに「当社はISMS認証を取っているので、委託先の方にもお願いがあります」と切り出されました。個人では認証を持っていないと身構えたところ、示されたのは秘密保持の取り決めと、事故が起きたときの連絡先と手順を決める書面でした。ISMSの業務委託で問われるのは、認証の有無より、取り決めの中身です。この記事では、認証を取っている企業と組むときに委託先として何を求められやすいかを、公的資料で言えることと書き手の見立てを分けて整理します。

1. ISMS認証の企業が委託先に取り決めを求める理由

委託元の管理の外にいる委託先

ISMSは、組織が情報の管理を仕組みとして回すための枠組みです。認証を取る単位は組織で、個人のフリーランスが認証を持っていないのは普通のことだと、書き手は見ています。これは公的資料から引いた事実ではなく、一般的な理解にもとづく見立てです。

そのため、委託元の管理の仕組みは、委託元の組織の内側までしか届きません。業務委託で参画するフリーランスの作業端末や作業場所は、委託元の管理の外にあります。外にいる人に管理の仕組みをそのまま当てはめることはできないので、委託元は取り決めでつなぐ形を取りやすい、と考えられます。

つなぐ内容は、秘密保持と、事故が起きたときの対処の2つに集まりやすいでしょう。冒頭の書面が、この2つだったのは偶然ではありません。ただし、個々の委託元が実際に何を求めるかは、案件ごとにクライアントと協議して決まる部分です。

図の作成：Remogu編集部。委託元と委託先の関係を整理したもので、統計データではありません

漏えい等報告で見る委託元と委託先の関係

個人情報保護委員会が公表した令和8年度第1四半期の資料では、委員会が処理した個人情報の漏えい等報告は6,101件でした¹。数えているのは委員会が処理した報告の件数で、事案の数や漏えいした人数ではありません。委託先が原因の件数も、この資料には載っていません。

同じ資料には、個人データの取扱いを委託している場合の注記があります。漏えい等の報告は原則として委託元と委託先の双方が義務を負うため、同じ事象を両方が報告している場合がある、という内容です¹。これは個人情報保護法にもとづく報告の話で、ISMSの要求事項とは別の枠組みです。

つまり、個人データに触れる業務では、事故の連絡が委託元だけの仕事にはなりません。委託先の側にも、報告をめぐる役割が生じる場合があります。個人データを預からない業務には当てはまらない場合もあるので、自分の案件が何を扱うかを先に確かめます。法律上の委託先の監督は、個人情報保護法でフリーランスが求められることで整理しています。

では、公的な基準は、委託先の選び方をどう考えているのでしょうか。次の節で、政府機関の基準を見ます。

2. 政府機関の基準に見る委託先の選び方

業務委託の前に行う事項

サイバーセキュリティ戦略本部の統一基準（令和7年度版・2026年9月14日一部改定）は、政府機関等が業務委託の実施までに行う事項を挙げています。委託先の選定条件を含む仕様の策定と、要機密情報を提供する場合の秘密保持契約（NDA）の締結です²。

注意したいのは、これが政府機関等の側の遵守事項だという点です。民間のISMS認証企業が負う義務ではありません。民間の委託元が同じ手順で委託先を選ぶとは、資料からは言えません。ただ、委託の前に条件を決め、秘密保持を契約で結ぶという順番は、民間の委託元の考え方を知る参考になる、と書き手は見ています。

NDAの条文や再委託の範囲そのものは、案件の秘密保持はどこまで負うのかで扱っています。この記事では条文には踏み込まず、NDAが委託前の取り決めの1つに数えられていることだけを押さえます。

段階ごとの政府機関等の対応

内閣官房国家サイバー統括室のガイドライン（令和7年度版・2026年6月一部改定）は、統一基準にもとづいて政府機関等が対策基準を作るための解説です。委託先の評価方法の例や、制度の活用にも触れています。統一基準とガイドラインは別の文書で、扱う範囲が違います。下の表は、委託の前後で政府機関等が行うことを並べています。

段階	政府機関等が行うこと	強さ・位置づけ
委託の実施まで	委託先の選定条件を含む仕様を策定する。要機密情報を渡す場合はNDAを締結する2	統一基準が挙げる事項
委託先の評価	評価方法の例として、ISO/IEC 27001等の国際規格と認証制度の活用が挙げられている3	例示であり、認証は必須とされていない
今後	SCS評価制度が運用開始された際は、選定基準への活用も考えられる3	ガイドライン公表時点では構築中

SCS評価制度は、国家サイバー統括室と経済産業省が構築中のサプライチェーン強化に向けたセキュリティ対策評価制度です。ガイドラインは、2026年3月に制度構築方針が公表されていると注記しています³。制度の中身や開始時期は、この記事では扱いません。

評価方法の例としてISO/IEC 27001等が挙がっているのは、あくまで例示です³。認証だけが評価の手段として示されているわけではありません。認証がないと受けられない、という読み方は資料から出てきません。

3. 委託先に求められやすい取り決め

認証の取得を求める考え方

ガイドラインは、委託先の選定条件に関する解説で、情報セキュリティ管理全般についてISO/IEC 27001等の取得を委託先に要求することも考えられる、としています³。強さは「考えられる」で、取得の要求が標準だとは書かれていません。

そのため、認証の企業の側から取得を求められる場面は、ありえます。ただし、それは選定条件の一つの形にとどまります。求められたときに「持っていないから受けられない」と考える前に、何を確かめたい条件なのかを、クライアントと協議して確かめるほうが話は進みます。

認証の取得を求めない案件でも、確かめたいことがなくなるわけではありません。管理の仕組みが認証で示されていない分、取り決めの中身で確かめる形になります。次に見るインシデント対処の事前合意が、その代表です。

インシデント対処の事前合意

ガイドラインは、委託先で起きた情報セキュリティインシデントへの対処方法を、委託先の選定条件として仕様に含め、委託先と事前に合意する必要があるとしています³。対処方法の中身として挙がっているのは、対処手順、責任分界、対処体制等です。

図の作成：Remogu編集部。資料が挙げる対処手順・責任分界・対処体制等を整理したもので、統計データではありません

この3つを事前に決めていないと、事故が起きたときに誰へ連絡し、誰が何をするかが分からないまま動くことになります。連絡がつかない、役割が重なる、といった行き違いは、決めておけば避けやすくなる、と書き手は見ています。資料が言っているのは、事前に合意する必要がある、というところまでです。

なお、この記述は政府機関等が委託先と結ぶ取り決めの解説です。民間の委託元が同じ内容を求めるかは、資料からは分かりません。それでも、事故が起きる前に手順と役割を決めておく考え方は、認証の有無にかかわらず委託元が気にする点でしょう。

では、認証を持たない個人は、この取り決めに合意できる材料として何を出せるのでしょうか。

4. 認証を持たない個人が示せるもの

認証の代わりではなく、合意の材料

個人が示せるものは、認証の代わりにはなりません。認証は組織の管理の仕組み全体を対象にしたもので、個人の作業環境の説明とは役割が違います。ここで言うのは、委託元と取り決めに合意するときに、確かめられる材料を出せるか、という話です。

以下は、書き手が整理した見立てです。公的資料に載っている要件ではありません。委託元ごとに求める項目は違うので、実際には案件ごとにクライアントと協議して決めます。出せる材料を先に整えておくと、打ち合わせの場で身構えずに済みます。

材料は、4つの項目に分けて考えると整理しやすくなります。作業端末の管理、作業場所、データの扱い、連絡体制です。どれも、取り決めの書面に出てきやすい項目で、個人でも自分の状況を説明できる範囲にあります。

項目ごとの示し方

下の表は、確かめられる項目ごとに、示し方の例を並べています。自分で用意できるものは、設定の状況や取り決めの文面として書き出せるものに限ります。実際に守れない約束は書かず、できる範囲を正直に伝えるのが前提です。

確かめられる項目	示し方の例
作業端末の管理	OSの更新状況とディスク暗号化の設定状況を、画面の記録などで示す
作業場所	自宅の作業環境を説明し、公共の場では作業しないという取り決めに合意する
データの扱い	持ち出し・保存場所・返却と消去の方法を、事前に取り決めておく
連絡体制	事故時の連絡先と、連絡がつく時間帯を伝える

たとえば、データの扱いは、返却と消去の方法まで決めておくと、契約が終わったあとの扱いで行き違いが出にくくなります。連絡体制も、時間帯を伝えておけば、事故のときにどこまで待てるかを委託元が見通せます。

これらの材料は、取り決めに合意できる人かどうかを見極める手がかりになります。認証がなくても、管理の状況と連絡の道筋を言葉にして示せれば、打ち合わせは前に進みます。次は、事故が実際に起きたときの報告と責任の分かれ目を見ます。

5. 事故が起きたときの報告と責任の分かれ目

報告の流れ

委託先で事故に気づいたとき、最初に連絡する先は委託元です。取り決めで連絡先と手順を決めてあるなら、その道筋のとおりに伝えます。連絡が遅れると、委託元は状況をつかめないまま次の判断に入ることになります。気づいた時点で伝える前提を参画前に確かめておく、というのが書き手の見立てです。

個人データを取り扱う業務では、その先に法律上の報告があります。個人データの取扱いを委託している場合、漏えい等の報告は原則として委託元と委託先の双方が義務を負います¹。個人情報保護委員会の資料は、同じ事象を委託元と委託先の両方が報告している場合がある、と注記しています。

図の作成：Remogu編集部。個人情報保護委員会の資料の注記と書き手の見立てを整理したもので、統計データではありません

委託先から委託元への連絡が、それぞれの報告の出発点になります。連絡の道筋が決まっていれば、報告の準備にも早く入れます。

責任分界を先に決める理由

事故の報告は、役割が決まっていないと、どちらが何を出すのかで止まりかねません。ガイドラインが責任分界を事前に合意する内容に挙げているのは³、この行き違いを避けるためだと読めます。ただし、資料は理由までは書いていないので、この読み取りは書き手の見立てです。

個人データを預からない業務には、法律上の報告が当てはまらない場合もあります。たとえば、インフラの構築だけを受け、本番のデータには触れない案件です。自分の案件がどのデータに触れるかを先に確かめると、取り決めに入れる範囲が決まります。

責任分界は、どこまでが委託先の作業で、どこからが委託元の判断かを、書面に残す形が分かりやすいでしょう。原因の調査、関係先への連絡、再発防止の対応を、それぞれ誰が担うのかを並べておきます。個別の割り振りは、クライアントと協議して決めます。

次は、認証の支援そのものを業務委託で頼まれる場面を見ます。

6. ISMSの構築・運用支援を業務委託で受ける場合

支援の仕事と区切りの成果物

認証を取る側の企業から、構築や運用の支援を業務委託で頼まれる場面もあります。この場面で大切なのは、仕事を成果物で区切ることです。認証を取れたかどうかは成果物にならないので、支援の範囲と、手元に残る物を先に決めます。以下は書き手の見立てで、公的資料に載った分類ではありません。

下の表は、支援の仕事ごとに、区切りの成果物の例を並べています。実際の仕事の範囲は、クライアントと協議して決まります。

支援の仕事	区切りの成果物
リスクアセスメントの支援	リスクの一覧と評価表の案
規程・手順書の整備	文書の案
内部監査の支援	確認項目と、その結果の記録
技術的な管理策の実装	設定の記録

案や記録の形で渡す仕事は、完了の基準を決めやすく、リモートでも進められます。たとえば、規程の整備なら、文書の案を渡した時点で一区切りです。承認や運用の開始は委託元の判断なので、委託先の成果物には含めません。

審査と支援は別の仕事

認証の審査そのものは、認証機関の仕事です。支援は、その審査に向けて委託元が整える作業を手伝う仕事で、役割が分かれています。これは書き手の理解にもとづく整理です。

そのため、審査の合否を約束する受け方はしません。合否は委託先の作業だけでは決まらず、約束した結果が出なければ、契約をめぐる争いのもとになります。約束するのは、成果物の中身と、納めるまでの範囲です。

SCS評価制度は、ガイドラインの公表時点では構築中でした³。運用が始まったあとの状況や、仕事への影響は、この記事では書けません。制度の動きは、公式の発表で確かめます。

では、参画を決める前に、何をどの順で確かめるのがよいでしょうか。

7. 参画前に確かめる順番

情報の範囲から契約まで

確かめる順番は、預かる情報の範囲から始めます。どの情報に触れるかが決まらないと、秘密保持の範囲も、事故時の対処も、作業環境に求められる水準も決まらないからです。これは書き手が、これまでの内容をもとに並べた順番です。

図の作成：Remogu編集部。書き手の見立てを整理したもので、統計データではありません

情報の範囲が決まったら、秘密保持の取り決めに進みます。NDAは委託前の取り決めの1つに数えられています²。その次に、事故時の対処手順と責任分界を、事前に合意します³。

そのうえで、自分の作業環境をどう示せるかを整えます。作業端末、作業場所、データの扱い、連絡体制の4点です。最後に契約で、合意した内容が書面に残っているかを見ます。再委託の可否や条件も、この段階で確かめます。

取り決めの中身で話す

打ち合わせで「ISMS認証を取っているので」と切り出されたとき、身構えなくてかまいません。切り出した側が確かめたいのは、秘密をどう守るか、事故のときに誰がどう動くか、という取り決めの中身です。認証を持っていなくても、その中身に合意できる材料を出せれば、話は前に進みます。

Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です。セキュリティ要件のある案件でも、まず登録して、自分の経験に合う条件を確かめてみてください。ISMSの業務委託で問われるのは、認証の有無より、取り決めの中身です。

8. よくある質問

個人でISMS認証を取ることはできますか

ISMSは組織の管理の仕組みを対象にした認証です。個人事業として取れるかどうかの条件は、この記事で参照した資料には書かれていません。案件を受けるために取らなければならない、とも限りません。

委託元が認証の取得を求めるかどうかは、案件ごとに違います。求められたときは、何を確かめたい条件なのかを、クライアントと協議して確かめます。

委託元のセキュリティ規程を読ませてほしいと頼んでもよいですか

頼んでかまいません。ただし、規程の全文は社外に出せない場合があります。取り決めに関わる部分、たとえば事故時の連絡先と手順、作業環境に求める項目だけでも共有できるか、クライアントと協議します。

再委託するときは何に気をつけますか

再委託をしてよいか、してよい場合の条件は何かを、先に確かめます。決まっていない状態で別の人に作業を任せると、秘密保持の範囲が崩れかねません。取り決めの条文の詳細は、案件の秘密保持はどこまで負うのかで扱っています。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 個人情報保護委員会「漏えい等報告」（2026年9月2日・2026年10月確認）
＊2 サイバーセキュリティ戦略本部「政府機関等のサイバーセキュリティ対策のための統一基準」（2026年9月14日・2026年10月確認）
＊3 内閣官房国家サイバー統括室「政府機関等の対策基準策定のためのガイドライン」（2026年6月12日・2026年10月確認）