取引先・委託先のセキュリティ管理とは？管理台帳と継続監視の進め方

取引先のセキュリティ管理とは、取引先に関わるリスクを把握し、評価・改善・再確認を取引期間を通じて続けることです。評価結果と担当者・対応期限・次回確認日を管理台帳にまとめ、取引先の重要度に応じて、改善状況や新たなリスクを追跡・管理できる運用体制を整えます。
「評価は済んでいるのに、改善が終わったか分からない」「どの取引先から確認すべきか決められない」。こうした状態を解消するには、チェック項目の追加よりも、情報の更新と対応を止めない仕組みが必要です。

本記事は、取引先・委託先に業務や情報を預ける委託元（発注側）の情報システム・セキュリティ・調達部門の方に向けて、管理台帳に残す情報、7つの管理手順、日々の運用を効率化する方法を解説します。以下、委託元を「自社」、取引先・委託先をまとめて「取引先」と表記します。

取引先のセキュリティ管理が必要な理由

取引先の障害で重要業務が止まる、委託した顧客情報が漏洩する、自社へのアクセスに使う認証情報が悪用されるといった影響が考えられます。IPA（独立行政法人情報処理推進機構）の「情報セキュリティ10大脅威 2026」でも、「サプライチェーンや委託先を狙った攻撃」は組織向け脅威の2位に選出されています。
継続管理が必要なのは、取引開始時の評価結果だけでは、その後のシステム変更や新たなリスクを把握できないためです。対策の実施状況と自社への影響を、取引中も見直していく必要があります。
評価のあとに利用システムや接続権限が変われば、以前の判断をそのまま使えない場合もあります。「前回は問題なかったか」だけでなく、「前回から何が変わり、何への対応が残っているか」まで追うのが、継続管理の役割です。
出典：IPA「情報セキュリティ10大脅威 2026」
⇒ASM（アタックサーフェスマネジメント）とは？実施ステップやおすすめツール6選を解説

取引先のセキュリティ「評価」と「管理」の違い

セキュリティ評価は対策状況やリスクを判断する工程、セキュリティ管理は評価結果を使って対応と見直しを続ける運用です。評価と管理は別々の活動ではなく、評価は管理の一部に位置づけられます。

比較項目	セキュリティ評価	セキュリティ管理
主な問い	この取引に必要な対策が取られているか	対応が終わったか、新しいリスクがないか
主な作業	回答・証跡・認証・外部リスク情報の確認と判断	台帳更新、改善依頼、期限管理、再評価・監視
残す情報	評価範囲、確認日、結果、判断の根拠	評価範囲・結果・根拠に加え、担当者、対応状況、次回確認日
実施する場面	取引開始前、契約更新時、変更時など	取引期間を通じて継続し、終了時にも確認

本記事では、評価後の記録・改善・再確認を中心に扱います。確認項目や判断基準の作り方は、次の記事で解説しています。
⇒取引先のセキュリティ評価とは？評価基準・項目・チェック方法を解説

取引先のセキュリティ管理台帳に記録すべき4つの情報

管理台帳には、基本情報と責任者、自社への影響度、評価結果と改善履歴、外部リスク情報の確認状況をまとめます。企業名だけの一覧ではなく、「誰が、いつまでに、何を確認するか」が分かる台帳にすることがポイントです。

• 基本情報と管理責任者
• 取り扱う情報と自社への影響度
• 評価結果と改善対応の履歴
• 外部から確認できるリスク情報

基本情報と管理責任者

企業名、取引先の窓口、自社の担当部署・担当者、委託業務、契約期間・更新日をまとめましょう。担当者名だけでなく部署と代替の連絡先も残しておくと、異動や不在時にも確認を引き継ぎやすくなります。

取り扱う情報と自社への影響度

扱う情報の種類、自社システムへの接続範囲・権限、業務停止時の影響、代替可能性を記録しましょう。会社単位ではなく、委託業務や利用サービス単位で整理すると、管理の重要度を判断しやすくなります。

評価結果と改善対応の履歴

評価日・方法・結果に加え、指摘内容、判断根拠、改善担当者、期限、対応結果、次回確認日を残します。あわせて、実施状況を裏付ける設定資料や対応記録などの「証跡」も紐付けておきます。ただし、証跡ファイルを台帳へすべて貼り付けるのではなく、閲覧権限を設定した保存先へリンクする方法もあります。

「依頼済み」と「完了確認済み」は分けて記録しましょう。依頼を送っただけで完了と扱うと、未対応の項目が見えなくなります。

外部から確認できるリスク情報

取引先に関連する漏洩情報や、インターネットからアクセスできるサーバー・サービスなどの外部公開資産の脆弱性を記録します。検出日、最終確認日、対象資産が取引先のものか、現時点で対応が必要かも確認対象です。

漏洩したパスワードなどの機密情報を台帳へ直接転記するのではなく、対象と確認結果、アクセスを制限した資料の参照先を残します。未調査のものは「未確認」と明記し、空欄や「検出なし」を「安全性が確認された状態」として扱わないようにしましょう。

取引先のセキュリティ管理台帳の記入例（テンプレート）

以下は、顧客管理システムの保守を委託する場合の架空の記入例です。項目や期限は例であり、一律の推奨基準ではありません。

この例で次に行うのは、期限までのアカウント削除と、公開資産が誰の管理下にあるかの確認です。取引先の重要度と個別の対応状況を分けて記録すると、「重要な取引先か」と「今、何を急ぐべきか」を混同せずに済みます。

取引先のセキュリティ管理を進める7つのステップ

取引先管理は、対象の洗い出し、方針の決定、評価・記録、優先順位付け、改善確認、再評価、契約終了時の整理の7段階で進めます。各段階で担当者と記録先を決め、判断や依頼が次の作業へ引き継がれる状態をつくりましょう。

1. 管理対象となる取引先を洗い出す
2. 重要度と管理方針を決める
3. セキュリティを評価し、結果と根拠を記録する
4. 自社への影響とリスクの緊急性から対応順を決める
5. 改善依頼から完了確認まで追う
6. 変化に応じて再評価し、台帳を更新する
7. 契約終了時にアクセス権と預けた情報を整理する

1. 管理対象となる取引先を洗い出す

契約台帳や各部署の利用サービス一覧から、情報・システム・重要業務に関わる取引先を確認します。機密情報を扱う企業、自社システムへ接続・アクセス権限を持つ企業、停止すると業務に支障が出るサービスを優先すると、着手する範囲を絞れます。
直接の委託先だけでなく、再委託先の有無や利用するクラウドサービスも把握しておくと、情報の流れを確認しやすくなります。

2. 重要度と管理方針を決める

取引内容と自社への影響をもとに重要度を分類し、必要な評価、確認頻度、承認者、取引先への依頼窓口を定めます。例えば、契約・調達部門が窓口を担い、情報システム・セキュリティ部門が技術面を判断するなど、社内の役割分担をあらかじめ整理しておくと、運用を円滑に進めやすくなります。
情報提供、再委託の事前承認、インシデント発生時の報告期限、改善依頼や確認への協力など、取引先とどのように協力するかも整理し、セキュリティ条項として契約・覚書に盛り込みます。すべてを一つの部門へ任せるのではなく、業務を担当する部署も含めて運用を決めましょう。

3. セキュリティを評価し、結果と根拠を記録する

チェックシート、証跡、認証、外部リスク情報などを使って評価し、対象業務・確認日・結果・根拠を台帳へ残しましょう。詳細をすべて転記する必要はなく、判断に必要な要点と元資料の保存先が分かれば運用できます。

4. 自社への影響とリスクの緊急性から対応順を決める

対応の優先順位は、取引先の重要度に加え、発見した問題の重大度や緊急性を踏まえて判断します。単純な評価点や検出件数だけでは、対応の順番を決めきれません。
例えば、自社システムに接続できる認証情報の漏洩が疑われる場合は、定例の見直しを待たず、社内のインシデント対応手順に沿って確認します。一方、資料の更新漏れなどは、実際の対策状況と影響を確かめたうえで期限を設定します。

5. 改善依頼から完了確認まで追う

改善依頼では、対象、依頼内容、双方の担当者、合意した期限、完了と判断する条件を伝えます。例えば「不要な保守用アカウントを削除し、削除結果を共有してください」と具体化すれば、相手も対応内容を把握しやすくなります。
回答や資料を受け取ったら、対応完了か追加確認が必要かを判断して台帳を更新しましょう。未対応のまま期限を過ぎた場合に備え、エスカレーション先（報告先）や期限変更の承認権限者もあらかじめ定めておくことが大切です。
回答や資料が届かない場合は、再依頼日と連絡窓口を決め、回答が滞っている理由を確認します。資料の提出が難しければ、機密部分を伏せた資料やヒアリングなど、代わりの確認方法を検討しましょう。それでも必要な情報が得られなければ、何が不明で自社の業務へどう影響するかを業務を担当する部署と共有し、暫定的な対策と判断者を定めます。

6. 変化に応じて再評価し、台帳を更新する

定期的な再評価に加え、システム変更、再委託先の変更、重大な脆弱性の公表、インシデントなどを再確認のきっかけにします。再評価の周期は、例えば重要度「高」の取引先は年1回＋大きな変更時、「中」は2年に1回、「低」は契約更新時のように設定します。ただし、これらの周期は設定例であり、すべての取引先で十分とは限りません。
定期評価の間に生じる漏洩情報や外部公開資産の変化は、外部リスク情報の確認で追いましょう。検出した情報の確かめ方や、脆弱性スキャン時の取引先の同意の考え方は、「取引先のセキュリティ評価とは？」で解説しています。

7. 契約終了時にアクセス権と預けた情報を整理する

契約終了時も、管理台帳を見直し・更新する重要なタイミングです。不要なアカウントや接続権限の停止、貸与物の返却、情報の返却・削除・廃棄を確認し、終了した取引が台帳上だけでなく運用上も整理されているかを確かめましょう。

取引先のセキュリティ管理を効率化するポイント

管理の効率化では、台帳の一本化、確認の深さの段階分け、既存の評価の活用、外部リスク情報の収集のツール化によって、確認や更新にかかる手間を減らします。基本の7ステップを無理なく続けるために、取り入れやすいものから始めましょう。

• 管理台帳を1つにまとめ、更新ルールを決める
• 確認の深さを段階に分け、頻度を見直す
• ISMSやSCS評価制度など既存の評価を活用する
• 外部リスク情報の収集をツールで補完する

管理台帳を1つにまとめ、更新ルールを決める

Excelやメール、部署ごとの資料に情報が分散していると、最新の評価結果を探すだけでも時間がかかります。正式な記録先と資料の保存先を統一し、主管部署や更新担当者を明確にしましょう。
評価完了、改善結果の受領、契約変更などを更新のタイミングとして決めておくと、担当者が都度判断せずに済みます。台帳を開けば、最新の結果と次の確認予定まで分かる状態が目標です。

確認の深さを段階に分け、頻度を見直す

すべての取引先へ同じ詳細資料を求めるより、重要度に応じて確認項目や求める証跡のレベルを段階的に変えると、確認する側・回答する側の手間を減らせます。重要な取引先には証跡やヒアリングを加え、影響が限定的な取引先は既存資料や変更点の確認を中心にする、といった運用が考えられます。
確認頻度は、運用しながら見直します。例えば、前回から変更がなく指摘も残っていない取引先は変更点の確認を中心にし、指摘が続く取引先や接続範囲が広がった取引先は次回の確認を前倒しする、といった調整が考えられます。「年1回だから十分」とせず、確認方法と見直しのきっかけを台帳やルールへ残しましょう。重要度の分類の決め方は、取引先のセキュリティ評価の記事で解説しています。

ISMSやSCS評価制度など既存の評価を活用する

取引先がISMS認証などの第三者認証を取得している場合は、その結果を活用すると、確認済みの範囲を重複して確認する手間を減らせます。今回の委託業務が適用範囲に含まれるか、有効期間内か、認証取得後に大きな変更がないかを照合し、足りない部分の確認に絞りましょう。

また、今後運用開始が予定されているSCS評価制度も、運用開始後は取引先のセキュリティ対策状況を確認する際の判断材料として活用できます。 制度上の評価で確認できる範囲と、自社との取引に必要な確認事項を整理し、不足する部分を補う考え方が重要です。認証やSCS評価制度の扱い方は、次の記事で詳しく解説しています。

⇒取引先のセキュリティ評価とは？評価基準・項目・チェック方法を解説

外部リスク情報の収集をツールで補完する

外部リスク情報の収集だけに手が回らない場合は、これまでの台帳管理体制はそのまま活かしつつ、外部リスク情報の調査・収集をツールで補完する方法もあります。検出結果の確認や取引先との調整まで不要になるわけではないため、収集後の判断を担う担当者も決めておきます。

取引先のセキュリティ管理に関するよくある質問

取引先管理を続けるうえでは、評価との役割分担に加え、ツール選びや見直しの頻度が判断のポイントになります。

Q. セキュリティ評価と管理は何が違いますか？
評価は取引先の対策やリスクを判断する工程、管理はその結果をもとに改善・再評価・監視を続ける運用です。評価は管理の一部であり、評価票を保存するだけでは改善状況やその後の変化までは追えません。
Q. Excelでも取引先のセキュリティ管理はできますか？
更新担当者、保存先、閲覧権限、期限確認のルールがあれば、Excelでも始められます。ただし、台帳を作るだけでは漏洩情報や外部公開資産の脆弱性の調査はできません。台帳の管理と外部リスク情報の収集負担を分けて、必要な機能を検討してください。
Q. 取引先のセキュリティは、どのくらいの頻度で再評価すべきですか？
再評価の頻度は、重要度「高」の取引先なら年1回＋大きな変更時、「中」なら2年に1回、「低」なら契約更新時が一例です。実際の頻度は、取引先の重要度、扱う情報、契約や業界の要件に応じて決めます。重大な変更やインシデントがあれば、定期評価の予定を待たずに確認してください。定期評価と外部リスク情報の監視は目的が異なるため、それぞれに合った頻度を設定します。

まとめ

取引先のセキュリティ管理では、評価結果と担当者・期限・完了条件を結び付け、改善と再確認を続けることが重要です。まずは、管理台帳から未対応事項と次の確認日を把握できるか、見直してみましょう。
台帳や改善依頼は運用できていても、次回評価までの漏洩情報・外部公開資産の脆弱性を追う余力がない場合は、外部リスク情報の収集と継続確認を補うツールが選択肢になります。
SMSデータテックの「ダークウェブアイ/SCM」は、取引先・委託先の漏洩情報と外部公開資産の脆弱性を集約し、継続的に可視化・管理するツールです。定期実行スキャン、過去の検出情報の振り返り、取引先ごとの情報管理に対応し、管理することができます。
収集した情報をもとに担当者が影響を判断し、必要な対応を既存の台帳へ記録すれば、評価後の変化も管理へ取り込めます。取引先ごとの調査を手作業で続ける負担を見直したい方は、継続監視・管理機能をご確認ください。