協力会社・外部委託先に社内システムを使わせる時の注意点｜渡す前の範囲設計

システムの保守を頼んでいるベンダー、図面や案件を共有する協力会社、スポットで入る外部の技術者。社外の相手に社内システムへ接続してもらう場面は、中小企業でも珍しくありません。便利な一方で、渡す範囲を決めずにアクセスを渡すと、渡しすぎ・止め忘れが、そのまま侵入口になります。

退職者・委託先の「止め方」は権限管理の記事で扱っています。この記事は、その手前（アクセスを渡す前に、範囲をどう設計するか）に絞って整理します。IPA「情報セキュリティ10大脅威 2026」でも、サプライチェーンや委託先を狙った攻撃は組織向けの上位脅威に挙げられ続けています。

この記事でわかること

• 委託先アクセスで起きがちな失敗
• 渡す前に決める範囲・期間・記録
• 終了時に確実に止めるための準備

委託先アクセスで起きがちな失敗

• 渡しすぎ：作業に必要のない範囲まで、社内LAN全体に近い形で渡してしまう
• 共有ID：「ベンダー用」の共有アカウントを使い回し、誰が操作したか分からない
• 期限なし：作業が終わっても接続できる状態が残り続ける
• 再委託の見落とし：委託先がさらに別の会社へ任せていて、誰が入るのか把握できない
• 記録なし：誰に・どの権限を・いつ渡したかの一覧がない

これらは「悪意」よりも「決めていないこと」から起きます。だからこそ、渡す前のルールづくりが効きます。

渡す前に決める3つ：範囲・期間・記録

個人データの取り扱いを委託する場合、個人情報保護委員会のガイドライン（通則編）では、委託先に対する必要かつ適切な監督が求められ、適切な委託先の選定・委託契約の締結・取扱状況の把握、再委託時の確認などが示されています。法的な判断は個別に確認が必要ですが、リモートアクセスの運用としては、次の3点に整理すると実務に落としやすくなります。

• 範囲：作業に必要な宛先だけに限定する（社内全体ではなく「この業務PC・このサーバーだけ」）
• 期間：作業期間に合わせて有効期限を決め、終了時に停止・データ返却／削除を取り決める
• 記録：誰に・どの権限を・いつ渡し、いつ止めたかを一覧で管理する

特に範囲は、最小権限の考え方そのものです。万一その委託先アカウントが侵害されても、触れられる範囲が狭ければ、被害は限定できます。権限設計の作り方は権限設計の記事も参考にしてください。

渡す前の確認チェック

契約・覚書で確認しておくこと

口頭の約束では、終了時に抜けが生まれます。契約や覚書で、最低限こうした点を取り決めておくと安心です。

業種によって、確認の重みは変わります。協力会社の出入りが多い建設・不動産のテレワーク、図面・技術情報（営業秘密）を扱う中小製造業のテレワーク、顧客情報を扱う会計事務所・法律事務所のテレワークもあわせてご覧ください。

終了時に確実に止めるために

渡すときに「いつ・どうやって止めるか」まで決めておくと、止め忘れが激減します。具体的な停止フローや台帳の項目は権限管理の記事で詳しく扱っています。

たとえばForceLinkは、委託先を含む利用者ごとに接続権限を発行・停止し、許可した社内リソースだけに接続先を絞る「社内リソース・ルート制御（Secure Route Control）」を備えたリモートアクセス製品の一例です。接続後に社内LAN全体を開放しない設計ですが、現時点で多要素認証（MFA）には未対応のため、MFAを必須要件とする場合は要件に合う構成を別途ご確認ください。仕組みは製品ページで解説しています。

まとめ：押さえるべき3点

1. 委託先アクセスの失敗は「渡しすぎ・共有ID・期限なし」など、決めていないことから起きる
2. 渡す前に、範囲・期間・記録を決める（必要な宛先だけ・有効期限・台帳管理）
3. 渡すときに止め方まで決めておき、契約・覚書で終了時の停止・返却を取り決める

自社での進め方は、セキュリティのページや権限管理の記事も参考に、あわせて料金ページとFAQで確認してください。

参考・出典

• IPA「情報セキュリティ10大脅威 2026」
• IPA「組織における内部不正防止ガイドライン」（第5版）
• IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」