　なお、業務委託契約書のひな型は、経済産業省が公表した「営業秘密管理指針」の参考資料2として掲載されているので、参考にするとよい。ただし、個人情報にかかわる業務の委託の場合に契約書に盛り込む内容については、同省の「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」の記載が細かいので、以下に引用する。

* 委託元及び委託先の責任の明確化

* 個人データの安全管理に関する事項

* 個人データの漏えい防止、盗用禁止に関する事項

* 委託契約範囲外の加工、利用の禁止

* 委託契約範囲外の複写、複製の禁止

* 委託契約期間

* 委託契約終了後の個人データの返還・消去・廃棄に関する事項

* 再委託に関する事項

* 再委託を行うに当たっての委託元への文書による報告

* 個人データの取扱状況に関する委託元への報告の内容及び頻度

* 契約内容が順守されていることの確認（例えば、情報セキュリティ監査なども含まれる。）

* 契約内容が順守されなかった場合の措置

* セキュリティ事件・事故が発生した場合の報告・連絡に関する事項

　重要情報は必ず暗号化して受け渡し、契約終了後は間違いなく消去や廃棄が実行されるようにする。また、PCやスマートフォン、外部記憶装置などは貸与記録をとり、確実に返還されたことを確認する。

　理想的には委託元の社内やデータセンターに顧客データなど重要情報のデータベースを置き、委託元が受託者のスタッフにアカウントを発行する形が望ましい。特権アカウントは共有せず個別に管理して、いつ、誰が、何をしたかのログが分かりやすく記録され、行動の証跡が確保できるようにする。

　また、データへのアクセスは業務に必要最低限の範囲のみとし、1人の運用スタッフが全ての情報にアクセスできるような運用法は避けるべきだ。もし標準的な業務以外の作業が必要になったら、委託元に申請して許可された場合に限り、申請した時間内だけアクセスできるようにするといった工夫も必要だ。

　なお、クラウドサービスを利用する場合には、セキュリティ管理策、サービスレベル、ログの提供などについて綿密な確認をしておく必要がある。これについては経済産業省「クラウドセキュリティガイドライン活用ガイドブック」およびASP・SaaS・クラウドコンソーシアム（ASPIC）「クラウド利用者の必要知識と関連ガイドライン等について」が参考になる。

大規模情報漏えい事件を受けて経済産業省が経済団体に「要請」

　今回の事件を重く見た経済産業省は、2014年8月18日に「個人情報保護法等の順守に関する周知徹底についての要請文」を経済団体に送付した。内容を以下に引用するが、これも対策の参考になるだろう。

1. 経営者が率先して、自社内における個人情報の管理体制を構築し、役員クラスの責任者への任命や、個人情報を取り扱う専門部署の設置等、十分な措置を講じること

1. 委託先の安全管理措置の実施が十分かを確認すること。また、委託先が再委託をする場合には、事前に承認を求めるようにするとともに、再委託先による安全管理措置の実施が十分かを確認すること。再々委託先以降についても同様の扱いとすること

1. 第三者から個人情報を取得する場合には、当該情報について、その入手方法等を確認すること。適法に入手されていることが確認できないときには、偽りその他不正の手段により取得されたものである可能性もあることから、取引の自粛を含め、慎重に対応すること

　以上、今回は内部不正の発生を防ぐ対策を、主にマネジメントの観点から考えた。なお、内部不正の防止に関する対策を網羅的に説明する資料にIPAの「内部不正防止ガイドライン」がある。また、同ガイドラインに沿った具体的ソリューションは日本ネットワークセキュリティ協会（JNSA）が発行する「内部不正防止対策ソリューションガイド」が参考になる。