顧客名簿を発送会社へ渡すとき、仕事が終わった後の扱いまで決まっていますか。受け取った名簿を返してもらっても、作業用のコピーが取引先のパソコンに残るかもしれません。情報を渡す前に、利用中と終了後の扱いを具体的に決めておく必要があります。
SCS評価制度の★3では、自社の機密情報を共有する子会社や取引先と、業務開始前に取り扱いを決めます。今回は、機密情報の範囲、使い方、保管、複製、第三者への提供、返還・廃棄について、相手との合意を確かめる方法を解説します。
図1 情報の利用から終了までの流れ 具体的な運用は説明例
| 評価基準番号 | この回で確認すること |
| 2-1-2-1 | 業務開始前に、機密情報の取り扱いに必要な全事項を共有先と取り決める |
尼崎市のUSB紛失から考える
2022年6月、尼崎市の給付金関連業務で、住民情報を保存したUSBメモリーが一時紛失しました。BIPROGYの第三者委員会報告書によると、担当者は6月21日のデータ更新作業後もUSB内の情報を削除せず、持ち歩いていました。USBは24日に発見されています。
図2 第三者委員会報告書に基づく経過 漏えいの記述は報告書作成時点
報告書作成時点では、情報が漏えいしたと判断すべき事情は認められていません。一方、調査は、契約上必要だった再委託の承認を得ていなかったことや、USB内の情報の削除が徹底されず、消去記録も残されていなかったことを指摘しています。
この事案では、情報の取り扱いに関する契約上の条件や社内ルールがありました。その内容を、実際に作業する人や再委託先での扱いにつなげる必要があったことが分かります。第5回では周知を取り上げましたが、今回は、利用を終えた情報の処理と共有先との約束に注目します。
自社の仕事では、複製をどこまで認め、誰が削除し、どのように完了を確認するかまで話し合うと、認識の違いを見つけやすくなります。これは事例から考える実務上の工夫です。SCSに対応していれば、この事故を確実に防げたとするものではありません。
2-1-2-1 取り決める内容を漏れなく確認する
公式基準は、取り決める内容を三つのまとまりで示しています。読みやすくするため、この記事では中身を六つの確認点に分けました。評価基準が六件あるという意味ではなく、すべて2-1-2-1に対応します。
| 確認する内容 | 相手と具体的に決めることの例 |
| 機密情報の定義 | 顧客名簿、図面、見積条件など、何を機密として扱うか |
| 利用制限 | どの業務に使えるか。別の営業活動や分析に使ってよいか |
| 保管方法 | どこで、誰が、どの方法で保管するか |
| 複製可否 | コピーや印刷を認めるか。認める場合の範囲や条件 |
| 第三者への提供可否 | 別の会社や再委託先へ渡せるか。認める場合の条件 |
| 返還又は廃棄 | 何を、いつ、どう返すか、または廃棄するか |
左欄が公式基準の内容、右欄が理解のための具体例です。「返還又は廃棄」は、常に両方を同時に行うという意味ではありません。媒体は返し、作業用の電子データは消去するなど、対象ごとの扱いを決めます。
業務開始前に共有先と合意する
公式解説書は、仕様書や契約書への明記、秘密保持契約の締結を方法の例として挙げています。NDAは秘密保持契約のことです。名称だけで判断せず、必要な全事項が盛り込まれ、共有先と取り交わされているかを確認します。
自社の社内規程に書くだけでは、共有先との取り決めを確認できません。本文、別紙、個別の仕様書などに分かれている場合は、それぞれが合意の対象になっていることと、適用する版を分かるようにします。
既存の取引で不足が見つかった場合は、合意日をさかのぼらせず、現在の共有状況を確認して、追加の取り決めを相手と進めます。合意した範囲を超える新しい共有や用途変更も、先に条件を確認してから始めましょう。
顧客名簿を発送会社へ渡す場合
ここからは、架空のA社が発送会社B社に案内状の発送を委託する例で考えます。顧客の氏名、送付先、購入商品を含む名簿があり、B社へ渡す前に、必要な情報と使い方を整理する場面です。
何を機密情報とするかをそろえる
顧客名簿のほか、未公開の図面や仕入価格なども、共有する業務によって機密情報になり得ます。対象のファイル、資料、業務上知り得る情報などを具体化し、双方が同じ範囲を想定できるようにします。
この例では「発送用顧客名簿と、その情報を含む作業用データ」を対象とします。元のファイル名だけを決めても、B社が作る宛名データや印刷物まで扱いが伝わるとは限りません。情報を加工した後の資料も、合意の対象として確認します。
利用する目的と保管する場所を決める
| 確認点 | この業務での取り決めの例 |
| 利用目的 | A社が指定した案内状の宛名作成と発送に限る |
| 目的外の利用 | B社自身の営業活動や他社案件への流用を認めない |
| 保存先 | B社が管理する、合意済みの業務用保存先を使う |
| 扱う担当者 | この発送作業を担当する、必要な者に限定する |
| 持ち出し | 私物端末や個人用クラウドへの保存を認めない |
表は取り決めを具体化する例であり、SCSが一律に指定する設定ではありません。「厳重に保管する」という表現を使う場合も、担当者がどの保存先を使えばよいか判断できる内容を、仕様書や作業手順で補います。
渡す情報を業務に必要な範囲へ絞る
発送に購入商品の詳細が不要なら、その列を渡さずに済むか検討できます。取り扱う情報が少なければ、保管や消去の対象も把握しやすくなります。これはこの記事で勧める実務上の工夫で、2-1-2-1に別の評価基準を追加するものではありません。
自社が顧客から預かった情報を別の会社へ渡す場合は、元の顧客との契約や指示で認められる範囲も先に確かめます。自社とB社だけで話を進め、元の約束と食い違う状態にしないためです。
複製と第三者への提供を決める
複製とは、情報のコピーを作ることです。作業用パソコンへの保存、表計算ファイルへの転記、印刷なども確認します。業務に必要なコピーを認めるなら、その目的と範囲、利用後の処理を明確にします。
図3 共有後の利用を確認する架空例 矢印は検討する情報の流れ
再委託先へ渡す条件を明確にする
B社が作業の一部を別のC社へ任せる場合は、C社へ機密情報を渡せるかを確認します。禁止する方法も、対象や条件を定めて認める方法もあります。公式基準が求めるのは提供可否の取り決めであり、すべての共有先で同じ承認方法を使うという指定ではありません。
条件付きで認める例では、相手の会社名、渡す情報、目的、取扱条件を事前に確認し、変更時も連絡を受ける運用にします。元の約束を、実際に情報を扱うC社でどう実行するかまで、B社との間で確認しておくと具体的です。
外部AIへ入力する使い方も確認する
B社が「顧客名簿を整理するために外部の生成AIへ入力したい」と考える場合も、利用目的、保存先、別の事業者への送信が合意の範囲に入るかを確認します。便利そうだからという判断だけで、共有する先を増やさないようにします。
学習利用の有無に加え、保存期間や削除条件など、実際に契約・設定した内容を調べます。ここでは特定製品の機能を前提にしていません。外部情報サービス自体の要件と合意は、11月11日の3-1-3で詳しく扱います。
返還と廃棄の対象を先にそろえる
公式解説書は、契約終了時や機密情報を扱う必要がなくなった場合に備え、対象、時期、方法を事前に決める例を示しています。対象外として残す情報がある場合も、その情報と扱いをあらかじめ合意する考え方です。
図4 返還や廃棄の対象を確認する架空例 複製を一律に認める図ではない
発送会社の例では、受領した名簿に加え、宛名作成用の加工ファイル、作業中のコピー、残った印刷物などを確認します。元のUSBを返してもらう場合も、B社側に作ったコピーの処理は別に確認します。
期限と処理方法を実行できる内容にする
例えば「発送完了後10営業日以内に、指定した対象を消去または裁断し、完了を連絡する」と合意します。10営業日は架空例の設定で、SCSの一律の期限ではありません。消去方法は、利用する機器やサービスで実施できる方法を確認して決めます。
すぐに消せない情報の扱いも合意する
バックアップの仕組みなどにより、特定の情報だけをすぐに消せない場合があります。どの情報が残り、いつまで保持され、誰が利用でき、いつ消去されるかを確認して合意します。対象外にすると書くだけで、情報を自由に使えるようにしないことが大切です。
必要に応じて、実施日、対象、処理方法、担当者を記した完了連絡を求めると、対応を確認しやすくなります。専用の廃棄証明書を必ず発行させるという独立した条件は、この評価基準にはありません。
取り決めと作業記録の記入例
次の表は、A社とB社が業務開始前に内容を確認するための説明例です。そのまま契約書として使える完成条文ではありません。実際の契約文面は、取引条件や既存の契約との整合を含め、必要に応じて法務担当者等に確認してください。
| 確認項目 | 架空の合意内容の例 |
| 機密情報の定義 | 発送用顧客名簿、名簿の情報を含む加工データ及び印刷物 |
| 利用制限 | A社指定の案内状の宛名作成・発送に限る。B社の営業等に利用しない |
| 保管方法 | 別紙で合意したB社の業務用保存先で管理し、必要な担当者に利用を限定する |
| 複製可否 | 上記業務に必要な作業用データと宛名印刷に限り認める。私物端末へ保存しない |
| 第三者への提供可否 | 第三者への提供は認めない。必要が生じた場合は共有前にA社と条件を合意する |
| 返還又は廃棄 | 発送完了後10営業日以内に、受領名簿、加工データ、作業コピーを合意した方法で消去し、残った印刷物を裁断する。預かった媒体はA社へ返す |
| 残る情報の扱い | 本例では残す情報なし。この条件で作業可能な保存先を事前に確認する |
| 合意を確認する情報 | 合意文書名、別紙の版、双方の確認者、合意日、業務開始日を記録する |
最後の二行は実務上の確認欄です。バックアップ等に情報が残る運用であれば、「残す情報なし」と記載せず、実態に合う内容を取り決めます。また、ここで第三者提供を認めないのは、この架空例で選んだ条件です。
作業完了の記録例
対象業務［案内状の発送］／対象情報［名簿・加工データ・印刷物等］／処理日［年月日］／方法［合意した消去方法・裁断等］／実施者［氏名］／未処理の情報［有無と対応］／A社の確認者［氏名・確認日］。
この記録は運用を確認するための例です。削除できなかった情報があれば、その内容と対応を記録し、完了したと扱わないようにします。日付や担当者欄を埋める前に、実際の処理結果を確かめます。
自己評価で合意文書を確認する
自己評価では、秘密保持契約書等を確認し、必要な全事項を取り決めていることと、その文書名を確認します。空欄のひな形や、相手との合意前の案を用意しただけでは、取り決め済みであることを説明できません。
図5 自己評価へ向けた整理の例 文書名の確認は公式ガイドに基づく
対象外にできる場合
公式ガイドの条件は、自社の機密情報を共有する子会社や取引先が存在しない場合です。子会社しか共有先がない、外注先に任せている、紙で渡している、といった理由では対象外になりません。共有する情報と相手の実態を確認します。
本日の五つの確認
□ 自社の機密情報を共有する子会社や取引先を確認した。
□ 業務開始前に、取り扱いについて共有先と合意している。
□ 定義、利用制限、保管、複製、第三者提供、返還・廃棄を確認した。
□ 合意した内容を、契約書等の文書名と該当箇所で示せる。
□ 実際の保存先や複製先を踏まえ、作業担当者に扱いを伝えた。
最後の確認は実務上の工夫です。今日は、実際に機密情報を渡している取引先を一社選び、合意文書のどこに六つの内容が書かれているかを確認してみてください。
次回は 共有先で事故が起きたときの役割
11月8日は、2-1-4「セキュリティインシデント発生時の役割・責任」です。誰が調べ、誰が知らせるかを、共有先との間で決める方法を扱います。
連載の関連項目
第1回は連載目次、第5回は情報セキュリティ方針の周知、第6回は外部システムとの接続の把握です。今後は、11月8日に事故時の役割・責任を2-1-4で、11月11日に外部情報サービスを3-1-3で、11月12日に社内の機密区分に応じた情報管理を3-1-4で扱います。
機密情報の取り決めを整理したい方へ
ライトハウスコンサルタントでは、★3を見据えた現状確認や、規程・台帳・記録の準備を支援しています。既存の取り決めと実際の作業を照らし合わせ、確認が必要な点を整理します。
