サイバー事案004｜クラウドに預けた業務、誰が何を確かめますか

「利用するだけ」で終わらせない、提供事業者との役割分担と契約・設定の棚卸し

財務会計、給与計算、顧客管理、ファイル共有など、社内の基幹・日常業務をクラウドサービスで扱う場面を考えてみます。サーバーを自社で保有・保守しなくてよい利便性がある一方、いざ障害や情報漏えいの懸念が生じたとき、「セキュリティやデータ保護はクラウド事業者が全部やってくれているはずだ」と思い込んでいると、社内の誰が設定や契約条件を把握しているのか分からず立ち往生することがあります。本稿は、実在企業の個別事故を再構成する回ではなく、独立行政法人情報処理推進機構（IPA）の公的手引きに基づく実務整理回です。第1回で扱った「会員情報を守る、6つの点検領域」や、第2回で扱ったシステム停止時の復旧手順・バックアップ設計の詳細は繰り返さず、「事業者と自社の役割分担を、誰がどの資料で確かめて管理台帳に残すか」を整理します。

この記事の要点

• クラウドサービスは提供事業者と利用者の双方が役割・責任を分担して成り立つため、事業者に委ねる部分の対策公開状況と自社の管理範囲を切り分けます。

• 社内に管理担当者を置き、業務上の判断者と技術設定の担当者を明確にした上で、ID・パスワードを複数人で共有（共用）しない運用や、提供される認証機能の適用を確認します。

• 導入時だけでなく、障害時の責任範囲、サポートの受付条件、そして解約・移行時に過年度データを取り出し消去できるかまでを利用規約等で確かめます。

手引きが示す役割分担と確認ポイント

本稿の根拠とする公的資料は、IPAの「中小企業のためのクラウドサービス安全利用の手引き」（本文末の版表示：2026.6 Version 2.3、PDF全8ページ。※上位文書である『中小企業の情報セキュリティ対策ガイドライン』第4.0版とは別の個別付録としての版番号）です。

同手引きのPDF 2ページでは、クラウドサービスを「利用するだけ」の形態では提供事業者に委ねる部分が発生し、その部分は利用者が直接管理できないため、サービスの機能だけでなく付随するセキュリティ対策を確認した上で利用する必要があると説明されています。あわせて、インターネット経由で外部から攻撃を受けやすいこと、1台のコンピュータを多数で共用するためインシデントが多数に影響すること、設備・機器・ソフトウェアが複数事業者で構成されすべての対策把握が難しいことといった固有のリスクが挙げられ、事業者と利用者の両者が役割・責任を分担して対策を実施することが示されています。続くPDF 3ページには、選択・運用・セキュリティ管理にわたる全15項目のチェックシートが掲載されています。

具体的な確認ポイントとして、同手引きから以下の事項が読み取れます。

• 社内体制と認証管理（PDF 3・6ページ）：業務で扱う情報と利用者の範囲を決め、社内に管理担当者を確保します。例えば、入力項目や活用は営業部長が担当し、技術的な設定や社内ヘルプデスクはシステム管理者が担当するといった分担例が示されています。また、ID・パスワードを複数人で共有（共用）せず、電子証明書や2段階認証（多要素認証・多段階認証を含む注記あり）など、サービス側で認証方式が提供されている場合は利用することが挙げられています。ただし、提供される認証機能はサービスにより異なります。

• 品質・責任範囲とサポート体制（PDF 5・7ページ）：稼働率等の品質条件や、被害発生時に事業者と利用者がどこまで責任を負うかを利用規約等で確認する例（PDF 5ページ）のほか、通信の暗号化や脆弱性対応等のセキュリティ対策が公開されているか、週末・夜間の受付可否や電話連絡の可否、問い合わせ料金といった、サービスの使い方が分からないときの利用者サポート体制（PDF 7ページ）も確認対象とされています。

• 利用終了時のデータと委託条件（PDF 7ページ）：他のサービスへ変更する際などに備え、過年度データを含む全データの返却・ダウンロード可否、データ形式の互換性、移行先での一括取込機能の有無、返却後にシステム上に残るデータが完全に消去または再利用されない条件になっているかを確認する例が示されています。また、入力データへ事業者がアクセスする場合の条件・責任や、設備の保守等を再委託している場合の再委託先の管理監督責任の明記も確認点に挙げられています。

一方で限界もあります。公的手引きのチェック項目を一通り確認したからといって、クラウド上の事故ゼロが保証されたり、外部委託によって自社の法的・道義的責任が自動的に免除されたりするわけではありません。また、利用するデータの種類や契約形態によって適用される法令やガイドラインは異なるため、手引きの一般的な記述だけで自社の法的適合性を断定せず、個別契約や対象データに応じた確認が必要です。

自社の担当と契約条件を整理する

例えば、契約書や利用規約は総務や購買が保管し、初期設定は情報システム担当や外部業者に任せ、日々の運用は営業や経理の現場が行うといった分担になっていると、「誰が全体条件を把握しているか」が曖昧になることがあります。

そこで当連載では、社内で利用している主要なクラウドサービスごとに、「業務の判断者」「設定の担当者」「事業者の担当範囲」「契約・終了条件」を1枚にまとめる作業表（クラウド役割分担・契約確認票）の作成を提案します。以下の概要図および確認項目は、IPAの公式様式や安全認定ではなく、社内の管理漏れを防ぐための当連載独自の整理例です。

[概要図] クラウド利用における役割分担と契約・運用5つの確認軸（当連載による独自整理）

担当・確認資料・次の着手

まず、ICT担当幹部と各事業部門長（経理・人事・営業など）が協力し、現在課金・利用しているクラウドサービスを洗い出します。特に会計・労務・顧客管理・オンラインストレージなど重要情報を扱うサービスから優先順位をつけ、1サービスにつき1行ずつ「サービス名／扱う業務・情報／社内判断者（業務部門）／設定担当（ICT部門等）／事業者の担当範囲／契約・設定の確認根拠／終了時のデータ扱い／平時・緊急の連絡先／未確認事項」を書き出します。

個人情報や機密情報を預けるサービスについては、最新の個人情報保護法等の要請や個別契約の条項に照らして別途確認を行ってください。

5確認項目（自社点検用）

このページは閲覧専用です。以下の5項目は、手元の社内メモ等に「確認済み」「未確認」「理由あり該当なし」「未回答」の4区分で記録して整理してください。「確認済み」は担当・確認資料・確認日がすべて揃った記録、「未確認」はこれから確かめる項目や一部だけ確認した項目、「理由あり該当なし」は対象外である理由を記した記録、「未回答」はまだ区分を選んでいない未着手の項目として残します。「確認済み」とした記録でも担当・確認資料・確認日のいずれかが欠ける場合と、「該当なし」に理由がない場合は、未確認として扱います。担当は部署名や役割名でも構いません。この画面には入力・集計・送信・自動保存の機能はなく、項目を埋めても安全性や法令適合を保証・認定するものではありません。

1. 利用サービスごとの業務判断者と技術設定担当者の明確化

   • 確認の問い：重要情報を扱う各クラウドサービスについて、扱う情報・利用範囲が定義され、業務上の判断者と技術設定・ヘルプデスク担当者が決まっているか。

   • 想定担当：各業務部門長・ICT管理責任者

   • 確認資料：クラウドサービス管理台帳、業務分掌・システム管理者一覧

   • 未確認のときの次の着手：経理・人事・営業等で利用中の主要クラウドサービスを列挙し、それぞれの「業務判断者」と「設定担当者」を台帳に記入する。

2. アカウント共用禁止と提供される認証・権限機能の設定確認

   • 確認の問い：ID・パスワードを複数人で共有（共用）せず、サービス側で提供されている認証機能（2段階認証・多要素認証や電子証明書等）および承認・閲覧権限を確認し適用しているか。

   • 想定担当：システム設定担当者・各部門の運用責任者

   • 確認資料：クラウド管理画面のアカウント一覧・認証設定画面の記録、サービス仕様書

   • 未確認のときの次の着手：主要サービスの管理画面から登録ユーザー一覧を確認し、複数人で共用しているIDや不要アカウントがないか点検する。

3. 提供事業者のセキュリティ対策公開状況と規約上の責任範囲・再委託条件

   • 確認の問い：事業者に委ねる部分のセキュリティ対策（暗号化や脆弱性対応等）の公開情報に加え、被害発生時の責任分界、事業者のデータアクセス条件、再委託先の管理監督責任を利用規約等で確認しているか。

   • 想定担当：ICT管理責任者・法務／総務担当

   • 確認資料：利用規約、SLA（サービスレベル合意書）、サービス仕様書、セキュリティ対策公開ページ／資料

   • 未確認のときの次の着手：契約中の主要サービスの最新利用規約とセキュリティ公開資料を入手し、責任制限・データアクセス・再委託に関する条項の位置を確認する。

4. 利用者サポートの条件と、事故時の連絡先

   • 確認の問い：使い方等のサポートについて、システム担当者不在時にも参照できるよう、受付時間帯、連絡方法（電話・メール・チャット等、PCが使えない状況での連絡可否を含む）、料金条件を把握し、事故時の連絡窓口が通常のヘルプデスクと別である場合はその連絡先も控えているか。

   • 想定担当：ICT管理担当・現場運用担当者

   • 確認資料：サポート契約書、保守・ヘルプデスク案内ページ控え、事故時の連絡先案内（別にある場合）

   • 未確認のときの次の着手：主要サービスのサポート窓口の受付時間・連絡手段・契約プラン上の料金条件と、事故時の連絡窓口が別にあるかを調べ、別窓口があればその連絡先も、パソコンが開けない状況で参照できる連絡先表に追記する。

5. サービス利用終了・乗換時の過年度データ返却・互換性と消去条件

   • 確認の問い：解約や他社サービスへの移行時に、過年度分を含む全データのダウンロード・返却可否、データ形式の互換性、返却後に残るデータの完全消去または再利用禁止の条件を確認しているか。

   • 想定担当：業務部門長・ICT管理責任者

   • 確認資料：利用規約（解約・データ取扱条項）、データエクスポート仕様書・FAQ

   • 未確認のときの次の着手：会計・顧客管理等の重要サービスについて、解約時のデータ出力形式とデータ消去までの猶予期間・条件を規約またはFAQで確認し記録する。

出典と確認時点

• CORP04-IPA7：独立行政法人情報処理推進機構（IPA）「中小企業のためのクラウドサービス安全利用の手引き」（本文末版表示：2026.6 Version 2.3、PDF全8ページ。※上位ガイドラインv4.0とは別の付録版番号） https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_7.pdf

• 確認基準日：2026年11月12日（日本時間）