テスト代行の情報セキュリティ対策｜発注前に確認すべき7つの重要項目

2026 8/09

2026年8月9日 2026年8月9日

テスト代行では、ソースコードや本番相当のデータを社外へ渡します。
PMやQA責任者は「委託先に預けても安全か」を判断しなければなりません。

NDA（秘密保持契約）の締結だけでは、情報漏えいを防げません。
発注前には、現場の管理方法と事故発生後の対応まで確かめる必要があります。

この記事では、テスト代行会社の情報管理を見極める7項目を解説します。
契約書へ盛り込む内容と、選定時に使える質問もまとめました。

NDAだけでは情報漏えいを防げない

NDAは「秘密情報を漏らさない」という約束であり、漏えいを防ぐ仕組みではありません。
違反後に責任を問う根拠にはなりますが、操作や持ち出しを自動では止められません。

たとえば、アクセス記録がなければ、誰がファイルを開いたか追跡できません。
私物の記録媒体やクラウドへコピーされても、検知できないおそれがあります。

悪意のない操作も対策が必要です。
個人のチャットで画像を共有する行為や、公衆Wi-Fiでの作業も漏えいにつながります。
発注側は契約と現場の対策を分けて確認してください。

情報管理体制で確認する4項目

現場では、権限・役割・端末・資料の4項目を確認します。
規則の有無だけでなく、承認記録やアクセスログなどの証拠まで見ましょう。

1．アクセス権限の付与と失効

アクセス権限は、案件単位で管理されていることが重要です。
付与する人、承認者、失効する時点を確認します。
退職者や異動者のアカウントが残らない仕組みも必要です。

手動管理でも、手順が決まり、作業記録が残るなら確認できます。
「PMが管理する」という回答だけなら、承認方法とログの保存期間を聞きましょう。

2．作業者ごとの権限分離

全員へ同じ権限を与えると、情報へ触れる人の範囲が広がります。
そこで、RBAC（役割ベースのアクセス制御）が有効です。

テスト実行者には、担当ケースと必要なデータだけを開示します。
仕様書の閲覧は、テスト設計者以上に限るといった分離方法があります。
業務委託スタッフやアルバイトを増員するときの権限も確認してください。

3．会社支給端末と私物端末の制限

作業端末は、会社支給に限定されているかを確かめます。
私物端末を許可する場合は、MDM（モバイル端末管理）の運用が確認点です。
カメラや外部記録媒体への接続を制限できるかも聞きましょう。

規則があっても、現場で守られていなければ対策になりません。
可能なら、現地確認や監査報告書で運用状況を確かめます。

4．資料の印刷と持ち出し

紙の資料は操作記録を取りにくいため、個別の管理が必要です。
印刷の承認、発行者名の表示、廃棄記録があるかを確認します。
社外へ持ち出す場合は、事前申請と返却確認の手順も必要です。

テレワークでも、オフィスと同じ管理基準が適用されるかを確かめてください。
在宅での印刷や資料保管が例外扱いなら、漏えい経路が残ります。

確認項目	確認する証拠	要注意の回答
アクセス権限	付与・失効の記録、ログの保存期間	担当者の裁量に任せている
権限分離	役割別の権限表	全員が同じ権限で作業する
作業端末	支給端末の規則、MDMの設定	私物端末の使用を黙認する
印刷・持ち出し	承認記録、返却・廃棄記録	申請や記録がない

再委託では秘密保持義務と責任の所在を確認する

再委託そのものではなく、情報の渡る範囲が管理されているかが判断軸です。
繁忙期には、協力会社やフリーランスが業務へ加わる場合があります。

一次委託先とのNDAが、再委託先へ当然に及ぶとは限りません。
構造上のリスクは、SIerのテスト外注における多重下請け構造の記事でも解説しています。

再委託を許可するときの条件

再委託先にも、元の契約と同等の秘密保持義務を課します。
その実施責任は、発注元と直接契約する一次委託先へ持たせます。

発注元の書面による事前承諾を必要とする
再委託先の会社名と担当範囲を開示させる
秘密保持義務を再委託先にも引き継がせる
再委託先の行為に対する一次委託先の責任を定める

再委託を禁止するときの注意点

再委託を禁止すれば、情報の流通範囲を一次委託先の社内に絞れます。
一方で、繁忙期に人員を増やしにくくなり、日程の調整幅が狭まります。
禁止する場合は、社内だけで増員できる体制かを確かめてください。

方針	利点	確認事項
許可	人員を調整しやすい	義務の引き継ぎと一次委託先の責任
禁止	情報の流通範囲を絞れる	一次委託先だけで確保できる人員
事前承諾制	管理と人員調整を両立しやすい	開示・承諾の運用記録

ISMS・プライバシーマークは適用範囲まで見る

第三者認証は、情報管理体制を評価する出発点になります。
ISMSは、情報セキュリティ管理の仕組みが規格に適合することを示します。
プライバシーマークは、個人情報を扱う体制の適合性を示す国内制度です。

認証の有無だけでなく、担当拠点と部門が認証範囲に含まれるかを確認しましょう。
認証は、個々の作業者や対象案件の安全を直接保証するものではありません。

認証・報告	確認できる内容	確認時の注意点
ISMS（ISO 27001）	情報セキュリティ管理の仕組み	証明書で対象拠点・部門を見る
プライバシーマーク	個人情報を保護する体制	ソースコードなどは別に確認する
SOC 2など	対象となる統制の運用状況	報告書の対象範囲と期間を見る

認証がないことだけで、危険とは断定できません。
認証と実務の両面を見て、案件に必要な管理水準を満たすか判断します。

インシデントの報告・対応フローを確認する

対策を整えても、情報漏えいや不正アクセスの可能性は残ります。
発注前に、検知から報告、復旧、再発防止までの流れを確認してください。

検知：異常なアクセスや持ち出しをどう見つけるか
第一報：認知後、何時間以内に誰が連絡するか
報告内容：影響範囲、原因、暫定対応、恒久対応をどう伝えるか
社内連絡：現場から責任者へ、どの順番で報告するか
再発防止：原因分析と対策を、いつまでに書面で出すか

契約書の「速やかに報告する」は、具体的な時間へ置き換えることが重要です。
期限がなければ、発注元とテスト代行会社で判断が分かれるおそれがあります。

契約書・覚書に盛り込む6つの条項

ヒアリングで合意した対策は、契約書か覚書に残します。
文書にすれば、問題発生時の責任と対応を確認しやすくなります。

準委任と請負では、責任の定め方も異なります。
検討時は、契約形態ごとの判断軸を整理した記事も参考にしてください。

条項	明記する内容
秘密情報の定義	ソースコード、仕様書、テストデータ、個人情報
アクセス権限	付与・失効の条件、ログの保存期間
再委託	事前承諾、義務の引き継ぎ、一次委託先の責任
返却・廃棄	実施期限、対象、完了を示す書面
事故報告	第一報の期限、報告項目、再発防止策
損害賠償・監査	賠償条件と発注元による監査の範囲