情報セキュリティ対策は外部委託か内製か｜担当者が少ない会社の切り分け方

中小企業は、どのくらい外部に委託しているのか？

IPAの2024年度調査では、中小企業の7割が情報セキュリティ業務を外部に委託していません。委託したい先として費用対効果が高いと思うものを尋ねた設問では、6割近くが「分からない」と答えました。

IPAの「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（報告書は2025年5月、回答4,191社）では、情報セキュリティ業務の外部委託（システム子会社への委託を含む）をしていない企業が70.4%でした。委託している業務（複数回答）は回答企業全体に対してどれも数%台で、比較的多かったのは「情報セキュリティ・BCPのコンサルティング（ISMSやプライバシーマークの取得などを含む）」の6.8%と「ウイルス監視サービス」の5.9%です。

同じ調査で、外部に委託している、または委託したいと考えている業務のうち費用対効果が高いものを尋ねると、「ウイルス監視サービス」が15.2%、「情報セキュリティ・BCPのコンサルティング」が11.4%で、「分からない」が59.1%でした。報告書は、実際に委託している割合より高い傾向から、外部委託への一定の期待が読み取れるとしています。外に頼みたい気持ちはあっても、何をどこまで頼めばよいのかが整理されていない会社が多い様子がうかがえます。

体制の面でも、同じ調査で専門部署や担当者があるのは9.3%、兼務の担当者が任命されているのは21.0%、「組織的には行っていない（各自の対応）」が69.7%でした。社内の人手が少ないことが、委託するかどうかを考える出発点になっている会社は多いと考えられます。

外部委託と内製は、何が違うのか？

内製は社内に知識が残り、自社の事情に合わせやすい一方、人を確保して育てる時間がかかります。外部委託は専門性をすぐに使える一方、委託先を選び、報告を受けて判断する力が社内に要ります。

どちらにも長所と短所があるため、実際には仕事ごとに組み合わせることになります。費用の見積もり方は、情報セキュリティ対策の費用相場と決め方の記事で、「人の時間」と「外部サービス」を同じ表に並べて比べる方法を扱っています。

国の手引きは、何を社内に残すべきとしているのか？

経済産業省とIPAの手引きは、仕事を「必ず自社要員で対応すべき分野」「実施者により意味合いが異なる分野」と、そのほかの委託が可能な分野に分けています。経営層の役割とセキュリティの統括は、少なくとも意思決定と管理を自社に残します。

経済産業省とIPAの「サイバーセキュリティ体制構築・人材確保の手引き」（第2.0版・2022年6月15日公開）は、自社で実施するか外部に委託するかの判断は経営において非常に重要な意味を持つとし、実務の担当者が人手の足りる・足りないで判断するのではなく、セキュリティの統括を担う層より上位の階層で決めることが適切だとしています。そのうえで、仕事を次の3つに分ける考え方を示しています。

1. 「必ず自社要員で対応すべき分野」：経営層が担う分野、セキュリティの統括、経営のリスク管理、法務、事業の現場など。自社の経営判断に直結する分野の外部委託は不適切で、少なくとも意思決定や管理は自社の要員で対応することが望ましいとしています。人材が足りない場合も、自社の要員の責任のもとで外部の専門事業者と役割を分けて対応します
2. 「実施者により意味合いが異なる分野」：システム監査とセキュリティ監査。社内の要員による内部監査と、外部に委託する外部監査では意味合いが違うため、目的に応じて使い分けます
3. そのほかの委託が可能な分野：脆弱性診断、セキュリティの監視・運用など。経営方針や事故のときの影響、自社の人手に応じて許容できる範囲で委託できますが、手引きは「分野のすべての委託は不可」とし、どこまで委託してどこを自社でやるかを併せて検討するよう求めています

手引きは、脆弱性診断などの専門の作業を委託する場合も、委託仕様を決めることや委託先からの報告に対応する体制が社内に必要だとしています。システムの保守・運用を委託する場合も、利用者の権限の管理など、社内で対応するのが適切な作業があると書いています。さらに、外部委託を積極的に使っていても、自社のリスクを把握して対策を進める立場の人を、自社の要員として割り当てる必要があるとしています。

仕事ごとに、どう切り分ければよいのか？

決めること・管理すること・取引先に答えることは社内に、専門の道具と人手が要る作業は外部に、案づくりや教育は組み合わせる、という切り分けが目安になります。下の表は、手引きの考え方をもとにプレラナが中小企業向けに整理したものです。

相談窓口・監視・駆け付け・簡易な保険を原則として一つの契約にまとめた中小企業向けのサービスとして、IPAが基準を定め、基準に適合したサービスとして民間の事業者が提供する「サイバーセキュリティお助け隊サービス」があります。監視や診断などの専門サービスを探すときは、経済産業省の「情報セキュリティサービス基準」に適合すると審査されたサービスの一覧（IPA「情報セキュリティサービス基準適合サービスリスト」）も入口になります。IPAは、掲載について「いかなる保証等をも意味するものではありません」と明記しているため、契約の中身は自社で確かめます。

外部に委託しても、社内に残る作業は何か？

委託する範囲と仕様を決めること、報告や通知を受けて判断すること、社内に周知すること、委託先を管理することの4つは、委託しても社内に残ります。ここを担う人の時間を、最初から見込んでおきます。

• 範囲と仕様を決める：何を守るために、何をどこまで頼むかを決めます。止まると困る業務が決まっていないと、仕様が決まりません
• 報告や通知を受けて判断する：監視の通知や診断の結果を受けて、止めるか・直すか・受け入れるかを決めます。手引きは、担当者が兼務であっても、事故のときには司令塔の役割に専念できるようにする必要があるとしています
• 社内に周知する：委託先が見つけた問題や新しい決まりを、従業員に伝えて守ってもらいます
• 委託先を管理する：契約の範囲どおりに提供されているか、委託先自身の守りは十分かを確かめます。委託先での事故が自社の事故になることもあるためです

外部委託と内製は、どの順番で決めるのか？

仕事を書き出し、止まると困る業務とつなげ、社内で担える時間を測ってから、外部に頼む範囲を決めます。最初の一歩は、今だれが何をしているかを1枚に書き出すことです。

1. 今週：今の仕事と担当を1枚に書き出す。パソコンの更新、アカウントの発行と削除、バックアップ、ウイルス対策の確認、取引先への回答など、だれがやっているか（またはだれもやっていないか）を書きます
2. 止まると困る業務とつなげる。書き出した仕事のうち、受注・出荷・請求などの業務を守るのに関わるものに印を付けます
3. 社内で担える時間を測る。担当者が月に何時間使えるかを確かめます
4. 表の目安に沿って3つに分ける。「社内」「組み合わせ」「外部」に分け、社内の時間に収まらない分を外部の候補にします
5. 経営者が範囲を決める。手引きのとおり、委託するかどうかは担当者ではなく経営者が決めます。社内に残す4つの作業を担う人も同時に決めます
6. 年に1回見直す。社内の担当者が育てば、外部に頼んでいた仕事を社内に戻すこともできます

ご相談では、どんな論点が出ているのか？

プレラナが打ち合わせで伺う中でも、取引先からの確認には自社で答えられる状態が要る、操作の記録をなるべく残したい、といった論点がありました。どちらも、外部の手を借りても、最後に判断して説明するのは社内だという点につながります。

取引先から定期的にセキュリティのチェックシートが届く製造業のご相談では、一問一答で答えられる書面が要る、というお話がありました。回答の案づくりは外部の補佐を受けられますが、回答に責任を持ち、取引先から追加で聞かれたときに説明するのは自社です。

機微な取引情報を扱う商社のご相談では、生成AIを業務で使い始めるにあたり、操作の記録をなるべく残したい、という声がありました。記録を取る仕組みは外部の製品やサービスに頼めても、その記録をいつ・だれが見て、何をしたら止めるのかを決めるのは社内の仕事です。

プレラナ自身も、社内で常時動かしている自動処理318本のうち87本は、ほかの処理や操作が決まりどおりに行われているかを見張る監査・点検の仕組みです（2026年8月25日時点の社内の実測）。見張る仕組みを作ることと、見張った結果を受けて判断することを、別の役割として扱っています。

今の仕事と担当の書き出しから、社内に残す仕事と外部に頼む仕事の切り分け表づくりまで、貴社の体制に合わせて一緒に整理します。委託と内製の切り分けを相談する

プレラナがお手伝いできること・しないこと

プレラナは、今の仕事と担当の棚卸し、仕事ごとの切り分け表づくり、委託先に渡す依頼の整理、規程や教育の案づくりをお手伝いします。法的な判断、保険商品の紹介や推奨、認証の審査、監視や診断のサービスの提供そのものは行いません。

プレラナは、AI導入のご支援（AI導入企業50社以上・10業界以上）の中で、業務の手順を書面にし、現場で回る形に定着させることに関わってきました。

プレラナが行わないこと：個別の法的判断（弁護士にご確認ください）、保険商品の紹介や推奨、ISMSやPマークなど認証の審査と合否の見込み、SCS評価制度★3の専門家としての確認、監視や脆弱性診断のサービスの提供、特定の製品やサービスの販売・推奨、事故のときの調査（フォレンジック）や復旧作業そのもの。必要な場合は、専門の事業者へ依頼する事項の整理までをお手伝いします。

よくある質問

担当者がいない会社は、すべて外部に任せてもよいですか？

すべてを任せることはできません。経済産業省・IPAの手引きは、外部委託を積極的に使っていても、自社のリスクを把握して対策を進める立場の人を自社の要員として割り当てる必要があるとしています。兼務でも1人を決め、委託先との窓口と判断を担ってもらいます。

ITの保守を頼んでいる会社に、セキュリティも任せてよいですか？

任せることはできますが、契約にセキュリティのどの作業が含まれているかを確かめます。保守の契約に、監視や事故のときの対応が含まれていない場合もあります。権限の管理のように、委託していても社内で確かめるべき作業も残ります。

内製に切り替える目安はありますか？

決まった目安はありませんが、外部からの報告を社内で読み解いて判断できるようになったら、規程の見直しや教育など、社内の事情に合わせやすい仕事から社内に戻すことを検討できます。監視や調査のように専門の道具と人手が要る仕事は、外部に頼み続けるほうが現実的な場合が多いと、プレラナは考えています。

外部の顧問と、監視などの専門サービスは何が違いますか？

顧問は、方針や体制づくり、経営者の判断を補佐する契約です。監視や診断などの専門サービスは、決まった作業を実施する契約です。目的が違うため、両方を組み合わせる場合もあります。顧問の選び方は、外部CISO・セキュリティ顧問の選び方の記事で扱っています。