2020年4月7日一度目の緊急事態宣言による長期間の外出自粛の要請が発出されてから早一年が経過。その後、一度目の緊急事態宣言が解除された後も”新しい生活様式”の一部としてテレワークは継続されており、それだけでなく業務実施場所の多様化やコミュニケーションのオンライン化などの新しい働き方は不可逆的な変化として定着するものと思われる。

緊急事態宣言発令によりCOVID-19対策として短期間でテレワークを導入、もしくは元々テレワークという制度は導入していたものの、積極的な利用とはなっておらず、利用頻度が急激に増加したことで見直しを余儀なくさるなど、組織は世の中の状況に合わせた対応が必要であった。
このような背景もあり、ICTの環境整備が優先され、セキュリティ対策が後回しになっているだけでなく、ITサプラチェーンにおける業務委託契約でも委託先(*1)と委託元(*2)の間で業務実施場所やコミュニケーションの方式等について整合ができていない可能性もある。

そこでIPAは「ニューノーマルにおけるテレワークとITサプライチェーンのセキュリティ実態調査」を実施している。
昨年12月に公開された個人への調査結果、および本年1月に公開した組織への調査結果における中間報告に続き、調査全体の最終報告が公開された。

コロナ禍におけるニューノーマルな状況にあっても、委託元・委託先がお互いの業務環境やルールについて十分に整合をした上で業務委託契約の内容を取り決めることが大切である。今回の調査結果は情シスにとっては気になる内容も多いと思われるが、今回は新たに明らかになったポイント中心にいくつか紹介する。時間が許す限り、資料をダウンロードし、その内容について目を通すことをオススメする。

1．会社が許可していないアプリケーションやサービスの業務利用を一時的に「やむを得ず」認め、現在も認めている

少し大げさかも知れないが、人命優先措置としてテレワークを緊急導入した企業も多数あるであろう。前述のテレワークの導入時期からも分かるようにテレワークにおける業務遂行を優先したことで、一時的にアプリケーション・ソフトウェア・クラウドサービスなどの利用をやむを得ず認め、現時点(2020年10月31日時点)も継続して認めている組織が一定数存在している。
そのような場合、本来は許可していない状況がその後も継続していることで、セキュリティ面での問題が放置されている恐れがある。
利用禁止に戻す、またはセキュリティに問題が無い事を確認し、改めてルール化した上で利用を許可するなどの対策の実施が急務である。

図1：会社が許可してないアプリケーション・ソフトウェア・クラウドサービスの業務利用

2．半分以上の委託元がテレワークに関する社内規定・規則・手順の遵守確認を実施していない

また「社員の間でテレワークに関する社内規程・規則・手順等が守られていることの確認」についても質問している。
その結果、委託元の半数以上がテレワークに関する規定などが守られている事を確認していないと回答している。

図2：テレワークに関する社内規定・規則・手順等が守られていることの確認状況

規定や手順が取り決められていても、遵守状況を確認できていないことにより、内部不正の機会が増加や、気づかないうちに規定に違反していることが原因でセキュリティインシデントが発生するなどの恐れがある。
また、「確認していない」という回答について委託元と委託先の差が21ポイントあり、委託元と委託先での確認の実態が大きく異なっている。
業務委託契約を締結するにあたり、委託先と委託元の間でテレワークの規定有無の確認および遵守状況の実施状況についても話し合っておくことが重要である。
（今回の結果についてはテレワークの実施割合の違いが、確認意識の違いにも表れているように感じる）

3．ニューノーマルに対応した業務委託契約は進んでいない

更に業務委託契約において、契約書・仕様書／利用規約・SLAの中で、情報セキュリティ上の要求事項についての取り決めの有無についても確認している。

図3：2020年4月1日から10月31日までの業務委託契約で委託元が取り決めたセキュリティ要求事項

業務委託契約を行う上でのテレワークの導入、BYODの使用などに関する業務委託契約上の要求事項については検討が進んでいないことが伺える。
その一方、これらの要求事項について検討する必要性は感じている結果が見えていること、さらには有識者からの指摘事項などから、今後ニューノーマルに関するセキュリティ精査・強化が進むことが考えられる。
通常オンサイトでの業務実施が当たり前だった業務委託作業についても、今後はテレワークの作業となる、または、状況によりオンサイトとテレワークの両方で作業されることなどが想定される。
業務委託契約を締結するにあたり、委託先と委託元の間で業務環境やテレワーク実施の可否、BYODの使用の有無について話し合っておくことが情報セキュリティ上、重要である。

【報告書ダウンロード】　※外部サイトへ移動します

最終報告書：調査報告書「ニューノーマルにおけるテレワークとITサプライチェーンのセキュリティ実態調査」