まず結論：NDA後に「運用の事実」を揃える
委託先調査で止まやすいのは、公開サイトの方針だけでは足りず、かといって契約前に細部を出せない状態です。NDAは、環境の扱い・権限の分け方・インシデント時の連絡・再委託の境界など、運用の事実を渡すための区切りになります。
発注側は「チェックシートを埋めさせる」だけでなく、渡してほしい最小セットを先に示すと、ベンダー比較がセキュリティの口約束ではなく資料ベースになります。
NDA前に出しやすい
NDA後に渡す
NDA後に揃える最小セット
厚いポリシー集より、次の6点が揃っていると情シス・調達の質問が早いです。無い項目は「未整備」と書き、いつまでに決めるかを添える方が、曖昧な口頭回答より信頼されます。
体制と責任分界
発注側／ベンダー／再委託の誰が何を持つか
環境の分離
開発・検証・本番の分け方（詳細は図1枚で可）
権限とアカウント
本番アクセス、特権、退職・異動時の消し方
ログ・バックアップ
何を残し、誰が見られるか（保存期間の目安）
インシデント連絡
気づきから連絡までの経路と目安時間
再委託・データ所在
外部サービス利用とデータの置き場所の説明
- チェックシートの質問と、上記6点が対応づいているか
- 「今後整備」と「すでに運用」が混ざって書かれていないか
- 本番データへのアクセス者が名前または役割で書けるか
- 再委託がある場合、契約上の位置づけが一文であるか
発注側での使い方（比較と稟議）
同じ質問セットを複数社に送り、回答の厚みではなく「事実が書かれているか／未整備を認めているか」で比較します。カタログや認証ロゴだけの回答は、運用の確認が残っている合図です。
社内稟議では、セキュリティを「全部ゼロリスク」ではなく、責任分界と連絡経路が明確かで説明すると通りやすいです。金額の高低だけの比較にしないための材料にもなります。
- 01
NDA締結
詳細資料を受け取る区切り
- 02
最小セット受領
6層＋チェックシート
- 03
差分質問
未整備と本番アクセスを深掘り
- 04
契約条件へ
分界・再委託・連絡を条項に
次の一歩
発注側は、自社のチェックシートとこの6層を対応表にしてからベンダーに渡すと早いです。ベンダー側・自社のセキュリティ整備の相談も、同じ項目の現状整理から始められます。
よくある質問
NDA前にセキュリティは何も出せませんか？
公開できる方針・開発プロセス・一般的なチェック項目への回答方針はNDA前でも共有できることが多いです。環境構成や個別の認証情報に近い詳細はNDA後に回します。
外注前チェックリストとの違いは？
チェックリストは発注側が確認する観点の一覧です。本記事は、NDA締結後にベンダー側（または自社の委託調査パッケージ）として揃える資料のセットに焦点を当てます。
ISMSや認証がないと不利ですか？
認証の有無だけで決まる案件ばかりではありません。権限・ログ・本番アクセス・再委託・インシデント連絡の運用が説明できるかの方が、中堅の業務システムでは実務上聞かれやすいです。
セキュリティ整備の相談にも使えますか？
使えます。基幹や海外拠点と並行する現状整理でも、同じ項目（権限・ログ・委託境界）が起点になります。製品導入ありきではなく、事実の整理から進めます。