客先セキュリティ要件対応｜ISMS・Pマーク・持ち込みPCの実務

客先セキュリティ要件とは｜ISMS・Pマークの基礎

客先セキュリティ要件とは、参画先の企業が業務委託先（フリーランスを含む）に守らせる情報セキュリティ上のルールの総称です。認証取得企業では、委託先管理の一環として、委託内容やリスクに応じたセキュリティ管理を求めるのが一般的です。

要件は認証の種類によって重心が異なります。ISMS（ISO/IEC 27001）は情報資産全般、プライバシーマークは個人情報保護、SOC2は主にサービス提供事業者の統制状況を第三者が評価する枠組みで、アクセス管理やログ管理などの運用要件に影響することがあります。参画先が何を持っているかで、フリーランスが求められる対応も変わります。

ISMS（ISO/IEC 27001）とは

結論から言うと、ISMSは組織の情報セキュリティマネジメントの国際規格です。 認証取得企業は情報資産を洗い出し、リスクに応じた管理策を実装・運用する義務を負い、その一環として業務委託先にも同等の管理を求めます。

フリーランスに影響が出るのは主に次の点です。

• 端末に関する管理策（貸与PC必須、または持ち込みPCへのEDR/MDM導入）

• アクセス管理（多要素認証・VPN経由の接続限定）

• 記録の残し方（誰がいつどのデータにアクセスしたかのログ保存）

• 事故発生時の報告義務（インシデント発覚から24時間以内など、契約で個別に定めるケースがある）

国内のISMS適合性評価制度では、ISMS-AC（情報マネジメントシステム認定センター）が制度運営に関与しており、実際の認証審査は認定を受けた認証機関が行います。認証取得企業リストは公開されているため、参画先が取得しているかは、企業サイトの「認証取得」表示やISMS-ACの検索で確認できます。

プライバシーマーク（Pマーク）とは

プライバシーマークは、個人情報保護の管理体制を評価する国内の第三者認証です。 個人情報の取り扱いが多い企業（人材・広告・EC・医療系など）で取得例が多く、プライバシーマーク制度はJIPDECにより運用されています。

Pマーク取得企業では、個人情報を扱う業務を中心に、次のような制限が設けられることがあります。

• 個人情報を扱う工程での作業場所の指定（社内オフィス限定・特定IPからの接続限定など）

• 個人情報のダウンロード・スクリーンショット・印刷の禁止

• USBメモリ・外部ストレージの持ち込みおよび接続禁止

• 私用スマートフォンの持ち込み制限

ISMSと比べると「個人情報を扱う具体的な工程」に対して細かい制約が入るのが特徴です。

フリーランスに求められる主な要件パターン

認証の有無だけでなく、扱うデータの機微さで水準が変わります。 実務で遭遇する要件はおおむね次の3パターンに整理できます。

参画先の要件がどのパターンに該当するかは、面談段階で必ず確認します。後述のチェックリストで具体的な聞き方を整理しています。

ミニFAQ

• Q. ISMSを持っていない企業なら要件は緩い？

A. 認証の有無と要件の厳しさは必ずしも一致しません。認証なしでも金融系委託の場合は元請の要求で同等の管理を求められることがあります。

• Q. Pマークだけの企業では個人情報を扱わなければ要件は関係ない？

A. 個人情報を扱わない工程でも、社内ネットワーク接続時の端末要件は共通で適用されるのが一般的です。

案件参画前に確認すべき要件｜4分類チェックリスト

面談段階で確認する要件は「端末・ネットワーク・場所・情報取扱」の4分類で押さえます。 案件によっては、個人PCの買い替えや作業スペースの再整備で、稼働開始が1〜2週間程度遅れることがあります。

各分類ごとに、面談で聞くべき具体的な質問と、想定される回答パターンを整理します。より広い意味での参画準備は案件決定から稼働開始までの準備にまとまっています。

端末要件｜持ち込みPCと貸与PCの分岐

端末は「貸与」「持ち込み＋管理あり」「持ち込み＋管理なし」の3択で決まります。 面談で確認すべき質問は次のとおりです。

• 業務用PCは貸与ですか、持ち込みですか

• 持ち込みの場合、必須のセキュリティソフト（EDR・アンチウイルス）はありますか

• MDM（モバイルデバイス管理）への登録は必要ですか

• OS・ブラウザ・ミドルウェアのバージョン指定はありますか

• ディスク暗号化（BitLocker・FileVault）の有効化は求められますか

貸与PCは受け取り・返却の物理的な手間が発生します。実務上は郵送または受取拠点への訪問で、稼働開始の数営業日前に手配されることが多いです（案件運用上の傾向）。

ネットワーク要件｜VPN・固定IP・接続元制限

ネットワーク要件は「どこから」「どうやって」接続するかの制約です。 一般的なパターンは次のとおりです。

• クライアント指定のVPN経由のみ（VPNクライアントのインストールが必要）

• 特定IPアドレスからの接続限定（自宅の固定IPを申告、または業務専用SIM）

• 多要素認証（TOTP、SMS、ハードウェアキー）

• 業務時間帯の指定（深夜帯の接続を禁止する場合もある）

固定IPを求められた場合、光回線プロバイダのオプション契約や、業務用モバイルWi-Fiの追加費用が発生します。追加費用は回線や契約形態で変わりますが、数百円〜数千円の範囲になることがあります。稼働時間との兼ね合いで案件側が費用を持つケースもあるため、面談で確認します。

作業場所要件｜在宅・常駐・入館証

作業場所は「フルリモート・ハイブリッド・常駐」の3パターンに大別されます。 常駐案件ではさらに次の確認が必要です。

• 入館証の受け取り方（郵送・当日受け取り・保証金の要否）

• 私物のPC・スマホの持ち込み可否

• 写真撮影・録音・SNS投稿の可否

• 業務外の連絡手段（Slack・電話への応答が制限されるケース）

在宅ワークでも「作業場所の指定」がある案件があります。家族と共用のリビングは不可、独立した作業部屋・施錠可能な部屋を推奨、といった条件です。書類を交わす前に確認しないと、対応のために作業スペースを整える費用が発生します。

在宅・出社の比率で悩んでいる方は常駐からリモート案件へ切り替える手順も参考になります。

情報取扱要件｜データ持出・USB禁止・クラウド利用

情報取扱要件は「持ち出さない・残さない・別の場所に上げない」の3原則が基本です。 具体的な禁止・許可の例です。

• USBメモリ・外部HDDの接続禁止

• クラウドストレージ（Dropbox・Google Drive・iCloud）への保存禁止

• 生成AI（ChatGPT・Claude等）への業務データ入力の禁止・条件付き許可

• スクリーンショット・写真撮影の禁止

• 契約終了時のデータ完全削除の証跡提出

生成AIの利用可否は近年特に多い論点です。一律禁止の企業もあれば、無料版のみ禁止・有料の企業契約プランのみ可、という運用もあります。スキルシート作成をAIで進める場合の情報管理はスキルシートをAIで作る手順で整理しています。

ミニFAQ

• Q. 持ち込みPCの案件で家族と共用のノートPCを使ってもいい？

A. 案件ごとの誓約書・社内規程によりますが、家族共用を認めない運用は珍しくありません。業務専用の管理者アカウントを別に作り業務データを個人領域と分離する運用を最低ラインとし、長期案件では業務専用機を用意するのが安全です。

• Q. VPN接続時に自宅のスマート家電が繋がらなくなるのは？

A. VPN経由で全通信を通す「フルトンネル」設定だと発生します。個別アプリだけVPNを通す「スプリットトンネル」設定に切り替えられるかを事前に確認します。

持ち込みPC対応の実務｜BYOD案件で必要な準備

持ち込みPCで参画する場合、案件開始までに「端末側の準備」「ソフトウェア導入」「運用ルールの整備」の3ステップが発生します。 貸与PCと比べて稼働開始までの準備工数が多くなるため、案件によって差はありますが、BYOD案件では1〜2週間以上の準備期間を見込むと安全です。

事前に必要な設定・対応

• OSは最新の安定版に更新する（Windows 10のサポート終了は2025年10月14日で終了済み。要件でWindows 11以上が指定されるケースが増加）

• ディスク暗号化を有効化する（BitLocker、FileVault）

• 画面ロック（5〜10分無操作で自動ロック、パスワード再入力）

• ローカル管理者アカウントと業務用アカウントを分離

• ブラウザは業務用と個人用でプロファイルを分ける

• スクリーンショットを自動でクラウドに送るツールを無効化

Macを業務PCとする場合、参画先の指定ソフトウェアがApple Silicon（M1以降）に対応しているかを事前に確認します。VPNクライアントや旧世代のリモートデスクトップは非対応のことがあります。

監査・EDR/MDM導入の実務

参画先から指定されるセキュリティソフトウェアは、貸与インストーラを受け取って自分の端末に入れる形が一般的です。 導入すると次のような制御が働きます。

• 未承認アプリのインストール制限

• USBメモリ接続時の警告・ブロック

• 業務時間外のログイン記録

• OSアップデートの強制適用

• 端末紛失時のリモートワイプ

MDMやEDRは、業務時間外や休日にもバックグラウンドでプロセスが動きます。プライベート利用の性能に影響が出るのが気になる場合は、業務専用機を分けるのが現実的です。

個人PCを分けるか業務専用機を用意するか

業務専用機を用意する目安は「同時に複数案件を受ける」「案件期間が6ヶ月以上」「機微情報を扱う」の3条件のいずれかに該当する場合です。 中古のノートPCでも要件を満たせば運用可能で、必要スペックとサポート期間（OSアップデート提供の残存期間）を優先して選びます。

業務専用機のメリットは、契約終了時のデータ削除・機材返却の対応が明確に切り分けられる点にあります。個人利用と混在した端末では、退場時に何を消したかの証跡が示しにくく、監査を求められた場合に対応が難しくなります。

ミニFAQ

• Q. MDMを入れると端末を勝手に操作されない？

A. MDMの権限は事業者により異なります。多くは「業務データの削除」「業務アプリの制御」までで、個人写真・私用メールの閲覧はできない構成が一般的ですが、契約前に権限範囲を書面で確認します。

• Q. 期間終了後にMDMは自動でアンインストールされる？

A. 自動化されている場合とされていない場合があります。アンインストール手順は退場時のチェックリストに含めておくと確実です。

業種別のセキュリティ水準の違い｜案件選びの判断軸

業種によって求められる水準は大きく変わります。 案件選びの段階で自分の対応可能範囲と照らし合わせておくと、面談後に条件不一致で辞退する手間が減ります。

案件個別で逆転もあります。公共でも軽い案件はあり、Web系でも個人情報・決済基盤を扱う案件では要件が厳しくなります。実際の要件は案件個別に確認します。

金融・保険（厳しい傾向）

金融系案件は監督官庁のガイドラインを受けて要件が細かく規定される傾向があります。 銀行・証券・保険では業務委託先の再委託先まで管理対象になるケースがあり、参画時に本人確認や反社チェック・経歴確認が求められることがあります。詳細は金融業界のフリーランスエンジニア案件を参照してください。金融委託の管理指針は金融庁のガイドライン類も踏まえて設計されるため、契約時に依拠する規程を確認しておくと安全です。

FinTech（決済・ネオバンク・ロボアドバイザー等）は金融庁の登録業者としての要件が加わります。案件動向はFinTechフリーランスエンジニア案件で扱っています。

公共・官公庁

官公庁・自治体案件は入場審査・書類提出が多い水準になりやすい領域です。 私物のPC・スマホの持ち込み禁止、業務時間中の私用連絡制限など、常駐前提の運用が中心です。詳細は官公庁・公共系のフリーランスエンジニア案件で解説しています。

一部の高機微案件では、追加の適性確認や審査が入ることがあります。制度そのものは適用範囲が限定的なので、実際の対象になるかは案件個別に確認します。制度全体の概要はセキュリティクリアランス制度を参照してください。

医療・ヘルステック

医療系案件は患者情報（要配慮個人情報）の取扱ルールが厚生労働省の「医療情報システムの安全管理に関するガイドライン」で規定されています。 匿名加工・仮名加工の要件、事故発生時の報告義務、監査ログの保管期間などに対応する必要があります。市場や職種は医療・ヘルスケア業界のフリーランスエンジニア案件で扱っています。個人情報全般の運用は個人情報保護委員会のガイドラインも合わせて確認します。

一般Web・SaaS

Web系・SaaS系は要件が最も標準化されており、BYOD＋EDR導入が中心です。 案件参画のハードルが最も低く、フリーランスとして最初に受ける案件の多くはこの水準に入ります。

契約・書類まわり｜誓約書と貸与機材受領書の要点

参画時に交わす書類は主に4種類あります。 書面提出のタイミングと注意点を整理します。

• 秘密保持契約書（NDA）：業務委託契約と同時、または先行して締結。条項の具体的な確認点は秘密保持契約（NDA）とはを参照

• 情報セキュリティ誓約書：客先ごとに書式が異なる。責任範囲・違反時の措置が個別に記載される

• 貸与機材受領書：PC・入館証・トークンの受け渡し時に交わす。返却期限を明記

• 持ち出し禁止事項の同意書：持ち込みPCの場合に別途求められることが多い

誓約書のチェックポイントは、次の3点です。

• 損害賠償の上限が青天井になっていないか（損害賠償条項の確認ポイントと併せて確認）

• 退場後の秘密保持期間が過度に長くないか（契約終了後も一定期間または無期限で秘密保持義務が残ることがある。業界・契約先で幅がある）

• 事故報告義務のタイムラインが実現可能か（発覚から24時間以内など、家族が体調不良の状況でも守れる範囲か）

契約段階の全体的な流れはフリーランス案件参画までの流れ、参画前に避けるべき条件は地雷案件の見分け方にまとまっています。

参画後に発生しがちなトラブルと対処

参画後のトラブルはOS更新・作業環境・退場時対応の3領域で頻発します。 事前に想定しておくと、発生してからの対応時間を大幅に短縮できます。

OSアップデートで社内NWに繋がらなくなった

VPNクライアントや証明書がOSアップデートで動作しなくなるケースがあります。対処の基本は次の順序です。

1. アップデート前にVPN接続の可否を確認する運用にする（大型アップデートは1週間以上待つ）

2. 接続不能になった場合は、まずクライアントの再インストール

3. 再インストールで復旧しない場合は、参画先の情報システム部門へ連絡

再インストールで復旧することもありますが、証明書や端末制御の再設定が必要な場合もあります。復旧を待つ間は稼働できず稼働時間の未達につながる可能性があるため、事前告知と代替タスクの用意で影響を抑えます。稼働報告の書き方はフリーランスの稼働報告とドキュメントを参考にしてください。

家族との共用スペースでの作業をどう管理するか

同居家族がいる在宅ワーカーは、画面を見られないための物理的な工夫が必要です。実践しやすい対応は次のとおりです。

• 覗き見防止フィルタの装着（1,500〜3,000円）

• モニターの向きを壁側にする

• 離席時の画面ロックをショートカットキーで即座に実行

• Web会議中の家族の映り込み・音声混入を防ぐ環境を用意

参画初月の立ち回りはフリーランス参画初月の立ち上がり方にまとめています。

退場時のデータ削除・機材返却

契約終了時は「データ削除」「機材返却」「アカウント削除依頼」の3点を同日または短期間で完了させます。 チェック項目は次のとおりです。

• 業務データ・キャッシュ・ローカル保存物の完全削除（可能なら削除証跡を残す）

• 貸与PC・入館証・トークン・その他配布物の返却

• クラウドサービス・チャットツール・リポジトリのアカウント削除依頼

• MDM・EDRのアンインストール（自動化されている場合は動作確認）

万一の情報漏えい対応は参画先で情報漏えいが起きたらにまとまっているため、退場後に発覚した場合の初動として押さえておきます。

実践チェックリスト｜面談〜稼働開始まで

面談から稼働1週間目までのタスクを時系列で整理したチェックリストです。 実際の案件によって省略できる項目もありますが、対応の網羅性を担保する目的で活用します。

面談時に確認する5項目

1. 端末は貸与か持ち込みか、持ち込みの場合の必須ソフトウェア

2. 作業場所（フルリモート／ハイブリッド／常駐、家庭内の場所指定）

3. データ持出・USB・生成AI利用の可否

4. 提出書類（NDA、誓約書、身分証、住民票の要否）

5. 退場時の対応（データ削除の証跡、機材返却期限）

契約締結〜稼働1週間前に準備

• NDA・情報セキュリティ誓約書に署名・返送

• 貸与機材の受け取り日程調整

• 持ち込みPCの場合、OS・ブラウザ・セキュリティソフトの最新化

• 業務用アカウント、ブラウザプロファイルの分離

• 覗き見防止フィルタ・作業スペースの整備

• ネットワーク環境の確認（VPNの疎通、必要な帯域）

稼働初日〜1週間

• MDM・EDR等の指定ソフトウェア導入

• 多要素認証の登録

• 業務ツール（Slack・GitHub・Jira等）へのアクセス確認

• 稼働時間・稼働報告のルール確認

• 事故報告・障害対応の連絡先の確認・保存

退場時（契約終了）

• ローカルデータ・キャッシュの完全削除

• 貸与機材の返却（受領書のコピーを保管）

• クラウドサービスのアカウント削除依頼

• MDM・EDRのアンインストール

• 秘密保持義務の残存期間の確認

まとめ

客先セキュリティ要件は「端末・ネットワーク・場所・情報取扱」の4分類で確認し、加えて書類提出・退場時対応を押さえておくと参画後のトラブルが減ります。要点をおさらいします。

• 認証（ISMS・Pマーク）の有無より、扱うデータの機微さで水準が決まりやすい

• 面談時の5項目確認（端末・場所・データ持出・書類・退場時対応）が最も投資対効果が高い

• 持ち込みPC案件は業務専用機を分離する運用が退場時のトラブルを回避しやすい

• 業種別の傾向（一般に金融・公共・医療は高水準になりやすい）を理解し、自分の対応可能範囲と照らす

• BYOD案件は1〜2週間以上の準備期間を見込むと安全（案件により差あり）

• 退場時は「データ削除・機材返却・アカウント削除」の3点セットを短期間で完了させる

• 面談で確認できなかった要件は、稼働開始前に書面（メールでも可）で運用の書き起こしを依頼しておく

参画前後のフロー全体はフリーランス案件参画までの流れ、稼働開始準備の詳細は案件決定から稼働開始までの準備に整理があります。セキュリティに強いエンジニアを目指すキャリアパスはセキュリティエンジニアとはを参照してください。

参考にした公開情報：ISMS-AC（情報マネジメントシステム認定センター）、プライバシーマーク制度（JIPDEC）、情報処理推進機構（IPA）情報セキュリティ、個人情報保護委員会、厚生労働省、金融庁。