画面の向こうで働いているのは誰か ― 採用・外注の「人材サプライチェーン」

「委託先は確認済みです。担当者の経歴にも問題ありません。」そう報告された時、実際に誰が自社のシステムへ接続しているかまで、確かめられているでしょうか。採用や外注は、人の知識や技能を借りる機会です。同時に、業務によっては、顧客情報やシステムの設定を扱う権限を相手に渡すことにもなります。

地域金融機関、通販事業者、カード会社、生損保会社のサービスは、外部の開発者や保守担当者にも支えられています。契約した会社は分かる。しかし、再委託の先で誰が作業しているかは分からない。この隔たりに、攻撃者が入り込む余地があります。

採用時に確認した人や、委託先から届け出られた担当者と、実際に端末を操作する人は一致しているでしょうか。担当者の交代や再委託の後も、確かめる必要があります。今回は、採用や委託を通じて人が業務に加わるつながりを「人材サプライチェーン」と捉え、権限の付与から回収まで、その守り方を考えます。

2026年9月18日、警察庁と国家サイバー統括室は、米国、豪州、ドイツとともに、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum」と北朝鮮IT労働者に関する文書を公表しました。そこでは、国内の支援者宅に置いたパソコンを遠隔操作する「ラップトップ・ファーム」を、国内で初めて把握し、捜査・解体したことが明らかにされています。支援者の身元情報を使って仕事を受注し、居場所を偽装して実際の業務を行う活動も報告されています。

共同公表資料
https://www.npa.go.jp/bureau/cyber/pdf/20260918_j.pdf

たとえ国内に端末があり、打合せに応じ、成果物も届いていたとしても、申告された作業者本人が操作していると確かめたことにはなりません。未申告の交代や再委託を放置すれば、自社が承認していない人に、顧客情報の閲覧やシステムの変更を許しかねません。私がここで注目したいのは、採用や契約の確認を終えた後に、実際の作業者と、その人に渡した権限を結び付けて確認する工程が抜け落ちることです。

例えば、会員サイトの改修を外注する場面を考えてみてください。業務部門は納期と品質を、調達部門は契約条件を確認します。システム部門は委託先の依頼に応じてアカウントを発行します。それぞれが自分の役割を果たしていても、担当者が交代した時に誰が確認するのか、再委託先にも同じアカウントを使わせていないかを、誰も把握していないことはあり得ます。

この問題は、採用担当者に見抜く力を求めるだけでは解決しません。必要なのは、人事、調達、業務、システムの各部門が、確認した内容を次の担当へ渡すことです。採用や業務委託を、権限を付与し、利用状況を確かめ、最後に回収する一連の仕事として設計する必要があります。

まず、仕事を依頼する段階で、「誰が受け、誰が実際に作業するか」を確認します。直接採用や個人への委託なら、本人確認に加えて、連絡先や職務経歴、技能の説明に整合があるかを確かめます。企業への委託なら、実作業者の把握方法、再委託の範囲、担当者変更時の通知と承認を契約で明確にします。すべての委託先へ同じ負担を課すのではなく、顧客情報や本番システムに触れる仕事から優先して確かめるのが現実的です。

確認の基準は、業務上必要な事実に置きます。国籍や容貌、話し方、リモート勤務という働き方だけで人物を判断してはいけません。身分証の画像も一つの材料にすぎず、画像を集めるだけでは、後に端末を操作する人との一致まで確認できません。確認の目的と扱う情報を絞り、本人にも確認理由を説明し、不一致があれば説明や訂正ができる手順を整えることが大切です。

次に、権限を渡す段階では、作業者ごとのアカウントを、どの契約に基づく仕事か、誰が作業者を確認したか、いつまで使うかと結び付けます。部署や委託先で共用するIDでは、操作した人を後からたどりにくくなります。端末の管理方法と許可する接続方法を定め、遠隔操作の利用状況を点検できるようにします。本番の顧客情報を渡さずに済む作業にはテスト用データを使い、顧客情報の閲覧や設定変更の権限は、必要な作業に限定して付与します。

契約後も、担当者や作業場所、使用端末の変更を把握する必要があります。例えば、申告していない端末からの接続や、担当範囲を超える大量の情報取得があれば、確認に進むきっかけになります。ただし、一つの通信記録だけで操作者の身元や不正を断定することはできません。業務上の変更連絡と操作記録を照合し、食い違いがあれば確認します。作業者本人の説明だけで終えず、契約時に確認した情報と照らし、法人委託では、あらかじめ確認した委託先の管理責任者にも確かめます。確認する担当と連絡経路を、仕事の開始時に決めておきます。

交代や契約終了の際は、後任者の権限を確認するとともに、旧担当者のアクセスを止めます。ログイン中の接続を切り、開発・保守ツールのアクセス用の鍵も無効にします。共用の認証情報を知っていた場合は、その変更も必要です。また、不正の疑いが強まった場合に、誰が一時的なアクセス停止を決めるかを定め、接続や操作の記録を保全できるようにしておきます。人事や契約の手続が終わるまで、アクセスだけが残り続ける状態を防ぐためです。

経営層は、重要な委託業務を一つ選び、こう尋ねてみてください。「いま接続している作業者は、誰が確認した人ですか。担当者が変わったら、誰が何を確かめ、以前の権限を止めますか。」契約書、作業者の情報、アカウントの記録を突き合わせれば、自社の確認がどこで途切れているかが見えてきます。外部の力を安心して借り続けるために、画面の向こうの人と、その人に任せた仕事と権限を、組織として説明できるようにしておきたいものです。

※本内容の引用・転載を禁止します。