外部委託先・クラウドサービスの管理
株式会社NEXS ／ 最終更新: 2026-07-28
当社は、業務を外部に委託し、または外部のサービスを利用するにあたり、情報セキュリティを確保するための選定基準と管理方法を定めています。本ページは外部委託先管理規程のうち公開可能な範囲を要約したものです。
適用範囲
「外部委託先」には次を含みます。
- システムの開発・保守を受託する事業者
- システムの運用・監視を受託する事業者
- 業務オペレーション・事務作業を受託する事業者
- 当社システムが利用するデータセンターおよび各種クラウドサービス（IaaS / PaaS / SaaS）の提供事業者
- 個人事業主・フリーランスを含む業務委託契約の相手方
選定基準
外部委託先の選定にあたっては、次の項目を評価し、記録します。
| # | 評価項目 |
|---|---|
| 1 | 事業の継続性（設立年数、財務、実績） |
| 2 | 委託業務の遂行能力 |
| 3 | 情報セキュリティ管理体制の有無 |
| 4 | 第三者認証の取得状況（ISO/IEC 27001、SOC 2、ISMAP、PCI DSS 等） |
| 5 | データの保管場所と適用法域 |
| 6 | 再委託の有無と管理方法 |
| 7 | インシデント発生時の通知義務と実績 |
| 8 | 契約終了時のデータ返却・削除の方法 |
| 9 | 秘密保持義務の有無 |
| 10 | 可用性（SLA） |
評価項目3〜5および9は必須要件とし、これを満たさない事業者へは機密以上の情報を取り扱う業務を委託しません。
契約時の措置
委託先との契約には、秘密保持義務（契約終了後も存続）、当社と同等以上の情報セキュリティ水準の確保、委託業務以外への情報の利用禁止、再委託の事前承諾と再委託先への同等義務の課し込み、インシデント発生時の速やかな通知義務、当社による確認・報告徴求への協力、契約終了時のデータの返却または消去とその証明を含めます。
クラウドサービスのように個別契約を締結せず約款による提供を受ける場合は、約款・データ処理契約・セキュリティホワイトペーパー等により上記に相当する内容を確認し、確認結果を記録します。
委託期間中の管理
年1回以上、各委託先について次を確認し、記録します。
- 情報セキュリティ水準が維持されているか（第三者認証の更新状況、セキュリティ情報の公表状況）
- 重大なインシデント・脆弱性の発生有無と対応状況
- サービス仕様・データ保管場所・再委託構成の変更有無
- 当社が付与したアカウント・権限の妥当性
委託先の要員に当社システムのアカウントを付与している場合は、四半期に1回以上、アカウントの棚卸しと操作ログの確認を行い、不正なアクセスやオペレーションがないことを確認します。
現在利用している主な外部サービス
| 事業者 / サービス | 委託業務の内容（預ける情報） | 主な第三者認証 |
|---|---|---|
| Google Cloud Platform（Cloud SQL for MySQL） | データベースの提供。利用者情報・注文／決済記録・操作ログを保管 | ISO 27001、SOC 1/2/3、ISMAP |
| Firebase Authentication（Google Cloud） | 利用者の認証基盤。メールアドレス・認証情報を保管 | ISO 27001、SOC 1/2/3 |
| Firebase Storage（Google Cloud） | 画像原本の保管 | ISO 27001、SOC 1/2/3 |
| Vercel | アプリケーション（フロントエンド／サーバーAPI）の実行基盤 | SOC 2 Type II、ISO 27001 |
| Cloudflare Workers | 画像配信・定期処理（cron）のエッジ実行基盤 | ISO 27001、SOC 2 Type II |
| Cloudflare R2 / KV | 画像等のオブジェクトストレージおよび配信キャッシュ | ISO 27001、SOC 2 Type II |
| Cloudflare（WAF / CDN / DNS） | 出入口防御（WAF・DDoS防御・レート制限）、コンテンツ配信 | ISO 27001、SOC 2 Type II、PCI DSS |
| SendGrid（Twilio） | メール配信。宛先メールアドレス・氏名・注文情報を経由 | ISO 27001、SOC 2 Type II |
| GitHub | ソースコード管理、デプロイ連携 | ISO 27001、SOC 2 Type II |
いずれも約款による提供のため、約款・データ処理契約・セキュリティ文書により要件充足を確認しています。
委託の終了
委託終了時は、委託先に預託した情報の返却または消去を求めてその完了を確認し、委託先の要員に付与したアカウントを削除し、発行したAPIキー・アクセストークンを失効させます。