情報セキュリティ担当者が見る営業代行のリスク管理

情報セキュリティ担当者にとって営業代行の導入は、顧客データという最も守るべき資産を社外の管理下に置く決断でもある。営業部門が「早く商談を進めたい」という動機で情報共有を優先しがちな一方、セキュリティ部門は流出リスクの芽を事前に摘む役割を担う立場にある。

なぜ情報セキュリティ担当者が営業代行に関わるのか

見込み顧客のリスト、商談履歴、時には契約条件まで、営業代行には機密性の高い情報が渡ることになる。委託先のセキュリティ管理体制が自社基準を下回っていれば、情報漏えい時の責任は委託元にも及びかねないとされる。

委託先の選定・契約段階から運用中のモニタリングまで、段階的なチェックが必要になる。

ポイント：営業代行との情報共有で見落とされがちなのは「契約終了後のデータ削除」であり、監査項目として最初から契約に組み込んでおく必要がある。

営業代行は複数のクライアント案件を並行して扱うことが多く、自社データが他社案件と混在するリスクもゼロではない。セキュリティ担当者としては、データの物理的・論理的な分離状況まで確認する視点を持つことが望ましいだろう。

Q. 営業代行に渡すデータはどこまで絞るべきか A. 商談推進に必要な最小限の情報に留め、氏名・連絡先以外の機微情報は原則渡さない設計が望ましいとされる。

Q. 委託先のセキュリティ体制はどう確認すればよいか A. 第三者認証の有無や過去のインシデント対応実績をヒアリングし、必要に応じてチェックシートの提出を求める方法が一般的だ。

Q. インシデントが発生した場合の責任分担はどうなるか A. 契約書上の責任分界点によるため、報告義務と損害分担の条項を事前に明確化しておく必要がある。

Q. 契約終了後のデータはどう扱われるべきか A. 完全削除の実施と、削除証跡の提出を契約条件に含めておくことが現実的な対応とされる。