営業代行に顧客リストやCRMへのアクセス権を渡す場面は珍しくない。だが、その裏には情報漏えいや不正アクセスといったリスクが常に潜んでいる。情報システム部門としては、契約前にどこまでセキュリティ体制を確認すべきか、実務的な観点から押さえておきたい。
情報システム部門が関与すべき理由
営業部門は成果を優先するあまり、セキュリティ面のチェックが後回しになりがちだ。だからこそ、契約前の段階で情報システム部門が関与し、リスクの洗い出しをしておく意義は大きい。
確認すべきセキュリティ項目
代行会社を選定する際は、以下のような項目を確認しておきたい。
| 項目 | 確認内容 |
|---|---|
| 情報管理体制 | ISMS認証やプライバシーマークの取得状況 |
| アクセス権限管理 | 担当者ごとのアクセス範囲の制御 |
| 端末管理 | 業務端末のセキュリティ対策状況 |
| 委託先管理 | 再委託の有無とその管理体制 |
これらは自己申告だけでなく、可能であれば規程やチェックリストの提示を求めるのが望ましい。
データ連携時の注意点
CRMや顧客リストを共有する際は、必要最小限の情報のみを渡す原則を守りたい。
- アクセス権限を業務に必要な範囲に限定する
- ダウンロード・エクスポート機能を制限する
- ログを取得し、定期的に確認する
ポイント：顧客の氏名や連絡先だけでなく、契約内容や購買履歴まで渡す必要があるかは、都度精査したほうがよい。
契約・体制面でのチェックポイント
契約書には秘密保持義務、データの保管期間、契約終了後のデータ返却・削除義務を明記してもらう。再委託を行う場合は、再委託先にも同等のセキュリティ水準を求める条項があるかも確認しておきたい。
インシデント発生時の対応フロー
万が一情報漏えいなどが発生した場合の報告ルートと初動対応を、契約前に取り決めておくことが重要だ。
- 発覚から一次報告までの時間の目安
- 社内の窓口(情報システム部門・法務部門)
- 顧客への通知が必要な場合の手順
これらが事前に整理されていれば、実際にトラブルが起きた際の被害を最小限に抑えやすくなるだろう。
よくある質問
Q. 営業代行にプライバシーマークの取得は必須ですか。 A. 必須ではないが、取得している会社のほうが情報管理体制の目安として評価しやすい傾向がある。
Q. CRMへのアクセス権はどこまで渡すべきですか。 A. 業務に必要な範囲に限定し、エクスポート機能などは制限しておくのが基本になる。
Q. 再委託が行われているかはどう確認すればよいですか。 A. 契約時に再委託の有無と、再委託先の管理体制について明記してもらうのが望ましい。
Q. 情報漏えいが発生した場合、誰が責任を負いますか。 A. 契約内容によって異なるため、事前に責任分界点を契約書上で明確にしておく必要がある。