証券業界の案件で気をつけたい規制とセキュリティのルール｜委託先として守ること

証券業界のIT案件で関わるルールは、主に金融商品取引法と金融庁の監督指針、日本証券業協会のガイドライン、個人情報保護の金融分野のガイドライン、インサイダー取引規制の4つです。これらは証券会社に向けたルールですが、証券会社はそれを社内規程や委託契約に落とし込むため、委託先として参画するフリーランスにも、規程と契約を通じて及びます。

特に、2025年10月15日にはインターネット取引の認証を強化する改正があり、外部委託先の管理についても具体的な対策が求められています。この記事では、2026年10月時点で公式資料から確認できた範囲で、案件の中で気をつけたい点を整理します。個別の解釈が必要な場面では、取引先の担当部門や弁護士などの専門家に確かめてください。

証券会社に関わるルールの全体像

まず、どのルールを誰が出し、IT案件のどこに影響するかを整理します。

金融商品取引業等に関する内閣府令は、証券会社の業務運営として問題がある状況として、法人関係情報の管理が不十分な状況や、個人である顧客の情報の安全管理、従業者の監督、委託先の監督が不十分な状況などを挙げています（第123条第1項）。証券会社が委託先に厳しい管理を求めるのは、この責任を負っているためです。

金融分野のサイバーセキュリティのガイドラインは、銀行・保険など金融機関に共通するものです。業界をまたいだ位置づけは業界知識を強みにする記事で触れているので、ここでは証券業界に特有の点を中心に見ていきます。

インターネット取引の認証強化（2025年10月の改正）

2025年に、フィッシングサイトなどで盗まれた顧客情報を使って、証券口座に不正にアクセスし、取引を行う事案が多発しました。これを受けて、2025年10月15日に、金融庁は「金融商品取引業者等向けの総合的な監督指針」を改正して同日から適用し、日本証券業協会も「インターネット取引における不正アクセス等防止に向けたガイドライン」を改正して同日から施行しました。

日本証券業協会のガイドラインは、会員各社が対応する必要がある事項を「スタンダード」、対応が望ましい事項を「ベストプラクティス」として分けています。スタンダードのうち、IT案件に直接関わる主な点は次のとおりです。

• フィッシングに耐性のある多要素認証の実装と必須化：ログイン時、出金時、出金先の銀行口座の変更時など重要な操作で、パスキーによる認証やPKI（公開鍵基盤）をベースとした認証などを実装し、初期設定として必須にする
• 取引ツール間で同じ水準：Webサイトとアプリなど複数の取引ツールがある場合は、それぞれで同じ水準の機能を実装する
• 顧客への通知：身に覚えのないログイン、取引、出金、出金先の変更を顧客が早く気づけるよう、登録された連絡先に通知する機能を提供する
• やむを得ず解除する顧客への対応：必要な機器を持っていないなどの理由で設定を解除する顧客には、代替の多要素認証を提供し、解除の状況を追いながら方法を見直す

金融庁は、2025年11月18日の日本証券業協会との意見交換会で、フィッシングに耐性のある多要素認証の必須化について、原則として2026年6月末までの実施を求めていると示しています。各社の対応の進み具合は会社ごとに違うため、案件では、取引先がどの段階にあるかを確かめたうえで要件を整理します。

外部委託先の管理として求められること

日本証券業協会のガイドラインは、2021年7月に、会員の外部委託先の従業員による不正アクセス・出金が起きたことなどを踏まえて、外部委託先の顧客情報の安全管理について具体的な事項を加えています。2025年10月の改正版でも、スタンダードとして、次のような管理が会員に求められています。

• 委託業務が適切に行われているかの定期的なモニタリング
• 委託先でのログインIDやパスワードを含む顧客情報の漏えいを防ぐ措置の確認
• 委託先の顧客データへのアクセス制限と、その運用状況を委託元が監視・追跡できる態勢
• 委託先に置く「開発環境」と、顧客情報を管理する「本番環境」の間の情報管理、データ転送の手続きの整備とモニタリング
• 委託先に付与するアクセス権限の使い回しの防止など、権限管理
• 二段階以上の委託がある場合の、再委託先への監督の確認

これらは証券会社が委託先を管理するための項目ですが、フリーランスの実務に置き換えると、次のような行動になります。

1. 本番のデータを開発環境に持ち込まない。テストデータが必要なときは、決められた手続きで用意されたものを使う
2. IDを共有しない、借りない。自分に付与された権限だけで作業し、不要になった権限は返す
3. 操作が記録されている前提で作業する。本番環境への作業は、承認と記録の手順を省かない
4. 再委託の関係を把握しておく。自分が何次の委託先にあたるかで、規程の伝わり方や報告の経路が変わる

取引先の規程に従う必要があるかの考え方は取引先の規程に従う必要はあるかの記事、貸与端末の扱いは貸与PCの注意点の記事で解説しています。

顧客の個人情報の扱い

証券会社は、顧客の氏名や住所に加え、資産や取引の情報を扱います。個人情報保護委員会と金融庁の「金融分野における個人情報保護に関するガイドライン」（2026年10月時点で公表されている版は令和6年3月のもの）は、金融分野の事業者に、一般のルールより踏み込んだ対応を求めています。

• 機微（センシティブ）情報：要配慮個人情報や、労働組合への加盟、門地、本籍地、保健医療、性生活に関する情報は、法令に基づく場合などガイドラインが挙げる場合を除き、取得・利用・第三者提供を行わない（第5条）
• 委託先の監督：委託契約に、委託者の監督・監査・報告徴収の権限、漏えい等の防止、目的外利用の禁止、再委託の条件、漏えい等が起きたときの委託先の責任を盛り込み、遵守状況を確かめる（第10条）
• 漏えい等の報告：個人データの漏えい等が起きたとき、または起きたおそれがあるときは、関係法令に従って監督当局に報告する（第11条）

委託先として参画すると、契約や誓約書に、こうした内容が反映されていることが多くあります。契約で確かめたい点は業務で個人情報を扱うときの契約の記事、事業者として守ることは個人情報保護法の記事をご覧ください。万一、情報を漏らしてしまったおそれがあるときは、自分で判断せず、ただちに取引先に報告することが大切です。進め方は漏えい時の対応の記事で整理しています。

インサイダー取引規制と法人関係情報

証券業界の案件で、ほかの業界より強く意識したいのが、インサイダー取引規制です。

金融商品取引法第166条は、上場会社等の「会社関係者」が、その会社の業務等に関する重要事実を職務などに関して知った場合、公表される前にその会社の株式などを売買することを禁じています。会社関係者には、上場会社等の役員や従業者だけでなく、上場会社等と契約を結んでいる者や契約の交渉をしている者（法人であればその役員等）で、契約の締結・交渉・履行に関して知った者も含まれます。会社関係者から重要事実の伝達を受けた者も、公表前の売買が禁じられます。

さらに、金融商品取引業等に関する内閣府令は、上場会社等の公表されていない重要な情報で顧客の投資判断に影響を及ぼすと認められるものなどを「法人関係情報」と定め、証券会社に、その管理と、法人関係情報に係る不公正な取引を防ぐための措置を求めています。

IT案件で働く立場からは、次の点に気をつけます。

• 証券会社の法人向けの部門や、引受・企業の買収に関わる業務のシステムでは、公表前の情報に触れる可能性がある
• 取引先の規程で、委託先の要員にも、個人の株式などの売買の届出や制限、情報の隔離（担当外の情報に近づかない）を求めることがある
• 案件で知った情報をもとに売買しない、家族や知人に話さない

自分の立場がどの規定に当たるか、ある売買が規制に触れるかは、事実関係によって判断が分かれます。迷う場合は、売買をする前に、取引先のコンプライアンスの担当部門や弁護士に相談してください。

参画前と参画中に確かめたいこと

証券業界の案件に入るときは、契約の前に次の点を確かめておくと、参画後に慌てずに済みます。

秘密保持契約の読み方は秘密保持契約（NDA）の記事で解説しています。案件の種類ごとの働き方は証券業界のIT案件の記事、経験をシートに書くときに伏せたい情報はスキルシートの書き方の記事をご覧ください。

よくある質問

証券会社の案件に入ると、自分の株式の売買はできなくなりますか？

一律に禁止されるわけではありませんが、取引先の規程で、委託先の要員にも売買の届出や制限、事前の確認を求めることがあります。内容は会社ごとに違うため、参画前に確かめてください。案件で知った公表前の重要な情報をもとにした売買は、インサイダー取引規制に触れるおそれがあります。迷う場合は、取引先の担当部門や弁護士にご相談ください。

多要素認証の必須化は、どの会社でも終わっていますか？

金融庁は、原則として2026年6月末までの実施を求めていると示していましたが、各社の対応の状況は公表されている資料だけでは一律に判断できません。認証に関わる案件では、取引先がどの段階にあるか、Webとアプリなど取引ツールごとの対応状況を、参画時に確かめることをおすすめします。

銀行の案件で守ってきたルールと同じと考えてよいですか？

個人情報保護の金融分野のガイドラインや、金融分野のサイバーセキュリティのガイドラインは共通しています。一方で、日本証券業協会のガイドラインや、法人関係情報の管理、インサイダー取引規制への備えは、証券業界で特に強く求められる点です。銀行業界のルールは銀行業界の規制とセキュリティの記事で扱っています。