個人情報の取扱いを外部に委託する場合、委託先を監督することが求められます。実務ではチェックシートを送る形が一般的ですが、設問が数十項目あっても実態が分からないまま終わることが多いです。この記事では、なぜそうなるのかを整理したうえで、少数の設問で差が出る聞き方を扱います。反対に、取引先からシートを受け取って回答する側の場合は取引先からセキュリティチェックシートが届いたらを参照してください。
なぜチェックシートが機能しないのか
「はい」と答えられる設問を並べている
典型的なのがこの形です。
- 「情報セキュリティに関する規程を定めていますか」
- 「従業員に対して教育を実施していますか」
- 「アクセス権を適切に管理していますか」
これらはすべて「はい」と答えられます。規程が1枚あれば「定めている」ことになり、年1回の資料配布でも「実施している」ことになります。
「適切に」という語が入る設問は、ほぼ情報を持ちません。何が適切かの基準が示されていないため、回答者の判断で「はい」になります。
回答を検証していない
返ってきたシートを保管して終わり、という運用です。提出させた事実は残りますが、内容が実態と合っているかは分かりません。
監督したことの証跡としては機能しますが、リスクは減っていません。ここを混同しないことが重要です。
差が出る聞き方：事実を聞く
「やっているか」ではなく「どうやっているか」「直近でいつやったか」を聞くと、実態が出ます。
| 効かない設問 | 効く設問 |
|---|---|
| アクセス権を適切に管理していますか | アクセス権の棚卸しを最後に実施したのはいつですか（年月） |
| 退職者の管理をしていますか | 退職からアカウント削除までの標準的な日数は何日ですか |
| 認証を強化していますか | 当社データにアクセスする経路で、二要素認証を使っているものはどれですか |
| 共有アカウントはありませんか | 当社データを扱う担当者は何名で、それぞれ個人のIDを持っていますか |
| 再委託していませんか | 再委託先の会社名と作業内容を記載してください |
数字と固有名詞を求める設問には、実態が反映されます。「はい」で流せません。
そして「答えられない」こと自体が情報になります。棚卸しの実施時期を答えられない委託先は、実施していない可能性が高いです。
確認すべき項目（ID・パスワード関連）
委託先が自社のデータにアクセスする経路に絞って挙げます。数を増やすより、この範囲を確実に押さえる方が有効です。
① アクセスする人の範囲
- 当社データにアクセスできる担当者は何名か
- 担当者はそれぞれ個人のIDを持っているか
- 担当者の交代時に、こちらへ連絡があるか
共有アカウントで作業されている場合、誰が何をしたか追跡できません。事故が起きたときに範囲を確定できなくなります。
共有アカウントの廃止を参照してください。
② 認証の方式
- 当社システムへのアクセスにID・パスワードのみを使っているか
- 二要素認証を使っている経路はどれか
- リモート接続の経路は何か（VPN、リモートデスクトップなど）
委託先の1アカウントが突破されれば、自社の対策とは無関係に侵入されます。ここが委託先確認の中心です。
VPN機器の脆弱性、 リモートデスクトップの多要素認証で扱っています。
③ 端末の扱い
- 作業に使う端末は会社支給か、私物を含むか
- 当社データを端末内に保存するか
- 保存する場合、ディスクの暗号化をしているか
私物端末での作業が含まれる場合、実質的に管理の外にあります。
④ 終了時の措置
- 契約終了後、当社データをいつまでに削除するか
- 削除の完了を報告する仕組みがあるか
- 作業用に発行したアカウントを削除する手順があるか
ここが最も抜けやすい項目です。契約終了後も保守用アカウントが有効なまま残るケースは珍しくありません。
委託先アカウントの管理で扱っています。
⑤ 再委託
- 再委託の有無と、再委託先の会社名
- 再委託先に対して同等の措置を求めているか
再委託先まで確認していないと、実際にデータを扱っている相手を把握していない状態になります。
委託の連鎖を経由した侵入は サプライチェーン攻撃で扱っています。
自社が確認される側になる場合
同じシートが、自社に送られてくることも増えています。取引先から委託先として確認を受ける立場です。
このとき、数字や時期を答えられないと、取引の条件に影響する場合があります。「アクセス権の棚卸しを最後に実施したのはいつですか」に答えられない状態は、相手から見れば実施していないのと同じです。
委託先を確認する作業は、そのまま自社の準備にもなります。効く設問を自社に向けて答えてみると、不足が具体的に見えます。
制度としての確認の枠組みは SCS評価制度、 Pマークのアクセス制御で扱っています。
よくある質問
チェックシートの設問は多い方がよいですか
数より内容です。「適切に管理していますか」のような設問は「はい」と答えられるため情報を持ちません。数字や時期、固有名詞を求める少数の設問の方が実態が出ます。
回答を検証する必要がありますか
提出させた事実は監督の証跡になりますが、それだけではリスクは減りません。数字や時期を求める設問にしておくと、回答自体から実態が読めます。
委託先確認で最も重要な項目はどこですか
自社データにアクセスする経路の認証方式です。委託先の1アカウントが突破されれば、自社の対策とは無関係に侵入されます。
いまの運用を棚卸ししてみる
applippliの無料棚卸しでは、10問・約3分で、ID・パスワードの管理状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。取引先からの確認に備えた自社の把握にもお使いいただけます。