委託先・取引先の管理(サプライチェーンセキュリティ)の一問一答

業務委託先を選定する際の情報セキュリティの観点からの評価として、最も適切なものはどれか。

• ①委託費用の安さのみを基準とし、セキュリティ体制の評価は行わないこと。
• ②委託先の従業員数が多いことのみで、安全な委託先と判断すること。
• ③委託先の知名度のみで判断し、対策の実施状況は確認しないこと。
• ④委託先の管理体制や実績を事前に評価し、委託の可否を判断すること。

業務委託契約における「SLA(サービスレベルアグリーメント)」の説明として、最も適切なものはどれか。

• ①サービスの品質水準や可用性の目標を、委託元と委託先で合意すること。
• ②委託先の株主総会における、議決権の割合を細かく定めた取り決めのこと。
• ③委託業務を第三者へ再委託する際に、必要な行政上の許可のこと。
• ④委託先従業員の給与水準を決定するための、労使協定のことをいう。

業務委託契約に情報セキュリティに関する条項を盛り込む際の考え方として、最も適切なものはどれか。

• ①秘密保持義務は口頭での約束のみとし、契約書には記載しないこと。
• ②委託元が対策状況を確認する権利を、契約上あえて排除しておくこと。
• ③秘密保持義務や、委託元による監査・報告要求の権利を契約書に明記する。
• ④委託先が講じるべき対策水準は、契約締結後に口頭で伝えるにとどめること。

業務委託における「再委託」の管理に関する記述として、最も適切なものはどれか。

• ①再委託は委託先の自由裁量とし、委託元への報告や承認を不要とすること。
• ②再委託の可否や範囲を契約で取り決め、事前の承認や届出を求めること。
• ③再委託先について委託元は関知せず、セキュリティ水準を確認しないこと。
• ④再委託を行った場合、原委託先の契約上の責任は自動的に消滅すること。

「サプライチェーン攻撃」の説明として、最も適切なものはどれか。

• ①攻撃者が標的企業の役員になりすまし、直接送金を指示する手口のこと。
• ②攻撃者が標的企業の従業員のパスワードを、総当たりで推測する手口のこと。
• ③攻撃者が標的企業のWebサイトの見た目のみを改ざんし、内容には影響しない手口。
• ④セキュリティが手薄な取引先等を踏み台にし、本来の標的企業への侵入を狙う手口。

クラウドサービス利用における「責任共有モデル」の考え方として、最も適切なものはどれか。

• ①クラウド事業者と利用者の間で、対策の責任範囲があらかじめ分担される考え方。
• ②クラウドを使う以上、セキュリティ責任は全てクラウド事業者が負うという考え方。
• ③クラウドを使う以上、セキュリティ責任は全て利用者が負うという考え方のこと。
• ④責任の所在はサービスごとに異なり、事前に確認する必要は特にないという考え方。

経済産業省及びIPAが策定した「サイバーセキュリティ経営ガイドライン」に関する記述として、最も適切なものはどれか。

• ①自社の内部対策のみを対象とし、サプライチェーンへの目配りには触れていない。
• ②経営者が認識すべき原則として、サプライチェーン全体への目配りを求めている。
• ③情報システム部門の担当者のみを対象とし、経営者の関与は想定していない。
• ④上場企業のみを対象とし、非上場企業への適用は想定されていないとされる。

委託先に対する情報セキュリティ監査に関する記述として、最も適切なものはどれか。

• ①委託契約を締結した後は、委託先の対策状況を継続的に確認する必要はない。
• ②監査は必ず実地監査のみで行わねばならず、書面確認は認められないとされる。
• ③契約時の確認に加え、書面調査や実地監査で対策状況を継続的に確認する。
• ④監査の結果、問題が見つかった場合でも委託契約の見直しは行わないこと。

パスワード付きZIPファイルをメールで送付し、直後に別メールでパスワードを送る、いわゆる「PPAP」の問題点として、最も適切なものはどれか。

• ①盗聴されている場合、暗号化ファイルとパスワードが同一経路で入手されうる。
• ②送信するファイルの容量が、暗号化により必ず大幅に増加してしまう点のこと。
• ③受信者側の環境によっては、ZIPファイル自体を一切開封できない点のみが問題。
• ④パスワードを別送する手順が、誤送信のリスクを完全になくしてしまう点のこと。

委託先の管理不備が原因で委託元の顧客情報が漏えいした場合の一般的な考え方として、最も適切なものはどれか。

• ①個人情報を取得した委託元は、委託先の監督義務を問われず一切責任を負わない。
• ②原因が委託先にある以上、委託元は被害者への説明や対応を行う必要はない。
• ③契約書に責任分担の定めがない限り、委託先が全ての責任を単独で負うこと。
• ④委託元は委託先への監督責任を問われうるため、再発防止の対応が求められる。