委託先審査基準
1. 目的
本基準は、当社が業務を委託する供給者（サプライヤ、クラウドサービス提供者を含む）について、
情報セキュリティの観点から適切に評価・選定・監視を行うことを目的とする。
2. 適用範囲
- 委託先業務に関連する全ての供給者
- AWS, Google Cloud, Cloudflare, GitHub, Notion, Slack 等のクラウドサービス提供者
3. 審査の手順
- 委託先候補の調査（会社概要、財務状況、セキュリティ体制）
- セキュリティチェックリストに基づく審査
- 必要に応じて NDA 締結前のリスク評価
- 契約書レビュー（B-09-01 チェックリスト参照）
- 審査結果を記録し、承認者の決裁を得る
4. 審査チェックリスト（共通）
| 項目 |
確認内容 |
判定 |
| 組織のセキュリティ方針 |
方針が制定・公開されているか |
☐ |
| 情報セキュリティ認証 |
ISO/IEC 27001, SOC2 等の認証を保持しているか |
☐ |
| NDA 締結 |
秘密保持契約を締結できるか |
☐ |
| インシデント対応 |
セキュリティインシデント発生時の通知義務があるか |
☐ |
| 再委託 |
再委託時に当社承認を要するか |
☐ |
| 評価結果 |
合格 / 不合格 |
☐ |
5. クラウド供給者審査チェックリスト（ISO/IEC 27017 対応）
| 項目 |
確認内容 |
判定 |
| データ所在地 |
データ保存リージョンが契約書に明示されているか |
☐ |
| データ返却・削除 |
利用終了時にデータ削除保証があるか |
☐ |
| ログ提供 |
必要に応じて監査ログを提供できるか |
☐ |
| 管理者アカウント |
管理者アカウント制御・MFAが必須化されているか |
☐ |
| インシデント通知 |
セキュリティインシデント発生時に通知する義務があるか |
☐ |
| SLA |
可用性・RTO/RPO が契約条件に明記されているか |
☐ |
| 準拠法・裁判管轄 |
契約上の法的準拠が妥当か |
☐ |
| 責任分界 |
CSP と CSC の責任分界が明確に定義されているか |
☐ |
6. 評価とレビュー
- 審査結果は「委託先審査記録」として保存する。
- 年1回以上、または契約更新時に再審査を実施する。
- クラウド供給者については、責任分界マトリクス (C-02) を併せて確認する。
改訂履歴
| 改訂日 |
版数 |
内容 |
承認者 |
| 2023-12-18 |
v1.0 |
新規制定 |
沈 燁 |
| 2025-01-07 |
v1.1 |
クラウド供給者評価基準を追加 (ISO/IEC 27017対応) |
沈 燁 |