このページの内容
11. リストに持たせる項目
| 項目 | 書くこと | 例 |
|---|---|---|
| 委託先名 | 会社名と部署 | {{委託先名}} システム部 |
| 委託している業務 | 何を任せているか | 会員サイトの保守 |
| 預けているデータ | データの種類（個人データの有無） | 会員の氏名・メールアドレス |
| 使っている主な製品 | 分かる範囲で（VPN・CMS など） | {{製品名}} |
| 止まると困る業務 | 止まったときの影響 | 受注の受付 |
| 連絡の窓口 | 事件のときの連絡先 | security@{{ドメイン}} |
| 契約の取り決め | 事件の報告の取り決めの有無 | あり（契約書 第{{条}}条） |
| 最後に確かめた日 | 平時の質問票の回答の日 | {{日付}} |
最初から全部の欄を埋めなくて構いません。「預けているデータ」と「連絡の窓口」の 2 つがあるだけで、事件の日の動きは大きく変わります。
22. 集め方の手順
- 経理の支払いの記録から、毎月お金を払っている相手を書き出す（クラウドサービスも含める）
- 各部署に「業務で使っている外部のサービス」を聞き、足りない分を加える
- 契約書から、預けているデータと事件の報告の取り決めを拾う
- 委託先に連絡の窓口と、使っている主な製品を聞く（平時の質問票で聞く）
- 年に 1 回、または委託先が増えたときに見直す
質問の項目にセキュリティチェックシート →
33. 事件の日の照会の順番を決める
事件が公表されたら、リストを次の順で並べ替えると、照会の順番が決まります。全部の委託先に一度に送るより、関わりのありそうな相手から送るほうが、回答も早く集まります。
| 順番 | 委託先の条件 |
|---|---|
| 1 | 対象の製品を使っていると分かっている |
| 2 | 個人データを預けていて、使っている製品が分からない |
| 3 | 止まると困る業務を任せている |
| 4 | それ以外 |
{{製品名}}の脆弱性の公表を受け、委託先リストのうち{{件数}}社に照会しました。回答の期限は{{日付}}です。回答は、照会の記録の表にまとめます。
よくある質問
- 委託先が多すぎて、リストを作りきれません。
- 個人データを預けている委託先と、止まると困る業務を任せている委託先から始めてください。この 2 つで、事件の日の照会の多くが足ります。
- リストはどんな形で作ればよいですか。
- 表計算のファイル 1 枚で構いません。事件の日にすぐ開けて、並べ替えられることが大事です。
原典・参考にした資料
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
- 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」
- 経済産業省・IPA「サイバーセキュリティ経営ガイドライン」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。