5.2委託先・サプライチェーン管理

自社の情報セキュリティをどれだけ固めても、業務の一部を外部に委託すれば、その委託先の管理水準が自社のリスクに直結します。サプライチェーン攻撃（委託先やソフトウェア供給元を踏み台にして本丸を狙う攻撃）が増える中、「委託先を選ぶ・契約する・監査する」という一連のプロセスをどう設計するかが、情報セキュリティ管理者の重要な実務です。

5.2.1委託先選定と契約時のセキュリティ要件

• 委託先選定の段階では、価格や納期だけでなく、委託先がどのような情報セキュリティ管理体制を持つか（ISMS認証の有無、過去のインシデント履歴、従業員教育の実施状況など）を事前に評価します。選定後に問題が発覚すると切り替えコストが大きいため、契約前のデューデリジェンス（事前調査）が重要です。
• 契約書には、委託する業務範囲だけでなくセキュリティ要件を明文化することが必須です。具体的には、預ける情報の取扱範囲・保管場所・アクセス権限を持つ者の限定、インシデント発生時の通知期限（例：発覚から24時間以内に報告）、契約終了時のデータ返却・確実な消去などを盛り込みます。口頭合意や曖昧な条項では、委託先の対応が不十分でも契約違反を問いにくくなります。

5.2.2再委託の管理とクラウド利用時の責任分界

• 再委託＝委託先がさらに別の事業者（再委託先）に業務の一部を委託すること。再委託先は自社が直接選定・契約した相手ではないため、再委託の可否を契約で事前に制限し、再委託する場合は事前の書面承諾を必須とする運用が基本です。再委託が連鎖すると、末端の再委託先まで自社のセキュリティ要件が確実に伝わっているかの確認が難しくなります。
• クラウド利用時の責任分界（責任共有モデル）＝クラウドサービス事業者と利用者の間で、どこまでを事業者が守り、どこからを利用者が守るかを明確にする考え方。一般に、物理的な基盤・ハードウェア・ハイパーバイザーの安全性はクラウド事業者側、データの暗号化設定・アクセス権限設定・OS/ミドルウェアのパッチ適用（IaaSの場合）は利用者側が責任を負う、というようにサービス形態（IaaS/PaaS/SaaS）によって分界線が変わる点が重要です。