情報セキュリティマネジメント 2017年 春期 午前（科目A） 問02

サプライチェーンのセキュリティ【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問いが「誰の対策を確認すべきか」を問うている点を押さえる。
2. 問題文にあるガイドラインの目的を思い出す：「自社のセキュリティだけでなく、外部依存を含めてリスクを管理する」。
3. 各選択肢を「自社の事業へのリスク伝播」の観点で検討する。
   • 直接的に自社の業務や提供物に影響を与える対象が正解に近い。
4. 「サプライチェーンのビジネスパートナ」が最も該当するので選ぶ（ウ）。

選択肢別の誤答解説

• ア: 自社が提供する商品及びサービスの個人利用者が行うセキュリティ対策
  個人利用者（顧客）のセキュリティは重要ですが、ガイドラインが特に「自社の事業継続や提供するサービスの安全を守るため」に確認を求めているのは、外部で自社と連携する事業者（サプライチェーン）側です。顧客側は基本的に自分の責任領域です。
• イ: 自社に出資している株主が行うセキュリティ対策
  株主は所有者や投資家であり、直接的に自社の業務を支える技術的接続やサービス提供を行う立場ではないため、ガイドラインの確認対象には当たりません（ただし大株主が業務委託先であれば別）。
• ウ: 自社のサプライチェーンのビジネスパートナが行うセキュリティ対策
  正解。サプライチェーン上のベンダーや委託先が脆弱だと、自社のシステムや顧客情報が被害を受ける可能性が高いため、実施状況の確認が必要です。
• エ: 自社の事業所近隣の地域社会が行うセキュリティ対策
  地域社会（住民や自治体）の一般的なセキュリティ対策は社会インフラの観点で重要ですが、ガイドラインが対象とする「自社の事業継続に直接影響する外部関係者」は主に取引先や委託先などのサプライチェーンです。

よくある誤解

1. 「委託したら責任は委託先に移る」と考える誤解
   • 実務上、外部に委託しても最終的な情報管理責任は発注元（自社）に残ります。だからこそ委託先の対策確認が必要です。
2. 「サプライチェーン対策＝大手取引先だけ確認すれば良い」と思う誤解
   • 規模が小さくても、重要な業務や権限を持つ下請けが穴になることがあります。重要度に応じて評価・監査を行います。
3. 「技術的監査だけで十分」という誤解
   • 契約条件、運用手順、インシデント通知の仕組みなど運用面の確認も不可欠です。

補足コラム

• サプライチェーン一覧化（どの業者が何をしているかを可視化）。
• 重要度に応じたリスクランク付け（機密性が高い、システム接続がある、事業継続に影響する等）。
• 契約書でセキュリティ要件を明記（アクセス制御、ログ保管、インシデント通報期限など）。
• セキュリティ自己評価シートや第三者監査、必要なら現地監査の実施。
• 継続的モニタリング：定期的な評価・改善フォロー。
  技術面ではISO/IEC 27001（情報セキュリティ管理の国際規格）等の認証を参考にすることが多いですが、認証があるだけで安心せず、実運用を確認することが重要です。

FAQ