「中小企業のサイバーセキュリティ入門」第4回は、取引先からセキュリティ対策について尋ねられたとき、慌てず回答するための準備をご案内します。
今回のポイント
- 取引先から、対策状況を確認される場合があります
- 回答を取りまとめる担当者と、事実を確認する相手を分けて考えます
- 分からない項目を推測で埋めず、確認してから回答します
セキュリティ対策も取引上の確認事項に
企業同士の取引では、委託先を含むサプライチェーン全体での対策が求められています。サプライチェーンとは、製品やサービスの提供につながる取引先や委託先の関係全体です。
取引開始時や契約更新時などに、「使用するパソコンは更新されているか」「情報をどのように管理しているか」「事故が起きたときの連絡先は決まっているか」といった質問を受けることも考えられます。
IPAも、委託元が委託先の対策状況を確認し、委託先がさまざまな要求事項への対応を求められるという課題を示しています。
まず「誰が取りまとめるか」を決める
IT専任担当者がいない会社では、一人で全項目に答えられないこともあります。その場合でも、取引先との窓口として回答を取りまとめる担当者を決めておくと、確認が進めやすくなります。
大切なのは、取りまとめる担当者がすべてを知っていることではありません。質問の内容に応じて、パソコンやネットワークは保守事業者、クラウドサービスは契約管理者、社内ルールは経営者や管理部門というように、事実を確認できる相手へつなぐ役割です。
分からない項目は推測で回答しない
確認票には、「はい・いいえ」だけでは判断しにくい項目もあります。例えば、端末の更新状況や利用中のクラウドサービスを把握できていない場合です。
分からない項目は空欄や確認中として整理し、社内または委託事業者に確認します。私物端末の業務利用やテレワークについても、自社で行っている場合に限って、利用状況とルールを確認しましょう。
取引先からの質問を、自社の現状を整理する機会として活用することが大切です。
今週決めていただきたいこと
今週は、次の1点を決めてください。
「取引先からセキュリティ対策を尋ねられたとき、誰が回答を取りまとめるか」
あわせて、その担当者が保守事業者やクラウドサービスの契約情報を確認できるか、一度確かめておきましょう。
参考情報
IPA「サプライチェーン強化に向けたセキュリティ対策評価制度」：
組合員の皆さまへ
情報セキュリティ対策は、自社の業務だけでなく、取引先との信頼にも関わるテーマです。
対策状況を整理する最初の一歩として、本記事をご活用ください。
