評価基準 No.3-1-3-2
外部情報サービスの管理

段階 ★3
NIST CSF の機能 識別(ID)
対象版 SCS-400 Ver.1.1（2026-10-28）
版を固定した URL

原文要求事項と評価基準

要求事項 No.3-1-3 外部情報サービスの管理

自社の機密情報を扱う外部情報サービスを管理すること。

評価基準 No.3-1-3-2（★3）

・外部情報サービスの提供事業者と機密情報の取扱いについて合意を取り交わすこと。

出典

出典：SCS-400 ★3・★4 要求事項・評価基準（Ver.1.1、2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、シート「★3・★4要求事項・評価基準」41 行目、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-400-criteria-v1.1.xlsx。2026-11-03 取得

原文対象外となるための条件・適合基準

対象外となるための条件

該当なし

適合基準（SCS-410）

①外部情報サービスの提供事業者と、機密情報の取扱いについて合意を取り交わしていること。契約等により合意を取り交わすことが困難な場合は、提供事業者が公開する情報又は説明書等により、機密情報の取扱いを確認していること。

出典

出典：SCS-410 ★3・★4 自己評価等ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.3-1-3-2、40 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-410-self-assess-guide-v1.0.pdf#page=40。2026-11-03 取得

適合基準（SCS-420）

①外部情報サービスの提供事業者と、機密情報の取扱いについて合意を取り交わしていること。

出典

出典：SCS-420 ★4 第三者評価ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.3-1-3-2、46〜47 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-420-3rdparty-assess-guide-v1.0.pdf#page=46。2026-11-03 取得

原文自己評価方法（SCS-410）

①外部情報サービスの利用規約、契約書、合意書、提供事業者が公開する情報又は説明書等を確認し、外部情報サービスの提供事業者と、機密情報の取扱いについて合意を取り交わしていること、又は、契約等により合意を取り交わすことが困難な場合に、提供事業者が公開する情報又は説明書等により、機密情報の取扱いを確認していることを確認するとともに、その文書名を確認する。

出典

原文第三者評価の評価手法（SCS-420）

▶質問

外部情報サービスの提供事業者と機密情報の取扱いについて定めた文書の文書名を質問する。

▶閲覧

外部情報サービスの提供事業者と機密情報の取扱いについて定めた文書が実在することを確認する。

▶観察

原則として実施しない。

出典

公式解説SCS-620 の解説

どのような合意を取り交わすことが考えられるか？

・取引開始時に、秘密保持の対象となる情報をできる限り明確化した秘密保持契約等を締結することが考えられる。

・対象となる情報について、双方協議の上、秘密保持の対象情報を別紙としてリスト化し、リストは常に最新の状態を保つよう更新することが考えられる。

・なお、クラウドサービスの利用など、個々に提供元と合意文書の取り交わしができない場合は、合意の取り交わしではなく、外部情報サービス提供者の開示している要件・利用規約やサービス提供条件に沿ってリスクを確認することが考えられる

出典

出典：SCS-620 ★3・★4 要求事項・評価基準解説書（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.3-1-3 【解説】、51 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf#page=51。2026-11-03 取得

参考となる資料はあるか？

・以下の資料が参考となる。

-秘密情報の保護ハンドブック（経済産業省）

第 3 章 3-4 (3） ④ a「取引先に対する秘密保持義務条項」(https://www.meti.go.jp/policy/economy/chizai/chiteki/pdf/handbook/full.pdf)

出典

改訂

この評価基準に関わる公式の改訂の記録はありません。

評価基準 No.3-1-3-2外部情報サービスの管理