評価基準 No.2-1-1-3
取引先とのビジネス又はシステム上の関係
版を固定した URL です（400-v1.1）。現在の版は 評価基準 No.2-1-1-3 を見てください。
原文要求事項と評価基準
要求事項 No.2-1-1 取引先とのビジネス又はシステム上の関係
取引先と自社とのビジネス又はシステム上の関係を把握すること。
評価基準 No.2-1-1-3（★4）
・自社の機密情報を共有している子会社又は取引先について、以下の事項を把握するための仕組みを整備すること。
-会社ごとに取り交わす手段(受発注の手段、情報のやり取り等)
-取引に伴い授受・使用される情報資産及びその取扱い
出典
出典：SCS-400 ★3・★4 要求事項・評価基準（Ver.1.1、2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、シート「★3・★4要求事項・評価基準」24 行目、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-400-criteria-v1.1.xlsx。2026-11-03 取得
原文対象外となるための条件・適合基準
対象外となるための条件
自社の機密情報を共有している子会社又は取引先が存在しない場合
適合基準
①自社の機密情報を共有している子会社又は取引先について、以下の全ての事項を把握するための仕組みを整備していること。
-会社ごとに取り交わす手段（受発注の手段、情報のやり取り等）
-取引に伴い授受・使用する情報資産及びその取扱い
②①の仕組みにより、上記に掲げる事項を把握していること。
出典
出典：SCS-410 ★3・★4 自己評価等ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.2-1-1-3、30 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-410-self-assess-guide-v1.0.pdf#page=30。2026-11-03 取得
原文自己評価方法（SCS-410）
①取引先との契約書、取引先管理台帳等を確認し、自社の機密情報を共有している子会社又は取引先について、以下の全ての事項を把握するための仕組みを整備していることを確認する。
-会社ごとに取り交わす手段（受発注の手段、情報のやり取り等）
-取引に伴い授受・使用する情報資産及びその取扱い
②実際に、上記に掲げる事項を把握していることを確認する。
出典
出典：SCS-410 ★3・★4 自己評価等ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.2-1-1-3、30 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-410-self-assess-guide-v1.0.pdf#page=30。2026-11-03 取得
原文第三者評価の評価手法（SCS-420）
▶質問
自社の機密情報を共有している子会社又は取引先について適合基準に列挙された事項を把握する仕組みの内容を質問する。
▶閲覧
原則として実施しない。
▶観察
原則として実施しない。
出典
出典：SCS-420 ★4 第三者評価ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.2-1-1-3、34 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-420-3rdparty-assess-guide-v1.0.pdf#page=34。2026-11-03 取得
公式解説SCS-620 の解説
「機密情報を共有している子会社又は取引先」について、すべてを対象として把握する必要はあるか？
・必ずしもすべての取引先を対象とする必要はなく、No.2-1-1-3 の対象となるのは、自社の機密情報を共有している子会社又は取引先である。
・対象となる子会社又は取引先について把握・整理を進めるに当たっては、セキュリティ事故発生時に、事業継続（BCP）の観点から速やかに復旧を目指すことを目的とし、重要な情報資産を共有する子会社又は取引先や、その他セキュリティリスクの危険性が高い子会社又は取引先を優先的に把握・整理することが望ましい。
出典
出典：SCS-620 ★3・★4 要求事項・評価基準 解説書（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.2-1-1 【解説】、41 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf#page=41。2026-11-03 取得
「会社ごとに取り交わす手段（受発注、情報のやり取り等）」として、どのようなものが考えられるか？
・情報資産を取り交わす手段については、例えば、メール、クラウドストレージ、企業間電子データ交換、その他物理メディア（USB メモリ、CD、DVD 等）の受け渡しといった方法が考えられる。
出典
出典：SCS-620 ★3・★4 要求事項・評価基準 解説書（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.2-1-1 【解説】、41 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf#page=41。2026-11-03 取得
「取引に伴い授受・使用される情報資産やその取扱い」を把握するために、どのような仕組みが考えられるか？
・例えば、契約書や仕様書に盛り込む、覚書を締結するほか、取引先管理台帳、受発注システム、契約管理システム等に必要な情報を整理する方法が考えられる。
出典
出典：SCS-620 ★3・★4 要求事項・評価基準 解説書（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.2-1-1 【解説】、41 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf#page=41。2026-11-03 取得
関連
改訂
この評価基準に関わる公式の改訂の記録はありません。