評価基準 No.2-1-3-1
取引先のセキュリティ対策状況

要求事項 No.2-1-3 取引先のセキュリティ対策状況

事業継続リスク及び情報管理リスクの観点から自社に影響を及ぼす可能性のある取引先のセキュリティ対策状況を把握すること。

評価基準 No.2-1-3-1（★4）

・以下に示す条件のいずれか若しくは複数に該当する子会社又は取引先を対象に、年1回以上の頻度で、以下の例を参考にセキュリティ対策状況を把握すること。

[対策状況把握の対象とする子会社又は取引先の条件]

-自社の重要な機密情報を提供・共有する

-自社の事業継続にとって重要な位置づけを持つ

-当該取引先の環境から発注者の内部システムへのアクセスが可能

[対策状況の把握方法(例)]

-本制度が定める★の取得状況について取引先から回答を受領する、又は本制度の運用主体が管理するWebサイト等で確認する

-取引先に訪問し点検を実施する

-セキュリティ対策チェックシートを作成して回答を受領する

対象外となるための条件

以下に示す条件のいずれか若しくは複数に該当する子会社又は取引先が存在しない場合

[対策状況把握の対象とする子会社又は取引先の条件]

-自社の重要な機密情報を提供・共有する

-自社の事業継続にとって重要な位置づけを持つ

-当該取引先の環境から発注者の内部システムへのアクセスが可能

適合基準

①対策状況把握の対象とする子会社又は取引先を特定していること。

②①で特定した子会社又は取引先について、年 1 回以上の頻度でセキュリティ対策状況を把握していること。

①取引先管理台帳、取引先管理システム等を確認し、対策状況把握の対象とする子会社又は取引先を特定していることを確認する。

②子会社又は取引先におけるセキュリティ対策状況を確認した記録等を確認し、①で特定した子会社又は取引先について、年 1 回以上の頻度でセキュリティ対策状況を把握していることを確認するとともに、当該記録の文書名を確認する。

▶質問

①取引先のセキュリティ対策状況を把握する取組の内容を質問する。

②上記の取組について、以下の全ての項目について質問する。

-実施頻度

-直近の実施日（1 年以内に実施していることを確認する。）

③過去 1 年以内に取引先のセキュリティ対策状況を把握した記録の文書名を質問する。

▶閲覧

過去 1 年以内に取引先のセキュリティ対策状況を把握した記録を閲覧し、以下の全ての項目を満たしていることを確認する。

-対策状況把握の対象とする子会社又は取引先の条件を満たす子会社又は取引先に対して実施していること。

-1 年以内に実施していること。

-評価基準に掲げる例示を満たすような取組を実施していること。

▶観察

原則として実施しない。