評価基準 No.2-1-5-1
機密情報の回収・破棄

機密情報やアクセス権の回収・破棄を確実に実施するためには、どのような手順を整備しておくことが考えられるか？

・機密情報やアクセス権などを提供・共有する際に、あらかじめ台帳で管理しておくことが考えられる。これにより、回収・破棄対象を漏れなく把握しやすくなる。

・回収又は破棄すべき機密情報、アクセス権等のチェックシート等を作成する際、回収又は破棄の手順も定めておくことが考えられる。

契約終了時に機密情報及びアクセス権の回収・破棄状況を確認するためのチェックシート等には、どのような項目を記載することが考えられるか？

・チェックシート等には、例えば以下の項目を記載することが考えられる。

-基本的な情報（取引先・子会社名及び契約又は取引に関連する部署名、どの契約/プロジェクトに関する機密情報、アクセス権等か）

-回収又は破棄すべき機密情報の一覧

➢提供した文書、電子データ（メールを含む）、その他（試作品等）

➢機密情報の保存場所

-契約終了時に削除又は無効化すべきアクセス権の一覧

➢システムログイン ID 及びパスワード

➢ネットワークアクセス（VPN、イントラネットなど）

-回収・破棄の実施日を記入するなど、回収・破棄済かを確認するためのチェック項目

-必要に応じて証拠（例：証明書、ログファイル）の有無を記載する欄

契約終了時に、機密情報の返還又は廃棄を行わなくてもよい場合はあるか？

・No.2-1-2-1 に基づく取決めにおいて、返還又は廃棄の対象外とすることをあらかじめ合意している機密情報については、その限りではない。