評価基準 No.3-1-3-1
外部情報サービスの管理

外部情報サービスとはどのようなものが対象か？

・外部情報サービスとは、自社の外部（社外）にあるインターネット経由のサービスやクラウド、Web サイトなどを通じて提供される情報サービスのことである。例えば、以下のサービスが考えられる。

-ホスティングサービス

-インターネット接続サービス

-クラウドサービス（IaaS、PaaS、SaaS、Web 会議サービス等）

-生成 AI サービス

-取引先等から提供される情報サービス

どのような観点でセキュリティ要件を定めることが考えられるか？

・例えば、以下の観点から定めることが考えられる。

-サービス事業者の情報セキュリティ方針と自社のセキュリティ方針の適合

-サービスの稼働率や障害発生頻度等の信頼性

-セキュリティ対策水準や機能の有無

-データ保存先や保存期間の確認

・「セキュリティ対策や機能の有無」の確認に当たっては、要求事項・評価基準のうち外部情報サービスが具備すべき事項への適合状況を確認することが考えられる。当該確認は、セキュリティ対策に係る認証の取得有無の確認、SOC2（SOC for Service Organizations: Trust Services Criteria）報告書の確認等により行うことも考えられる。

※SOC2 報告書とは、サービス事業者がデータ保護等の内部統制を適切に整備・運用しているかを外部監査人が評価し、発行する報告書である。

・なお、機密情報の取扱いに関する要件は、評価基準 2-1-2-1 において、情報共有先となるサービス事業者との間で明確化する。

どのような方法で要件を満たしている旨の確認を行うことが考えられるか？

・外部情報サービス利用時の利用申請・承認手続を定めることが考えられる。申請に含める情報として、例えば以下の項目が考えられる。

-外部情報サービス（クラウドサービスを含む）の名称

-外部情報サービス（クラウドサービスを含む）の提供者の名称

-利用目的（業務内容）

-取り扱う情報の機密区分

-利用期間

-利用申請者（所属・氏名）、利用者の範囲（社員に限る、〇〇関係者に限るなど）

-選定時のセキュリティ対策確認結果

・機密情報を扱うクラウドサービスを利用する際には、ISMAP 登録サービスを利用することも有効である

参考となる資料はあるか？

・以下の資料が参考となる。

-中小企業の情報セキュリティ対策ガイドライン第 4.0 版（IPA）(https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0.pdf)

-中小企業の情報セキュリティ対策ガイドライン第 4.0 版 付録 7 中小企業のためのクラウドサービス安全利用の手引き（IPA）(https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_7.pdf)

-ISMAP－政府情報システムのためのセキュリティ評価制度(https://www.ismap.go.jp/csm?id=csm_ismap_index)