サプライチェーンのセキュリティ管理｜取引先の確認・質問票・契約対応を解説

取引開始や契約更新の際に、取引先からセキュリティ質問票や確認資料の提出を求められ、何を説明すればよいか迷っていませんか？

重要な取引先を確認するだけでなく、自社が安全管理について説明を求められる場面もあります。

そんな時は、経営者が判断する内容と、担当者へ任せる確認作業を分けておけば安心です！

この記事では、重要な取引先の見分け方、質問票や契約で決めること、自社サイトの状態を説明するための備えをご紹介します。

セキュリティー診断さん

え、取引先が狙われたら、うちも危ないってこと？ 知らなかった！

取引先から安全管理について確認されるのはどんなとき？

安全管理の説明が必要になるのは、事故が起きた後だけではありません。

取引開始、契約更新、質問票への回答など、日常の取引判断でも確認を求められます。

• 新しい取引を始める前に、相手の管理状況を確認する
• 契約更新時に、事故や未対応問題の有無を確認する
• 取引先から届いた質問票へ、自社の管理状況を回答する
• 事故後に、原因と修正状況をあらためて説明する

サプライチェーンとは、自社の事業を支える取引先や委託先とのつながりです。

その中の一社で事故が起きると、顧客情報の漏洩や業務停止など、自社へ影響が及ぶ場合があります。

経営者は、取引先を確認する立場と、自社が取引先から確認される立場の両方に備える必要があります。

セキュリティー診断さん

うわぁ…うちの会社、取引先がたくさんあるけど大丈夫かな…。 どこからチェックすればいいのか、全然わからないよ！

重要な取引先から優先して確認する

すべての取引先を同じ深さで調べるのではなく、事故が自社へ大きく影響する相手から確認します。

経営者が見る基準は、次の三つに絞れます。

いずれかの影響が大きい取引先は、質問票、契約条件、事故時の連絡先を優先して確認します。

細かな台帳を経営者自身が作る必要はありません。

重要な相手を誰が判断し、誰が確認結果を管理するかを決めることが先です。

質問票と契約で経営者が確認すること

質問票は、回答欄が埋まっているだけでは実施状況まで分かりません。

回答を確認できる規程、認証書、監査結果、診断結果などの資料があるかも見ます。

自社が質問票へ回答する場合は、誰が回答をまとめ、どの資料で説明するかを決めておきましょう。

担当者ごとに回答が変わる状態を避け、未確認の項目は未確認のまま責任者へ報告します。

契約や覚書では、少なくとも次の内容を確認します。

• 事故が起きた場合の連絡先と報告方法
• 再委託する場合の確認や承認
• 調査や質問への協力
• 取引終了時のデータ返却・削除

細かな文言を経営者が作るのではなく、必要な条件が契約へ入っているかを担当者や専門家へ確認します。

公開サイトの技術的な状態を確認する必要がある場合は、許可された対象に限り『セキュリティー診断さん』のような診断結果を説明資料の一つとして活用できます。

契約後は事故連絡と未対応問題を確認する

契約後に経営者が確認するのは、細かな作業記録より、事故時に連絡が届くか、重要な問題が残っていないかです。

事故が起きた場合に備え、自社と取引先の責任者、連絡先、最初に共有する内容を決めます。

問題が見つかったときは、対応する会社、期限、当面の対策を確認してください。

すぐに解決できない場合は、事業への影響を踏まえ、取引を続けるか、条件を変えるかを責任者が判断します。

取引先の担当や利用サービスが大きく変わった場合も、必要な範囲を再確認しましょう。

取引終了時は、残った接続権限を停止し、預けたデータが返却または削除されたことを確認します。

技術的な修正後の状態を確認する必要があれば、『セキュリティー診断さん』の診断結果を、未対応問題が残っていないか判断する材料にできます。

セキュリティー診断さん

そっか、取引先ごとの重要度を確認して、契約や事故時の対応を一緒に決めておくことが大切なんだね！

自社サイトの状態を取引先へ説明できるようにする

取引先から安全管理について尋ねられたとき、「対策しています」という回答だけでは、公開サイトの状態まで伝わりません。

自社サイトを実際に確認した結果と、その後の修正状況があれば、何を確認し、どう対応したかを説明しやすくなります。

Webサイト脆弱性診断の対象は、自社または明確な許可を得たWebサイト、Webアプリ、ECサイト、外部公開APIです。

取引先の社内パソコンや社内LAN、従業員教育、契約の管理状況を調べるものではありません。

取引先管理は社内の判断と契約で進め、公開サイトの技術的な状態は診断結果を使って確認します。

診断を検討する場面

次のような場合は、自社サイトの確認を専門家へ任せることを検討できます。

• 取引先からセキュリティ質問票が届いた
• 契約更新時に診断結果や修正状況を求められた
• 顧客が利用する問い合わせフォームや会員機能がある
• 制作会社任せで現在の状態を説明できない
• 過去の診断後にサイトを改修している

『セキュリティー診断さん』を活用すれば、自社の公開サイトにある弱点を確認し、修正を依頼するための判断材料を得られます。

診断結果を制作会社や開発会社へ渡し、修正後の状況と合わせて保管すれば、取引先から確認された際にも説明へつなげられます。

取引先の確認と自社の説明準備を進めよう

サプライチェーンのセキュリティ管理では、事故が自社へ大きく影響する取引先を先に見極めます。

質問票と確認資料、契約条件、事故時の連絡先を整理し、問題が残った場合の判断者も決めてください。

自社が説明を求められる場合にも備え、誰が回答し、どの資料を使うかを確認します。

自社公開サイトの状態を説明できるようにしたい場合は、診断で確認した結果を修正依頼と、その後の説明へ活用してみてください。

セキュリティー診断さん

ヨシ！ 自社サイトの確認結果と修正状況を、取引先へ説明できるようにしておくよ！ (๑•̀ㅂ•́)و✧