お知らせ・トピックス

委託先評価のポイントについて

2019年11月08日

委託先での情報漏えいの事件・事故が多い為、委託先監査の重要性が高まっています。（プライバシーマークや、ISO27001の審査で重要なポイントとして、委託先の監督と評価があります。）
また、今まで個人情報保護法の適用除外ルールの企業に対しても、再度委託先の監督強化が求められています。

さて、保護法の（法第22条）では以下の通りになっています。

つまり、「データの漏えいや滅失を防ぐため、必要かつ適切な技術的・組織的な保護措置を講じなければならない。また安全にデータ管理するため、従業者や委託先へ必要・適切な監督を行わなければならない。」と定義されています。

では、具体的に委託先に対してどのように評価すればよいでしょうか？

委託先に対して情報セキュリティ評価のアンケート実施（はい／いいえ／該当せず［理由］等、情報セキュリティに関する体制と担当者を記入していただく）や、直接訪問し、委託先に対して監査を実施（自社が委託先に対して求めているセキュリティ体制がとられているか）等があります。

職場やパソコンの環境では、運用面として、以下がどういうルールがあるか？
確認事項としては以下の設問が想定されるでしょう。

委託先がプライバシーマークやISO27001（ISMS）等を取得していれば第3者認証が行われていますので評価はしやすいです。
取得されていない企業様に対しては、自社のセキュリティ対策をどこまで実施してほしいかあらかじめ伝える必要があります。
評価点が低いところは是正してもらうように監督しなければなりません。

実際のところ、委託先の評価は判断に迷うところもあるでしょう。

それらの対応策や安全管理措置等で迷われた場合は、お気軽にご相談ください。