委託先管理(ベンダーリスク管理)とは?情報漏えいを防ぐ6つの確認観点

結論: **委託先管理(ベンダーリスク管理)**は、業務やデータを預ける外部の会社のリスクを、選ぶ時から契約終了まで管理することです。**自社のシステムが無事でも、委託先が侵害されると、預けたデータが漏れます。**確認する観点は、預けるデータ・認証と権限・脆弱性対応・記録と検知・事故時の対応・終了時の6つです。

委託先管理とは

メールの配信、クラウドのサービス、システムの開発や保守、コールセンターなど、多くの企業は、業務やデータを、**外部の会社(委託先、ベンダー)**に任せています。

委託先管理は、その委託先の、情報セキュリティのリスクを、把握し、減らす取り組みです。ベンダーは、取引先を意味する言葉で、「ベンダーリスク管理」とも呼ばれます。

なぜ必要なのか:委託先で起きた事故が、自社の利用者に及ぶ

最近、メール配信の委託先で起きた事案が、続いています。

• ユミルリンク「Cuenote FC」(10月26日の第2報で、延べ5,162万件)(ユミルリンク不正アクセスで5162万件漏えい|自分は対象?やること)
• アララ「アララ メッセージ」(11月2日の第2報で、最大約380社・メールアドレス約7,700万件)(アララ メッセージに不正アクセス|最大7,700万件のメールアドレス流出、自分は対象?)

どちらも、利用企業の多くは、自社のシステムが侵害されていないのに、預けたメールアドレスが漏れました。利用者から見ると、「登録した会社から、情報が漏れた」と受け止められます。同じ構造の事案は、サプライチェーン攻撃とはでも解説しています。

確認する6つの観点

4つの場面で考える

① 選ぶ時

• 預けるデータの種類と量を、先に決める
• 委託先のセキュリティ体制(認証の取得、運用の説明、事故の履歴)を確認する
• 質問票や、監査の報告書で、確認する

② 契約する時

契約書で、次のようなことを決めておきます。

③ 使っている間

• 契約時に確認して終わりにしない。定期的に確認する
• 預けているデータが、増えすぎていないか見直す
• 委託先から、脆弱性や事故の連絡が来た時の対応を、決めておく
• 認証情報(APIキーなど)を、定期的に更新する(APIキーとは)

④ 終わる時

• 預けたデータを、返してもらう、または削除してもらい、その証明を受け取る
• 再委託先にも、データが残っていないか確認する
• 委託先のアカウント・権限を、すべて無効にする

事故が起きた時の動き

委託先から、事故の連絡があった時に、すぐ動けるよう、事前に決めておきます。

1. 事実の確認:何が、いつ、どこまで漏れたか(委託先に、情報提供を求める)
2. 被害を広げない:該当する認証情報の無効化、関連するシステムの停止
3. 利用者への連絡:何が漏れたか、利用者がやること、問い合わせ先
4. 関係機関への報告:必要に応じて、個人情報保護委員会や、警察へ
5. 再発の防止:委託先を含めた、見直し

事故の直後は、便乗した偽のメールやSMSが増えます。利用者に、公式の窓口と、不審な連絡への注意を、あわせて知らせます。

認証があれば、安心か

ISMS(ISO/IEC 27001)や、SOC 2などの認証・報告書は、委託先の体制を確認する、参考情報になります。ただし、次の点に注意します。

• 認証の範囲に、委託している業務が含まれているか
• 実際の運用(アカウントの管理、脆弱性への対応、記録の保管)が行われているか
• 認証の有効期限や、更新状況

認証があるだけで、安全とは言えません。

小さな組織でも、できること

専任の担当者がいなくても、次の3つは、始められます。

1. 委託先を、一覧にする(会社名、預けているデータ、連絡先)
2. 預けるデータを、必要最小限にする(不要な項目は、預けない)
3. 事故の連絡があった時の、連絡先と手順を、紙1枚にまとめる

まとめ

• 委託先管理は、外部に預けた業務・データのリスクを、選ぶ時から契約終了まで管理すること
• 自社が無事でも、委託先が侵害されると、預けたデータが漏れる(ユミルリンク・アララの事案)
• 確認は、預けるデータ・認証と権限・脆弱性対応・記録と検知・事故時の対応・終了時の6つ
• 契約で、事故時の通知期限、再委託の条件、データの返却・削除を決める。認証だけで安心しない

関連記事:サプライチェーン攻撃とは、SBOMとは、最小権限の原則、EDRとは、ユミルリンク不正アクセスで5162万件漏えい|自分は対象?やること