Yoshiaki Hayashida
取引先からセキュリティの質問票が届き、システムの現状を確認したいときに
取引先から、利用中のシステムやアカウント管理、委託先についての質問票が届いた。回答しようにも、管理者が誰なのか、どの会社がどこまで担当しているのか分からない。
ここでの対象は、セキュリティ基準に適合しているかの判定ではありません。質問票の項目と、実際に使っているシステム・権限・委託先を対応づけるための技術情報の整理です。
まず自社で確認できること
- 主要なシステムやサービスと、それぞれの管理者を把握しているか。
- 退職者や委託先のアカウント、アクセスできる範囲を確認できるか。
- 保守会社やSaaS事業者の担当範囲を、契約・設定から確かめられるか。
相談が要らない場合・要る場合
資料や設定情報が揃っていれば、社内で事実関係を確認できるでしょう。専門的な診断・監査・事故対応が必要であれば、情報処理安全確保支援士などの専門家への相談が適しています。
質問票の記載事項と実際の設定が結びつかず、回答の前提となる事実を社内だけで把握できない場合には、技術情報の調査・整理を依頼する余地があります。
最初の依頼範囲の例
質問票のうち、システム構成、アカウント、委託先の責任範囲に関する項目へ対象を限定。記録と実際の設定を照らし合わせ、何が確認済みで何が未確認かを整理する内容が考えられます。
小さく始める場合は、質問票のうちアカウントと委託先に関する数項目だけという範囲も考えられます。
手元に残るもの： 項目ごとの確認済みの事実、根拠資料の所在、未確認事項をまとめた一覧。基準への適合や安全性を保証するものではありません。
続けて使えるように考えること
管理者や委託先が変わったときも更新できるよう、記録の保管場所と更新担当を決めておくことが重要です。
関連する実務経験
システムやデータ基盤の設計・運用経験をもとに、技術構成と管理情報の整理に関する検討が可能です。
ご相談
質問票のうち、どの技術情報の所在が分からないかという点から。
最初のご連絡では、対応できる内容かを確認してお返事します。ここまでは費用はかかりません。