【SCS評価制度★3徹底解説・第3回】「取引先管理」とは？接続関係・機密情報・インシデント対応を実務目線で解説

情報セキュリティ SCS評価制度★3の取引先管理について、接続関係・機密情報・インシデント発生時の責任分担を解説する連載第3回のアイキャッチ画像

企業のセキュリティ対策というと、自社のパソコンにウイルス対策ソフトを導入する、ファイアウォールを設置する、従業員教育を行うといった「自社内部の対策」を思い浮かべる方が多いのではないでしょうか。

しかし、現在の企業活動は自社だけで完結しているケースの方が少なくなっています。

クラウドサービスを利用している。

システムの保守を外部事業者へ委託している。

取引先とファイルを共有している。

子会社や関係会社とネットワークを接続している。

顧客から預かった情報を外部の事業者と共有している。

このように、企業の情報システムや情報資産は、多くの外部組織とつながっています。

そのため、自社のセキュリティ対策が十分であったとしても、取引先や委託先との接続関係や情報の取扱いが整理されていなければ、そこが新たなリスクとなる可能性があります。

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、まさにこうしたサプライチェーン全体のセキュリティ対策を強化することを目的とした制度です。★3は、企業自身が要求事項・評価基準に基づいて自己評価を行い、その内容についてセキュリティ専門家による確認を受ける「専門家確認付き自己評価」という仕組みが採用されています。

連載第2回では、SCS評価制度★3の最初の大分類である「ガバナンスの整備」について解説しました。

今回は、その次に位置する大分類、

「取引先管理」

について詳しく見ていきます。

前回までの連載記事

公式資料

IPA公式資料

IPAでは、SCS評価制度の要求事項・評価基準がExcel形式で公開されています。

また、IPAのページでは、★3・★4の要求事項・評価基準に関する解説書は2026年10月頃公開予定とされています。

経済産業省公式資料

経済産業省では、SCS評価制度の制度構築方針とあわせて、★3・★4の要求事項及び評価基準が公開されています。

なお、SCS評価制度は今後も解説書、取得ガイド、申請手続きなどの情報が追加・更新される可能性があります。

実際に★3取得を検討する際は、必ずIPAおよび経済産業省の最新情報を確認してください。

1．SCS評価制度★3における「取引先管理」とは

 

IPAが2026年4月21日に公開したSCS評価制度の★3・★4要求事項・評価基準では、「取引先管理」が独立した大分類として設定されています。公式の要求事項・評価基準はExcel形式でも公開されています。

★3の「取引先管理」で対象となる要求事項は、次の3項目です。

要求事項No. 要求事項名 概要
2-1-1 取引先とのビジネス又はシステム上の関係 自社と外部組織との接続・利用関係を把握する
2-1-2 機密情報の取扱い 取引先と共有する機密情報の取扱方法を明確にする
2-1-4 セキュリティインシデント発生時の役割・責任 事故発生時の自社と取引先の役割分担を明確にする

一見すると、それほど難しい内容には見えないかもしれません。

しかし、実際に企業へヒアリングを行うと、

「どの会社が自社システムへ接続しているのか完全には把握できていない」

「クラウドサービスの一覧がない」

「秘密保持契約は締結しているが、具体的な情報の取扱方法までは決めていない」

「委託先でランサムウェア被害が発生した場合、誰が何をするのか決めていない」

といったケースは珍しくありません。

SCS評価制度★3で求められているのは、単に契約書が存在することではありません。

自社と外部組織との関係を把握し、情報の取扱いと事故発生時の対応を事前に整理しておくこと

が重要になります。

2．要求事項2-1-1「取引先とのビジネス又はシステム上の関係」

最初の要求事項は、

「取引先と自社とのビジネス又はシステム上の関係を把握すること」

です。

★3の評価基準では、自社以外の組織が管理・提供しており、かつ自社の資産が接続しているシステムを把握するための仕組みを整備することが求められています。

対象には、一般的な取引先だけではなく、

  • 顧客
  • 子会社
  • 関係会社
  • クラウドサービス提供者
  • システム保守事業者
  • その他、自社の資産と接続関係を持つ外部組織

なども含まれます。

さらに、把握した情報については、年1回以上の頻度で内容を点検することが★3の評価基準に含まれています。

「取引先一覧」があればよいわけではない

ここで注意したいのは、単純な取引先名簿を作成すればよいわけではないということです。

例えば、次のような企業があったとします。

  • A社：事務用品の購入先
  • B社：勤怠管理クラウドの提供事業者
  • C社：基幹システムの保守事業者
  • D社：Webサイトの保守事業者
  • E社：業務委託先

すべて「取引先」ではありますが、セキュリティ上の関係は大きく異なります。

A社は単純な物品購入だけかもしれません。

一方で、B社には従業員情報が保存されている可能性があります。

C社は、自社の基幹システムへリモート接続できるかもしれません。

D社は、自社のWebサーバへ管理者権限でアクセスできる可能性があります。

E社には、顧客情報や営業資料を提供しているかもしれません。

つまり重要なのは、

「誰と取引しているか」だけではなく、「その会社と自社の情報やシステムがどのようにつながっているか」

を把握することです。

実務では何を整理すればよいのか

 

実務上は、少なくとも次のような項目を一覧化しておくと管理しやすくなります。

項目 確認する内容
会社・サービス名 どの企業、どのサービスを利用しているか
利用目的 何の業務で利用しているか
管理部門 社内のどの部署が利用・管理しているか
接続方法 VPN、リモート接続、Web、APIなど
取扱情報 個人情報、顧客情報、機密情報など
アクセス権限 外部事業者がどこまでアクセスできるか
契約期間 いつからいつまで利用しているか
担当者・連絡先 問題発生時に誰へ連絡するか

すべての企業が最初から高度なシステムを導入する必要はありません。

取引先や利用サービスの数がそれほど多くない企業であれば、まずはExcelや管理台帳から始めてもよいでしょう。

重要なのは、

一覧が存在することではなく、現状と一致した状態で管理されていること

です。

よくある不備①「会社として契約していないクラウドサービス」

特に注意したいのが、各部署が独自に利用しているクラウドサービスです。

例えば、

  • ファイル共有サービス
  • オンラインストレージ
  • Web会議サービス
  • 生成AIサービス
  • プロジェクト管理ツール
  • 顧客管理サービス
  • メール配信サービス
  • アンケートサービス

などです。

情報システム部門や経営層が把握していない状態で各部署が利用している場合、正式な取引先管理の対象から漏れる可能性があります。

「会社として契約したシステム」だけを確認するのではなく、

実際に業務で利用されている外部サービスは何か

という視点で確認することが重要です。

よくある不備②「保守事業者の接続方法が分からない」

システム保守を外部へ委託しているものの、

「どの方法で接続しているのか分からない」

「いつでも接続できる状態になっている」

「共通IDを使用している」

「以前の保守会社のアカウントが残っている」

といったケースもあります。

攻撃者から見れば、自社への直接侵入だけが攻撃経路ではありません。

自社へ接続できる外部事業者が存在するのであれば、その接続経路も攻撃対象となる可能性があります。

だからこそ、

自社と外部組織との接続関係そのものを把握する

ことが重要なのです。

3．要求事項2-1-2「機密情報の取扱い」

次の要求事項は、

「自社の機密情報の取扱い方法を、共有先との間で明確にすること」

です。

★3の評価基準では、自社の機密情報を共有する子会社や取引先との間で、業務開始前に少なくとも次の事項を取り決めることが求められています。

  • 機密情報の定義
  • 機密情報の利用制限
  • 保管方法
  • 複製の可否
  • 第三者への提供の可否
  • 機密情報の返還または廃棄

これらは、単に「秘密を漏らしてはいけない」と定めるだけではなく、実際に情報をどのように扱うのかを具体化するための要求と考えることができます。

NDAを締結していれば十分なのか

多くの企業では、取引開始時に秘密保持契約、いわゆるNDAを締結していると思います。

しかし、

NDAを締結していることと、情報の取扱方法が実務として整理されていることは同じではありません。

例えば、ある取引先へ顧客情報を提供するとします。

その場合、

  • どの情報が機密情報なのか
  • 取引先の誰が閲覧できるのか
  • 個人のパソコンへ保存してよいのか
  • クラウドストレージへ保存してよいのか
  • コピーを作成してよいのか
  • 再委託先へ提供してよいのか
  • 業務終了後にデータをどうするのか

といったことが曖昧なままでは、実際の管理は担当者の判断に委ねられてしまいます。

契約書の存在だけではなく、

現場でどのように情報を扱うのか

まで考える必要があります。

「機密情報とは何か」が会社によって違う

 

もう一つ重要なのが、機密情報の定義です。

例えば、

「社外秘」

「秘密情報」

「重要情報」

「個人情報」

「顧客情報」

といった言葉を使用していても、社内で明確な定義が存在しない企業があります。

そうなると、取引先に対しても、

「どの情報を特に厳重に管理してほしいのか」

を明確に伝えることができません。

例えば、

  • 顧客名簿
  • 契約情報
  • 設計図
  • ソースコード
  • 技術資料
  • 未公開の製品情報
  • 人事情報
  • 認証情報
  • システム構成情報

など、自社にとって重要な情報を整理する必要があります。

そのうえで、

この情報は誰に、どのような目的で、どのような方法で提供しているのか

を確認することが重要です。

実務では「契約」と「運用」の両方を見る

SCS評価制度★3への対応を進める際には、次の2つを分けて確認すると整理しやすくなります。

①契約上どうなっているか

  • 秘密保持契約は締結されているか
  • 機密情報の範囲は定義されているか
  • 第三者提供や再委託について定められているか
  • 契約終了時の返還・廃棄について定められているか

②実際の業務ではどうなっているか

  • どの情報を提供しているか
  • どの方法で送受信しているか
  • どこに保存されているか
  • 誰がアクセスできるか
  • 不要になったデータは削除されているか

契約書が整っていても、実際の運用が契約内容と異なっている場合があります。

反対に、現場では適切に管理していても、その方法が文書化されていないケースもあります。

★3への対応では、

「ルールがある」「契約している」「実際に運用している」

という3つの状態をできるだけ一致させていくことが重要です。

4．要求事項2-1-4「セキュリティインシデント発生時の役割・責任」

3つ目は、

「セキュリティインシデント発生時の他社との役割及び責任を明確にすること」

です。

★3では、自社の機密情報を共有する子会社または取引先との間で、セキュリティインシデント発生時の役割と責任を定めることが求められています。

これは非常に重要な項目です。

なぜなら、サイバー攻撃や情報漏えいが発生してから、

「どちらが対応するのか」

「誰に連絡するのか」

「ログは誰が調査するのか」

「顧客への説明はどちらが行うのか」

を決めていては、初動対応が遅れる可能性があるからです。

事故が起きたときに初めて考えるのでは遅い

例えば、自社が利用しているクラウドサービスで不正アクセスが発生したとします。

しかし、契約内容や役割分担が曖昧だった場合、

「サービス提供事業者から連絡が来るのを待つのか」

「自社から問い合わせるのか」

「ログは提供してもらえるのか」

「影響範囲は誰が調査するのか」

「顧客への報告は誰が判断するのか」

といった問題が発生します。

また、自社のシステムを外部の保守事業者が管理している場合も同様です。

ランサムウェア感染が疑われる状況で、

「サーバを停止してよいのは誰か」

「ネットワークを遮断する判断を誰が行うのか」

「保守事業者はどこまで対応するのか」

「休日や夜間は誰へ連絡するのか」

が決まっていなければ、対応が止まってしまう可能性があります。

インシデント対応では、技術的な能力だけでなく、

誰が判断し、誰が行動するのかが決まっていること

が非常に重要です。

実務で最低限確認しておきたい内容

取引先や委託先との間では、少なくとも次のような事項を確認しておくとよいでしょう。

連絡に関する事項

  • インシデント発生時の連絡先
  • 緊急連絡先
  • 休日・夜間の連絡方法
  • どのような事象を報告対象とするか
  • 何時間以内に報告するか

調査に関する事項

  • ログを誰が確認するか
  • ログを提供できるか
  • 影響範囲を誰が調査するか
  • 外部専門家へ調査を依頼できるか

対応に関する事項

  • システム停止の判断
  • ネットワーク遮断の判断
  • アカウント停止の判断
  • 復旧作業の担当
  • バックアップからの復旧方法

対外対応に関する事項

  • 顧客への報告
  • 関係機関への報告
  • 公表の判断
  • 再発防止策の策定

すべてを詳細な契約書に記載しなければならないという意味ではありません。

契約書、サービス仕様書、SLA、運用手順書、インシデント対応手順など、企業や取引の実態に合わせて整理することが現実的です。

重要なのは、

事故が起きた瞬間に「誰に連絡すればよいか分からない」という状態をなくすこと

です。

5．「取引先管理」は自社の弱点を外部へ押し付けるためのものではない

SCS評価制度は、サプライチェーン全体のセキュリティ水準向上を目的とした制度です。

そのため、「取引先管理」という言葉から、

「取引先へ厳しいセキュリティ要求を突き付ける制度」

という印象を持つかもしれません。

しかし、★3の要求事項を見ると、まず求められているのは、

  • 自社と取引先との関係を把握する
  • 共有する情報の取扱いを決める
  • インシデント発生時の役割を決める

という、自社側の管理です。

経済産業省とIPAが構築しているSCS評価制度は、委託元が取引先に必要な対策水準を提示し、実施状況を確認できる共通の枠組みを整えることを目的としています。異なる取引先から個別のチェックリストを求められる受注企業側の負担を減らすことも、制度の背景にあります。

したがって、

「取引先を管理する」というより、「自社と取引先の間に存在するリスクを管理する」

と考えた方が分かりやすいでしょう。

6．まずは「つながり」を見える化する

取引先管理への対応を始める際、最初からすべての契約書を見直そうとすると作業量が膨大になります。

そこで、まず行いたいのが、

自社と外部組織とのつながりの見える化

です。

例えば、次のように整理します。

STEP1　外部組織・サービスを洗い出す

  • 取引先
  • 委託先
  • システム保守会社
  • クラウドサービス
  • 子会社・関係会社
  • 外部データセンター
  • Webサイト管理会社

STEP2　接続関係を確認する

  • 自社システムへ接続できるか
  • 自社ネットワークへ接続できるか
  • 管理者権限を持っているか
  • API等でシステム連携しているか

STEP3　共有情報を確認する

  • 個人情報
  • 顧客情報
  • 営業情報
  • 技術情報
  • 認証情報
  • その他の機密情報

STEP4　インシデント時の連絡体制を確認する

  • 連絡先は分かるか
  • 緊急時の連絡方法はあるか
  • 誰が調査するのか
  • 誰が復旧するのか

この4つを整理するだけでも、自社がこれまで把握できていなかったリスクが見えてくる可能性があります。

7．特に注意したい「システムへ接続できる取引先」

すべての取引先を同じ強度で管理する必要はありません。

実務上、特に注意したいのは、

自社のシステムやネットワークへ接続できる外部事業者

です。

例えば、

  • システム保守会社
  • ネットワーク保守会社
  • クラウド運用事業者
  • Webサイト管理会社
  • ソフトウェアベンダー
  • MSPやSOC事業者

などです。

これらの事業者が利用するアカウントやリモート接続環境が侵害された場合、その接続経路を利用して自社環境へ侵入される可能性があります。

そのため、

  • 誰が接続できるのか
  • どのアカウントを使用するのか
  • 接続できる時間帯
  • 接続先
  • 認証方法
  • 接続記録の有無
  • 契約終了時のアカウント削除

などを確認しておくことが重要です。

「長年付き合っている会社だから大丈夫」という考え方ではなく、

信頼関係とアクセス管理は分けて考える

必要があります。

8．SCS評価制度★3では「できているつもり」が問題になる

取引先管理では、担当者へ質問すると、

「たぶん契約書に書いてあります」

「保守会社が管理していると思います」

「問題があれば連絡が来ると思います」

という回答になるケースがあります。

しかし、

「思います」

「はずです」

「たぶん」

という状態は、実際に確認できている状態とは異なります。

SCS評価制度★3では、要求事項・評価基準に基づいて自社が評価を行い、その内容についてセキュリティ専門家による確認を受ける仕組みが予定されています。最終的には経営層による自己適合宣誓を含む評価結果を提出する流れが示されています。

そのため、今後★3への対応を進める企業では、

「できていると思う」から「確認した結果、できていると言える」へ変えていくこと

が重要になります。

9．取引先管理でよくある不備

最後に、実務上よく見られる状態を確認してみましょう。

①利用しているクラウドサービスの一覧がない

各部署が独自にサービスを利用しており、全社として把握できていない。

②外部事業者のリモート接続を把握していない

誰が、いつ、どの方法で接続できるのか分からない。

③契約終了後もアカウントが残っている

以前の保守会社や担当者のアカウントが削除されていない。

④NDAだけで安心している

秘密保持契約はあるものの、実際の保管方法や第三者提供のルールが整理されていない。

⑤インシデント時の連絡先が分からない

通常の営業担当者の連絡先しか把握していない。

⑥役割分担が決まっていない

事故発生時に、調査、停止判断、復旧、報告を誰が担当するのか分からない。

⑦一度作成した一覧を更新していない

管理台帳は存在するものの、数年前から更新されていない。

こうした状態がないかを確認することが、★3対応の第一歩になります。

10．「取引先管理」セルフチェック

自社の状況を簡単に確認してみてください。

□ 自社が利用している主な外部サービスを把握している

□ 自社システムへ接続できる外部事業者を把握している

□ 外部事業者の接続方法を把握している

□ 取引先へ提供している機密情報を把握している

□ 機密情報の取扱方法を取引先との間で決めている

□ 第三者提供や再委託について確認している

□ 契約終了時の情報の返還・廃棄について決めている

□ インシデント発生時の連絡先を把握している

□ 自社と取引先の役割分担を決めている

□ 取引先や外部サービスの情報を定期的に見直している

チェックが付かなかった項目がある場合でも、直ちに「セキュリティ対策ができていない企業」ということではありません。

重要なのは、

現在どこまで把握できていて、何が不足しているのかを明確にすること

です。

11．まとめ

SCS評価制度★3における「取引先管理」では、次の3つが求められています。

1．取引先とのビジネス又はシステム上の関係を把握する

2．取引先と共有する機密情報の取扱方法を明確にする

3．インシデント発生時の役割と責任を明確にする

どれも、特別なセキュリティ製品を購入することで達成できる項目ではありません。

まず必要なのは、

自社が誰と、どのようにつながり、どの情報を共有しているのかを把握すること

です。

現在の企業活動では、クラウドサービス、外部委託、システム保守、業務提携など、多くの外部組織との関係が存在します。

だからこそ、自社内部だけを守るという考え方では十分ではありません。

一方で、すべての取引先へ一律に厳しいセキュリティ要求を行えばよいというわけでもありません。

重要なのは、

自社との関係性とリスクを把握し、その関係に応じた管理を行うこと

です。

SCS評価制度★3の「取引先管理」は、そのための基本的な土台を作る要求事項であると考えることができます。

SCS評価制度★3への対応について相談したい企業様へ

SCS評価制度★3への対応では、要求事項を読んで「できている」「できていない」と判断するだけでは十分ではありません。

実際には、

  • 現在の運用が評価基準を満たしているのか
  • どのような証跡を整理すればよいのか
  • 新たにルールを作成する必要があるのか
  • 既存の契約書や管理台帳を活用できるのか
  • どこまで対策を行えばよいのか

といった判断が必要になります。

特に取引先管理では、情報システム部門だけでは把握できない契約やクラウドサービスが存在することもあり、総務、営業、人事、経理など複数の部門との確認が必要になる場合があります。

株式会社クロイツでは、企業の現在の体制や実際の運用状況を確認したうえで、

  • SCS評価制度★3要求事項への対応状況の確認
  • 不足している項目の整理
  • 既存のルール・文書・台帳の確認
  • 必要な規程や運用ルールの整備
  • 取引先・外部サービス管理の整理
  • ★3取得に向けた専門家の視点からの確認・助言

など、実際の企業運営に合わせた支援を行っています。

SCS評価制度のためだけに大量の文書を作成するのではなく、実際のセキュリティ対策として機能し、その結果として★3の要求事項にも対応できる状態を作ることが重要だと考えています。

「自社が現在どこまで対応できているのか分からない」

「★3を目指したいが、何から始めればよいか分からない」

「取引先からセキュリティ対策について求められることが増えている」

といった場合は、まず現在の状況を確認するところから始めてみてください。

お問い合わせの際は、相談内容に
「SCS評価制度★3について相談したい」
とご記載ください。

お問い合わせ

次回予告

【連載第4回】SCS評価制度★3「リスクの特定」とは？資産管理・ネットワーク・クラウド・機密情報管理を解説

次回は、SCS評価制度★3の大分類「リスクの特定」について解説します。

この分野では、

  • パソコンやサーバ、OS、ソフトウェアの把握
  • ネットワーク情報の把握
  • 外部情報サービスの管理
  • 機密区分に応じた情報管理

など、企業がセキュリティ対策を進めるうえで基礎となる「何を守るのか」を整理していきます。

セキュリティ対策は、自社が保有する情報や機器、システムを把握できていなければ適切に進めることができません。

第4回では、SCS評価制度★3が企業にどこまでの資産管理を求めているのか、実務上どのように整理すればよいのかを詳しく解説します。