情報セキュリティ(IS)とは？アウトソーシングに関する 情報セキュリティ管理
サプライチェーンに代表される企業間業務連携の進展に伴い、企業の持つ重要情報を外部に預託せざるを得ない状況が多く見られるようになってきた。このような、アウトソーシングに係る情報セキュリティリスクは、発注元企業の業務遂行に対する脅威に留まらず、その競争力及び社会的責任等を損なう脅威にもなっている。
2021年03月05日
サプライチェーンに代表される企業間業務連携の進展に伴い、企業の持つ重要情報を外部に預託せざるを得ない状況が多く見られるようになってきた。このような、アウトソーシングに係る情報セキュリティリスクは、発注元企業の業務遂行に対する脅威に留まらず、その競争力及び社会的責任等を損なう脅威にもなっている。
サプライチェーンに代表される企業間業務連携の進展に伴い、企業の持つ重要情報を外部に預託せざるを得ない状況が多く見られるようになってきた。このような、アウトソーシングに係る情報セキュリティリスクは、発注元企業の業務遂行に対する脅威に留まらず、その競争力及び社会的責任等を損なう脅威にもなっている。
１．情報セキュリティ(IS)とは？
セキュリティ管理とは、ネットワーク上での安全性を確保するために行う、システム運用管理の１つです。具体的には、以下の管理が該当します。
ハードウェア管理：端末へのパスワード設定やバックアップなど
ソフトウェア管理：アクセス権限の設定など
ウイルス対策：セキュリティソフトの導入や定期的なスキャン
ネットワーク防御：ファイアウォールの設置、通信暗号化など
情報セキュリティを保つために欠かせない3要素が「機密性」「完全性」「可用性」です。
機密性：アクセスを認可された者だけが、情報にアクセスできるようにすること
完全性：情報および処理方法が正確であること及び完全であること
可用性：認可された利用者が、必要なときに情報及び関連する資産にアクセスできることを確実にすること
厳しいアクセス制限や認証プロセスの複雑化をし、機密性を高くしても、例えば従業員がデータにアクセスするまでに時間がかかる状態、つまり可用性の低い状態であれば、それは適切な情報セキュリティが確保できていないということになります。
2. 情報資産への脅威
部外者による脅威
建物侵入による情報資産の破壊、・盗難、故意の不正アクセスまたは不正操作による情報資産の破壊・盗難・改ざん・消去など
社員・社内関係者（外部委託業者）による脅威
日本において極めて特徴的で多い脅威である。意図しない故意の不正アクセス又は不正操作によるデータやプログラムの持ち出し・改ざん・消去、機器または記録媒体の盗難、規定外の機器操作によるデータ漏えいやシステムの停止など
インターネット利用による脅威
盗聴、改ざん、なりすまし、侵入、妨害、不正アクセス、機密漏えい、ウイルスなど
3. アウトソーシングに係る情報セキュリティ管理
アウトソーシングは、委託する業務によって形態や規模は様々であり、アウトソーシン グ業務を、担当部署毎に個別管理していると、部署毎・案件毎に情報セキュリティレベル に大きな差が生じてしまう。
そこで、計画プロセスにおいては、個々のアウトソーシング業務から発生する情報セキ ュリティリスクに対応するため、アウトソーシング戦略及び情報セキュリティ戦略に基づ き、アウトソーシングに対して共通に機能する、全社的な情報セキュリティ管理基盤を整 備することが望ましい。
情報セキュリティ管理基盤は、アウトソーシングにおける情報セキュリティ管理体制、 各種規定（アウトソーシング先選定基準、情報セキュリティ要求事項、契約書ひな型、報 告形式等）や推奨アウトソーシング先リストなど、アウトソーシングプロジェクトを情 報セキュリティの観点から組織横断的に管理するための共通プラットフォームとして機能 するものである。
3.1. 情報セキュリティ管理基盤の整備方法と実行・評価プロセスへの活用
- 情報セキュリティ管理基盤には、次の要素が含まれる。
+ 組織横断的体制の整備: 企業内部にアウトソーシングの情報セキュリティ管理を行うための組織横断的な体制を構築する。
+ 規定の整備: アウトソーシングの実行・評価プロセスにおいて、統一した情報セキュリティレベルを確保するための各種規定を整備する。
+ モニタリング・監査体制の整備: 個々のアウトソーシング先における情報セキュリティ遵守状況に関するモニタリング（オフサイト監視/オンサイト監視）・監査(内部監査/外部監査)体制を整備する。
- アウトソーシングの実行・評価プロセスにおける情報セキュリティ管理 現場担当者は、情報セキュリティ管理基盤を活用して、各実行・評価プロセスの情報セ キュリティ対策を実装する。
- 情報セキュリティ管理基盤と各実行・評価プロセスの関係 現場担当者は、個々のアウトソーシングにおいて顕在化した課題や問題を情報セキュリ ティ管理基盤にフィードバックすることで、社内プロセスの改善に繋げる。
3.2．契約書フォーマットの作成
アウトソーシング先との契約には、関連する情報セキュリティに係る条項を含めることが望ましい。また、問題が発生した際の対処方法についても明確化しておくことが望ましい。
a. 情報セキュリティ要求事項
情報セキュリティに係る要求事項については、管理策を示すだけでなく、実施状況の確
認方法（定期的な報告、モニタリング、監査の実施等）や、不備があった場合の対応に
まで踏み込んだ明確な取り決めを行う。
含めることが考えられる項目:
・ 情報セキュリティ管理策
・ 報告の方法
・ 監査の実施
・ 再委託の禁止、又は再委託制限に関する事項（再委託の事前報告／承認）
・ 情報セキュリティ上の不備への対応
b. 関連する契約
情報セキュリティ要求事項に加え、秘密保持契約（NDA）やサービ水準合意契約（SLA）など、情報セキュリティに係る契約が必要となる場合がある。
・ 知的財産権の取扱
・ NDA の取り交わし
・ SLA の取り交わし
...
c. 事故が発生した際の対応
契約期間中に情報セキュリティ事故が発生した場合の対応として、契約書の中で、責任
の所在、応急対応/復旧対応等の実施主体、及び具体的な対応方法について明確にする。
・ アウトソーシング先の廃業、買収時の取り決め19
・ 事故対応時の調査の実施、費用の負担
・ 事故発生時の協力体制（発注元従業員の介入・協働）
・ 準拠法、仲裁裁判所
...
d. その他
・ 法的要求事項(個人情報保護法等)
・ 契約締結前の作業への着手
・ 成果物に対するセキュリティ
…
3.3．情報セキュリティ対策状況の報告形式の作成
アウトソーシング先の情報セキュリティ対策状況をモニタリングするために、情報セキ ュリティ要求事項の遵守状況を確認するためのチェックシートや報告形式を作成する。
a． 情報セキュリティ対策チェックシート
アウトソーシング先の情報セキュリティ対策状況に関する情報を確認するために、セキ ュリティ要求事項に沿った形のチェックシートを作成する。
b． 報告形式
情報セキュリティの実施状況に加え、体制の変化や情報の移動など、情報セキュリティに係る情報共有のために、アウトソーシング先に記入・提出を求めるための報告形式を 作成する。
（報告形式に含めることが考えられる項目）
・ 秘密情報の受け渡し履歴、閲覧履歴
・ 再委託時の再委託先との情報受け渡し履歴
4. まとめ
企業活動のグローバル化の進展とともに、海外アウトソーシングの利用が拡大しており、企業が保有する技術情報等を海外企業に預託する際の漏えいリスク等、新たな種類のリスクが発生している。
守秘義務のために, 法的基準に則った施設（センター設備）、プロの運用方式による厳格な運用方式、最新の技術を駆使したインターネット・セキュリティ対策、必要に応じて保証範囲を明確にした契約を構築することができる。
オフショア開発をご検討されている方々はぜひ一度ご相談ください。
※以下通り弊社の連絡先
アカウントマネージャー: クアン(日本語・英語対応可)
電話番号: (+84)2462 900 388
お電話でのご相談/お申し込み等、お気軽にご連絡くださいませ。
- オフショア開発
- エンジニア人材派遣
- ラボ開発
- ソフトウェアテスト
電話番号: (+84)2462 900 388
メール: contact@hachinet.com
お電話でのご相談/お申し込み等、お気軽にご連絡くださいませ。
無料見積もりはこちらから
Tags
ご質問がある場合、またはハチネットに協力する場合
こちらに情報を残してください。折り返しご連絡いたします。
関連記事
Spring MVCの内部構造を分解する──リクエスト処理はどの順で、誰が何をしているのか
Spring MVCを使っていると、Controllerを書くこと自体は難しくありません。しかし、例外処理や独自拡張、想定外の挙動に直面したとき、内部構造を理解していないと原因を追えなくなります。この記事では、Springとは何かを前提知識として最小限に整理し、Spring MVCがHTTPリクエストをどの順序で処理しているのかを、構成要素・処理責務・コードレベルの観点から解説します。
Springを内部構造から理解するための基礎知識と主要アノテーション詳解
Springとは何かを理解する際に重要なのは、「どの処理がSpringに委ねられ、どの処理がアプリケーション側の責務なのか」を切り分けて把握することです。本記事ではSpringを単なる便利なフレームワークとして扱うのではなく、IoCコンテナの内部構造、Bean管理、アノテーションがどのタイミングで解釈されるのかを技術的に掘り下げます。
Spring Bootとは？Springとの違いを「学ぶ順番」で理解すると一気に腑に落ちる
SpringとSpring Bootの違いが分からないという悩みは、知識不足ではなく学び方の問題であることがほとんどです。特に初心者ほど、「どちらから学ぶべきか」を誤ることで、理解が止まります。この記事では、学習者の視点からSpringとSpring Bootの違いを整理し、なぜ混乱が起きるのかを明確にします。
Spring Frameworkは何を楽にしているのか？Core・DI・Containerの関係を5分で腑に落とす
Spring Frameworkを学ぶと、多くの人が「できることの多さ」に圧倒されます。しかし現場でSpringが評価されている理由は、機能の多さではなく、設計の迷いを減らしてくれる点にあります。本記事ではSpringとは何かを表面的に説明するのではなく、Spring Core・DI・Containerがそれぞれ何を決め、何を自動化しているのかを順を追って解説します。
DI（依存性注入）とは何か？Spring開発で「3年後に手が出せなくなるコード」を生まないための設計原則
DI（依存性注入）は「疎結合にするため」「テストしやすくするため」と説明されがちですが、現場ではそれよりも単純な理由で必要になります。それは、時間が経ったコードを安全に直せるかどうかです。本記事では、DIを導入しなかったSpringアプリケーションがどこで詰まり、DIがその地点をどう回避しているのかを、構造と判断基準に絞って解説します。
Springとは何か？なぜSpringは現代Java開発の“背骨”になったのか
Springは「便利だから使われている」のではありません。Springが広く使われるようになった理由は、Javaという言語が大規模化・長期運用・人の入れ替わりという現実に直面したとき、従来の設計では耐えられなくなったからです。本記事では、機能紹介や用語解説に終始せず、SpringがJavaの構造そのものをどう変えたのかを、設計・保守・時間軸という観点から具体的に掘り下げます。
Webサイトは「どこで・どう処理され・何を返す」のか？構造から理解するWeb開発の本質
Webサイトはクリックすれば反応し、情報が表示されるものとして認識されていますが、その動きは自動的に起きているわけではありません。web 開発とは、ユーザーの操作を起点に、どこで処理を行い、どの情報を使い、どの形式で返すかを設計する仕事です。本記事では、サーバー・ドメイン・データベースを軸に、Webが成立する構造を処理レベルで分解し、仕組みそのものを理解できるよう掘り下げていきます。
HTML・CSS・JavaScriptから読み解くWeb開発の基本構造と考え方
Web開発という言葉は広く使われていますが、「結局Web開発とは何をしているのか」を自分の言葉で説明できる人は意外と多くありません。HTML・CSS・JavaScriptを学んでいても、それぞれがどのような思想で分かれており、なぜこの三つがWebの基盤として使われ続けているのかまで理解できていないケースも少なくないのが実情です。本記事では、Web開発を単なる技術の集合としてではなく、「Webが成り立つ構造そのもの」として捉え直し、HTML・CSS・JavaScriptの役割を設計思想の観点から整理していきます。
開発とは何か？Web開発プロセス完全ガイド｜企画・設計から運用改善までをわかりやすく解説
インターネットがビジネスや日常生活の基盤となった現在、「開発とは何か」「Web開発はどのような流れで進むのか」を正しく理解することは非常に重要です。しかし、企画や設計、実装といった工程が断片的に語られることは多く、全体像を体系的に把握できていない方も少なくありません。本記事では、ITに詳しくない方でも理解できるように、開発の基本的な考え方からWeb開発プロセスの全体像、そして公開後の運用・改善までを一連の流れとしてわかりやすく解説します。