委託時のセキュリティ責任、「知識不足」で不明瞭に

専門知識やスキルの不足が原因で、業務委託においてセキュリティに関する情報共有やインシデント対応などの責任範囲が不明瞭となってしまうケースが目立っている。

情報処理推進機構（IPA）が、2018年10月から2019年2月にかけて実施した「ITサプライチェーンにおける情報セキュリティの責任範囲に関する調査」によって判明したもの。

同機構では、2017年度に委託元と委託先間の情報セキュリティ上の責任範囲について調査を実施。責任範囲が明確となっていない企業が多いとの結果が出たことから、さらに原因を明らかにするため今回の調査を実施。ユーザー企業417社およびITシステム、サービス提供企業428社が回答した。

委託元が文書で明確にしているセキュリティに関する要求事項において、「あらたな脅威が顕在化した際の情報共有、対応」について記載している企業はわずか20.1％にとどまり、記載がない組織が約8割にのぼる。「インシデントが発生した場合の対応」に関しても、記載していた企業は37.1％で、6割超は定めがなかった。

委託元が文書として明確にしているセキュリティの要求事項（グラフ：IPA）

（Security NEXT - 2019/04/22 ） ツイート

PR

関連記事

先週注目された記事（2025年6月1日〜2025年6月7日）
先週注目された記事（2025年5月4日〜2025年5月10日）
IPA、「情報セキュリティ10大脅威 2025 組織編」の解説書を公開
「クレカセキュリティGL」が改訂 - ECの対策強化など盛り込む
先週注目された記事（2025年2月16日〜2025年2月22日）
「セキュリティ10大脅威2025」 - 「地政学的リスク」が初選出
業界向け「セキュポリシーテンプレ」を公開 - 日本通販協会
高専生対象の「KOSENセキュリティコンテスト2024」 - 12月に開催
先週注目された記事（2024年10月6日〜2024年10月12日）
先週注目された記事（2024年9月1日〜2024年9月7日）