外部委託管理（第三者リスク）
Outsourcing Management
がいぶいたくかんり
業務やシステムの開発・運用、クラウドサービスの利用などを外部に委託する際に、委託先の選定、契約、委託中の監督・評価、委託の終了までを通じてリスクを管理すること。委託しても業務の結果に対する責任は委託元に残るため、委託先や再委託先に起因する情報漏えい、サービスの停止、法令違反などの第三者リスクを評価し、契約で管理策や監査の権利を定める。
Related
他の資格での定義
Past Exams
過去問での出題
過去問で 4 回出題（システム監査技術者試験 2・情報セキュリティマネジメント試験 1・応用情報技術者試験 1）
出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。用語名で照合しているため、関係の薄い問題が含まれることがあります。
Related
関連キーワードの用語
業務の一部を外部の事業者に任せるときに結ぶ契約の総称。法的には、成果物の完成を約束する請負契約か、業務の遂行を約束する準委任契約の形をとることが多い。システムの開発や運用の委託では、業務範囲、成果物、検収、責任分担、秘密保持、再委託の可否、委託先への監査などを契約で明確にし、委託先を管理する。
経済安全保障推進法に基づき、電気、ガス、金融、電気通信など国が指定する基幹インフラ事業の事業者（特定社会基盤事業者）が、重要な設備を導入する場合やその維持管理を外部に委託する場合に、事前に国に届け出て審査を受ける制度で、2024年5月に運用が始まった。設備が外部からの妨害行為の手段として使われるおそれが大きいと判断されると、国は導入計画の変更や中止を勧告・命令できる。
ソフトウェアの開発や配布の過程に介入し、正規のソフトウェアやその更新プログラム、利用されているオープンソースのライブラリなどにマルウェアを混入させて、利用者に広く感染させる攻撃。アップデートの配信経路の悪用が代表的で、SBOMによる構成部品の把握や署名の検証で対策する。
サプライチェーンを構成する企業のセキュリティ対策の水準を、★の段階で評価して可視化する制度。経済産業省と国家サイバー統括室が監督し、IPAが運営する。全企業が最低限目指す★3は専門家の確認付きの自己評価、より高い水準の★4は評価機関による第三者評価で、2027年3月に申請の受付を始める予定である（★5は検討中）。
自社の業務プロセスの一部（人事、経理、コールセンタ、物流など）を、その業務の設計から運営までまとめて外部の専門事業者に委託すること。ビジネスプロセスアウトソーシングの略で、自社は中核業務に経営資源を集中できる。委託先に個人情報などを扱わせる場合は、委託先の選定、契約での安全管理措置の取決め、定期的な監督が必要になる。
製品やサービスの調達、製造、配送に関わる取引先や委託先のつながり（サプライチェーン）を通じて生じるリスク。取引先の被災による部品の供給停止や、セキュリティ対策の弱い委託先や組み込まれたソフトウェアを経由した攻撃・情報漏えいなどがある。