サプライチェーンリスク

調達先や委託先を経由して自組織が被害を受けるリスク。取引先を踏み台にした侵入や、部品・サービスの供給停止が該当し、委託先の管理と契約による統制が対策となる。

調達先や委託先、利用しているソフトウェア部品の側で生じた問題が、自組織の事業や情報セキュリティに波及するリスク。取引先経由の侵入や部品への不正コード混入が典型で、委託先の管理とSBOMによる部品把握が対策となる。

委託先やビジネスパートナー、製品・サービスの提供元を経由して発生する情報セキュリティリスク。委託先からの情報漏洩、ソフトウェアの脆弱性の混入、悪意あるコードの埋め込みなどが含まれる。SBOMの活用やセキュリティ要件の契約明記が対策となる。

委託先やビジネスパートナー、製品・サービスの提供元を経由して発生する情報セキュリティリスク。委託先からの情報漏洩、ソフトウェアの脆弱性の混入、悪意あるコードの埋め込みなどが含まれる。SBOMの活用やセキュリティ要件の契約明記が対策となる。

製品やサービスの調達、製造、提供に関わる取引先や委託先、利用しているソフトウェアやクラウドサービスなどを経由して、自組織が損害を受けるリスク。セキュリティ対策の弱い取引先が攻撃の踏み台にされる事例や、供給の停止による事業の中断などがあり、委託先の管理や評価制度の活用で対策する。

業務の過程、人、システムが不適切であったり機能しなかったりすること、または外部の事象によって損失が生じるリスク。事務処理の誤り、システム障害、従業員の不正、災害などが該当する。もとは金融機関のリスク管理で使われてきた区分である。

自社の業務の一部または全部を、外部の事業者に委ねる際に結ぶ契約。業務の範囲、成果物、責任の分担、秘密保持、再委託の可否、検収や報酬の条件などを定める。法的には請負契約か準委任契約のいずれかの性質を持つことが多い。

クラウドサービスなど外部のサービスを業務に利用することに伴うリスク。事業者側の障害や情報漏えい、サービスの終了、データの保存場所や管理状況が見えにくいことなどがあり、契約内容や責任の分担を確かめて管理する。

組織や従業員がSNSで情報を発信することに伴うリスク。機密情報や個人情報の書き込み、不適切な投稿による炎上や信用の低下などがあり、ソーシャルメディアガイドラインで発信のルールを定めて防ぐ。

自社の業務プロセスの一部（人事、経理、コールセンタ、物流など）を、その業務の設計から運営までまとめて外部の専門事業者に委託すること。ビジネスプロセスアウトソーシングの略で、自社は中核業務に経営資源を集中できる。委託先に個人情報などを扱わせる場合は、委託先の選定、契約での安全管理措置の取決め、定期的な監督が必要になる。

業務やシステムの開発・運用、クラウドサービスの利用などを外部に委託する際に、委託先の選定、契約、委託中の監督・評価、委託の終了までを通じてリスクを管理すること。委託しても業務の結果に対する責任は委託元に残るため、委託先や再委託先に起因する情報漏えい、サービスの停止、法令違反などの第三者リスクを評価し、契約で管理策や監査の権利を定める。