ベンダーセキュリティ · 準備キット
ベンダーセキュリティ評価の準備
ベンダーの棚卸し、セキュリティチェックシートから継続的なモニタリングまで、ベンダーセキュリティ評価の準備資料です。ISO 27001（A.5.19、A.5.20）、SOC 2（CC9.2）、HIPAA（BAA）で共通して求められます。
pTrackly に相談する →1. ベンダーの棚卸し
- □ 自社データを処理またはアクセスするベンダーをすべて列挙
- □ 重要度でベンダーを分類：重大／高／中／低
- □ 確認：ベンダーは個人データにアクセスするか、CHD／PHI を保存するか
- □ ベンダーの担当者（社内で窓口となる人）を記録
2. セキュリティチェックシート
- □ 新規ベンダーのオンボーディング時にセキュリティチェックシートを送付
- □ よくある質問：ISO 27001／SOC 2 の有無、暗号化、アクセス制御、インシデント対応
- □ 重要なベンダーには SOC 2 報告書または ISO 27001 認証書を依頼
- □ 回答を評価：合格／条件付き合格／不合格
3. ベンダーのリスク評価
- □ 固有リスクを評価：データの機微度 × ベンダーのアクセス権限
- □ チェックシートと認証からベンダーのセキュリティ態勢を評価
- □ ベンダー側のコントロールを踏まえて残留リスクを算出
- □ リスク受容を文書化するか、ベンダーに是正を求める
4. ベンダーとの契約
- □ 契約に盛り込むセキュリティ要件：守秘義務、データ保護、インシデント通知
- □ ベンダーが個人データを処理する場合はデータ処理契約（DPA）（GDPR／PDPD）
- □ ベンダーが PHI にアクセスする場合は Business Associate Agreement（BAA）（HIPAA）
- □ 監査権条項：必要に応じてベンダーを監査する権利
- □ 侵害通知の期限：ベンダーが侵害をどれだけ早く通知すべきか
5. 継続的なモニタリング
- □ 年 1 回、または重要な変更時にベンダーのセキュリティを再評価
- □ ベンダーの認証期限を管理：SOC 2 報告書は 1 年、ISO 27001 認証は 3 年
- □ ベンダーのインシデントを監視（侵害は発生していないか）
- □ 利用終了時のオフボーディングチェックリスト：データ削除、アクセス権の取り消し
pTrackly のテンプレートとエビデンスの自動収集で、ベンダーセキュリティ の導入を効率よく進められます。
無料デモを予約
コンプライアンスの知識を、実行されるタスクに
AI によるステップごとのガイド、エビデンスの自動収集、コントロールの最新状況をひとつのワークスペースで。
打ち合わせでは、対象フレームワーク、システムの範囲、そして pTrackly が現在の業務にどう組み込めるかを整理します。
独立した監査法人や認証機関に代わるものではありません。