SCSの「外部情報サービス」とは？ECサイトも管理対象になるのか

ECサイトだから対象外、とは考えない

要求事項・評価基準の「資産管理」を読むと、「外部情報サービス」という項目があります。クラウドストレージやSaaSはイメージしやすい一方で、仕入れに使うECサイトまで含まれるのか、という疑問が出ることがあります。

業務では、クラウドストレージ、SaaS、ECサイト、Web上の各種サービスなど、社外のサービスを経由して仕事をしている場面は多いです。「ECサイトだから対象外」「クラウドだから対象」と、サービスの種類だけで線を引くより、そのサービスで何を扱っているかを見た方が整理しやすいことがあります。

現時点で公表されている要求事項では、外部情報サービスについて「自社の機密情報を扱う外部情報サービスを管理する」ことが示されています。一方、要求事項・評価基準には、ECサイトなどをサービス種別ごとに対象・対象外とする整理は示されていません。

見るべきなのは「そのサービスで何を扱っているか」

前回の記事では、まず自社で扱う情報から整理する考え方を紹介しました。外部サービスについても、基本的には同じで、そこで何の情報を扱っているかを見ると分かりやすくなります。

たとえば、日用品の購入だけに使い、図面や顧客情報などを登録・送信しないECサイトもあります。一方で、図面やCADデータをアップロードして見積りや加工を依頼するサービスもあります。顧客情報を登録するクラウドサービスや、社内ファイルを置くクラウドストレージとも、同じ「外部のWebサービス」でも状況は異なります。

サービス名やカテゴリを見るのではなく、そのサービスに何を登録し、何を保存し、何を送受信しているかを確認する。SCSの要求事項を読むうえでも、この順番の方が実際の業務に沿っていることが多いです。

「把握すること」と「重点的に管理すること」を分けて考える

要求事項では、機密情報を扱う外部情報サービスについて、利用時のセキュリティ要件の確認や、提供事業者との取扱いの合意などが示されています。業務で使っているサービスをすべて同じレベルで管理しなければならない、という意味ではありません。

まず、会社として使っている外部サービスを把握しておく。そのうえで、サービス名に加え、利用目的や取り扱う情報を併記しておくと、どこを重点的に見るか判断しやすくなります。機密区分や情報の重要度を併せて整理する方法もありますが、SCSで特定の形式の台帳が必須という意味ではありません。

ECサイトかクラウドサービスかという名称だけで考えるより、そこでどんな情報を扱っているのかを一度整理してみる。その方が、自社にとってどこを重点的に管理すべきかも見えやすくなります。