受注側（元請・中堅以上）

まず着手する3ステップ

制度構築方針では、セキュリティ対策の実施主体として想定されているのはサプライチェーン企業、つまり2社間の契約における受注者側です。一方で、自社が他社に委託していれば発注者にもなります。両方の役割を同時に設計する必要があるのが、この立場の難しいところです。

顧客ごとにバラバラの質問票へ個別対応していると、担当者が疲弊して形骸化します。制度の狙いのひとつも、委託先が「様々な委託元から様々な要求事項を求められ、過度な負担につながっている」状況の解消です。まず全顧客の要求を1枚に集約してください。

評価取得の申請主体は、自社IT基盤を中心としたセキュリティ対策の向上に責任を有する単位で、原則として法人または個人事業主の単位とされています。

ただし法人の場合は、取得希望組織が設定した適用範囲について、セキュリティ専門家（★3）または評価機関（★4）による妥当性の確認を経たうえで、事業部単位・グループ単位を申請主体とすることができます。全社で取るか、対象事業を切り出すかは、ここで判断できます。

★3 を取得していなくても ★4 を目指せます。顧客の提示水準が ★4 なら、直接 ★4 を狙う選択肢があります。

自社が水準を満たしても、再委託先が満たしていなければサプライチェーンとしては穴が残ります。提示する側としての進め方は発注元・調達部門のガイドを参照してください。

制度構築方針では、各企業が自社の評価結果等について、秘密保持契約の締結等の一定の情報保護措置を講じたうえで、取引関係にある事業者等に対して任意で開示し、リスクコミュニケーションのツールとして活用することも考えられる、とされています。

本ページの解説文は、上記の一次情報をもとに当サイトが要約・再構成したものです。正確な表現は原典をご確認ください。