供給者管理とは？きょうきゅうしゃかんり
供給者管理とは、サービスの提供に関わる外部供給者・内部供給者・供給者として行動する顧客を対象に、契約と関係を定め、パフォーマンスを監視するサービスマネジメントの活動。外部供給者にはクラウドサービス（SaaS・PaaS・IaaS）も含まれ、支援士試験では契約に盛り込むセキュリティ要求事項と、その遵守状況をどう確認するかが問われる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
システムの一部をクラウドや保守ベンダに委ねると、自組織が直接統制できない範囲が広がる一方、利用者に対する責任は自組織に残る。「契約で何を要求し、何を証拠として確認するか」を仕組みにしておかないと、供給者の側で起きたセキュリティ事象を把握できないまま利用者へ影響が及ぶ。JIS Q 20000-1は供給者管理を独立したプロセスとして要求し、JIS Q 27001の管理策も供給者関係における情報セキュリティを定めている。
具体例
Amazon Web Servicesが公開する責任共有モデルでは、物理・仮想化層をAWSが、OSより上の設定と利用者データを契約者が守ると分担が示され、契約者はSOC 2やISO/IEC 27001の第三者報告書で供給者側の統制を確認する。保守ベンダには年1回のセキュリティ自己点検票と重大事象の報告期限を契約で定め、四半期ごとに実績をレビューする。
試験での引っ掛け
統括供給者（リード供給者）に下位供給者の管理を任せても、顧客への責任はサービス提供者が負う。「下請けの管理は元請けに任せたので関与しない」は誤りで、提供者は統括供給者を通じて管理されていることを確認する責任がある。契約に要求事項を書いただけでは管理ではなく、遵守状況の監視と見直しまで含めて供給者管理である。
関連用語
出典・参考
公式シラバスの6 サービスマネジメント ＞ 2. サービスマネジメントシステムの計画及び運用 ＞ (8) 供給者管理に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。