外部委託・クラウド利用時の監査チェックポイントとは？がいぶいたく・くらうどりようじのかんさちぇっくぽいんと
外部委託・クラウド利用時の監査チェックポイントとは、委託先やクラウド事業者に業務・データを預けたとき、委託元がその管理状況をどう選定・契約・監督しているかを検証する監査の着眼点。責任共有モデルに沿った役割分担が決まっているか、データ消失に備えたバックアップ体制が契約（SLA）で保証されているか、選定基準と委託後の継続的なモニタリングが機能しているかを見る。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
業務やデータを外に出しても、それが漏えい・消失したときの説明責任は委託元に残る。契約書に「安全に管理する」と書くだけでは実効性が無いため、選定時の評価・契約での義務化・稼働後の確認という一連の管理が監査対象になった。支援士試験では、責任共有モデルで利用者側の責任範囲を取り違えた事故の類型と結びつけて問われる。
具体例
ISMAP（政府情報システムのためのセキュリティ評価制度）はクラウド事業者側の統制を登録簿で確認できるが、利用側のIAM設定やバックアップ設定は対象外。AWSの責任共有モデルでも、S3のアクセス設定や暗号化の有効化は利用者責任で、監査ではSOC2報告書の入手に加え、自社の利用範囲がそのスコープに入っているか、設定確認を定期的にしているかを見る。
試験での引っ掛け
委託しても委託元の管理責任は移転しない。「事業者が第三者認証を取得しているから確認不要」は誤り。認証やSLAの有無だけでは足りず、自社の利用範囲が認証のスコープに含まれるか、実施状況を定期的に確認しているかまでが着眼点。再委託先の管理を委託先任せにしていないかも問われる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。