サプライヤのカテゴリ化とは？さぷらいやのかてごりか
サプライヤのカテゴリ化とは、供給者を、取引が止まったときの事業への影響と、預ける情報の重要度によって分類し、管理の手厚さを段階的に変える考え方。重要な相手には契約での監査権の確保と定期報告を求め、軽い相手には確認書の提出だけで済ませるというように、どこまで見るかの線引きを先に決めておく。
最終更新：2026-10-06
情報セキュリティマネジメントを最短で暗記・合格する →背景
委託先が増え、業務がクラウドサービスに分散すると、自社の情報が自社の外にある時間のほうが長くなる。すべてを同じ厳しさで点検しようとすると要員が足りず、結局どこも浅くしか見られない。影響と重要度で段階を分け、限られた手数を重い相手へ寄せる整理が必要になった。情報セキュリティの側では、預ける情報の機密区分が段階を決める主な材料になる。
具体例
顧客の個人情報を預けるデータセンターや事務代行の委託先は最上位に置き、契約に監査権と再委託の事前承認を入れ、年1回のチェックシートとJIS Q 27001に基づくISMS認証の有無を確認する。事務用品の購入先は発注実務だけで足りる。区分は、利用部門の管理者が情報資産台帳の重要度に合わせて決める。
試験での引っ掛け
すべてを均等に管理するのが公平なのではなく、リスクと事業への価値の大きさに応じて強度を変えるのが要点。またカテゴリ化しても責任は分けられず、委託先で事故が起きたときの説明責任と、個人情報保護法が求める委託先の監督義務は委託元に残る。下げてよいのは管理の手数であって、責任ではない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。