附属書A解説

自社の情報セキュリティがどれだけしっかりしていても、委託先の管理が不十分であれば、そこがリスクの穴になってしまいます。
委託先を選定する際には、扱う情報の重要度に応じて求めるセキュリティレベルを整理し、契約前に確認しておくことが望まれます。
委託先の種類ごとに、標準的な確認項目をリスト化しておくと選定作業がしやすくなります。
委託先の選定にあたっては、価格やサービス内容だけでなく、情報セキュリティに関する取得の有無（ISO27001（ISMS）やプライバシーマーク（Pマーク）など）も判断材料の一つになります。
既に取引のある委託先についても、契約更新のタイミングでセキュリティ管理の状況を確認し直すとよいでしょう。