供給者管理規程⽐較表
⼤分類

⼩分類

中分類

⽶国FedRAMP

英国G-Cloud※

供給者関係に 供給者関係のためおける情報セの情報セキュリティ サプライチェーンのリスクマネジメントポリシーの策定・⽂書化
SR-1 ポリシー及び⼿順の⽅針
キュリティ
調達により⽣じるリスク評価の要件
リスク評価の要件・サードパーティの分類要件
情報の処理・保存・送信に関する情報セキュリ
ティ要件
従業員に対する情報セキュリティに関する意識
啓発・トレーニング要件
適⽤される法規制上の要件
脆弱性・インシデント・誤動作への対処要件
契約上の合意に関する仕様
要件を監視するための仕様
サードパーティが利⽤するサービスプロバイダに対して要件を適⽤するための仕様
サプライチェーンのリスクマネジメントポリシーの評価・更新
SR-1 ポリシー及び⼿順
サプライチェーンのリスクマネジメントの管理策の実装を促進するための⼿ SR-1 ポリシー及び⼿順順の策定・⽂書化

ドイツC5
SSO-01 サードパーティを管理及び監視するためのポリシー及び指⽰
SSO-01 サードパーティを管理及び監視するためのポリシー及び指⽰
SSO-01 サードパーティを管理及び監視するためのポリシー及び指⽰
SSO-01 サードパーティを管理及び監視するためのポリシー及び指⽰

豪州IRAP
供給者関係の管理

SSO-01 サードパーティを管理及び監視するためのポリシー及び指⽰
SSO-01 サードパーティを管理及び監視するためのポリシー及び指⽰
SSO-01 サードパーティを管理及び監視するためのポリシー及び指⽰
SSO-01 サードパーティを管理及び監視するためのポリシー及び指⽰
SSO-01 サードパーティを管理及び監視するためのポリシー及び指⽰
SSO-01 サードパーティを管理及び監視するためのポリシー及び指⽰

SSO-01 サードパーティを管理及び監視するためのポリシー及び指⽰

サプライチェーンのリスクマネジメントの管理策の実装を促進するための⼿ SR-1 ポリシー及び⼿順順の評価・更新
サプライチェーンのリスクマネジメントの担当者の指定サプライチェーンのリスクマネジメント計画の策定
サプライチェーンのリスクマネジメント計画の評価・更新
サプライチェーンのリスクマネジメント計画の認可されていない開⽰や変更からの保護

SR-1 ポリシー及び⼿順
SR-2 サプライチェーンのリスクマネジメント計画
SR-2 サプライチェーンのリスクマネジメント計画
SR-2 サプライチェーンのリスクマネジメント計画

サプライチェーンのリスクマネジメントチームの設置
サプライチェーンのリスクマネジメント活動の主導・サポート
サプライチェーンの脆弱性管理プロセスの確⽴
サプライチェーンの管理策の実装
供給源の多様化
損害の限定
下請業者との契約への主契約事業者の契約内容（管理策）の適⽤分離制御（ユーザー分離、ハードウェア分離）
リスク評価・評価結果の定期的なレビュー

SR-2(1) SCRMチームの確⽴
SR-2(1) SCRMチームの確⽴
SR-3 サプライチェーンの管理策及びプロセス
SR-3 サプライチェーンの管理策及びプロセス

サイバーサプライチェーンのリスク管理活動

原則８：サプライチェーンのセキュリティ／分離
SSO-02 サービスプロバイダ及びサプライヤーのリスク評価

登録台帳の作成・維持

SSO-03 サービスプロバイダ及びサプライヤーの登録台帳

セキュリティ責任の明確化
来歴の⽂書化・監視・維持
サプライチェーンの要素・プロセス・職員の⼀意の識別の確⽴・維持（可視化）
開発中・移送中のシステム・システムコンポーネン
トの⼀意の識別の追跡取得したシステム・システムコンポーネントの真正性・改変有無の確認
製品・サービスの内部構成・来歴の検証によるシステム・システムコンポーネントの完全性確保

サイバーサプライチェーンのリスク管理活動
マネージドサービスプロバイダの評価
外部委託されたクラウドサービスプロバイダの評価
サイバーサプライチェーンのリスク管理活動
供給者関係の管理マネージドサービス
外部委託されたクラウドサービス
サイバーサプライチェーンのリスク管理活動

アプリケーション、ICT機器・サービスの提供
アプリケーション、ICT機器・サービスの提供

サプライチェーンリスクからの保護・特定・軽減のための取得戦略・ツール・ SR-5 取得戦略、ツール及び⽅法
⽅法
重要なシステムコンポーネントの適切な供給の確保システム・システムコンポーネント・サービスのアセス
メントの実施
代替サービスプロバイダ・サプライヤーへの移⾏に向けた分析・出⼝戦略
供給者との合 各供給者との間の意における情報 情報セキュリティ要 通知協定
セキュリティの取 求事項の確⽴・合扱い
意

サプライチェーンの侵害の通知
アセスメント・監査結果の通知
内部統制システムの設計の適合性・運⽤効率性に関する定期的な報告

アプリケーション、ICT機器・サービスの調達

SSO-05 ベネフィットを得るための出⼝戦略

SR-8 通知協定
SR-8 通知協定
SR-8 通知協定
SR-8 通知協定

サービスプロバイダとの契約上のセキュリティ要件
SSO-01 サードパーティを管理及び監視するためのポリシー及び指⽰

供給者管理規程⽐較表
⼤分類中分類⼩分類

⽶国FedRAMP

英国G-Cloud※

ドイツC5

契約上の取決めに対する重⼤な変更の通知
SR-8 通知協定
サービス提供停⽌の通知
SR-8 通知協定
システム・システムコンポーネント・サービスへのタンパープロテクションプログラ SR-9 耐タンパー性及び検知ムの実装
改ざん防⽌技術・ツール・技法の実装
組織の資産に対する供給者のアクセスへの対処プロセス・⼿順

豪州IRAP
サービスプロバイダとの契約上のセキュリティ要件
サービスプロバイダとの契約上のセキュリティ要件

SR-9(1) システム開発ライフサイクルの複数の段階
サービスプロバイダとの契約上のセキュリティ要件
サービスプロバイダによるシステム及びデータへのアクセス
サービスプロバイダとの契約上のセキュリティ要件

組織の情報を扱う供給者・IT 基盤を提供する可能性のある供給者との合意の確⽴⽅法
ICTサービス・製品のサプライチェーンに関連する供給者との合意の確⽴⽅法
ICTサプライチェー ICTサプライチェーン
SR-6 サプライヤのアセスメント及びレビュー
ンにおける情報 に関連する情報セ サプライチェーン関連リスクの評価・レビュー
システム・システムコンポーネント・サービスに関連す
セキュリティの取 キュリティリスクを管るサプライチェーン要素・プロセス・⾏為者に対す扱い理するためのプロセるテスト・分析
ス及び⼿順
システム・システムコンポーネント・サービスのサプライチェーン関連情報の保護
システム・システムコンポーネントの検査・改ざん検知
偽造コンポーネントの検知・システム侵⼊防⽌ポリシー・⼿順の策定・実
装偽造コンポーネントを検知するためのトレーニング
修理・サービス復帰を控えるコンポーネント・修理されたコンポーネントの構成管理の維持
偽造コンポーネントの精査
偽造コンポーネントの供給源の外部報告組織への報告
組織のシステム・データへの不正アクセスの外部報告組織への報告
コンポーネントの廃棄
クラウドサービス利⽤者に対する情報セキュリティ⽔準の維持・向上のための仕組みの整備

原則８：サプライチェーンのセキュリティ／機密データ
原則８：サプライチェーンのセキュリティ／データ共有

SSO-04 要件に準拠しているかどうかの監視

SR-10 システムまたはコンポーネントの検査
SR-11 コンポーネントの真正性
SR-11(1) 偽造防⽌トレーニング
SR-11(2) コンポーネントのサービス及び修理のための構成管理

SR-11 コンポーネントの真正性
サービスプロバイダによるシステム及びデータへのアクセス
SR-12 コンポーネントの廃棄

クラウドサービスのサプライチェーンに関わる各供給者に対する情報セキュリ
ティの⽬的を達成するためのリスク管理活動の実施の要求
供給者のサービ 供給者の管理・監
ス提供の監視・ 視
供給者に対する組織のセキュリティ要求事項の遵守の要求
レビュー・変更管
ユーザーの役割・責任の明確化・⽂書化
理
供給者の情報セキュリティの実践の監視・レビュー・評価・管理
供給者に対する組織のリスクアセスメントの実施

SA-9 外部システムサービス
SA-9 外部システムサービス
SA-9 外部システムサービス
SR-8 通知協定
SA-9(1) リスクアセスメント及び組織承認
SR-8 通知協定

原則８：サプライチェーンのセキュリティ

SSO-02 サービスプロバイダ及びサプライヤーのリスク評価

サイバーサプライチェーンのリスク管理活動
マネージドサービスプロバイダの評価
外部委託されたクラウドサービスプロバイダの評価

供給者との信頼関係の確⽴・維持供給者の利益と組織の利益の⼀致性確認
供給者のサービス提供給者のサービス提供の監視・レビュー・監査
供の管理・監視サービス取得・アウトソーシングの承認状況の確認
機能・ポート・プロトコル・サービスの特定処理・保管・サービスの場所の制限
暗号鍵の排他的管理の維持保存された情報の完全性をチェックする機能の提供
供給者のサービス提供の変更に対する管理供給者のサービス提供の変更の監視・レビュー・評価・管理

SA-9(1) リスクアセスメント及び組織承認
SA-9(2) 機能、ポート、プロトコル及びサービスの特定
SA-9(5) 処理、保管及びサービスの場所

アプリケーション、ICT機器・サービスの調達※英国G-Cloudは、クラウドサービスプロバイダーに対して、「Cloud Security Guidance」が定めるクラウドセキュリティ原則を守ることを求めており、クラウドサービスプロバイダーが遵守すべき管理策を定めていないことに留意する必要がある。表中の記載は、クラウドセキュリティ原則の⽬標や推奨される実装アプローチをもとにした記載となっている。