この診断の考え方と基準資料

この診断がすること・しないこと

会社で使っているサービスやサーバについて、「どの部分を事業者が見て、どの部分を自社（または委託先）が見るのか」を、答えながら整理します。

システムの弱点を調べるものではありません。「誰がどの部分を見るか」の整理です。

安全かどうかの判定ではありません。あなたの答え（申告）をもとにした、一般的な考え方の整理です。実際の責任の範囲は、契約や規約で決まります。個別の契約・サービスについては、事業者の説明書き、または専門家にご確認ください。

法律上の判断や助言ではありません。この整理をもとにした判断と作業は、ご自身の責任で行ってください。内容は2026年10月時点の基準資料にもとづきます（診断の版 v1）。

診断中の回答は、サーバへ送信・保存しません（閉じると消えます）。ご自身で保存・共有したもの（相談メモ・結果カード・共有リンク）は、保存先・共有先に残ります。

層は「サービス名」ではなく「誰が管理する部品か」で決めます。同じサービスでも部品ごとに層が変わります（例：事業者から借りた仮想サーバは、土台が①、中のOSが②）。

①「事業者が管理する部分」：サービスの土台や仮想サーバの土台（物理機械の上で動く基本ソフトや仮想化の仕組み）など、事業者が実装・更新・運用を担う部分。
②「自社（または委託先）が管理・更新する部分」：利用者側で更新を担うOS（基本ソフト）、ソフト、アプリ。自分たちで入れたかどうかではなく、その部分の更新を誰が担うかで決まります。
③「どのサービスでも、自社で確認すること」：アカウント、権限、端末、バックアップ、データの扱い。事業者が機能を用意していても、設定して使うのは利用者です。③は部品ではなく、どの形態でも利用者側が確認する運用事項として、すべての結果に付けます。

更新の担当を「まだ決めていない」「自分には分からない」と答えた部分は、層を決めないままにします（見落としにつながらないように、①には寄せません）。委託先が行う部分も、委託しても、自社の分担確認や必要な管理は残ります。委託先の義務・責任も契約等で確認します。

結果は次の4つの型のどれかで示します：事業者が管理する部分（①）のタイプ／自社側の更新が残るタイプ（②）／①と②の両方があるタイプ／分担を確認できない部分があるタイプ。どの型でも「今日やること」を3点出し、「何もしなくてよい」とは出しません。

総務省「クラウドサービス提供における情報セキュリティ対策ガイドライン」第3版（2021年9月）Ⅰ.6：責任範囲は一律に決まるものではなく、契約で明示することが重要とされています。SaaS・PaaS・IaaS の分担の考え方もここに拠ります。
IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版：クラウドの節は SaaS の利用を念頭に置いた記述です。PaaS・IaaS の分担は総務省のガイドラインで見ています。
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（令和7年7月1日更新）（Q7-54・Q6-22）：個人情報の項目の文に使っています。当てはまるかは契約や状況によります。

特定の事業者や事案の名前は、この診断（質問・選択肢・結果）に入れていません。この診断は、IPA の、情報セキュリティ対策への取組を自己宣言する制度とは別のものです。