提出前チェック：共有責任モデル（委託先管理）

### このページの目的 自社の責任範囲を不必要に広げず、堂々と「対象外」と答えるための理論武装です。 ### チェックリスト #### A. 責任範囲の理解 - [ ] **物理セキュリティは対象外としているか？** - 「入退室管理ログ」などを聞かれた際、「クラウド利用のため事業者（AWS）準拠」と答えていますか？ - [ ] **OSパッチの適用責任は把握しているか？** - EC2などのIaaSなら自社責任、RDSやLambdaならAWS責任です。 #### B. ベンダー管理 - [ ] **利用しているクラウドサービスの認証状況を知っているか？** - AWSが持っているISO27001やSOC2レポートの場所を知っていますか？ --- ### 「No」の時の言い訳 - **Q. 委託先の監査をしていますか？** - A. 「実地監査は行っていませんが、第三者監査報告書（SOC2）を入手・確認することで代替しています。」