Vendor Insights提供終了前に委託先監査の証跡と資料提出経路を確保する

結論　監査資料と次回更新の入手先を確保する

［確認済み事実］AWSは、Vendor Insightsが2026年11月26日後に利用できなくなると案内しています。購入者向けFAQでは、既にアクセス権のあるプロファイルのレポート等を同日より前にダウンロードするよう求めています。

［編集上の実務整理］法務と調達は、Vendor Insightsを参照して採用・更新を承認した委託先を抽出します。必要な監査報告書や回答書を保存し、次回の資料取得日と提出先を委託先に確認します。承認の根拠に使った資料が後から追跡できる状態と、今後の安全管理状況を把握できる状態を、それぞれ確認します。

背景と法的根拠　情報提供機能の終了と委託先監督

［確認済み事実］日本語の購入者ガイドは、Vendor Insightsがベンダーの本番環境の証拠、ISO・SOCレポート、自己評価などを基にセキュリティ情報を提供する機能であると説明しています。提供終了の購入者向けFAQは、必要な情報を以後は販売者へ直接問い合わせるよう案内しています。

［確認済み事実］個人情報保護法第25条は、個人データの取扱いを委託する場合に、委託先に対する必要かつ適切な監督を求めます。個人情報保護委員会の通則編は、適切な委託先の選定、委託契約、取扱状況の把握を示し、契約内容の実施状況を監査等で確認して評価することが望ましいと説明しています。

［編集上の論点整理］個人データの取扱いを委託しているかを確認し、監督に用いる資料が失われる範囲を把握します。第三者の認証・報告書は、対象サービス、対象拠点、評価期間、除外や指摘事項を自社の委託業務と照合して用います。自己評価と第三者監査の結果も、証拠の種類を明示して記録します。

適用日・対象範囲・関係法令条項

［確認済み事実］購入者向けFAQによれば、2026年10月27日から新しいアクセス申請と保留中の申請の処理が停止しています。既存のアクセスは11月26日まで維持され、同日後は資料を取得できません。販売者向けFAQは、10月27日以降のプロファイルの作成・更新・文書アップロードの停止と、11月26日後のデータ削除を説明しています。

［確認済み事実］販売者向けFAQによれば、プロファイルは終了後に非表示となり、アップロード文書や評価を含むVendor Insightsデータは90日以内に削除され、復元できません。長い期間の閲覧を承認していた場合でも、購入者のアクセスは11月26日後に終わります。終了時刻・タイムゾーン、公表日・更新日は確認できませんでした。行政の意見公募期日はありません。

［編集上の実務整理］11月26日は法令の施行日ではなく、AWSが示す機能終了の日程です。個人データの委託では、法第23条の安全管理と第25条の監督を継続して点検します。AWSは新しいコンプライアンス検証機能を予定していますが、開始日や既存資料の移行条件は今回確認したFAQでは確定できません。社内の保存期限は終了日より前に設け、担当者不在や取得失敗に備えます。

委託契約・社内規程・SLA上の確認事項

［編集上の条項案］「受託者は、別紙に定める監査報告書、認証資料及び安全管理措置に関する回答書を、別紙所定の期限と経路で委託者に提供する。第三者の情報提供基盤が終了又は利用制限となる場合は、代替の提出経路を通知し、契約期間中の情報提供を継続する。」

［編集上の条項案］「提出資料には対象サービス、対象範囲、評価対象期間、作成日又は版を明示する。受託者は、監査上の重大な指摘や安全管理措置の重要な変更を知った場合、別紙所定の期限内に委託者へ報告し、必要な追加確認に協力する。」

［編集上の確認事項］監査資料に秘密保持や閲覧者の制限がある場合は、保存、社内共有、監査人への提示の可否を確認します。資料提供の期限、未提出時のエスカレーション、再審査の条件を運用別紙へ定めます。SaaSの稼働率SLAと併せて、監査情報の提出や問い合わせ応答の目標を確認し、社内規程には証跡の保管者と更新確認の担当者を記載します。

技術仕様・責任分界・監査証跡

［編集上の連携論点］情シスは、閲覧可能な製品、資料、最終更新の表示、未解決の評価項目を一覧にします。法務と調達は、その一覧を契約番号と審査・承認記録に結び付け、保存が必要な範囲を決めます。更新制限後の表示だけでは現在の取扱状況を確認できない場合、販売者へ最新情報を求めます。

［編集上の連携論点］取得したファイルには製品識別子、資料名、評価期間、版、取得日、取得担当、入手元を記録します。必要に応じてハッシュ値を保存し、取得後の同一性を確認できるようにします。保管先には閲覧権限と操作履歴を設定し、監査用の共有範囲を限定します。

［編集上の連携論点］保存した資料を別の担当者が開けるか、審査記録から参照できるかを検収します。次回の更新資料を受領する窓口と期限も確認し、未提出の委託先には追加確認やリスク受容の決裁を行います。

本稿は一般的な実務解説です。行政書士の対応は法令で認められる書類作成とその相談等の範囲です。個別案件の法的助言や代理交渉は行いません。監査権限の解釈、契約違反、紛争対応は、事案に応じて弁護士等の専門家に確認してください。