事業者側でセキュリティ対策状況が不明である場合、ECサイトの委託先やベンダーに回答してもらってもいいですか。