セキュリティチェックシートとは?取引先への答え方と公的なテンプレート

セキュリティチェックシートとは、取引先が、仕事を任せる会社のセキュリティ対策の状況を確かめるために送る質問の一覧のことです。 ExcelやWordの表で届き、設問ごとに「はい・いいえ」や説明を書いて返すのがふつうの形です。

IPAの確認リストの7つの区分、届いてから返すまでの6つの手順、「いいえ」の書き方の例、IPAなどが出しているテンプレート(ひな型)の比べ方、SCS評価制度との関係まで、手を動かす順に説明します。

セキュリティチェックシートとは#

セキュリティチェックシートは、仕事を任せる側(委託元)が、任せる先(委託先)の対策を確かめる方法の1つです。IPAの規程のサンプルでは、委託先を評価する方法として、事業所を訪ねて現場を見る、管理責任者に話を聞く、確認リストを送って答えてもらう、の3つを挙げています。そのうえで、委託を始めた後も年1回以上、確認リストで対策の状況を評価する形になっています^[1]。

SCS評価制度の制度構築方針にも、同じ考え方があります。★4の要求事項の例(2-1-3)には、重要な取引先の対策の状況を年1回以上つかむことがあり、そのやり方の例に「セキュリティ対策チェックシートを作成して回答を受領する」が挙がっています^[6]。★4はまだ申請が始まっていない段階の基準の例ですが、取引先の対策を毎年確かめる流れは、規程のサンプルとも共通しています。

そのため、一度答えた取引先から、次の年にまた届くことがあります。形式も取引先ごとに違います。委託先が「複雑なサプライチェーン下で様々な委託元から様々な要求事項を求められ、過度な負担につながっている」ことは、特に中小企業を中心とした課題になっています^[6]。

何を聞かれる?確認リストの7つの区分#

聞かれることは取引先ごとに違いますが、土台になる公的なサンプルがあります。IPAの「中小企業の情報セキュリティ対策ガイドライン」の付録5には「委託先情報セキュリティ対策状況確認リスト」があり、委託先に答えてもらう26項目を7つの区分に分けています。実施状況は「○、×」で答える形です^[1]。

いちばん多いのは「攻撃等の防御」の13項目で、26項目の半分を占めます。パソコンやネットワークの設定にかかわる設問が多く、機器を見ている人や保守会社に確かめることになりがちです。一方で「ガバナンスの整備」や「取引先管理」は、総務や経営者に確かめることが多い設問です。

この26項目の文は、SCS評価制度★3の要求事項26件と同じ並び・同じ言葉で、文末を「〜ていますか?」という質問にした形です^[1][7]。IPAのリストで答えを用意しておけば、SCS★3の要求事項にもとづくシートが届いたときも、その答えをもとに書けます。ただし★3には、要求事項ごとに評価基準(★3は81件)があり、○×より細かく聞かれることがあります。

認証や宣言の有無を聞かれることもある#

設問とは別に、認証や宣言を持っているかを聞かれることもあります。IPAのサンプルの委託先の評価基準には、次のものが並んでいます^[1]。

• ISMSの認証
• プライバシーマーク
• SECURITY ACTIONの一つ星・二つ星
• SCS評価制度の★3・★4の登録
• 定期的な情報セキュリティ監査
• セキュリティの方針の公開
• 確認リストの実施状況

SECURITY ACTIONは、中小企業が自ら対策に取り組むことを宣言する制度です。くわしくはSECURITY ACTIONの記事で説明しています。

クラウドサービスを提供している会社は#

自社でクラウドサービスを提供している会社は、使う側の目線の確認項目を聞かれることもあります。IPAの「クラウドサービス安全利用チェックシート」には、付帯するセキュリティ対策が具体的に公開されているか、稼働率や障害時の回復目標時間などのサービス品質保証が示されているか、利用終了時のデータの扱い、データを保存するサーバーの国や地域などが並んでいます^[4]。使う側が確かめる項目なので、提供する側が聞かれそうなことの参考になります。

届いたら最初に確かめること#

設問に答え始める前に、確かめておくことが5つあります。ここがあいまいなまま進めると、答える範囲を広く取りすぎたり、形式が合わずに出し直したりしがちです。

1. 回答の期限と提出先
2. 答える範囲(会社全体か、その取引に関わる部署・拠点だけか)
3. 答え方の形式(○×だけか、説明を書く欄があるか、規程などの写しを付けるか)
4. 回答の扱い(誰が見るか、秘密として扱われるか)
5. わからない設問を問い合わせる先

SCS評価制度では、各企業が自社の評価結果などを、秘密保持契約の締結などの一定の情報保護措置をとったうえで、取引先に任意で開示し、リスクコミュニケーションの道具として使うことも考えられます^[6]。

チェックシートの回答も、社内のネットワークの構成や規程の中身など、外に出すと困る情報を含むことがあります。どこまで書くか・何を添付するかは、回答の扱いを確かめてから決めましょう。

範囲や扱いがシートに書かれていないときは、取引先の担当者に聞くのが近道です。例えば、本社と工場がある会社なら、「本社の事務部門だけでよいか、工場も含むか」で、答えが大きく変わることがあります。

回答の作り方の6つの手順#

回答は、次の6つの手順で作ると、抜けや食い違いが出にくくなります。

1. 担当と社内の分担を決める
2. 今の状態を確かめる
3. 事実だけを書く
4. 「いいえ」を書く
5. 根拠の文書をそろえる
6. 社長の確認を取り、回答と根拠を保存する

1. 担当と社内の分担を決める#

まず、取りまとめる担当を1人決め、設問を上の7つの区分に振り分けます。入社・退職の手続や守秘義務は総務、パソコン・ネットワーク・更新・バックアップは機器を見ている人や保守会社、方針や体制は経営者、という分け方が目安です。1人で全部を推測で埋めず、それぞれに確かめてから書きましょう。

2. 今の状態を確かめる#

自社の状態がつかめていないときは、IPAの「5分でできる!情報セキュリティ自社診断」が使えます。25項目を、基本的対策・従業員としての対策・組織としての対策の3つのPartに分け、各項目を「実施している / 一部実施している / 実施していない / わからない」で答える形です^[3]。25項目の全文と使い方は、5分でできる情報セキュリティ自社診断の使い方で説明しています。

IPAのガイドラインの付録には、「資産管理台帳(サンプル)」(付録6)もあります^[2]。パソコンやソフトの一覧を聞かれたときは、この台帳に書き出しておくと、ほかの設問にも使えます。

3. 事実だけを書く#

「はい」と書くのは、ルールが決まっていて、実際にそのとおり行っているときにしましょう。決めてはいるが文書になっていない、一部の部署だけで行っている、という場合は、「一部」を選べる欄や説明の欄に、その状態をそのまま書きます。○×しか選べない形式なら、どちらにするかを取引先に聞くか、備考の欄に実際の状態を書き添えましょう。

4. 「いいえ」を書く#

対策をしていない設問は、「はい」にせず、予定と今やっていることを添えて書きます。書き方は次の見出しで例を挙げます。

5. 根拠の文書をそろえる#

「はい」と答えた設問は、取引先に写しを求められたときに出せる文書をそろえておきます。セキュリティの方針、規程、資産の台帳、教育や点検の記録などです。方針がまだない会社は、情報セキュリティポリシーの記事の、取引先に聞かれたときの答え方が参考になります。規程は、IPAの付録5のサンプルをもとに作れます。

6. 社長の確認を取り、回答と根拠を保存する#

チェックシートの回答は、会社としての答えです。出す前に経営者に見せ、特に「いいえ」の設問と、その予定を確認してもらいましょう。出した回答は、根拠の文書と一緒に保存しておきます。

IPAのサンプルでは、委託先の評価は年1回以上の形になっています。次の年に同じ取引先から届いたときや、別の取引先から似た設問が届いたときに、去年の答えと根拠から始められます。

「いいえ」の設問はどう書くか#

「いいえ」は隠さず、予定を添えて正直に書きましょう。

IPAのサンプルの委託先の評価基準には、確認リストで「全ての対策を実施している」だけでなく、「○個以上の対策を実施している」「○個以上の対策を実施する予定を確認している」「取り扱う情報資産に必要な対策を実施している」という書き方が並んでいます。また、委託先の対策に不備が見つかったときは、双方で協議して対処を検討し、書面で合意する形になっています^[1]。どの基準を使うかは取引先ごとに違いますが、予定や扱う情報に応じた見方もあるということです。

「いいえ」を「はい」にすると、写しを求められたときや事故が起きたときに説明がつかなくなります。「いいえ」の設問には、いつまでに何をするか(予定)と、今やっている代わりの対策を添えましょう。例えば、次のような書き方です。

ネットワークの監視は行っていません。2027年3月までに、保守会社と方法を検討する予定です。

パスワードのルールは口頭で伝えていますが、文書にはしていません。11月中に規程にまとめ、全員に周知します。

この設問の対象となるシステムは使っていません(該当なし)。

予定を書くときは、社長の了解を取ったうえで、実際にできる時期を書きます。費用がかかる対策を求められて予定が立てにくいときは、取引先と話し合うことができます。

公的なテンプレート(ひな型)の一覧#

チェックシートの土台に使える公的なひな型は、IPAが出しているものが中心です。IPAの付録はいずれも中小企業の情報セキュリティ対策ガイドラインのページからダウンロードできます。下の表は、IPAの資料と、自動車業界の団体のひな型を並べたものです^{[1][2][3][4][7][8]}。

5つ目は業界団体のひな型で、公的機関の資料ではありません。会社全体のベースとなるOA環境を対象にしたもので、最新版はV2.3(2025年9月1日公開)です。工場の設備などを対象にした工場領域版v1.0も、2026年4月16日に公開されています^[8]。SCS評価制度の★3・★4は、このガイドラインのレベル1・レベル2に対応しています。★3はレベル1の項目をもとにしていて、一部の技術的な対策は★3のほうが細かい管理を求めます^[6]。

なお、冒頭の注意で触れた経済産業省の「セキュリティチェックシート解説」(2008年)は、システムを発注するときの要件を決める資料のため、取引先への回答の土台には向きません。

ひな型の使い方#

取引先のシートが届く前に、委託先確認リストか★3の要求事項で、自社の状態を一度埋めておくと、どの形式のシートが届いても答えを写しやすくなります。この2つは要求事項の文が同じ26項目なので、まずはどちらか1つで十分です。設問の意味がわかりにくいときや、細かく聞かれたときは、★3の要求事項の評価基準を見ると、何ができていればよいかが具体的にわかります。付録のひな型の全体はガイドラインの解説の付録の説明にまとめています。

SCS評価制度との関係#

SCS評価制度は、取引先の対策の状況を共通の基準で評価し、見えるようにする制度です。制度ができた背景には、委託元からは委託先の対策が見えにくく、委託先は様々な委託元から様々な求めを受けて負担が大きい、という課題があります^[6]。

チェックシートとの関係では、★を持っているかを確かめるほかに、制度の要求事項・評価基準を共通のチェックリストとして使い、必要な基準を満たしているかを確かめる使い方も想定されています。取引先がすぐに★を取るのが難しい場合などには、発注者が配るチェックリストとして要求事項・評価基準を使うことも考えられます^[5][6]。

また、制度が始まる時点で★を持っている会社はありません。制度の開始は、申請の受付が始まることを指すためです^[5]。そのため、★の代わりに、SCSの要求事項にもとづくシートが届くこともありえます。その26項目はIPAの確認リストと同じなので、項目ごとの説明は★3のチェックリストの記事が使えます。

取引先から★を取る予定そのものを聞かれたときの返し方は、SCS評価制度を求められたときの答え方で例を挙げています。制度の全体はSCS評価制度の総合解説をご覧ください。

求められた対策に費用がかかるとき#

チェックシートの設問から、有償のサービスや認証の取得を求められることもあります。経済産業省と公正取引委員会は、発注側が取引先にサイバーセキュリティ対策の実施を求めること自体は、直ちに独占禁止法上問題となるものではないが、求め方や内容によっては優越的地位の濫用として問題となることもある、と整理しています^[9]。

例えば、取引上の地位が相手方に優越している事業者が、有償のセキュリティサービスの利用やセキュリティの認証の取得を求めたのに、コストの上昇分を取引価格に反映する必要性について、価格の交渉の場で明示的に協議しないまま、従来どおりに価格を据え置くことは、独占禁止法上問題となるおそれがあるとしています^[9]。費用の話の進め方は、費用は取引先と話し合えるで説明しています。

中小企業が今日やること#

よくある質問#

全部「はい」でないと取引できませんか?#

どこまで求めるかは、取引先ごとに決めることです。IPAのサンプルの委託先の評価基準にも、全部の対策を実施しているかだけでなく、実施する予定を確かめる書き方や、扱う情報に必要な対策を見る書き方があります。「いいえ」の設問には、予定と今やっている対策を添えましょう。

ISMSやSECURITY ACTIONがあれば、チェックシートに答えなくてよいですか?#

答えなくてよいかどうかは、取引先が決めることです。IPAのサンプルの委託先の評価基準には、ISMSの認証やSECURITY ACTIONの宣言が並んでいるので、シートに書く欄があれば必ず書きましょう。そのうえで、設問にも答えるのが基本です。

別の取引先への回答を使い回してよいですか?#

そのまま出すのはやめましょう。設問の言葉や答える範囲が取引先ごとに違うためです。保存しておいた答えと根拠の文書から写し、設問の文と範囲に合わせて整えてから出します。

わからない設問はどうしますか?#

推測で「はい」にせず、取引先に設問の意味を聞きましょう。社内の誰に聞けばよいかわからないときは、7つの区分のどれに当たるかを見ると、総務・機器を見ている人・経営者のどこに聞けばよいかの見当がつきます。

規程の写しを求められました。出さないといけませんか?#

出すかどうか、どこまで出すかは、取引先と相談して決めましょう。出す場合は、秘密保持の取り決めや、見る人・使い道を先に確かめておくと安心です。規程の扱いは規程も取引先に渡す必要があるかでも説明しています。