ある日突然、取引先から1通のエクセルファイルが届きます。
件名は「情報セキュリティに関する確認のお願い」。開いてみると、数10行から100行以上もの質問項目がずらりと並んでいます。
回答期限は「2週間後」。専門用語が多く、何をどう書けばよいのか途方に暮れてしまう方も多いのではないでしょうか。
この記事では、以下の2点について詳しく解説します。
- 届いたチェックシートにどう向き合い、回答するか？
- 次の依頼に備えて何を整えておくべきか？
また、実際の運用で使われている「簡易版」と「詳細版」の2種類の様式例もご用意しました。
なお、この質問票は企業によって「委託先評価アンケート」「情報セキュリティ確認書」「サプライヤー調査票」など呼び名が異なりますが、問われている本質や目的はおおむね同じです。
取引先がセキュリティチェックシートを送ってくる理由
チェックシートの送付は、決して嫌がらせや単なる形式的な手続きではありません。発注する側の企業にも、切実な事情があります。
委託先の管理・監督が「発注側の義務」になっているため
個人情報を扱う業務を外部へ委託する場合、個人情報保護法上、発注側には委託先を適切に監督する責任があります。「丸投げ」は認められません。
また、ISMS（ISO27001）やプライバシーマークを取得している企業は、制度の運用上、委託先の定期的な評価が義務付けられています。担当者にとっても「送らない」という選択肢がない状態なのです。
取引先を経由した「サプライチェーン攻撃」が増えているため
もうひとつの大きな理由は、サイバー攻撃の手口の変化です。
セキュリティ対策の強固な大企業を直接狙うのではなく、セキュリティの隙を突いて接続されている中小企業（委託先）から侵入する「サプライチェーン攻撃」が急増しています。
自社が被害に遭うだけでなく、取引先の生産や納品ラインまでストップさせてしまうと、損害規模は膨大なものになります。発注側が委託先のセキュリティ状態を把握したがるのは、このリスクを防ぐためです。
答えられないと「取引停止」につながるリスクがあるため
取引が見送られてしまうのは、対策が不十分なときだけではありません。「無回答のまま放置する」「回答内容に矛盾がある」といった対応をとったときにも発生します。
発注側がもっとも恐れるのは「実態が分からないこと」です。たとえ現在できていない項目があっても、現状と改善の方向性が具体的に説明されていれば、十分に取引を継続する判断材料になります。
いま起きている変化とこれから始まる新制度
チェックシートへの個別対応は当面続きますが、一方で業界共通の「標準的な物差し」を作る動きも急速に進んでいます。
セキュリティ対策の水準を示す「SCS評価制度」が始まります
2006年3月、経済産業省と内閣官房国家サイバー統括室は、サプライチェーン全体の強化を目指し「SCS評価制度（サプライチェーン評価制度）」の構築方針を公表しました。
これは各企業の対策状況を共通基準で評価し、「★（星）」の数で段階的に示す仕組みです。発注側が委託先に対して必要な★の数を提示し、実施状況を確認する運用が想定されています。
制度の本格運用は2026年度末ごろから順次開始され、まずは「★3」や「★4」のレベルからスタートする見込みです。
いま取り組むセキュリティ整備は無駄ならない
新制度がスタートしても、明日からすべての取引先が移行するわけではありません。当面の間は、個別のチェックシート対応も並行して行われます。
しかし、チェックシートで問われる本質——「規程があるか？」「台帳で管理されているか？」「退職時の手続きが定められているか？」——は新制度でも変わりません。いま整備しておけば、どちらの形式にもそのまま活用できます。
なお、中小企業向けの自己宣言制度として「SECURITY ACTION」があります。「★1つ（一つ星）」は「情報セキュリティ5か条」に取り組むことを宣言するものです。まだ何から始めていいか分からない場合は、ここからスタートするのも有効な手です。
届くチェックシートの2つのパターン
項目数は提出先の企業によって大きく異なります。ここでは、実務でよく使われる2つの例を紹介します。
パターン1：簡易な様式（10〜20問程度）
取引規模が比較的小さい場合や、初期段階の確認として送られてくる形式です。選択肢（はい／一部／いいえ／該当なし）と、簡単な補足記入欄で構成されます。
| No | 区分 | 確認項目 |
|---|---|---|
| 1 | 体制 | 情報セキュリティに関する基本方針を定めていますか？ |
| 2 | 体制 | 情報セキュリティの責任者を決めていますか？ |
| 3 | 人 | 従業員と秘密保持の取り決め（誓約書・就業規則）がありますか？ |
| 4 | 人 | 従業員へのセキュリティ教育・注意喚起を年に1度以上行っていますか？ |
| 5 | 端末 | 業務で使うパソコン・スマートフォンの一覧を管理していますか？ |
| 6 | 端末 | OS・ソフトウェアを最新の状態に更新していますか？ |
| 7 | 端末 | マルウェア対策ソフトをすべての端末に導入していますか？ |
| 8 | アカウント | 従業員ごとに個別のアカウントを付与していますか？ |
| 9 | アカウント | パスワードの使い回しを禁止していますか？ |
| 10 | アカウント | 重要なシステムで二段階認証（MFA）を利用していますか？ |
| 11 | アカウント | 退職者のアカウントを速やかに停止していますか？ |
| 12 | データ | 業務データの外部送信・持ち出しに関するルールがありますか？ |
| 13 | 生成AI | 生成AIサービスの業務利用に関するルールがありますか？ |
| 14 | バックアップ | 重要なデータのバックアップを取得し、復旧できることを確認していますか？ |
| 15 | 事故対応 | サイバー攻撃や情報漏洩が起きた場合の連絡体制を決めていますか？ |
| 16 | 再委託 | 委託元から預かった情報を第三者へ再委託する予定はありますか？ |
このパターンであれば、必要な情報が揃っていれば半日〜1日程度で完了します。回答に詰まる場合は、対策自体が不足しているというより「確認に必要な手元の書類が揃っていない」ケースが大半です。
パターン2：詳細な様式（80問以上）
上場企業やその一次請け企業、あるいは個人情報や機密性の高い図面などを扱う業務で使われる形式です。
| 大分類 | 項目数 | 主な質問内容 |
|---|---|---|
| 組織・体制 | 8 | 基本方針、セキュリティ規程、責任者、各種認証の取得状況 |
| 人的管理 | 8 | 秘密保持誓約書、教育の実施、訓練、退職時の確認事項 |
| 資産・端末管理 | 9 | IT資産台帳、アップデート状況、機器の暗号化、廃棄手順 |
| アクセス管理・認証 | 9 | 個別IDの発行、アクセス権限、多要素認証の導入 |
| ネットワーク・外部接続 | 6 | 無線LANのセキュリティ、社外からのリモート接続、公開サーバー管理 |
| データ保護・持ち出し | 9 | 外部メディア制限、私用クラウド利用、操作ログの取得 |
| サイバー攻撃・マルウェア | 7 | 不審メール対策、感染時の初動手順、保険加入、過去の事故歴 |
| バックアップ・事業継続 | 6 | バックアップ頻度、オフライン保管、復旧テストの実施 |
| 事故対応・報告 | 5 | 緊急連絡体制、取引先への報告期限、事故記録のフォーマット |
| 委託・再委託 | 5 | 再委託の有無、委託先との契約内容、発注側の事前承諾 |
| クラウド・生成AI利用 | 7 | 利用サービスの把握、入力可能データのルール・ガイドライン |
| 物理的管理 | 5 | オフィスの施錠管理、入退室制限、クリアデスク・画面ロック |
項目数は非常に多いものの、質問の本質は簡易版と変わりません。「実施状況」に加えて「根拠となる規程名」「未実施の場合の対応予定時期」「補足・備考」といったエビデンスまで細かく確認しているのが特徴です。
本記事で紹介した簡易版・詳細版のExcelテンプレートは、以下からダウンロードいただけます。あらかじめ自社の状況を入力して整理しておけば、今後どのような様式が届いても転記するだけで対応可能です。
近年、急増している3つの確認項目
ここ数年で、多くのチェックシートに追加されたトレンド項目が3つあります。
生成AIの業務利用ルール
「業務で使用している生成AIに会社や取引先の情報を入力していないか？」という質問は、近年最も急増している項目です。
発注側が懸念しているのは、預けた機密情報や個人データが不用意に外部サービスへ送信されたり、生成AIの「再学習」に利用されて漏洩したりすることです。
回答は必ずしも「一切使っていません」である必要はありません。利用しているにもかかわらず「使っていない」と虚偽の回答をする方がリスクとなります。
以下の3点が整っていれば、自信を持って回答できます。
- 業務利用を許可するAIサービスを特定し、台帳管理している
- 入力してよい情報・禁止する情報のガイドラインを作成・周知している
- 法人契約のプラン等で、入力データが再学習に利用されない設定になっていることを確認している
従業員が個人のアカウントで業務利用（シャドーIT）している状態では正確に回答できません。まずは社内の利用実態を把握することから始めましょう。
サイバー攻撃（ランサムウェア）を受けた際の復旧・継続体制
サイバー攻撃については、以前は「防ぐための対策」が中心でしたが、最近は「攻撃を受けた（被害に遭った）後にどう復旧・対応するか」まで踏み込んで確認されます。
特にランサムウェア（身代金要求型ウイルス）被害では、データが暗号化され業務が停止します。取引先にとっては「納品やサービスがストップすること」が最大の損失となるため、事業継続能力が問われます。
具体的には以下のような点が質問されます。
- バックアップを定期的に取得しているか？
- バックアップデータがネットワークから切り離されて保管されているか（ランサムウェアによる同時暗号化の防止）？
- 実際にデータをバックアップから復旧するテストを行っているか？
- 被害が発生した際、取引先へ速やかに報告する手順が確立されているか？
「バックアップを取っていたが、いざという時に復旧できなかった」という事例は少なくありません。一度復旧手順を確認・テストしておくだけで、この回答欄の信頼性は大きく跳ね上がります。
なお、過去に事故やトラブルがあった場合は隠さず、当時の状況と実施済みの「再発防止策」をセットで記載します。発注側は事故そのもの以上に「問題発生後の改善姿勢」を厳しくチェックしています。
従業員による内部からの情報持ち出し防止
外部からの攻撃対策だけでなく、内部関係者による情報の持ち出し対策も必ず確認されます。実際、情報漏洩の原因として「内部要因」は常に上位を占めています。
悪意を持った不正持ち出しだけではありません。「自宅で作業するために個人メールへ資料を送る」「個人のクラウドストレージにバックアップする」「USBメモリで持ち帰る」といった、不注意やルール違反による事故も含まれます。
チェックシートでは、こうした抜け道を塞いでいるかが問われます。
- 重要な情報へアクセスできる権限を最小限に絞っているか
- 外部メディアや私用クラウドへのデータ持ち出しを制限・監視しているか
- いつ、だれがデータにアクセスしたかのログを残しているか
- 退職予定者のアカウント停止やデータ返還の手順が決まっているか
特に退職者に関する設問はほぼ必須で登場します。「退職者のIDがそのまま放置されていないか」「退職直前の不正な持ち出しを防ぐ仕掛けがあるか」は、実務の徹底度が如実にあらわれるポイントです。
万が一の事故発生時における「法的報告義務」
ここまでは事前予防の観点でしたが、「情報漏洩が起きたときの報告義務」についても正しく理解しておく必要があります。知らなかったでは済まされない重要な法的事項です。
法律で報告が義務付けられている条件
個人情報（個人データ）の漏洩、またはそのおそれが発生した場合、以下のいずれかに該当するときは「個人情報保護委員会への報告」および「本人への通知」が法律上義務付けられています。
- 要配慮個人情報（病歴・犯罪歴など）が含まれる漏洩・おそれ
- 不正に利用され財産的被害が生じるおそれがある漏洩（クレジットカード情報など）
- 不正の目的（サイバー攻撃や持ち出しなど）をもって行われた漏洩・おそれ
- 1,000件を超える個人データの漏洩・おそれ
注意すべき点として、1〜3の条件に当てはまる場合は「たとえ1件であっても」報告対象になります。件数が少ないから報告不要とはなりません。
また、ランサムウェアに感染してデータが暗号化され「外部に持ち出されたかどうか確証が持てない」場合でも、「漏洩のおそれ」として報告義務が発生します。中小企業で最も起こりやすいのがこのパターンです。
報告期限は「驚くほど短い」
個人情報保護委員会への報告は2段階で行います。
- 速報：事故を知った（発覚した）日からおおむね3〜5日以内
- 確報：事故を知った日から30日以内（不正目的の攻撃などの場合は60日以内）
あわせて、被害を受けた本人への通知も速やかに行う必要があります。
「社内でじっくり原因究明してから連絡しよう」と考えていると、あっという間に期限が過ぎてしまいます。速報の段階では、その時点で判明している事実のみで提出します。
受託（請負）業務の場合は「取引先（委託元）への即時連絡」が最優先
他社から委託された個人データを扱っている場合、万が一漏洩が発生した際は「委託元（取引先）へ速やかに通知すること」で、受託側の個人情報保護委員会への報告義務は免除されると定められています。
つまり、「取引先へ一刻も早く連絡すること」が、そのまま自社の法的義務を果たす最大の防御策となります。
連絡をためらうと、取引先の報告期限まで切り詰めることになり、極めて重大な不信感を生んでしまいます。
契約書で定められた報告期限（「直ちに」「24時間以内」）の確認
法律上の期限とは別に、取引先との「業務委託契約書」で独自の報告期限が設定されているケースが一般的です。多くの場合、「直ちに」「発覚から24時間以内」といった厳しい条件が記載されています。
チェックシートでも「緊急時の報告フローと期限を把握しているか」が問われます。回答を作成する際は、必ず自社の主要な業務委託契約書の内容を確認しておきましょう。
緊急連絡先は「A4用紙1枚」にまとめておく
事故発生時に慌てて探している時間はありません。以下の内容を1枚の紙に整理し、すぐに参照できる場所に用意しておきましょう。
- 社内の第一報告先（責任者・対応チーム）
- 取引先ごとの緊急連絡先と契約上の報告期限
- 個人情報保護委員会の報告フォーム（URL／ブックマーク）
- 事故内容の記録フォーマット
なお、ランサムウェア被害については関係省庁による共通のフォーマットが用意されています。事前に確認しておくと混乱を防げます。
チェックシートが届いた後の仕分け
チェックシートが届いたら、1行目から順番に回答しようとしてはいけません。途中で手が止まり、作業が停滞してしまいます。まずは「事前準備」と「仕分け」から始めましょう。
手順1：手元に根拠となる資料をすべて集める
記憶に頼って回答すると、後のトラブルの原因になります。まずは以下の資料を手元に揃えます。
- 就業規則および秘密保持に関する誓約書（NDA）
- パソコン・スマートフォン等のIT資産管理台帳
- 取引先との業務委託契約書
- バックアップの設定画面・実行ログの確認書類
- 加入しているサイバー保険の証券
手順2：項目を「3つのグループ」に振り分ける
書類を揃えたら、チェックシートの全項目を以下の3つに色分け（仕分け）していきます。
- 【即答可】 手元の資料で今すぐ回答できるもの
- 【要確認】 担当者や設定画面を確認すれば回答できるもの
- 【未実施】 現状、対策を行っていない・ルールがないもの
未実施項目は正直に「未実施」と書いてよい理由
「未実施」と答えるのをためらうかもしれませんが、嘘の記述をするのは絶対に避けてください。理由は2つあります。
第一に、万が一事故が発生した際に「虚偽の報告をしていた」となり、重大な契約違反・損害賠償問題に発展するからです。
第二に、未実施であっても「代替措置」や「今後の改善予定」を書き添えれば適切に評価されるからです。単なる空欄や「いいえ」だけで終わらせず、「未実施（※現在導入に向けて検討中。今期中に規程整備を予定）」と記載する方が、姿勢として高く評価されます。
そろえておくと大半の欄が埋まる「7つの必須書類」
今後のチェックシート依頼に備え、あらかじめ準備しておくべき「7つの基本書類・データ」を整理しました。これらを一度作成しておけば、今後の回答作成時間を大幅に削減できます。
情報セキュリティ基本方針・規程
冒頭の質問で必ず問われる項目です。ここが未整備だと、全体の回答の信頼性が下がってしまいます。
大作を作る必要はありません。IPA（情報処理推進機構）が公開している「中小企業の情報セキュリティ対策ガイドライン」には、すぐに使える規程のひな形が用意されています。まずはこれを自社の実態に合わせて調整することから始めましょう。
IT資産管理台帳（PC・スマホ・サーバー）
「誰がどの端末を使っているか」「私用端末（BYOD）の業務利用はあるか」は、ほぼ確実に質問されます。
台帳がないと、シートが届くたびに社内を調査し直すことになります。ExcelやGoogleスプレッドシート1枚で問題ありませんので、常に最新化しておきましょう。
アカウント管理手順・退職時チェックリスト
定期的なアクセス権限の棚卸し手順と、退職時のID削除フローを用意します。
特に退職者対応は「退職当日に何を停止・回収するか」をチェックリスト化（A4用紙1枚）しておくと、実務でも漏れがなくなり、回答の強い根拠となります。
バックアップ＆復旧手順書
バックアップの取得頻度だけでなく、「復旧手順の有無」と「保管場所の分離」を記載したメモを用意します。
同じネットワーク内だけでなく、外部ストレージやクラウド等へ分離保管されているか（3-2-1バックアップルールなど）を確認・明記しておきます。
クラウド・生成AI利用ルールおよびサービス一覧
「社内で利用を許可しているクラウドサービス・AIツールの一覧」と「入力データの扱いに関するガイドライン」を作成します。
クラウドサービスは気付かないうちに増えやすいため、半年に1度など定期的な見直しルールを設けておきます。
緊急連絡体制図（事故発生時の対応フロー）
前述した「1枚の緊急連絡先シート」です。一次連絡先、取引先の連絡先、個人情報保護委員会への報告先、報告期限が一覧化されていれば、事故対応に関する質問欄は一括でクリアできます。
年に1度は取引先の担当者変更がないか確認しましょう。
7. 秘密保持契約（NDA）・再委託に関する合意書
自社が外部の協力会社や個人事業主（フリーランス）へ再委託する場合、同様の秘密保持義務を課しているかを確認されます。
契約書や覚書（誓約書）の書面として保管されている状態を作っておきましょう。
回答作業を毎回ゼロからやらないための「回答台帳」の作り方
1社目のチェックシート対応は大変な作業ですが、2社目以降は「過去の回答を再利用する仕組み」を作っておけば劇的に楽になります。
方法は簡単です。届いた質問と自社の回答を1つのExcelファイルに集約（データベース化）していきます。その際、以下の項目をセットで管理します。
- 質問内容と自社の回答
- 回答の根拠となった資料名（例：情報セキュリティ規程 第3条）
- 根拠資料の格納場所・パス
- 最終確認日・更新日
新しいチェックシートが届いたら、この「回答台帳」から類似の質問を検索して回答をコピー＆ペーストするだけで完了します。
本記事でダウンロードできる「詳細版テンプレート」をそのまま自社の回答台帳として運用するのもおすすめです。半年に1度、更新日が古い項目だけをピンポイントで点検すれば、常に最新の状態を維持できます。
自社だけで対応しきれない場合の考え方
ここまでの体制整備を、通常業務の傍ら一人で進めるのは容易ではありません。特に専任のIT担当者がいない中小企業ではなおさらです。
「すべてを自社内で内製化しよう」とせず、「どこまでを自社で判断し、どこからを外部の専門家やITベンダーに委託するか」の境界線を事前に決めておくことが重要です。
まとめ
セキュリティチェックシートは、自社の完璧さをアピールするためのテストではなく、「現状の立ち位置を客観的に測るもの」です。発注側も完璧な回答ばかりを期待しているわけではありません。
チェックシートが届いた際にやるべきことは以下の3ステップです。
- 質問項目を領域ごとに整理する
- 手元の根拠資料をもとに「回答可能」「要確認」「未実施」へ仕分ける
- 「未実施」の項目には、代替策や今後の改善スケジュールを記載する
その上で、「セキュリティ方針・規程」「端末管理台帳」「アカウント手順」「バックアップ」「生成AIルール」「緊急連絡体制」「秘密保持契約」の7つの基本書類を段階的に整えていきましょう。
もし何から手を付けるか迷ったら、まずはA4用紙1枚で作成できる「緊急連絡体制」から始めてみてください。最も短時間で作成でき、万が一の事故発生時に最も大きな効果を発揮します。
今後広まる評価制度（SCS評価制度など）に向けても、今整えた体制はすべてそのまま活用できます。慌てず一つずつ準備を進めていきましょう。
コメント