取引先から届いたセキュリティチェックシート、どう答えるか

取引先から「セキュリティチェックシート」や「情報セキュリティ質問票」が届くと、専任の担当者がいない会社では戸惑うことが多いものです。結論から言うと、できていない項目を無理に「対応済み」と書く必要はありません。現状を正直に書き、今後の予定を添えるほうが、取引先との信頼につながります。この記事では、よく聞かれる項目の整理と、できていない項目の書き方を説明します。あわせて、回答を機に対策を整える順番と、来年の回答を楽にする記録の残し方も紹介します。

チェックシートは「試験」ではなく「現状確認」

取引先がチェックシートを送る目的は、委託先や取引先での情報の扱いを把握し、自社の管理責任を果たすことです。満点を求めているわけではなく、「どこまでできていて、どこができていないか」を知りたい場合がほとんどです。

ここで避けたいのが、実際にはできていないことを「実施済み」と書いてしまうことです。あとで事故が起きたとき、回答内容と実態が違っていれば、契約上の責任を問われるおそれがあります。また、翌年も同じ回答を求められるため、一度背伸びをすると、ずっと背伸びを続けることになります。

私が回答の相談を受けるときも、まず「正直に書きましょう」とお伝えしています。できていない項目があること自体は、珍しいことではありません。

よく聞かれる項目の整理

チェックシートの様式は取引先ごとに違いますが、聞かれる内容はおおむね共通しています。あらかじめ分類しておくと、どの設問にも落ち着いて答えられます。

分類	よく聞かれる内容
アクセス管理	パスワードのルール、多要素認証、共有アカウントの有無、退職者のアカウント停止、管理者権限の範囲
端末	ウイルス対策、OSの更新、ディスクの暗号化、私物端末の利用ルール、紛失時の対応
バックアップ	対象データ、頻度、保管場所、復元できるか確認しているか
教育	社員向け研修の実施と頻度、不審なメールへの注意喚起
インシデント対応	連絡体制、報告先、取引先への連絡手順、記録の残し方
組織・規程	責任者の有無、セキュリティ規程、委託先の管理

設問の意味が分からないときは、推測で答えず、取引先の担当者に確認してかまいません。質問の意図を聞くことは、むしろ誠実な対応として受け取られます。

できていない項目の書き方

「いいえ」「未実施」とだけ書くと、取引先にはそれ以上の情報が伝わりません。次のように書くと、現状と今後の見通しが伝わります。

未実施の項目は、「未実施。来期中に導入を予定」のように、予定を添える
一部できている項目は、「一部実施」と書き、できている範囲を具体的に示す
代わりの対策があれば書く。たとえば「多要素認証は未導入だが、共有アカウントを廃止し、管理者権限を限定している」など
分からない項目は、設定画面や担当者に確認してから書く。「たぶん」で「はい」と書かない
予定を書く場合は、実行できる範囲にとどめる。守れない予定は、翌年の回答で苦しくなる

正直に書いたうえで予定を添える回答は、「対策に取り組む姿勢がある会社」として受け取られることが多いものです。

回答を機に整える順番

チェックシートの回答は、自社の弱点が一覧になる貴重な機会でもあります。「いいえ」と書いた項目を放置せず、次の順番で手をつけると、無理なく進められます。

影響が大きく、手間が小さいもの。多要素認証の有効化、退職者アカウントの停止、OSの更新確認など、設定変更で済むもの
証拠を残しやすいもの。バックアップから実際に復元してみる、ウイルス対策の状況を一覧にする、など
ルールや文書が必要なもの。困ったときの連絡手順、簡易な規程、研修の実施と記録

すべてを一度に進める必要はありません。回答の提出後に年間の計画に落とし、来年の回答までに「はい」に変えられる項目を増やしていく、という考え方が現実的です。現状の点検から年間計画までの進め方は、セキュリティ対策支援で詳しく紹介しています。

来年に備えた記録の残し方

チェックシートは、一度答えれば終わりではありません。翌年も同じ取引先から届き、別の取引先からも似た内容が届きます。初回に記録を整えておくと、二回目以降の手間が大きく減ります。

提出した回答のコピーと提出日を保管する
設問ごとに根拠となる資料（設定画面の画面コピー、端末台帳、研修の出席記録など）を同じ場所に集めておく
「いいえ」と書いた項目の一覧を作り、対策の進み具合を定期的に確認する
複数の取引先から届く場合は、自社版の「標準回答集」を作り、様式が違っても転記で済むようにする

根拠の資料は、監査や事故のときにも役立ちます。また、担当者が変わっても同じ品質で回答できるのは、記録があるからです。こうした記録の整備や定期的な見直しは、情シス顧問の定例ミーティングで継続的に支援しています。

よくある質問

すべて「はい」でないと、取引を打ち切られますか？

多くの場合、すべての項目が「はい」であることは求められていません。取引先が重視する項目は業種や取引内容によって異なります。「いいえ」の項目については、理由と今後の予定を添えて説明し、必要なら担当者と直接話す機会を設けると、前に進みやすくなります。

回答の期限が短い場合、どう進めればよいですか？

まず、設問を分類ごとに振り分け、すぐ答えられるものから埋めていきます。確認に時間がかかる項目は、期限の延長をお願いするか、「確認中」と明記して後日補足する方法もあります。期限に追われて推測で埋めることは避けてください。

士業事務所にも同じように届きますか？

はい。お客様の財務情報や個人情報を扱う士業事務所にも、顧問先や提携先からチェックシートが届くことがあります。少人数でも、アカウント管理、端末、バックアップ、連絡体制の四点を押さえておけば、多くの設問に答えられます。

まとめ

セキュリティチェックシートは、取引先が現状を知るためのものであり、満点を求める試験ではありません。できていない項目は正直に書き、予定や代わりの対策を添えることが、信頼につながります。回答を機に、影響が大きく手間の小さい対策から順に整え、提出した回答と根拠の資料を保管しておけば、来年の対応はずっと楽になります。届いたチェックシートを手元に置いたままの段階でも、ご相談いただけます。