「取引先から、セキュリティ対策のチェックシートに回答してほしいと言われた」。中小企業からいただくご相談の中でも、ここ数年で特に増えているものです。数十から百を超える質問が並んでいて、何を書けばよいか分からない、という声をよく聞きます。
この記事では、チェックシートが届いたときの進め方と、回答するときの注意点をまとめます。
なぜチェックシートが届くのか
取引先や委託先を足がかりに侵入する攻撃が増えているためです。IPAの「情報セキュリティ10大脅威 2026」（組織編）でも、「サプライチェーンや委託先を狙った攻撃」は2位でした。発注する側は、自社の情報を預ける相手の対策状況を確認する必要に迫られています。
今は取引先ごとに独自の様式で確認していることが多いですが、2027年3月頃に運用が始まる予定の「SCS評価制度」は、こうした確認の負担を減らすことも目的のひとつにしています。
届いたときの進め方
1. 回答の期限と、誰が確認するのかを聞く
まず期限を確認します。あわせて、回答を誰がどう使うのか（取引の条件なのか、現状の把握なのか）を聞いておくと、どこまで詳しく書くべきかが分かります。
2. 質問を「できている／一部できている／できていない」に分ける
いきなり回答欄を埋めるのではなく、まず自社の状況を正直に仕分けます。社内で分からない項目は、パソコンやネットワークを任せている業者に確認します。
3. できていない項目は、対応の予定を添えて答える
すべての項目に「はい」と答える必要はありません。できていない項目は、いつまでに何をするかを書き添えると、取引先も判断しやすくなります。
回答するときの注意点
できていないことを「できている」と書かない
いちばん大切な点です。チェックシートの回答は、取引の前提として扱われることがあります。実態と違う回答をして、後で事故が起きたときに発覚すると、契約上の責任を問われたり、信頼を大きく損ねたりするおそれがあります。
根拠を残しておく
「ウイルス対策ソフトを全台に導入している」と答えるなら、台数や管理画面の記録など、裏付けを手元に残しておきます。追加で資料を求められたときに慌てずに済みます。
同じ質問は使い回せるようにまとめる
チェックシートの質問は、取引先が変わってもかなり似ています。一度回答した内容を社内で一覧にしておけば、次からの回答がずっと楽になります。
よく聞かれる項目
様式は取引先ごとに違いますが、次のような項目はほぼ必ず含まれています。
- 情報セキュリティの基本方針や社内ルールがあるか
- OSやソフトウェアを最新の状態にしているか、ウイルス対策をしているか
- パスワードの管理や、多要素認証を導入しているか
- 重要な情報にアクセスできる人を限定しているか
- バックアップを取り、復旧できることを確認しているか
- 事故が起きたときの連絡体制や手順があるか
- 委託先（再委託先）の管理をしているか
これらは、IPAの「中小企業の情報セキュリティ対策ガイドライン」の6か条や自社診断25項目と重なる部分が多くあります。ガイドラインに沿って対策を進めておくと、チェックシートにも答えやすくなります。
当事務所でお手伝いできること
チェックシートの各項目について現状を一緒に確認し、回答の作成をお手伝いしています。できていない項目については、現実的な対策の提案と実施まで対応します。期限が迫っている場合も、まずはご相談ください。