取引先から届くセキュリティチェックシートへの答え方

取引先から届くセキュリティチェックシートには、事実を、根拠になる資料とあわせて答えるのが基本です。できていない項目を「はい」と答えると、後の確認や事故のときに説明がつかなくなります。できていない項目は、代わりの対策と改善の予定を添えて正直に答えるほうが、取引先との信頼につながると考えられます。

チェックシートは、何のために届くのか

チェックシートは、取引先が、仕事を任せる会社の対策の状況を確かめるための質問票です。取引先には、委託先や取引先を経由する攻撃への備えが求められているため、新しく取引を始めるときや、年に一度の見直しのときに届くことが多くなっています。

IPAの「情報セキュリティ10大脅威 2026」の組織編では、「サプライチェーンや委託先を狙った攻撃」が2位に選ばれています。取引先がチェックシートで委託先を確かめるのは、この脅威への備えの一つです。背景はサプライチェーンのセキュリティで説明しています。

出典：情報セキュリティ10大脅威 2026（IPA、2026年1月29日）

個人データの取扱いを委託する会社には、個人情報保護法 第25条により委託先の監督が求められており、委託先の安全管理の状況を選ぶときに確かめることが、個人情報保護委員会のガイドラインに示されています。チェックシートは、その確かめの手段としても使われます。

出典：個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）

よく聞かれる項目

質問の項目は取引先ごとに違いますが、聞かれる分野はおおむね似ています。分野ごとに、答えの元になる事実と資料を整理しておくと、どのシートにも答えやすくなります。

ISMSやプライバシーマークの認証を持っている場合は、その範囲（どの部署・どの拠点・どの業務が対象か）を添えて答えます。認証の範囲の外にある業務について聞かれている場合に、認証があることだけを答えると誤解を招くことがあります。

答え方の基本

答え方の基本は、事実を短く書き、根拠を示し、できていない点は計画とあわせて書くことです。答えは、聞かれていることに一つずつ対応させます。

答えは、できている、一部だけできている、できていない、の3つの場合で書き方を変えます。できている項目は、根拠になる資料の名前を控えたうえで「はい」と答えます。一部だけできている項目は、どの範囲でできていて、どこができていないかを書きます。できていない項目は、代わりの対策と、いつまでに何をするかを添えます。

進め方は次のとおりです。

1. 質問の意味を確かめる：「暗号化しているか」が、保存しているデータのことか、通信のことかなど、質問の範囲があいまいなときは、範囲を書き添えるか、取引先に確かめます
2. 事実を書く：「規程で定めている」と「実際に運用している」は別のことです。運用まで確かめたうえで答えます
3. 根拠を示す：規程の名前、設定の画面、記録の場所など、求められたときに示せる根拠を手元で控えます
4. できていない項目を正直に書く：次の節のとおり、代わりの対策と予定を添えます
5. 答えを控える：誰に、いつ、どう答えたかを記録し、次のシートや見直しのときに使います

できていない項目は、どう書けばよいか

できていない項目は、「いいえ」だけで終わらせず、いまの代わりの対策と、いつまでに何をするかを添えて答えます。取引先が知りたいのは、危険がどこにあり、どう扱われているかであることが多いためです。

たとえば、ノートパソコンの紛失への備えを聞かれ、まだ一部の端末でしか対策ができていない場合は、次のように書けます。

• いまの状況：ハードディスクの暗号化は、業務用のノートパソコンのうち一部で設定済み
• 代わりの対策：社外に持ち出す端末は、設定済みのものに限っている
• 予定：残りの端末にも、時期を決めて設定を広げる

できていない項目が多い場合でも、優先順位をつけて計画を示せば、取引先と相談しながら進められることが多いです。改善の予定を書いた場合は、その予定を守れるよう、社内で担当と期限を決めておきます。

答える前に、社内でそろえておくこと

チェックシートに答える手間の多くは、答えの元になる事実を社内で探す時間です。一度そろえておくと、次からは見直すだけで済みます。

• 情報セキュリティの方針と、主な規程の一覧
• 端末、アカウント、機器、使っているクラウドサービスの一覧
• 委託先と再委託先の一覧
• 事故が起きたときの連絡の手順と連絡先
• 過去に答えたチェックシートと、その答え

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、自社の状況を確かめる「5分でできる！情報セキュリティ自社診断」などを付録にしています。何から整えればよいか分からない場合の、最初の点検に使えます。IPAの「SECURITY ACTION」は、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度で、一つ星・二つ星の段階があります。

出典：中小企業の情報セキュリティ対策ガイドライン（IPA）、SECURITY ACTION（IPA）

経済産業省が準備を進めているSCS評価制度は、取引先の対策の状況を共通の基準で示し、委託元と委託先の双方の負担を減らすことを目的としています。★3・★4の要求事項と評価の基準（Ver1.1）が公表されているため、制度が始まる前から自社の点検に使えます（2026年11月時点）。

出典：サプライチェーン強化に向けたセキュリティ対策評価制度（経済産業省）

答えた後に続くこと

チェックシートは、答えて終わりではないことが多いです。答えをもとに、追加の質問、資料の提出、契約の条項の相談、訪問しての確認などが続くことがあります。

• 答えた内容が、契約書のセキュリティの条項として求められることがあります。守れる内容かを、契約の前に確かめます
• 改善の予定を書いた項目は、次の見直しのときに進み具合を聞かれます
• 外部に公開しているシステムについて、診断の結果を求められることがあります。診断の頼み方は脆弱性診断の頼み方と、報告書の読み方で説明しています

契約の条項の解釈など、法律に関わる判断は、弁護士などの専門家にご確認ください。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、取引先から届いた質問票の項目に沿って現状を確かめ、答えられることと、直してから答えることを分ける作業をお手伝いしています。必要に応じて、外部に公開しているシステムの診断を行い、結果をもとに説明の準備をします。社内の規程や教育を整えるところからのご相談も承ります。まずは無料のセキュリティの自己診断で、おおまかな状況を確かめることもできます。