---
title: "取引先から届くセキュリティチェックシートへの答え方｜アメリア・テクノロジー株式会社"
url: https://www.ameliatechnology.co.jp/blog/security-check-sheet-answers/
description: "セキュリティチェックシートには、事実を、根拠の資料とあわせて答えるのが基本です。よくある質問の項目、そろえておく資料、できていない項目の書き方、答えた後に続く確認への備えを、委託される側の立場で説明します。"
updated: 2026-11-12
publisher: "アメリア・テクノロジー株式会社"
---
# 取引先から届くセキュリティチェックシートへの答え方

セキュリティチェックシートには、事実を、根拠の資料とあわせて答えるのが基本です。よくある質問の項目、そろえておく資料、できていない項目の書き方、答えた後に続く確認への備えを、委託される側の立場で説明します。

2026.11.12 [Webとシステム開発](https://www.ameliatechnology.co.jp/blog/category/web/)

執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO）

Webとシステム開発（WEB & SYSTEMS）のコラム

## この記事の要点

- チェックシートは、取引先が委託先の対策を確かめるための質問票です。できていることを大きく見せず、事実を答えることが信頼につながります。
- 方針・規程、体制、端末とアカウントの管理、事故への備えなど、よく聞かれる項目は似ているため、答えの元になる資料を一度そろえておくと手間が減ります。
- できていない項目は、「いいえ」で終わらせず、代わりの対策と、いつまでに何をするかを添えて答えます。

取引先から届く[セキュリティチェックシート](https://www.ameliatechnology.co.jp/glossary/security-check-sheet/)には、事実を、根拠になる資料とあわせて答えるのが基本です。できていない項目を「はい」と答えると、後の確認や事故のときに説明がつかなくなります。できていない項目は、代わりの対策と改善の予定を添えて正直に答えるほうが、取引先との信頼につながると考えられます。

## チェックシートは、何のために届くのか

チェックシートは、取引先が、仕事を任せる会社の対策の状況を確かめるための質問票です。取引先には、委託先や取引先を経由する攻撃への備えが求められているため、新しく取引を始めるときや、年に一度の見直しのときに届くことが多くなっています。

IPAの「情報セキュリティ10大脅威 2026」の組織編では、「サプライチェーンや委託先を狙った攻撃」が2位に選ばれています。取引先がチェックシートで委託先を確かめるのは、この脅威への備えの一つです。背景は[サプライチェーンのセキュリティ](https://www.ameliatechnology.co.jp/blog/supply-chain-security/)で説明しています。

出典：[情報セキュリティ10大脅威 2026（IPA、2026年1月29日）](https://www.ipa.go.jp/security/10threats/10threats2026.html)

個人データの取扱いを委託する会社には、個人情報保護法第25条により委託先の監督が求められており、委託先の安全管理の状況を選ぶときに確かめることが、個人情報保護委員会のガイドラインに示されています。チェックシートは、その確かめの手段としても使われます。

出典：[個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)

## よく聞かれる項目

質問の項目は取引先ごとに違いますが、聞かれる分野はおおむね似ています。分野ごとに、答えの元になる事実と資料を整理しておくと、どのシートにも答えやすくなります。

| 分野 | よくある質問の例 | 答えの元になる資料 |
|---|---|---|
| 方針と体制 | 情報セキュリティの方針はあるか、責任者は誰か | 情報セキュリティ方針、体制図 |
| 規程と教育 | 社内の規程はあるか、社員の教育をしているか | 規程の一覧、教育の記録 |
| 端末とアカウント | パソコンのウイルス対策、多要素認証、退職者のアカウントの削除 | 端末の一覧、アカウントの管理の手順 |
| ネットワークとシステム | 修正版の当て方、外部からの接続、ログの保存 | 機器とソフトウェアの一覧、運用の手順 |
| 委託と再委託 | 再委託をしているか、その管理はどうしているか | 再委託先の一覧、契約書の該当の条項 |
| 事故への備え | 事故が起きたときの連絡の手順、バックアップ | 事故対応の手順書、バックアップの設定の記録 |
| 認証と第三者の確認 | ISMSなどの認証、外部の診断を受けているか | 認証の登録証、診断の報告書の概要 |

[ISMS](https://www.ameliatechnology.co.jp/glossary/isms/)や[プライバシーマーク](https://www.ameliatechnology.co.jp/glossary/privacy-mark/)の認証を持っている場合は、その範囲（どの部署・どの拠点・どの業務が対象か）を添えて答えます。認証の範囲の外にある業務について聞かれている場合に、認証があることだけを答えると誤解を招くことがあります。

## 答え方の基本

答え方の基本は、事実を短く書き、根拠を示し、できていない点は計画とあわせて書くことです。答えは、聞かれていることに一つずつ対応させます。

答えは、できている、一部だけできている、できていない、の3つの場合で書き方を変えます。できている項目は、根拠になる資料の名前を控えたうえで「はい」と答えます。一部だけできている項目は、どの範囲でできていて、どこができていないかを書きます。できていない項目は、代わりの対策と、いつまでに何をするかを添えます。

チェックシートの答え方（3つの場合）

- **できている**：根拠になる資料の名前を控えたうえで「はい」と答える
- **一部だけできている**：どの範囲でできていて、どこができていないかを書く
- **できていない**：「いいえ」で終わらせず、**代わりの対策**と、**いつまでに何をするか**を添える

進め方は次のとおりです。

1. **質問の意味を確かめる**：「暗号化しているか」が、保存しているデータのことか、通信のことかなど、質問の範囲があいまいなときは、範囲を書き添えるか、取引先に確かめます
2. **事実を書く**：「規程で定めている」と「実際に運用している」は別のことです。運用まで確かめたうえで答えます
3. **根拠を示す**：規程の名前、設定の画面、記録の場所など、求められたときに示せる根拠を手元で控えます
4. **できていない項目を正直に書く**：次の節のとおり、代わりの対策と予定を添えます
5. **答えを控える**：誰に、いつ、どう答えたかを記録し、次のシートや見直しのときに使います

## できていない項目は、どう書けばよいか

できていない項目は、「いいえ」だけで終わらせず、いまの代わりの対策と、いつまでに何をするかを添えて答えます。取引先が知りたいのは、危険がどこにあり、どう扱われているかであることが多いためです。

たとえば、ノートパソコンの紛失への備えを聞かれ、まだ一部の端末でしか対策ができていない場合は、次のように書けます。

- いまの状況：ハードディスクの暗号化は、業務用のノートパソコンのうち一部で設定済み
- 代わりの対策：社外に持ち出す端末は、設定済みのものに限っている
- 予定：残りの端末にも、時期を決めて設定を広げる

できていない項目が多い場合でも、優先順位をつけて計画を示せば、取引先と相談しながら進められることが多いです。改善の予定を書いた場合は、その予定を守れるよう、社内で担当と期限を決めておきます。

## 答える前に、社内でそろえておくこと

チェックシートに答える手間の多くは、答えの元になる事実を社内で探す時間です。一度そろえておくと、次からは見直すだけで済みます。

- 情報セキュリティの方針と、主な規程の一覧
- 端末、アカウント、機器、使っているクラウドサービスの一覧
- 委託先と再委託先の一覧
- 事故が起きたときの連絡の手順と連絡先
- 過去に答えたチェックシートと、その答え

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、自社の状況を確かめる「5分でできる！情報セキュリティ自社診断」などを付録にしています。何から整えればよいか分からない場合の、最初の点検に使えます。IPAの「SECURITY ACTION」は、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度で、一つ星・二つ星の段階があります。

出典：[中小企業の情報セキュリティ対策ガイドライン（IPA）](https://www.ipa.go.jp/security/guide/sme/about.html)、[SECURITY ACTION（IPA）](https://www.ipa.go.jp/security/security-action/index.html)

経済産業省が準備を進めているSCS評価制度は、取引先の対策の状況を共通の基準で示し、委託元と委託先の双方の負担を減らすことを目的としています。★3・★4の要求事項と評価の基準（Ver1.1）が公表されているため、制度が始まる前から自社の点検に使えます（2026年11月時点）。

出典：[サプライチェーン強化に向けたセキュリティ対策評価制度（経済産業省）](https://www.meti.go.jp/policy/netsecurity/scs.html)

## 答えた後に続くこと

チェックシートは、答えて終わりではないことが多いです。答えをもとに、追加の質問、資料の提出、契約の条項の相談、訪問しての確認などが続くことがあります。

- 答えた内容が、契約書のセキュリティの条項として求められることがあります。守れる内容かを、契約の前に確かめます
- 改善の予定を書いた項目は、次の見直しのときに進み具合を聞かれます
- 外部に公開しているシステムについて、診断の結果を求められることがあります。診断の頼み方は[脆弱性診断の頼み方と、報告書の読み方](https://www.ameliatechnology.co.jp/blog/vulnerability-assessment-how-to-order/)で説明しています

契約の条項の解釈など、法律に関わる判断は、弁護士などの専門家にご確認ください。

## 当社のご支援

アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、取引先から届いた質問票の項目に沿って現状を確かめ、答えられることと、直してから答えることを分ける作業をお手伝いしています。必要に応じて、外部に公開しているシステムの診断を行い、結果をもとに説明の準備をします。社内の規程や教育を整えるところからのご相談も承ります。まずは無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)で、おおまかな状況を確かめることもできます。

- セキュリティチェックシート
- 委託先管理
- セキュリティ
- 取引先

## この記事に出てくる用語

- [セキュリティチェックシート](https://www.ameliatechnology.co.jp/glossary/security-check-sheet/)
- [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/)
- [個人情報（個人情報保護法）](https://www.ameliatechnology.co.jp/glossary/personal-information/)
- [多要素認証（MFA）](https://www.ameliatechnology.co.jp/glossary/mfa/)
- [ログ](https://www.ameliatechnology.co.jp/glossary/log/)
- [再委託](https://www.ameliatechnology.co.jp/glossary/subcontracting-consent/)
- [バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/)
- [ISMS（ISO/IEC 27001）](https://www.ameliatechnology.co.jp/glossary/isms/)

## 関連する法令・指針（参考情報）

- 法令
   個人情報保護法第25条（委託先の監督）
   個人データの取扱いの全部または一部を委託する場合は、委託を受けた者において個人データの安全管理が図られるよう、委託先に対して必要かつ適切な監督を行わなければなりません。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 指針
   個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（平成28年11月（令和8年6月一部改正））
   個人情報保護法について、事業者が守る事項の解釈と具体例を示したガイドラインです。本人から得た情報から行動や関心などを分析する場合は、本人が予測・想定できる程度に利用目的を特定する必要があるとしています。
   [発行元の公式ページで開く](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)
- 指針
   独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」（第4.0版（2026年3月））
   中小企業の経営者と実務の担当者が、情報セキュリティ対策を進めるための手順と考え方をまとめたガイドラインです。付録に、自社の状況を確かめる「5分でできる！情報セキュリティ自社診断」などがあります。
   [発行元の公式ページで開く](https://www.ipa.go.jp/security/guide/sme/about.html)

法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。

この記事を書いた人

[石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO

インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。

このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。

## あわせて読みたい

- [ゼロトラストの考え方と、中小企業の始め方](https://www.ameliatechnology.co.jp/blog/zero-trust-for-smb/)
- [Webアクセシビリティの対応。合理的配慮の義務化と進め方](https://www.ameliatechnology.co.jp/blog/web-accessibility-obligation/)
- [発注者が知っておきたいテストの種類と確かめ方](https://www.ameliatechnology.co.jp/blog/testing-for-buyers/)

[Webとシステム開発のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/web/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/)

## 次の一歩

### 業務で使うWebシステムをつくる

社内で使う業務システムやWebサービスを、要件定義から設計・開発・テスト、公開した後の運用まで受け持ちます。

[Webシステム開発を見る](https://www.ameliatechnology.co.jp/service/web-system/)

### まずは30分、オンラインで話してみる

何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。

[無料で相談する](https://www.ameliatechnology.co.jp/contact/)

## ご関心に合わせて、お選びください。

[情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

---

出典：アメリア・テクノロジー株式会社「取引先から届くセキュリティチェックシートへの答え方｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/security-check-sheet-answers/