セキュリティチェックシート

業務を委託したり、クラウドのサービスを使ったりするときに、発注する側が相手の対策を確かめるために使います。質問は、方針と体制、情報の分類と取り扱い、アクセスの管理、通信や保存の暗号化、ログの記録、脆弱性への対応、事故のときの連絡、委託先（再委託）の管理、従業員の教育などの分野にわたるのが一般的です。決まった様式はなく、会社ごとに独自の質問を用意しています。

回答する側は、できていることとできていないことを正直に書き、できていない項目には代わりの対策や予定を添えます。ISMSやプライバシーマークなどの認証、第三者の保証報告書（SOC報告書）があれば、根拠の資料として示せます。回答の内容は契約の前提になることがあるため、実態と合っているかを確かめてから出します。

発注する側にとっては、回答は相手の自己申告であることに注意が要ります。重要な業務を任せる場合は、根拠の資料を求めたり、契約に事故の報告や監査の取り決めを入れたりして補います。