PRACTICAL GUIDE ／ 取引先対応
取引先からセキュリティチェックシートが届いたら
営業から調査票が回ってきても、情シスだけで全項目を埋めようとしなくて大丈夫です。人事、総務、経営者、保守会社が確認する項目を分け、確認できた事実に基づいて回答します。
最初に、依頼の対象と提出条件を確認する
いつもの取引先担当者など、既知の連絡経路で依頼の正当性を確認します。対象は全社か、特定の拠点・受託業務・システムか、どの時点の状況を回答するかを整理します。
- 回答期限、提出先、提出方法、指定のファイル形式。
- 用語の定義、選択肢の判定基準、対象外とする条件。
- 証拠資料の要否、開示範囲、提出後の保管・取扱い。
- 自社の回答取りまとめ担当と最終承認者。
期限内に確認できない項目がある場合は、営業などの窓口を通して早めに相談します。質問の意味が曖昧なまま、推測で「はい」を選ばないことが大切です。
設問と根拠を、社内の整理表で結び付ける
下表は架空の例です。実際の設問と判定基準を優先し、規程が存在することと、現場で実施していることを分けて確認してください。
| 設問の例 | 確認先・根拠の例 | 確認する範囲 |
|---|---|---|
| 従業員教育を実施しているか | 総務／研修計画、教材、受講・未受講記録 | 対象者、実施日、未受講者への対応 |
| 多要素認証を利用しているか | IT担当／対象サービスの設定確認記録 | 管理者だけか、社員も含むか、例外の有無 |
| バックアップを取得しているか | IT担当・保守会社／実行結果、復元テスト記録 | 対象データ、保存先、確認した復旧範囲 |
| 退職者の権限を停止しているか | 人事・IT担当／停止手順、対応記録 | 対象サービス、停止日時、共有権限の見直し |
社内表には設問番号、回答案、確認日、根拠の保管先、確認担当、承認状況を付けます。設定画面の写しだけで運用全体を証明できるとは限りません。
未対応・一部対応は、事実と予定を分けて書く
指定された選択肢のルールに従い、備考欄があれば適用範囲と不足部分を説明します。対象外と判断する場合も理由を添え、依頼元の基準と合っているか確認します。
回答補足の例（架空）： 管理者アカウントは多要素認証を設定済みです。 一般社員の対象サービスには未設定の利用者がいます。 確認日：○年○月○日／確認担当：IT担当 未対応範囲：対象サービスAの一部利用者 改善案：利用可能な方式と業務への影響を確認し、段階的に展開 担当・予定時期：社内承認後に確定し、別途共有
予算や期限が未承認の改善案を、実施確約として提出しないようにします。実施できる範囲を責任者と相談し、対策の優先順位と必要な費用を整理してください。
承認して提出し、次回も使える記録を残す
回答の整合を確認する
回答の対象範囲、根拠の日付、他の設問との矛盾を見直します。保守会社に任せた作業も、契約と実施状況を確認します。
開示する情報を絞る
必要性を確認し、秘密情報や他社の情報を含む資料は承認者と開示方法を相談します。パスワードや秘密鍵を提出資料に含めません。宛先、共有権限、閲覧期限も確認します。
提出版と改善事項を保存する
提出日、依頼元、承認者、回答ファイル、提出資料を記録します。次回は前回の回答をそのまま流用せず、現在の実施状況と照合します。
SCS評価制度や業界ガイドラインに関する設問も、依頼元が求める条件を確認して回答します。自社診断の点数や制度への準備だけで、個別の設問に適合すると判断しないでください。
参考にする公式資料
- IPA「中小企業の情報セキュリティ対策ガイドライン」 ↗：社内の対策状況を整理するための参照先。
- IPA「プラクティス9-1」 ↗：委託元が対策状況を確認する取組事例。依頼の背景を考える参考。
- IPA「SCS評価制度」 ↗：制度の最新の案内。個別の調査票の代わりになるかは依頼元へ確認。
編集・出典確認日：2026年11月6日 ／ 公式資料を参考に当サイトが整理した実務の進め方です。書式・時間配分・回答は当サイトの例であり、公式の必須書式や管理人の検証・体験談ではありません。