取引先からセキュリティチェックシートが届いたら？ISMSの記録を使った回答の進め方
更新日：16 時間前
取引先から届いたセキュリティチェックシートを開くと、アクセス権、USB、教育、災害時の対応など、担当部署の違う質問が並んでいる。初めて回答する会社では、何を見れば「対応済み」と言えるのか、そこで手が止まりがちです。
回答は、現在の実施状況を確かめ、根拠となる資料とそろえて作ります。ISMSを運用している会社なら、すでにある規程や記録を使える項目もあります。設問の読み方から提出後の管理まで、実務の流れに沿って整理します。
▼目次
1. セキュリティチェックシートの対象・期限・認証の扱いを確認する
セキュリティチェックシートは、取引先が情報の管理体制や対策の実施状況を確認するための質問票です。会社全体を聞くものもあれば、委託する業務や提供サービスを対象にするものもあります。同じ「アクセス管理」でも、社内の共有フォルダと、顧客へ提供するシステムでは、確認先が変わります。
まず依頼文と回答要領を読み、対象業務・拠点・システム、回答期限、必須の添付資料、提出先を確認します。設問の意味や対象が曖昧なら、依頼元へ確認してから進めます。分からないまま会社全体の回答に広げると、対象外のサービスについてまで約束してしまうおそれがあります。
ISMS認証の有無を聞かれていても、それが取引の必須条件なのか、確認項目の一つなのかは依頼内容によります。認証を取得している場合も、登録証に記載された組織・業務・拠点などの認証範囲と、今回の依頼対象を照らし合わせましょう。
2. 設問を担当者へ振り分け、規程と実際の運用を照合する
回答の取りまとめ役を決め、設問を確認先ごとに分けます。システムの設定は管理担当者、入社時教育や誓約は人事・総務、再委託の条件は契約担当など、実施状況を把握している人に確認します。外部の保守会社やクラウド事業者への確認が必要な項目は、早めに依頼しましょう。
確認するときは、ルールに書かれていること、設定・運用の現状、実施した記録を区別します。例えば、権限の定期点検を規程で定めていても、実際に点検したかは別に確認が必要です。次は確認の考え方を示す例で、すべての質問票に共通する必須資料ではありません。
アクセス権：誰が使えるかと、見直した事実を確かめる
アクセス制御の方針、権限一覧、申請・承認の履歴、点検結果などを確認します。「必要な人だけに付与している」と「定期的に棚卸ししている」を一つの回答にまとめず、設問で聞かれた行為ごとに実施状況を見ます。
USB・機密書類：ルールを実際の持出し・保管と照らす
USBの利用・持出し条件や承認方法、機密書類の保管・廃棄方法を担当者と確認します。禁止と定めているのに例外利用がある場合は、例外の扱いも確かめます。許可制を一律禁止と答えるなど、実態と違う説明をしないことが大切です。
教育・災害対応：計画と実績を分けて答える
教育計画があることと、対象者が受講したことは異なります。災害時の事業継続についても、計画の策定、訓練、訓練結果の見直しのどれを聞かれているかを読み分け、実施記録や確認結果に基づいて答えます。
3. 未対応・一部対応・対象外は、理由と現状を添えて説明する
実施していない項目を、評価が気になるからと「はい」にすると、後から裏付けを示せません。質問票で指定された選択肢に従い、一部対応や未対応の範囲を補足します。分からない状態は、確認先と回答予定を管理し、確認済みの回答と分けておきましょう。
以下は書き方を考えるための説明用の例です。実際のお客様の回答文ではありません。また、この記載なら取引先の基準を満たすと保証するものでもありません。取引先が求める条件と自社の実態に合わせて調整します。
一部だけ実施している場合
「対象サービスの管理者アカウントは確認済みです。一般利用者の権限は確認を進めています」のように、確認済みの範囲と残る範囲を区別します。
これから対応する場合
現在は未実施であることを明記し、社内で決めた対応内容と実行可能な予定を添えます。まだ承認されていない対策や日程を、決定事項として回答しないようにします。
自社の対象業務に該当しない場合
例えば紙の原本の保管について、今回の受託業務では紙を受け取らないなら、その業務範囲と理由を説明します。対象外にできるか判断が難しいときは、依頼元に確認します。
4. ISOトラストの支援経験：IT企業の社内ルールと記録を整える
ISOトラストでは、IT・システム開発のお客様から、取引先のセキュリティチェックシートへの対応を相談されることがあります。項目が多く、初めての担当者には質問の意味や着手すべきことが分かりにくい、という困り事がありました。
支援した経験では、ISMSの要求と関連する設問が多く、ISMSの整備と併せてチェックシートへの対応を進めました。アクセス権の設定やアクセス制御の方針、USBの持出しルール、機密書類の管理、災害時の事業継続など、幅広い社内ルールの整備と記録作成を、ISOトラストが中心となって支援しています。
提出後については、お客様から、チェックシートも問題なく受け入れられたと伺った例があります。これは実際に支援したお客様から確認した結果です。認証を持っているだけで、どの取引先の質問票も自動的に通るという意味ではありません。
ISMSは、組織が情報セキュリティのリスクを管理し、継続的に改善するための仕組みです。認証の確認で省略できる項目があるかどうかは取引先に確認し、個別に回答が必要な設問は、その時点の実態と記録を確かめて進めます。
5. 提出資料の範囲を確認し、回答と根拠を一緒に保存する
提出前に、回答の抜け、説明と選択肢の食い違い、添付資料の版や日付を確認します。回答の対象範囲が変わっていないか、未確認の内容を対応済みにしていないかも、取りまとめ役と確認者で見直しましょう。
根拠資料は、相手が必要としている範囲を確認して提出します。設定画面に他の顧客名や個人情報、秘密情報が含まれる場合は、そのまま添付せず、社内の承認や開示方法を検討します。規程全文を渡す必要があるか、該当箇所の抜粋などで足りるかも相談できます。
提出した版、提出日、提出先、社内で確認した人、参照資料の場所を残します。対応予定を回答した項目は、担当者と期限を管理し、実施後の記録へつなげます。後日同じ質問が来たときも、前回何を伝えたかを確認できる状態にしておきましょう。
6. 次回に使う回答集は、変更を確認してから利用する
よく聞かれる内容は、回答文、根拠資料、確認担当者、最終確認日をまとめておくと、次回の調査を減らせます。ただし、過去の回答をそのまま転記する前に、設問の対象と要求、システムや運用の変更を確認します。年次の見直しだけでなく、委託先やサービス、規程が変わったときにも更新が必要です。
社内ルール自体が不足している場合は、質問票を埋める作業と、実際の対策を整える作業を併せて進めます。IPAの中小企業向けガイドラインにも、基本方針や関連規程などのサンプルが用意されています。自社の業務と実施できる内容を確認しながら活用しましょう。
ISOトラストでは、チェックシートで求められた内容を整理し、ISMSの社内ルールや記録の整備を支援しています。項目が多くて担当者だけでは進めにくい、実施状況と書類をどう結び付けるか分からない場合は、対象業務と回答期限をお伝えのうえ、ご相談ください。
ISMSが未取得でも回答できますか？
認証の有無は正確に回答し、各設問には実施している対策と根拠を示します。認証が取引の必須条件かどうかは依頼元に確認してください。認証以外の対策説明で足りるかも、取引先の判断によります。
期限までに確認が終わらない場合は？
期限前に依頼元へ相談し、確認済みの範囲、確認待ちの項目、回答できる見込みを伝えます。確認待ちの内容を推測で埋めず、提出方法や日程を調整しましょう。
著者情報
金光壮太 (ISOコンサルタント)
大手商社にて営業を経験した後、ISOコンサルティングに従事。ISO9001、14001、27001を中心に、各業界の課題や特性に応じたシステム構築や運用支援を行い、企業の業務効率化や信頼性向上に貢献。製造業や建設業など、多岐にわたる業界での豊富な経験を活かし、お客様のニーズに応じた柔軟なソリューションの提案を得意としている。
コメント