サービス
サービスを探す
プロ人材を探す
仕事を探す
ブログを探す
取引先から「情報セキュリティ対策を教えてください」と言われたら？｜総務・経理が確認したい5つのこと
記事IT・テクノロジー
ある日、取引先から、
「御社の情報セキュリティ対策について教えてください」
という確認票やチェックシートが届く。
そんなことがあります。
質問を見ると、
・アカウントは適切に管理していますか？
・バックアップを実施していますか？
・クラウドサービスを管理していますか？
・情報事故が起きたときの連絡体制はありますか？
・従業員への教育をしていますか？
など、さまざまな項目が並んでいます。
そこで困るのが、
「たぶんやっていると思うけれど、本当に『はい』と答えていいのだろうか？」
ということです。
情報セキュリティの確認票は、専門用語そのものより、
社内の実際の運用が分からない
ことで回答が止まることがあります。
今回は、専任IT担当者がいない職場でも確認しやすいように、
取引先へ回答する前に、総務・経理がまず確認したい5つのこと
を整理します。
1．誰が回答を取りまとめるのか
最初に決めたいのは、
「誰が回答するか」
です。
情報セキュリティに関する質問には、
総務だけでは分からないこと。
経理だけでは分からないこと。
IT担当者でなければ分からないこと。
経営者の判断が必要なこと。
が混ざっています。
そのため、
一人ですべて答えようとするより、
回答を取りまとめる人を1人決める
方が整理しやすくなります。
たとえば、
・退職・異動 → 総務、人事
・契約・料金 → 経理
・クラウドサービス → 利用部署、管理者
・システム設定 → IT担当者、外部業者
・最終承認 → 管理者、経営者
というように確認先を分けます。
ポイントは、
「誰かが分かるだろう」で終わらせないこと
です。
2．アカウントやアクセス権は本当に管理できているか
取引先からよく確認されるのが、
アカウント管理やアクセス制御
です。
ここで、
「退職者アカウントは削除しています」
と回答したくなるかもしれません。
でも実際には、
・会社メール
・クラウドサービス
・共有フォルダ
・管理者ID
・外部業者ID
・共有アカウント
など、複数の確認が必要になることがあります。
まずは、
退職・異動した人が、現在も会社の情報へアクセスできる状態になっていないか
を確認してみます。
さらに、
「誰が管理者なのか分からないサービス」
がないかも確認します。
大切なのは、
「ルールではこうなっている」だけでなく、「実際にそう運用されているか」
です。
3．バックアップは「取っている」だけで終わっていないか
「バックアップを実施していますか？」
と聞かれたら、
自動バックアップを設定している会社では、
「はい」
と答えたくなるかもしれません。
でも確認しておきたいのは、
・何をバックアップしているか
・どのくらいの頻度か
・どこに保存しているか
・本当に復元できるか
・誰が管理しているか
です。
バックアップが存在していても、
必要なデータが入っていない。
復元方法が分からない。
担当者が退職している。
という状態では、実際に事故が起きたときに困ります。
そのため、
「バックアップしています」から一歩進んで、「必要なときに戻せる状態ですか？」
まで確認しておきたいところです。
4．クラウドサービスや外部業者を把握できているか
最近は、
・オンラインストレージ
・Web会議
・電子契約
・会計サービス
・勤怠管理
・生成AI
・外部のシステム業者
など、自社だけで完結しないサービスが増えています。
取引先から、
「外部サービスを利用していますか？」
「委託先の管理をしていますか？」
と聞かれることもあります。
ここで確認したいのは、
・何のサービスを使っているか
・誰が契約したか
・誰が管理しているか
・どんな情報を預けているか
・外部の人がアクセスできるか
です。
たとえば、
会社で料金を払っているクラウドサービスなのに、
契約者が退職者。
管理者が不明。
何のデータが入っているか分からない。
という状態では、
「適切に管理しています」
と自信を持って答えるのは難しくなります。
まずは、
会社で利用しているサービスを見えるようにすること
が大切です。
5．情報事故が起きたとき、誰へ連絡するか決まっているか
最後に確認したいのが、
事故が起きたときの連絡体制
です。
たとえば、
・メールを誤送信した
・USBメモリを紛失した
・不審なメールを開いた
・クラウドサービスへ誤って情報を公開した
・パソコンがランサムウェアに感染した可能性がある
というとき、
職員は、
最初に誰へ連絡すればよいでしょうか。
「情報事故が起きたら管理者へ報告する」
というルールがあっても、
管理者が誰か分からない。
休日の連絡先が分からない。
外部業者への連絡方法が分からない。
では対応が遅れる可能性があります。
最低限、
最初の連絡先
だけでも社内で共有しておきたいところです。
分からない項目を、無理に「はい」にしない
取引先から確認票が届くと、
全部埋めて早く返したくなります。
でも、
確認できていないものを推測で「はい」にすることは避けたいところです。
たとえば、
「バックアップしていますか？」
に対して、
担当者からそう聞いたことがある。
だから「はい」。
ではなく、
誰が、何を、どのように実施しているのか
まで確認します。
分からなければ、
「確認中」
「一部対応」
「現在の運用を確認する必要あり」
など、
事実に合った整理をします。
重要なのは、
見栄えの良い回答を作ることではなく、実際の管理状況と回答を一致させること
です。
確認票が届いてから初めて探すと大変
質問票が届いてから、
退職者アカウントを確認する。
バックアップを確認する。
クラウドサービスを調べる。
事故時の連絡先を確認する。
となると、回答までに時間がかかります。
だからこそ、
普段から、
「自社の情報管理は今どうなっているか」
を少しずつ整理しておくことに意味があります。
完璧なセキュリティ体制を作る必要はありません。
まず、
分かっていること
と
分かっていないこと
を見えるようにします。
まずは5項目だけ確認する
取引先から確認依頼が来たら、まず次の5つを確認します。
| 確認項目 | まず見ること |
| -------- | ------------- |
| 回答担当 | 誰が取りまとめるか |
| アカウント | 退職者・管理者・アクセス権 |
| バックアップ | 対象・保存先・復元 |
| クラウド・委託先 | 契約者・管理者・保存情報 |
| 事故対応 | 最初の連絡先 |
これだけでも、
「どこへ確認すればよいか分からない」
状態から、
「この3項目は総務、この1項目は外部業者、この項目は経営者確認」
という形へ進めます。
取引先から聞かれること自体が、管理を見直すきっかけになる
情報セキュリティ確認票が届くと、
「また面倒な書類が来た」
と思うかもしれません。
でも見方を変えると、
自社の情報管理で分からない部分を見つける機会
にもなります。
たとえば、
「バックアップ方法を答えられない」
のであれば、
それが現在の確認ポイント。
「クラウドサービスの管理者が分からない」
のであれば、
そこが改善ポイントです。
回答できないこと自体より、
回答できない理由を放置すること
の方が問題です。
取引先から求められる情報管理は、今後さらに重要になる可能性がある
現在、IPAでは、
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）
の準備が進められています。
この制度では、取引関係の中で、
委託元が委託先に必要なセキュリティ対策水準を示し、
その実施状況を確認することが想定されています。
2026年には要求事項・評価基準が公開され、制度運用に必要な基本規程なども整備が進んでいます。
ただし、
今回の記事や当ラボの商品が、
SCS評価取得を保証したり、SCS対応を代行するものではありません。
大切なのは制度名ではなく、
取引先から説明を求められたとき、自社の状態を説明できるようにしておくこと
です。
情報管理全体をまとめて確認したい方へ
取引先から質問されてから、
一つずつ社内を探すのは大変です。
そこで、
「まず自社の情報管理で、何ができていて何ができていないか確認したい」
という方向けに、
情報管理セルフチェック30｜自動採点Excel＋改善計画＋管理台帳
を用意しています。
アカウント。
退職者ID。
共有パスワード。
バックアップ。
クラウドサービス。
外部委託先。
情報事故への備え。
などを30項目で確認できます。
さらに、
現在の状態
→ 未対応項目
→ 優先改善候補
→ 30日改善計画
まで整理できます。
これは、
取引先への回答を代行する商品ではありません。
回答する前に、自社の情報管理状況を整理するためのセルフチェック教材
です。
▼ 情報管理全体を確認したい方はこちら
関連記事
クラウドサービスの管理を確認したい方
クラウドサービス、誰が契約したか分かりますか？｜総務・経理が確認したい5つのこと
退職者アカウントを確認したい方
退職した人のアカウント、そのままになっていませんか？｜総務・経理が確認したい5つのこと
共有フォルダを確認したい方
共有フォルダ、誰でも見られる状態になっていませんか？｜総務・経理が確認したい5つのこと
バックアップを確認したい方
バックアップ、取っているだけで安心していませんか？｜総務・経理が確認したい5つのこと
最後に
取引先から情報セキュリティについて聞かれたとき、
最初からすべて答えられる必要はありません。
まず、
誰に聞けば分かるか。
どこまで確認できているか。
何がまだ分からないか。
を整理する。
そして、
分からなかった項目を、
一つずつ会社の管理項目に変えていく。
それが、
取引先へ説明できる情報管理につながっていきます。
まずは、
「退職者アカウント」「バックアップ」「クラウドサービス」「事故時の連絡先」
の4つだけでも、
今、自社で答えられるか確認してみてください。
「分からない」が見つかったら、
そこが改善のスタート地点です。
参考
独立行政法人情報処理推進機構（IPA）
「中小企業の情報セキュリティ対策ガイドライン 第4.0版」
独立行政法人情報処理推進機構（IPA）
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
このブログを見た人にオススメ
