サービス
サービスを探す
プロ人材を探す
仕事を探す
ブログを探す
取引先へのセキュリティ確認票、その「はい」は何を根拠に答えていますか？｜総務・経理が確認したい5つのこと
記事IT・テクノロジー
取引先から届いた情報セキュリティ確認票。
「バックアップを実施していますか？」
「退職者のアカウントを削除していますか？」
「情報セキュリティ教育を実施していますか？」
質問を読んで、
「たぶん、やっているから『はい』でいいだろう」
と思うことがあります。
でも、少し気になるのが、
「それを何で確認しましたか？」
と聞かれたときです。
担当者から聞いた。
昔からそうしているはず。
外部業者に任せている。
おそらく設定されている。
これだけでは、会社として説明するときに困ることがあります。
前回の記事では、
取引先から情報セキュリティ対策を聞かれたとき、まず何を確認するか
を整理しました。
今回はその次の段階として、
「その回答の根拠を確認できる状態になっていますか？」
という視点から、総務・経理でも確認しやすい5つのポイントを整理します。
1．「ルールがある」と「実際にやっている」を分ける
まず確認したいのは、
社内ルールと実際の運用が同じか
です。
たとえば社内規程には、
「退職者のアカウントは速やかに削除する」
と書いてある。
でも実際に確認すると、
退職した人のクラウドアカウントが残っている。
ということも考えられます。
逆に、
規程には書かれていないけれど、
担当者が毎回きちんと削除している。
というケースもあります。
どちらも、
ルールと実際の運用が一致していない状態
です。
取引先へ説明するときは、
「規程に書いてあります」
だけではなく、
実際にその通り運用できているか
も確認したいところです。
2．「設定」を確認できるか
次に確認したいのが、
実際の設定や状態です。
たとえば、
「アクセス制限をしています」
と回答する場合。
具体的には、
・誰がアクセスできるのか
・退職者が残っていないか
・管理者は誰なのか
・外部共有はどうなっているか
などを確認します。
バックアップなら、
「バックアップ機能が有効になっている」
だけではなく、
・何が対象か
・どのくらいの頻度か
・どこに保存されるか
まで確認します。
つまり、
「やっていると思う」から、「現在の状態を確認した」へ変える
ということです。
ただし、確認票への回答のためだからといって、
パスワード。
秘密鍵。
認証コード。
個人情報。
機密情報。
などを不用意にコピーしたり共有したりする必要はありません。
必要なのは、
機密情報そのものではなく、「どこを確認して判断したか」が分かる状態
です。
3．「実施した記録」が残っているか
設定だけでは確認しにくい対策もあります。
たとえば、
情報セキュリティ教育を実施していますか？
という質問です。
「毎年説明しています」
だけでは、後から、
いつ。
誰に。
何を。
実施したのか分からなくなることがあります。
そこで、
・実施日
・対象者
・実施内容
・確認担当者
などを簡単に残しておきます。
退職者対応でも、
・退職日
・停止したアカウント
・確認した担当者
・実施日
が残っていれば、
後から確認しやすくなります。
完璧な証跡管理を作る必要はありません。
まずは、
「いつ・誰が・何を確認したか」
が分かる程度でも十分です。
4．「誰に確認したか」が分かるようにする
確認票を回答していると、
自分では分からない質問が必ず出てきます。
たとえば、
「サーバーのバックアップ方式は？」
「クラウドサービスの認証方式は？」
「外部からのアクセス制御は？」
こうした内容を、
総務や経理だけで判断する必要はありません。
大切なのは、
誰に確認すれば分かるのか
を整理しておくことです。
たとえば、
| 内容 | 確認先 |
|---|---|
| 退職・異動 | 総務・人事 |
| 契約・支払い | 経理 |
| クラウド管理 | サービス管理者 |
| システム設定 | IT担当・外部業者 |
| 社内ルール | 管理者・経営層 |
という形です。
これだけでも、
次に同じ質問票が届いたとき、
「誰に聞けばいい？」から調べ直す時間
を減らせます。
5．その根拠は「今も有効」か確認する
意外と見落としやすいのが、
情報の古さ
です。
たとえば、
3年前に作った情報セキュリティ台帳。
前任者が作成したアカウント一覧。
昔のバックアップ設定画面。
退職した担当者が管理者になっているクラウド一覧。
資料は存在しています。
でも、
現在の状態を表しているとは限りません。
そこで、
「根拠があるか」だけではなく、
「いつ確認したものか」
も見るようにします。
たとえば、
確認日：2026年9月10日
確認者：総務○○
確認方法：管理画面で確認
という簡単な情報を残すだけでも、
「いつの状態か」が分かりやすくなります。
「はい」の根拠は、大きく3つに分けて考える
難しく考える必要はありません。
取引先へ回答するときの根拠は、まず次の3つで考えると整理しやすくなります。
| 根拠 | 例 |
|---|---|
| ルール | 規程・手順書・社内ルール |
| 実際の状態 | システム設定・アカウント一覧・管理画面 |
| 実施記録 | 点検記録・教育記録・退職処理記録 |
たとえば、
「退職者アカウントを適切に管理していますか？」
なら、
ルール
→ 退職時のアカウント停止手順
実際の状態
→ 現在のアカウント一覧
実施記録
→ 退職者の停止確認記録
という形です。
すべてを完璧に揃える必要はありません。
まず、
自社には何があり、何がないのか
を確認するところから始めます。
「資料を作ること」が目的にならないようにする
ここで注意したいのが、
取引先へ説明するために、
書類だけを増やしてしまうこと
です。
立派な規程を作った。
チェックリストも作った。
管理表も作った。
でも、
実際の運用が変わっていない。
これでは意味がありません。
必要なのは、
資料を作ることではなく、実際の状態を資料で確認できること
です。
たとえば、
「退職者アカウントを削除する」
と書くなら、
実際に削除されているか確認する。
「バックアップする」
と書くなら、
実際にバックアップされ、必要なときに戻せるか確認する。
この、
ルール → 実施 → 確認
をつなげることが大切です。
取引先から聞かれる前に「根拠の場所」を決めておく
確認票が届くたびに、
メールを探す。
担当者に聞く。
古いExcelを開く。
外部業者へ問い合わせる。
となると大変です。
そこで、
「回答内容そのもの」だけではなく、
その根拠がどこにあるか
を一覧にしておく方法があります。
たとえば、
| 質問 | 回答 | 根拠 | 確認先 | 最終確認 |
|---|---|---|---|---|
| 退職者ID管理 | はい | 退職時チェック表 | 総務 | 9/10 |
| バックアップ | はい | 設定・復元確認 | IT担当 | 9/5 |
| クラウド管理 | 一部 | サービス一覧 | 総務・経理 | 9/8 |
| 教育 | はい | 研修記録 | 総務 | 8/1 |
これだけでも、
次回の回答がかなり楽になります。
IPAの調査でも「組織としての対策」はまだ課題
IPAが全国4,191社の中小企業を対象に実施した調査では、
OSやウイルス対策ソフトの更新など、基本的な技術対策を実施している企業は比較的多い一方、
情報セキュリティ対策をルール化し、従業員へ明示している企業は39.2％、事故時の体制・対応手順を整備している企業は39.8％
でした。
また、取引先から情報セキュリティ対策の要請を受けた経験がある企業も1割強あります。
つまり、
「対策している」だけでなく、「会社として整理し、説明できる状態にする」
ことは、今後さらに重要になっていくと考えられます。
SCS評価制度でも「自己評価」が重要になる
現在、IPAでは、
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）
の準備が進められています。
★3では、要求事項・評価基準に基づいて組織自身が自己評価を行い、セキュリティ専門家による確認を受ける仕組みが予定されています。
このブログや当ラボの商品が、
SCS評価取得を保証したり、評価対応を代行するものではありません。
ただ、
自社の状態を確認し、何を根拠にそう判断したか整理する
という考え方は、取引先へ情報セキュリティ対策を説明するときにも役立ちます。
情報管理全体を整理したい方へ
取引先への回答を考えていると、
「退職者アカウントも確認した方がいい」
「クラウドサービスの管理者が分からない」
「バックアップ方法も整理できていない」
など、
別の課題が見えてくることがあります。
そこで、
情報管理セルフチェック30｜自動採点Excel＋改善計画＋管理台帳
を用意しています。
アカウント。
共有パスワード。
バックアップ。
クラウドサービス。
外部委託先。
情報事故への備え。
などを30項目で確認し、
現在の状態
→ 未対応項目
→ 優先改善候補
→ 30日改善計画
まで整理できます。
取引先への回答を代行する商品ではありません。
回答する前に、自社の情報管理で「何が分かっていて、何が分かっていないか」を整理するためのExcel教材です。
▼ 情報管理全体を確認したい方はこちら
前回の記事
取引先から「情報セキュリティ対策を教えてください」と言われたら？｜総務・経理が確認したい5つのこと
では、
まず社内のどこを確認すればよいかを整理しています。
今回の記事とあわせて読むと、
何を確認するか
→ 何を根拠に回答するか
という順番で整理できます。
関連記事
退職者アカウントを確認したい方
共有フォルダを確認したい方
バックアップを確認したい方
最後に
取引先から、
「情報セキュリティ対策をしていますか？」
と聞かれたとき。
大切なのは、
きれいな「はい」を並べることではありません。
「なぜ、はいと言えるのか」
を自社で確認できることです。
ルールがある。
実際に運用している。
記録が残っている。
担当者が分かる。
そして、その情報が今も正しい。
まずは確認票の中から、
「はい」と回答した項目を1つだけ
選んでみてください。
そして、
「これは何を確認して『はい』と判断した？」
と考えてみる。
すぐ答えられなければ、
そこが次に整理する場所です。
回答を作る前に、根拠を確認する。
それだけでも、
取引先へ説明できる情報管理に一歩近づきます。
参考資料
・IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」
・IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
・IPA「★3・★4 要求事項・評価基準」
このブログを見た人にオススメ
