情報セキュリティ確認票で止まる前に、最初に分ける3つのこと

取引先から情報セキュリティ確認票が届くと、質問に答えられないというより、「どこまでが自社の事実で、どこからが確認待ちなのか」が混ざって止まりがちです。

最初に、質問を次の3つに分けると整理しやすくなります。

1. 回答できる

現在の運用や設定で事実を確認できるもの。回答には、根拠となる規程・画面・運用記録の所在も添えます。

2. 要確認

担当者、委託先、システム管理者などに確認すれば回答できそうなもの。確認先と期限を先に決めます。

3. 現時点では回答できない

仕組みが存在しない、資料がない、質問の意味が確定できないなど、今の情報だけでは断定できないもの。「対応済み」と推測で埋めず、未確認の理由と次の確認事項を残します。

表にするなら、質問項目／現在の回答／根拠／確認先／期限／回答案、の6列だけでも十分です。回答を急ぐほど、推測で埋めた箇所が後から手戻りになります。

なお、確認票を整理するときも、パスワード・秘密鍵・個人番号・顧客名簿・未公開の機密資料は共有しない方が安全です。必要な事実だけを伏せ字や要約で扱い、最終的な提出内容は自社で確認してください。

確認票は「全部埋める」ことより、「確定した事実と未確認事項を混ぜない」ことが最初の一歩です。