取引先から届いたセキュリティチェックシートの答え方｜項目別の解説と準備
「取引先から、セキュリティに関する数十問のチェックシートが届いた」「専門用語が多く、何と答えればよいか分からない」。大手企業との取引や、委託を受ける仕事では、セキュリティチェックシートへの回答を求められることが増えています。2026年度末ごろには、経済産業省のSCS評価制度も始まる予定です。
この記事では、チェックシートによく出る項目ごとに、何を聞かれているか、どう答えればよいかを解説します。
この記事の結論
- チェックシートは正直に答えるのが大原則。できていないことを「はい」と答えるのが最も危ない
- 「いいえ」の項目には、代わりの対策と、いつまでに対応するかを書き添える
- よく聞かれるのは資産管理・アカウント・更新・バックアップ・規程・委託先・事故対応の7分野
- 回答を機に、「いいえ」の項目から対策の計画を立てると、次回の回答が楽になる
セキュリティチェックシートとは
セキュリティチェックシートとは、取引先や委託元が、相手の会社のセキュリティ対策の状況を確認するために送る質問票のことです。数十〜数百の質問に「はい・いいえ」や記述で答える形式が一般的です。業界団体やIPAのガイドラインを参考に作られていることが多く、聞かれる内容はおおむね共通しています。
回答の大原則
- 正直に答える：実際にはできていないことを「はい」と答えると、事故が起きたときに契約上の責任を問われることがある
- 「部分的に」を使い分ける：一部の部署や機器だけでできている場合は、その範囲を書く
- 代わりの対策を書く：「いいえ」の場合も、代わりに行っていることがあれば書く
- 対応の予定を書く：「◯年◯月までに対応予定」と書けば、前向きに評価されることが多い
- 根拠を残す：「はい」と答えた項目は、台帳・規程・設定画面など、示せる資料を用意しておく
よく出る項目と答え方
| 分野 | よくある質問 | 答えるために必要なもの |
|---|---|---|
| 資産管理 | PC・サーバー・ソフトウェアを台帳で管理していますか | IT資産台帳（利用者・OS・保証期限） |
| アカウント管理 | 退職者のアカウントを速やかに削除していますか。多要素認証を使っていますか | 入退社の手順書、多要素認証の設定状況 |
| 更新・脆弱性対策 | OSやソフトの更新を適用していますか。サポートの切れた製品を使っていませんか | 更新の運用ルール、サポート期限の一覧 |
| マルウェア対策 | ウイルス対策ソフトを導入し、定義ファイルを更新していますか | 導入状況の一覧 |
| バックアップ | 重要なデータのバックアップを取り、復元を確認していますか | バックアップの対象・頻度・保存先、復元テストの記録 |
| 規程・教育 | 情報セキュリティの方針・規程がありますか。社員に教育していますか | セキュリティポリシー、教育の実施記録 |
| 委託先管理 | 再委託先のセキュリティを確認していますか | 委託先の一覧、契約書の秘密保持条項 |
| 事故対応 | 事故が起きたときの連絡体制がありますか | 連絡先の一覧、対応の手順 |
| 物理・持ち出し | PCの持ち出しや、USBメモリの使用を管理していますか | 持ち出しのルール、ディスクの暗号化の状況 |
関連記事IT資産台帳の作り方｜項目一覧とExcelの無料テンプレート
関連記事多要素認証を会社全体に導入する手順｜Microsoft 365・Google Workspaceの設定と社員への展開
「いいえ」と答えるときの書き方の例
避けたい書き方
- いいえ
- 検討中
- （空欄のまま提出）
望ましい書き方
- いいえ。現在は管理者のみ多要素認証を設定済み。全社員への展開を2027年3月までに完了予定
- 部分的に対応。サーバーのバックアップは毎日取得。PCのデータはクラウドストレージに保存する運用に移行中
回答のあとにやること
- 「いいえ」の項目を一覧にする回答した内容をそのまま、対策のリストとして使う
- 優先順位をつけるアカウント・更新・バックアップなど、被害に直結するものから
- 期限と担当を決める回答に書いた「対応予定」の期限を守れるように計画する
- 根拠資料を整える次回の回答や、SCS評価制度の準備に使える資料を作る
複数の取引先から届く場合取引先ごとに質問の形式は違いますが、聞かれる内容の多くは共通しています。一度、自社の回答集（よく聞かれる質問と回答・根拠資料の一覧）を作っておくと、次からの回答が大幅に楽になります。
関連記事SCS評価制度とは？取引先から★3・★4を求められたら中小企業がやること【2026年版】
チェックシートの回答を支援しますオーバーエックスのセキュリティチェックシート回答の支援（1回10万円〜・税別）では、届いたチェックシートを一緒に確認し、今の状態の聞き取り、回答案の作成、「いいえ」の項目の対策の優先順位づけを行います。今後も使える自社の回答集もお渡しします。対策の実施は情シス代行、Webサイトやシステムの診断はセキュリティ診断でもお受けしています。
よくある質問
- 「いいえ」が多いと、取引を断られますか？
- 取引先の方針によりますが、正直に答え、対応の予定を示せば、すぐに取引が止まることは多くありません。できていないことを「はい」と答えるほうが、後から問題になります。
- 専門用語の意味が分からない質問はどうすればよいですか？
- 取引先の担当者に質問の意図を確認してよいでしょう。外部の専門家に一緒に見てもらうと、短い時間で正確に回答できます。
- 回答にはどのくらいの時間がかかりますか？
- 質問の数と、社内の資料の整い具合によります。資料がない状態から始めると、数日〜数週間かかることもあります。資産台帳や規程を整えておくと、次回から短くなります。
まとめ
セキュリティチェックシートは、正直に答えることが大原則です。「いいえ」の項目には代わりの対策と対応の予定を書き添え、回答を機に対策の計画を立てましょう。回答集と根拠資料を一度作っておけば、複数の取引先からの質問や、SCS評価制度の準備にもそのまま使えます。
この記事に関連するサービス
システム保守・運用
業務システムやWebシステムの監視、障害対応、セキュリティ更新、小さな修正を月額の定額制で行います。他社が開発したシステムも、引き継ぎ調査から対応します。 サービスの詳細を見る
