取引先のセキュリティチェックシートは、できている項目だけを「実施」とし、未対応の項目は「未実施」と書いたうえで、代わりの対策と完了予定を添えて答えます。
今日やることは2つです。1つ目は、届いた調査票の回答期限と提出先を確かめ、「対象は全社か、この取引に関わる部門だけか」を担当者にメールで聞くことです。2つ目は、全項目を読み、答えられない項目に印を付けて、情シス・工場・人事の誰に聞くかを横に書くことです。この2つで、回答に何日かかるかの見当が付きます。
調査票が届く背景には、委託先を経由した被害への警戒があります。IPAの情報セキュリティ10大脅威2026でも、組織向けの2位は「サプライチェーンや委託先を狙った攻撃」です。一方で、IPAのSCS評価制度の概要資料は、委託元ごとに書式がばらばらで、数十から数百の項目に個別対応する負担を、特に中小企業の課題に挙げています。負担に感じているのは自社だけではありません。サプライチェーンのセキュリティ全体の中では、調査票は取引先との会話の入り口にあたります。
回答を書き始める前に、何を確かめる？
記入を始める前に、次の5点を確かめます。後から書き直す手間が減ります。
| 確かめること |
聞き方の例 |
| 対象の範囲 |
全社と、貴社の業務に関わる部門のどちらで答えますか |
| 期限 |
工場や委託先への確認が要るため、◯日まで延ばせますか |
| 使い道 |
回答は取引の判定に使いますか、現状の把握ですか |
| 情報の扱い |
回答は秘密保持の対象になりますか、閲覧者は誰ですか |
| 根拠資料 |
規程や画面の写しの提出は必要ですか |
いちばん効くのは対象の範囲です。工場の制御機器まで含むのか、事務所のパソコンだけなのかで、答えが変わる項目が多くあります。範囲の指定がなければ、自社で決めて回答の冒頭に書きます。「本回答は、本社事務部門と、貴社図面を扱う設計部門のIT環境を対象とします」のように一文あれば、後で食い違いません。
区分ごとに、どう書く？
選択肢は調査票によって違いますが、書く内容は次の4つに整理できます。
| 区分 |
使う場面 |
添えること |
| 実施 |
全対象で、ルールどおり行っている |
規程名、ツール名、頻度 |
| 一部実施 |
対象や頻度が足りない |
できている範囲と、足りない範囲 |
| 未実施 |
行っていない |
代わりの対策、予定、完了時期 |
| 該当なし |
その業務や機器がない |
該当しない理由 |
「実施」と書く基準は、聞かれたときに根拠を示せるかどうかです。口頭で注意しているだけの項目を「実施」にすると、規程の提出を求められた時点で説明が付かなくなります。
「該当なし」も理由を添えます。クラウドの設問に「該当なし」とだけ書くと、使っていないのか、把握していないのかが相手に伝わりません。
未対応の項目は、どう書く？
未対応の項目は、次の3点で書きます。
- 現状：何ができていないか
- 代わりの対策：いま何で補っているか
- 予定：いつまでに、何をするか
例を3つ示します。項目名と対策は説明のためのもので、自社の実態に置き換えてください。
- 多要素認証が未導入の場合：「未実施。メールとファイル共有は長いパスワードを必須とし、管理者アカウントを2名に限定しています。来年3月末までにメールから多要素認証を導入する予定です」
- 手順書がない場合：「一部実施。事故時の連絡先は全社に周知済みですが、対応手順は文書化していません。今年度中に作成します」
- 予定が決まっていない場合：「未実施。来期の予算で検討中で、完了時期は未定です。決まり次第ご連絡します」
完了時期を書くのは、社長や責任者の了承を取ってからです。担当者の希望の日付を書くと、守れなかったときに信用を落とします。決まっていなければ、3つ目の例のように未定と書きます。
埋めるために「実施」と書かない
調査票の回答は、後日の確認や監査の出発点になることがあります。事故が起きたときに、回答と実態の違いが問題になるおそれもあります。全部「はい」の回答より、不足と予定が書かれた回答のほうが、相手は対策を一緒に考えられます。
製造業では、どんな調査票が届く？
業界の共通書式で届くことがあります。たとえば、自動車部品のサプライチェーンにいる会社の場合、自工会・部工会のサイバーセキュリティガイドラインのチェックシートで自己評価を求められることがあります。2026年度の提出手順はV2.3のシートを使い、評価結果を共有したい先のメールアドレスを入力して提出する流れです。
このガイドラインの相談会の資料（2023年度）は、書き方の参考になります。自己評価は監査や第三者認証を目的としたものではなく、点数を上げることが目的でもないと説明しています。根拠の欄は、規則やシステムの導入の有無と今後の予定を簡潔に書けばよいとしています。
別の書式でも、同じ考え方が使えます。項目の意味が分からないときは、目的に立ち戻ります。「何のための対策か」「対象はどこまでか」「頻度はどれだけか」の3つを満たしているかで判断します。他社の例の一部をまねただけで完了にしない、という同資料の注意も、そのまま当てはまります。
認証の取得や製品の導入を求められたら？
要請が調査票の回答にとどまらず、認証の取得や有償サービスの利用に及ぶ場合は、費用の話を避けないでください。
経済産業省と公正取引委員会の整理では、対策の実施を要請すること自体は直ちに独占禁止法上の問題にはなりません。ただし、取引上の地位が優越する事業者については、次のような行為が問題となるおそれがあるとしています。
- 認証の取得や有償サービスの利用を求めながら、コスト上昇分を協議せず、取引価格を据え置く
- セキュリティ対策費などの名目で、根拠をはっきりさせないまま金銭の負担を求める
- 合理的な必要性がないのに、指定の商品やサービスの購入を強制する
2025年12月26日公表の想定事例と解説の概要は、対策費用を価格交渉の対象にし、結果を双方が書面で残す進め方を示しています。相談先として、取引かけこみ寺や公正取引委員会の窓口も紹介しています。
伝えるときは、争う形にしなくて構いません。「ご要請の対策に年◯円かかります。製品価格への反映についてご相談させてください」と金額を示して切り出します。金額の見積もりを取っておくと、話が具体的になります。
認証を求められた場合は、指定の名前を確かめます。個人情報の管理を見たいのか、情報全般の管理を見たいのかで答えが変わります。違いはPマークとISMSの違いに、クラウド事業者が求められる認証はISO27017が自社に要るかの判断にまとめました。
次の調査票を楽にするには？
回答した内容は、1社分で終わらせずに台帳にします。列は「質問の要旨」「回答」「根拠の資料」「確認した日」「担当者」の5つで足ります。次の調査票が来たら、台帳から写して、変わった所だけを直します。根拠の日付が古い項目は確認し直します。
台帳の土台には、公的な項目が使えます。
調査票の「宣言や認証はありますか」という設問に答える材料がないなら、SECURITY ACTIONの宣言手順が最初の一歩になります。ただし自己宣言であり、IPAの認定ではないので、回答にも「宣言」と書きます。
届く数が年に数件なら、表計算の台帳で足ります。何社からも届いて回答が滞るなら、チェックシート回答・委託先管理ツールの比較で手間を減らせるか確かめます。認証の取得まで視野に入れるならISMS・Pマーク取得支援ツールの比較、自社が委託先を調べる立場でもあるならセキュリティレーティングの比較も見ておくと、判断の材料が増えます。
回答を送る前に、最後に2つ見直します。責任者が内容を読んだか。「実施」と書いた項目の根拠を、すぐに出せるか。この2つが通れば、未対応の項目が残っていても説明のできる回答になります。
