セキュリティチェックシートのテンプレートは？委託先に送る側の作り方

委託先に送るセキュリティチェックシートは、IPAが公開している確認リストをひな形に、渡す情報の重さで項目を絞って作ります。ひな形は、中小企業の情報セキュリティ対策ガイドライン第4.0⁠版⁠の付録5にある「委託先情報セキュリティ対策状況確認リスト」で、全26項目です。

今日やることは、委託先の一覧に「渡している情報」⁠と「社内へつながる接続の有無」⁠の2列⁠を足すことです。これがないまま質問を作ると、全社に同じ紙を送るだけで終わります。

この記事は、取引先の調査票に答える側ではなく、送る側の作り方です。委託元の責任については、IPAのガイドライン本編が、委託先の不備で情報が漏れても、委託元として管理責任を問われると書いています。

IPAのテンプレートには何が入っている？

付録5のサンプル（Word）⁠は⁠、確認項目を○か×で答える形です。「必要な項目を加筆修正して」使うものと注記があります。区分と項目数は次のとおりです。

同じ付録には、委託管理の規程のサンプルもあります。評価の基準、契約書に書く事項、再委託の扱い、年1回以上⁠の評価が並んでいるので、シートと一緒に読みます。

項目はどう選べばいい？

全社に同じ量を送らず、委託先を重さで分けます。IPAのプラクティスでも、送る部署と答える委託先の負荷を考えて、主要な点を抜き出して作る例が紹介されています。

分け方に決まりはありません。次は私たちが考える区分の例です。

製造業なら、たとえば金型の図面を外注の加工会社へ送っている場合は「重い」⁠に入ります。設備の保守業者が工場へリモート接続している場合も同じです。社内の情報をほとんど受け取らない運送の委託先なら、「軽い」⁠で足りる場合があります。

既に認証を持つ委託先には、質問を減らせます。IPAの規程サンプルは、評価の基準にISMS、Pマーク、SECURITY ACTION、SCS評価制度の★3・★4、定期的な監査、方針の公開を例示しています。ただし、認証の範囲が自社の委託業務を含むかは別に確かめます。

委託先に送るシートの見本は？

中くらいの委託先に送る見本です。IPAの確認リストから選び、再委託と事故の連絡について私たちが言葉を足しました。回答欄は「はい／いいえ／該当なし」⁠に自由記入を添えます。

「重い」委託先には、社内への接続の経路、接続する人の限定、ネットワークの分離、通信の監視を足します。IPAのプラクティスにあるアンケートの例にも、通信経路の限定や不正な通信の監視の質問があります。

添え状には、目的、回答の期限、回答の使い道、誰が読むのかを書きます。回答を他の目的に使わないと書くと、相手も答えやすくなります。守秘義務の範囲は既存の契約で確かめます。

回答はどう読めばいい？

○の数を点数にするだけでは、判断を誤ります。読む順番を決めておきます。

まず×の場所を見ます。自社が渡している情報に直結する×は重く、関係の薄い×は後回しにできます。図面を預けているのに保管場所が決まっていないなら、ほかの項目が全部○でも先に話します。

次に「定めています」⁠の意味を確かめます。多くの質問は手続きがあるかを聞いているだけで、実施の確認にはなりません。重い委託先には、IPAの事例のように、追加の質問や裏づけの証跡を頼みます。

全部○で自由記入が空欄の回答も、一度聞き直します。社名だけ書き換えた回答かどうかは、「直近の更新はいつですか」のような具体的な質問で分かります。

最後に、結果を次の3つ⁠に分けて記録します。

• 問題なし：次回の確認日だけ決める
• 改善を依頼：項目、期限、誰が確かめるかを書面で合意する
• 経営判断：渡す情報を減らす、委託の仕方を変える、委託先を変える

IPAの事例でも、懸念のある委託先は現場の判断だけでは変えられないとして、経営者へ報告し方針を検討しています。確認は年1回以上⁠を目安にします。付録5のサンプル⁠の規程も同じ頻度です。

回収の手間が重くなってきたら、委託先管理ツールの比較⁠で配布と回収の仕組みを確かめます。回答だけでは分からない外からの見え方は、セキュリティ評価サービスの比較⁠で補えます。IPAの解説書も、委託先の状況を把握する方法の一つとして評価サービスに触れています。

契約で押さえることは？

シートだけでは、対策を求める根拠になりません。IPAの解説書は、委託先の対策状況を定期的に確認できる契約にすることを挙げています。

付録5の規程サンプルが契約書に書く事項として挙げているものから、シートと対応させたい点を抜き出します。

• 秘密情報の定義と守秘義務
• 再委託についての事項（サンプルの規程は事前の書面報告を求める）
• 事故時の責任分担、通知の義務と連絡先
• 委託終了時の返却、廃棄、消去
• 対策の実施状況の監査の方法と権限

送るときに気をつけることは？

発注側の立場が強いほど、頼み方に注意します。公正取引委員会などの資料は、対策を求めること自体が直ちに問題になるわけではないとしたうえで、問題となるおそれがある例を挙げています。

• 認証の取得などを求めながら、コスト上昇分の反映を明示的に協議せず価格を据え置く
• 価格の引上げを求められたのに、応じない理由を書面などで回答しない
• 合理的な必要性がないのに、特定のサービスの購入や利用を強制する

シートの回答をもとに改善を頼むなら、同等以上の対策を認める書き方にし、費用の話を受ける窓口を添えます。2025年12月には、経済産業省と公正取引委員会⁠が独占禁止法や取適法との関係を整理した想定事例を公表しました。その概要は、説明会の開催や、費用負担の考え方の周知、交渉結果の書面での保存まで示しています。

SCS評価制度が始まると、聞き方も変わる可能性があります。IPAのFAQ⁠によると、★3・★4の登録申請は2027年3月⁠の受付開始予定です。登録済みの委託先には★の確認で済ませる項目を作れるよう、シートは毎年見直せる形にしておきます。自社の認証にかかる費用が気になる場合は、ISMSの取得費用の計算を、運用の見直しはISMSを形だけにしない方法⁠を見てください。取引先対応の全体はサプライチェーンと認証の記事一覧⁠にまとめています。