取引先から届くセキュリティチェックシートに正しく向き合う方法

近年は、取引先からセキュリティチェックシートへの回答が求められることが増えているかと思います。ただ、そのチェックシートの設問数を見ただけで気が重くなり、答えられる範囲だけ書いて、あとは空欄か「未実施」でとりあえず出しておいた、という経験をお持ちの方は少なくないかもしれません。

しかし、そのチェックシートは提出すれば終わる話ではありません。委託元がなぜチェックシートを送るのかという理由を知ると、「とりあえず出す」という対応が何を引き起こしかねないかが見えてくると思います。

中小企業は、顧客情報・契約データ・取引先の業務情報といった情報を日常的に扱いながら、セキュリティ体制の整備が追いついていないケースが少なくありません。大企業や官公庁を直接攻撃するより、その取引先を経由して侵入するほうが攻撃者にとっては効率が良いケースがありますので、委託元のチェックシートは、そのリスクを取引先ごとに可視化・管理するための手段として送られています。

この記事では、チェックシートが届く背景と設問カテゴリごとの委託元の意図、回答内容が取引契約に与える法的な影響、そして答えられない状態から抜け出すための具体的な手順を整理してみます。

セキュリティチェックシートが増えている背景

サプライチェーン攻撃という手口の実態

一般的に、大企業・官公庁を直接攻撃するより、その取引先・委託先から侵入するほうが攻撃者にとって容易です。これは「サプライチェーン攻撃」と呼ばれ、業種を問わずその被害が広がっています。

この傾向が生まれる背景には、扱う情報の性質があります。顧客情報・契約書・見積データ・業務システムへのアクセス権限などは機密性が高く、流出した場合の被害は情報漏えいだけでなく取引先への連鎖的な損害まで及ぶおそれがあります。一方で、日々の業務が優先され、セキュリティ対策の整備は後回しになりがちな中小企業は少なくありません。

独立行政法人 情報処理推進機構（IPA）の「情報セキュリティ10大脅威」でも、サプライチェーンを狙った攻撃は上位の常連項目となっています。

また、この攻撃で怖いのが、攻撃を受けた側が被害に気づかないまま踏み台にされる点にあります。自社のシステムに侵入されたことを認識しないまま、委託元の情報が流出するという事案は、業種を問わず中小企業にとって現実的なリスクです。サプライチェーン攻撃が中小企業に向かってしまう構造についてはこちらの記事もご参照ください。

委託元がシートを送る本当の理由

委託元は自社のセキュリティ対策を強化しても、取引先を経由して情報が流出すれば、顧客や市場への対外的な責任を問われますし、たとえばシステムへのログイン情報が攻撃者の手に渡れば、正規の方法で攻撃者がシステムにログインすることが可能になってしまいます。チェックシートは、そのリスクを取引先ごとに可視化・管理するための仕組みとして機能しており、義務的に毎年送付している企業も少なくありません。

重要なのは、シートへの回答内容が取引継続の判断材料になるという点です。単に回答して返送すればよいという認識は、委託元の意図と大きくずれています。回答の内容が薄ければ、次の取引条件の見直しや、新規案件のリストから外れることにつながるケースもあります。

チェックシートの設問が実際に確認していること

主な設問カテゴリと、それぞれで委託元が把握しようとしていることを整理します。セキュリティチェックシートの全体的な設問構成について知りたい場合は、こちらの記事に概要をまとめています。

アクセス管理の設問では、顧客情報・契約書・見積データといったファイルに、誰がどの権限でアクセスできるかが制御されているかを確認しています。退職者や異動者のアカウントが残ったままになっていないかも、この設問の中で問われます。

外注先・委託先の管理については、業務の一部を他社に委託している場合、その先のセキュリティ状況を把握しているかどうかが問われます。外部の業者やフリーランスが社内ネットワークやクラウドサービスに接続する際の管理手順が定まっているかも確認対象になります。業種によっては、店舗端末やIoT機器を含む場合、さらに詳細な管理状況を求められることがあります。

インシデント対応体制については、問題が発生したとき、誰がどう動くかが決まっているかが確認されます。委託元への連絡先と手順が文書化されているかどうかも含まれます。

社内教育の実施状況については、従業員がフィッシングメールや不審な操作に気づける状態にあるかが問われます。日常業務でメール操作やITツールに不慣れな従業員がいる企業ほど、この設問への回答が空欄になりやすい傾向があります。

多くの中小企業では、こうした管理が個人の判断や口頭のルールとして運用されており、文書として存在しないことが多いようです。これこそが、チェックシートで規程の有無・担当者の有無を問われたときに答えられない根本的な原因だといえます。未整備だから正直に書けないという状況は珍しくありませんが、そこで選択を誤ると取引関係に影響が出ることがあります。

取引契約上の申告として機能する場合も

チェックシートへの回答が、業務委託契約上の申告行為として機能する場合があります。委託元との契約書に、受託者は情報セキュリティ対策を適切に講じること、定期的に実施状況を報告することといった条項が含まれているケースでは、チェックシートへの回答がその条項における報告書類として位置づけられることがあります。

このとき問題になるのが、記載内容と実態の乖離です。
「情報セキュリティ基本方針が存在する」と記載したにもかかわらず、実際には何も文書化されていない状況が後に発覚した場合、委託元との間で契約上のトラブルの根拠になりうるおそれがあります。損害賠償請求が必ず発生するとまでは言えませんが、取引停止・損害回復の交渉で虚偽の申告があったという事実が相手方に有利な材料として使われるリスクは生じます。

ただ、だからといってチェックシートへの回答を過度に怖れる必要はありません。現状を正直に書き、足りないところは改善の意思を示すことが大切です。

日々の業務に対応しながらチェックシートへの回答を作成するというのは、確かに手間のかかる作業ですので、たとえば「未整備」とだけ記載しておきたいという考えは理解できます。しかし、委託元の立場から見ると、たとえば「現在整備を進めており○月を目途に完了予定です」という回答は、単に未実施と回答するより情報量が多く、取引継続の判断材料になることもあります。対応の意思と具体性が伝わる回答は、実態以上の評価を求める作り話より、長期的な信頼関係の構築に寄与するのではないでしょうか。

また、チェックシートへの回答を単なる書類作業として処理することには相応のリスクが伴うと考えられます。取引関係における申告書類として受け取ることが、委託元の意図にも、自社の利益にも沿っています。

まずは基本方針文書から

基本方針の書き方と書くべき内容

ゼロから始める場合の最初の一歩は、A4用紙1〜2枚程度の情報セキュリティ基本方針の作成です。この方針文書があるだけで、チェックシートの複数の設問に「整備済み」と記載できるようになります。

書くべき内容に特段高いハードルはありません。
この会社はセキュリティを経営課題として認識している、情報の取り扱いについて一定のルールを定めている、という事実を文書化することが目的であり、完璧な規程集を最初から作る必要はありません。最低限含めるべき項目は、情報セキュリティの目的・方針の基本的な方向性・責任者の明示・見直しの予定の4点で、それだけで一定の形になります。

この文書は社内向けに限らず、自社のウェブサイトや取引先への資料として公開することもできます。公開することでセキュリティ方針が存在する企業として可視化され、新規取引先との交渉でも活用できる材料になり得ます。方針文書の具体的な作成手順については、こちらの記事を参考にしてください。

SECURITY ACTIONを証明として活用する

IPAの「SECURITY ACTION」は、審査なしで宣言できる中小企業向けの取り組み制度です。一つ星は情報セキュリティ6か条への取り組み宣言、二つ星は情報セキュリティ基本方針の策定・公開が要件となります。

セキュリティ面においては、ISMSやプライバシーマークを取得することは非常に有益ですが、一方ですべての企業にとって必須だともいえません。これらの認証取得が現実的でない段階でも、SECURITY ACTIONはチェックシートの認証・取り組み欄に記載できる選択肢として活用できます。
これは、チェックシートでは認証取得の有無だけでなく取り組みの状況を問う設問が設けられているケースも多く、SECURITY ACTIONの宣言はその回答材料になるためです。一つ星と二つ星の違いや申請方法の詳細については、こちらの記事をご参照ください。

自社の状況を確認する5項目

以下の項目を確認することで、チェックシートの基本的な設問の大半に対応できる状態に近いかどうかを把握できます。

1. 情報セキュリティ基本方針が文書として存在するか
2. 顧客情報・契約データへのアクセス権限の棚卸しを直近1年以内に実施したか
3. 外部の業者や委託先が社内ネットワーク・システムに接続する際の手順・管理ルールが決まっているか
4. 退職者・異動者のアカウント削除・権限変更の手順が定まっているか
5. インシデント発生時の委託元への連絡と対応手順が書面で存在するか

業種を問わず特に注意が必要なのは、2番目と3番目の項目です。重要データへのアクセス管理と、外部業者の接続管理は、委託元のチェックシートで頻出する設問項目でありながら、現場での口頭運用が残りやすい領域でもあります。

チェックシートへの実際の回答の書き方

設問カテゴリ別・記載のポイント

空欄・未実施のみ・対応中、の3つでは、委託元の受け取り方が異なります。空欄は確認する意思がないと受け取られるおそれがあり、評価として最も低くなります。
未実施のみでは改善の意思が伝わりませんので、現状を正直に示しながら、いつまでに何を整備するのかという対応意思を添えることが、評価される回答の最低限の形だといえます。

設問カテゴリによって書き方の勘所は変わりますが、共通するのは実態を誠実に伝えることと、次の動きを示すことの組み合わせです。
委託元は、完璧な状態であることを知りたいわけではなく、この会社は自社のセキュリティ状況を把握しており、適切に運用し、改善に取り組む意思があるという点だということも少なくありません。
自社の設問にどう答えるべきか迷う場合は、個別にご相談いただければ一緒に文面を整えられます。

提出後に追加質問が来た場合の対処

チェックシートを提出して終わりにならないケースもあります。たとえば、回答内容について委託元から確認の連絡が来ることは、初回提出では珍しくありません。

追加質問が届いた場合も、焦らずに丁寧に返答できれば十分であり、すべてを即答できない場合は○日以内に確認の上ご連絡します、と期限を明示することで対応意思が伝わります。チェックシートの提出はやり取りの起点であり、そのつもりで構えておくことが重要です。

また、業種によっては、外部委託先の管理状況や重要データの取り扱いに関する追加確認が来るケースがあります。社内の実態を把握していれば、その場で回答を組み立てることは難しくありません。

チェックシートへの対応を機に整備した基本方針・アクセス管理ルール・外注先との契約条項は、翌年以降の対応が大幅に簡略化できる場合もあります。同時に、新規取引先との初期交渉段階における自社セキュリティ体制を示せる資料にもなります。
一度整えた文書は使い回せる資産ですので、単なる書類仕事として処理するか、自社のセキュリティ体制を可視化する機会として捉えるかで、その後の取引環境に差が出てきます。
※もちろん、文書は作ったら終わりではなく、自社の変化に応じて適切に改訂することも必要です。

どこから手をつければいいかわからないまま止まっているなら、まず現在の体制を整理するところから一緒に確認できます。チェックシートの設問を見ながら、自社に何が足りないかを把握するだけでも、次の一歩が見えてきます。

セキュリティ体制の整備や、チェックシートへの回答についてのご相談は、こちらのフォームからお気軽にお寄せください。