セキュリティチェックシートに社内で答えられる人がいない｜10月の取引更新までに文書化するアクセス権限・バックアップ・委託先管理の範囲【Q&A】

取引先の購買部門や情報システム部門から、「情報セキュリティチェックシート」というExcelが届くことがあります。設問が数十問並び、それぞれ実施状況を選び、根拠となる規程名を書く欄が付いています。社内を見回しても答えられる人が見つからず、10月の取引基本契約の更新では提出が条件になっています。実際にいただく質問を、出てくる順に並べて答えます。

取引先はなぜ、こんなシートを送ってくるのですか

送る側にも事情があります。個人情報の取扱いを外部に任せている会社は、個人情報保護法で委託先を監督する義務を負います。個人情報保護委員会のガイドライン（通則編）では、その中身として「適切な委託先の選定」「委託契約の締結」「委託先における取扱状況の把握」の3つが示されています。チェックシートは、3つ目を書面で残すための道具です。

点数を競う試験ではありません。実態を正確に伝え、相手が自社の監査で説明できる材料を渡す書類だと考えると、次の質問の答えも決まります。

「実施していない」と書いたら、取引を切られませんか

取引に響きやすいのは未実施そのものではなく、空欄と、実態と違う「実施している」の2つです。空欄は「答えられない会社」と読まれ、相手はリスクの大きさを測れません。実態と違う回答はもっと重く、事故が起きたときに契約上の説明が食い違う原因になります。

未実施は、「現状は未実施」「12月末までに整備予定」「担当は総務課長」の3点セットで書けば、改善計画として受け取られます。期限と担当者が入っているかどうかで読まれ方が変わります。

アクセス権限の欄には、何を書けば答えたことになりますか

聞かれているのは、誰が何を見られるかの一覧ではありません。権限の付与と削除が決まった手順で行われ、その記録が残っているかどうかです。

用意するのは、誰の承認でIDを発行しているか、システムごとに今誰が使っているか、退職と異動のときにいつ止めているか、の3点です。3つ目は削除した日付が残っていないと答えようがありません。退職者のアカウントが消えないまま残っている状態は、設問がまっすぐ突いてくる場所です。部門で共有しているIDも隠さずに書き、個別IDへ分ける時期を添えるほうが安全です。

# アカウント台帳の列（Excel1枚で足ります）
利用者ID / 氏名 / 所属 / システム名 / 権限区分 /
付与日 / 付与を承認した人 / 削除日 / 削除を確認した人

あわせて読みたい退職者のアカウントが消えないまま残っている｜中小企業でID棚卸しが後回しになる理由と要件整理

アクセス権限の棚卸しは、生成AIを使い始めた会社ほど後回しにできません。CopilotやChatGPTの社内検索は、その人が開ける場所を横断して答えを組み立てるため、共有フォルダの権限がゆるいままだと、これまで誰も開かなかっただけのファイルが回答として出てきます。実際に起きた例はCopilotに聞いたら他部署の給与表が出てきましたに書いています。

バックアップは「毎日取っています」では足りないのですか

足りません。この欄は4つを分けて聞いてきます。何を取っているか、どの頻度で何世代残すか、どこに置いているか、最後に戻せることを確かめたのはいつか、です。

止まるのは後半の2つです。同じサーバーの別フォルダへの複製は、保管場所を分けたことになりません。復元テストの実施日も空欄になりがちですが、年に1回ファイル1つを戻して日付を控えるだけで、書ける欄が1つ増えます。バックアップはあるのに業務が戻らないという話と、問われていることは同じです。最近はここに、ネットワークから切り離した保管の有無を問う設問も加わっています。

あわせて読みたい台風で停電した翌日、バックアップはあるのに業務が戻らない｜社内サーバーを残すか外へ逃がすかの判断基準

委託していないつもりでも、委託先管理の欄を埋める必要がありますか

必要です。「委託先はいない」と答える会社ほど、実際には多くの相手にデータを渡しています。給与計算を頼む社労士、決算を見てもらう会計事務所、クラウドの会計・勤怠・名刺管理、業務システムの保守業者、レンタルサーバー、書類の溶解処理業者などが挙がります。社外にデータが出ている先は、すべてこの欄の対象です。

契約中のサービスを把握できていないなら、使っていないアカウントや重複機能の棚卸しと同じ作業から始まります。一覧ができたら、契約書に秘密保持と再委託の扱いがあるかを見ます。なければ覚書を1枚交わせば足りることがほとんどです。

# 委託先一覧の列
委託先名 / 委託している業務 / 渡しているデータの種類 /
個人情報の有無 / 秘密保持条項の有無 / 再委託の可否 / 最終確認日

あわせて読みたい9月末で切れるライセンスを自動更新のまま延ばしていないか｜使わないアカウント・重複機能・解約予告期限の棚卸し

10月の更新まで1か月半しかありません。どこから手を付けますか

規程を一式そろえようとすると間に合いません。先に設問を、今すぐ答えられるもの、調べれば答えられるもの、今はできていないものの3つに仕分け、3つ目にだけ期限と担当者を付けます。そのうえで、文書は次の4つに絞って先に作ります。

領域	更新までに用意する文書	文書がないと空欄になる設問
アクセス権限	システムごとの利用者・権限の一覧表	退職者のIDをいつ削除したかを問う設問
バックアップ	対象・頻度・保管場所を書いた手順書	復元できることを最後に確認した日を問う設問
委託先管理	渡しているデータを書いた委託先一覧表	再委託を認めているかを問う設問
全体の方針	経営者名で出す情報セキュリティ基本方針書	方針の策定と社内周知を問う設問

基本方針は、IPAのSECURITY ACTIONが土台になります。中小企業が自らセキュリティ対策に取り組むことを宣言する制度で、二つ星では基本方針を定めて外部に公開します。申込みに費用はかからず、宣言した事実をシートの根拠欄に書けます。

えらびの道では、業務システムをオーダーメイドで開発しています。卸売の受発注・請求、出張販売の管理、介護のシフト管理、ECサイトなどを手がけてきました。今回のような場面では、権限の付与と削除の履歴がシステム側に自動で残る作り方や、利用者一覧をそのまま提出できる形で書き出す機能を、既存の仕組みに後から足すことができます。データの可視化や集計の自動化も含めて、小さく作って動かしながら育てる進め方をとっています。

セキュリティチェックシートへの回答づくりから、えらびの道でお手伝いできること

合同会社えらびの道は、中小企業向けのシステム受託開発と、データ活用・DX支援を行っています。卸売の受発注・請求、介護のシフト管理、出張販売の管理、EC・決済、業務データの収集と予測基盤といった案件で、実際に動くシステムを作り、運用まで見てきました。チェックシートに出てくる項目は、そうした開発と運用の中で自分たちも問われてきたものです。

この記事で触れたアカウント台帳は、御社で使っているシステムの実態に合わせて作り直せます。誰の承認でIDを発行し、退職と異動のときにどこを止めるのか、その記録がどこに残るのかを、既存の業務の流れに沿って整理します。バックアップについても、何を、どの頻度で、どこに置いているのかを一度書き出し、復元テストの手順と記録の残し方まで含めて形にできます。委託先の棚卸しも、契約書とクラウドサービスの利用状況を突き合わせるところからご一緒します。

進め方としては、全部を一度に整えることはしません。10月の更新に必要な欄から先に埋め、残りは「整備予定」として期限と担当を書き添える形で進めます。文書だけが立派になっても、運用が続かなければ次の更新でまた同じことになるためです。

えらびの道では、打ち合わせから開発まで同じ人間が担当します。オンラインで30分、費用はかかりませんので、届いたシートを画面で見せていただきながら、どこから手を付けるかをご一緒に整理できればと思います。

よくある質問

セキュリティチェックシートの回答期限に間に合わないときはどうすればよいですか？

提出先の担当者に、いつまでに出せるかを先に伝えます。全問を埋めてから出すより、未回答の項目と回答予定日を添えて期限内に一度出すほうが受け取られやすいです。相手も自社の監査日程で動いているため、連絡が早いほど調整の余地があります。

情報セキュリティの規程は、ひな形をそのまま使ってもよいですか？

ひな形を土台にすること自体は問題ありません。ただし自社にない体制や設備を残したままにすると、実態と違う回答の根拠になってしまいます。担当者名や対象システム名を自社のものへ置き換え、できていない条文は削るか、実施予定として書き分けてください。

専任の情報システム担当がいない会社でも回答できますか？

回答できます。シートが確かめているのは専任者の有無ではなく、誰が決めて誰が実行するかが定まっているかどうかです。総務や経理の兼任でも、承認する人と作業する人を書き、記録の残し方を示せば回答として成立します。