取引先のセキュリティチェックシートは、サイトに1ページ作ると半分が終わる

チェックシートが取引先ごとに違うのは、基準が無かったから

同じことを聞いているのに、様式も表現も設問数も違う。読者がいま困っているのは、この一点です。

理由は単純で、共通の基準が無かったからです。 各社が自社の基準で作ってきたので、揃いようがありませんでした。

2026年度下期から、段階で示す制度が始まる

この状況を変えるために、国の制度ができました。サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）です。運営はIPA（情報処理推進機構）。

仕組みは、取引の中で委託元が委託先に「★いくつの対策をしてください」と段階で示す形です。IPAは制度の狙いとして、これまで取引先ごとに異なる要求事項に対応する必要があったところを、一律の要求事項・評価基準に沿った対策で済むようにすることを挙げています。

段階は次のように分かれています。

• ★3 ── セキュリティ専門家の確認を経たうえでの自己評価
• ★4 ── 評価機関による第三者評価と技術検証
• ★5 ── 国際規格に基づくリスクマネジメント体制

運用開始は令和8年度（2026年度）の下期以降が想定されていて、★5の開始時期は今後の検討とされています。

それでも、当面はいまの様式が来続ける

制度ができたからといって、来月から各社のシートが止まるわけではありません。取引先が制度に乗り換えるまで、いまの様式は来ます。

ですから、やることは変わりません。聞かれる中身は制度でも各社シートでも重なっているので、いま整えたものは無駄になりません。

自社サイトに1ページ作ると、次から使い回せる

ここからが本題です。

チェックシートの設問は、大きく2種類に分かれます。技術的な設定を聞くもの（ウイルス対策ソフトの有無、パスワードの運用、バックアップの頻度）と、会社としての体制を聞くもの（責任者は誰か、規程はあるか、事故が起きたときの連絡手順はあるか）です。

後者は、相手が違っても答えが変わりません。変わらないものを、毎回手で書かない。

情報セキュリティ基本方針に書く5項目

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版に、情報セキュリティ基本方針のサンプルが付録2としてWord形式で入っています。項目は5つです。

1. 経営者の責任
2. 社内体制の整備
3. 従業員の取り組み
4. 法令及び契約上の要求事項の遵守
5. 違反及び事故への対応

この5つを自社名と自社の実態に合わせて埋めるだけです。 文章を一から考える作業はありません。

埋めるときに迷うのは2番と5番です。2番は「誰が責任者か」を書く欄なので、役職名ではなく実在する役職を書いてください。 「情報セキュリティ管理責任者」という役職を作っただけで、誰も任命していない会社があります。5番は事故が起きたときの報告先で、ここは取引先が実際に確認します。

SECURITY ACTION 二つ星は、この公開が条件になっている

基本方針を作ったら、サイトに載せてください。載せること自体に、別の意味があります。

IPAのSECURITY ACTIONは、中小企業がセキュリティ対策に取り組むことを自己宣言する制度です。二つ星の要件は2つで、「5分でできる！情報セキュリティ自社診断」（25項目）を実施することと、情報セキュリティ基本方針を策定して外部に公開することです。

申込のときに公開方法を選ぶ欄があり、自社ウェブサイトへの掲載、会社案内やパンフレットへの掲載、その他から選べます。つまり、サイトに1ページ置けば要件を満たせます。

審査ではなく自己宣言なので、申込をして受理されればロゴマークが使えます。チェックシートに「SECURITY ACTION 二つ星宣言済み」と書ける状態になります。

宣言しただけで取引が決まる、という話ではありません。 ただ、設問を1つ埋める材料にはなります。

このページに書いてはいけないもの

ここで逆のことが起きます。丁寧に書きすぎる失敗です。

当社が見た例では、基本方針のページに使っているソフトの名前とバージョン、サーバーの構成まで書かれていました。取引先に安心してもらおうとして書いたものです。

相手に親切な情報は、攻撃する側にも親切です。 バージョンが分かれば、そのバージョンの既知の弱点が分かります。

書かないものを並べます。

• 使用している製品名とバージョン
• サーバーやネットワークの構成、IPアドレス、ホスト名
• 担当者の個人名と直通の連絡先（役職名で書く）
• 導入していない対策を名指しで列挙すること

もう一つ、古くなった方針ページは逆効果です。 10年前に作ったページが残っていて、代表者名が前の代表のままだった会社がありました。日付と代表者名だけは毎年確認してください。サイトの基本情報が古いまま残る話は自社サイトを直しても、ネットに残った古い電話番号は消えないに書きました。

設問に答える前に、誰が答えるかを決める

総務が1人で全部埋めるのが、一番危ない進め方です。

技術的な設問には、現物を見ないと答えられないものが混ざっています。「バックアップは何世代保持しているか」「廃棄した端末のデータは消去しているか」。これを推測で埋めると、後で監査が入ったときに食い違います。

分け方は3つで済みます。

• 体制・規程の設問 ── 総務。基本方針のページを指す
• 端末とネットワークの設問 ── 保守を頼んでいる会社に転送する
• 取引で預かっている情報の設問 ── 営業と現場。どの図面や名簿を誰が持っているか

3番目を飛ばす会社が多いのですが、ここが相手の本題です。取引先から預かった情報の扱いは取引先から預かった情報をAIに入れる前に、契約書のどこを見るかにまとめました。

答えが分からない欄は、空欄のまま回して構いません。 社内で1周させてから埋める方が、書き直しより早く終わります。

「できていません」と書いていい欄がある

全部の欄に丸を付けたくなります。付けないと取引を切られそうに見えるからです。

付けないでください。 理由は2つあります。

1つは、後で確認されるからです。チェックシートの回答は、現地監査や事故が起きたときに持ち出されます。できていないことを「できている」と書いた記録が残るのは、できていないこと自体より重い。

もう1つは、できていない欄がある会社の方が普通だからです。 従業員30人の会社に、専任の情報システム担当はいません。相手もそれを知っています。

書き方は「未実施」で止めず、1行足してください。

> 未実施。2026年度内に対応予定（担当：総務課長）

これだけで、管理できていない会社と、把握したうえで順番を付けている会社の区別がつきます。与信でも同じ読まれ方をします。この話は新規取引の審査で最初に見られるのは、会社概要のページに書きました。

このページを作っても解決しないこと

チェックシートに通るかどうかは、相手が決めます。 基本方針を公開してSECURITY ACTIONを宣言しても、それで合格する保証はありません。当社も保証できません。

そして、ページを作ることと、対策をすることは別です。 方針に「バックアップを取得する」と書いて取っていなければ、書いた分だけ悪くなります。実態が先で、ページは後です。

★4以上を求められた場合も、この記事の範囲を超えます。第三者評価と技術検証が必要なので、評価機関と保守会社を巻き込む話になります。その段階まで来たら、サイトの話ではありません。

まとめ

今日やることは1つです。IPAの「中小企業の情報セキュリティ対策ガイドライン」から基本方針のサンプルをダウンロードして、自社名で5項目を埋めてください。 Word形式なので上書きできます。

埋め終わったら、サイトに1ページとして置きます。当社の5ページ再生に追加する場合は、追加ページとして初期30,000円からです。

相談のときは、会社名、サイトのURL、届いているチェックシートの様式を教えてください。