取引先からセキュリティチェックシートが来た！質問の型、できていない項目の書き方、用意する資料と誰が答えるか

01この記事でわかること（3行まとめ）

• 最初に、目的・期限・対象範囲を聞きます。どの会社のどの業務について答えるのかで、答えは変わります。
• できていない項目は、隠さず「今の状態・代わりの手当て・予定日」で書きます。IPAは、要求事項を満たさないことを理由に直ちに取引停止を求める制度ではないとしています。
• 費用がかかる要請は、価格の交渉の対象です。要請そのものは直ちに問題になりませんが、進め方によっては独占禁止法や取適法の問題になり得ます。

02届いたら最初に確認する5つのこと

1. 何のためのシートか。新規取引の審査か、毎年の点検か、事故を受けた臨時の調査かを聞きます。
2. どの範囲で答えるのか。全社か、その取引に関わる部署や拠点だけか。工場の設備や納品する製品も含むのかを聞きます。
3. 期限と、延ばせるか。調べるのに時間がかかる項目は、先に「◯日までに回答します」と伝えます。
4. 「未実施」と書いた場合にどうなるのか。取引の条件なのか、状況を知るためなのかで、優先順位が変わります。
5. 証拠の提出が要るのか。回答だけでよいのか、規程や画面の写しまで求められるのかを聞きます。

この5つは、メールで聞いて文面を残します。担当者が口頭で答えた内容は、あとで食い違うことがあるからです。返信の宛先が普段の担当者か、ファイルの依頼が本当にその会社からかも見てください。取引先を名乗るメールの手口はビジネスメール詐欺の記事にまとめています。

03チェックシートは何を聞いているのか：よくある質問の型

IPAの概要説明資料は、委託元ごとに要求が違い、様式もばらばらで、数十から数百の項目に対応する負担が生じていると説明しています。ただ、言い回しは違っても、聞かれることの中身はかなり似ています。IPAが公開しているSCS評価制度の★3の要求事項（26件）を物差しにすると、次の型に分けられます。

業界によっては共通の様式があります。たとえば自動車業界では、日本自動車工業会と日本自動車部品工業会が「自工会/部工会・サイバーセキュリティガイドライン」を公開し、業界共通の自己評価基準を示しています（公開ページの最新版はV2.3）。まず、取引先の業界に公開の基準がないか調べると、質問の意図を読み取りやすくなります。

知らない言葉は多要素認証やUTM、EDRのように用語のページで調べられます。IPAのよくある質問によると、SCS評価制度はEDRや資産管理システムなど特定の製品の導入を求めるものではありません。製品名で聞かれても、同じ目的を別の方法で満たしているなら、その方法を書いて構いません。ただし、取引先のシート自体の評価は相手が決めます。

04つまずきやすい言葉の読み方

シートの言葉は、会社によって意味の幅があります。次の表は図鑑の読み方の目安です。どこまで求めているか分からなければ、質問して構いません。「この項目は、◯◯という理解で回答してよいですか」と聞くのが、いちばん早く確実です。

聞かれた内容と自社のやり方が少し違うときは、無理に当てはめず、自由記述の欄か備考に一言添えます。「該当する仕組みはないが、同じ目的で◯◯をしている」と書けば、相手も判断できます。備考欄がなければ、別紙を付けてよいか聞きましょう。

05答えの選び方：4つの段階で考える

シートの選択肢は「はい・いいえ」だけのこともあります。迷ったら、IPAの「5分でできる！情報セキュリティ自社診断」が使う「実施している・一部実施している・実施していない・わからない」に沿って考えると、判断がそろいます。「わからない」のまま出さず、調べてから答えるのが基本です。

「全員にパスワードのルールを口で伝えている」は、文書のルールを求める質問には「実施」と言い切れません。「一部実施」として実情を書くほうが、後で説明しやすくなります。同じ会社に別のシートで違う答えを出さないよう、答えた内容は控えておきます。

虚偽の回答はしないでください。SCS評価制度でも、虚偽報告や情報隠蔽などの不正が確認された場合、★を取り消すことがあるとされています。取引先のシートでも、事故のあとに食い違いが見つかれば、信用を大きく損ないます。これは図鑑の考えですが、正直な「未実施」のほうが、話し合いの出発点になります。

06できていない項目の書き方：例文

ポイントは「今の状態」「代わりの手当て」「いつまでに」の3つです。できない予定日を書くと次の負担になるので、確実な日を書きます。決まっていなければ「費用を含めて検討中。◯月に回答します」で構いません。

担当者の判断で予定日を書かず、費用がかかる予定は経営者の了解を取ってから書きます。書いた予定は取引先との約束に近いものになるからです。社内には「回答した予定の一覧」を残し、期日の前に見直します。

07用意しておく資料：シートが来る前に揃えるもの

毎回ゼロから調べると時間がかかります。次の資料を1つのフォルダにまとめておくと、次のシートはずっと早く答えられます。IPAの資料は無料で公開されています。

IPAによると、ガイドライン付録5は第4.0版で★3・★4の要求事項に対応する形に見直されました。これからルールを作るなら、このサンプルから始めると、のちの評価制度にもつなげやすくなります。

一方で、ネットワークの図や脆弱性の情報は、外に出すと攻撃の手がかりにもなります。秘密保持契約があるか、どこまで出す必要があるかを先に聞きましょう。★3の要求事項にも、自社の機密情報の取扱い方法を共有先との間で明確にすることが入っています。社内の基本は中小企業のセキュリティ対策の最低限にまとめました。

08誰が答えるか：4つの役割に分ける

専任者がいなくても回せます。大事なのは、1人に全部を任せないことです。IPAのガイドラインも、対策は経営者が主導するものとしています。

社長の承認を形だけにしないでください。シートに書くのは会社としての約束です。解説資料でも、公正取引委員会と経済産業省は、セキュリティ対策は経営者が責務として行うものと説明しています。営業の担当者が取引を急いで、確かめずに全部「はい」と答えるのは避けましょう。

社内で答えられないときは、外の専門家に頼れます。IPAの「中小企業向けサイバーセキュリティ対策支援者リスト」は、中小企業の支援ができる情報処理安全確保支援士を載せた一覧です。図鑑のコンサル・体制づくりや取引先から対策を求められたからも探せます。

09保守会社やクラウド事業者に聞くこと

自社で分からない項目の多くは、業者が知っています。次の内容を文書でもらえば、シートの多くが埋まります。

• パソコンとネットワーク機器の一覧、OSの版、保守の期限
• ウイルス対策の状況、更新の方法
• ルーターやUTM、VPN機器の設定と、更新の担当
• バックアップの方法、保存先、復元の試験の有無
• クラウドの管理者、多要素認証の設定状況
• 事故のときの連絡先と、対応の範囲（契約に入っているか）

クラウドサービスの運用そのものは事業者の担当でも、設定やアカウントの管理は自社の担当です。「クラウドだから全部大丈夫」と書かず、事業者の公開資料を添え、自社の設定は自社の状態で答えます。さらに別の会社へ再委託している業務があれば、その会社の扱いも聞かれることがあります。SCS評価制度の考え方でも、再委託先は直接の委託先を通じて必要に応じて管理することが想定されています。

保守会社がない会社は、パソコンの販売店やルーターの契約先、クラウドの管理画面から順に調べます。それでも分からない項目は「不明」のまま出さず、「◯月までに調査します」と書いて、外部の専門家への相談も考えましょう。業者への質問と回答は、次のシートのためにフォルダへ残しておきます。

10提出までの流れ：1週間の目安

1. 1日目：依頼内容を聞き、窓口と決裁者を決める。
2. 2日目：シートを型ごとに分け、社内、保守会社、現場に振り分ける。
3. 3〜4日目：設定画面と資料を見て答えを埋める。保守会社に質問を送る。
4. 5日目：「一部実施」「未実施」の項目に、手当てと予定を書く。
5. 6日目：費用がかかる予定を社長と決める。必要なら取引先に相談を入れる。
6. 7日目：社長が読んで承認し、提出する。控えを保存する。

提出のメールには、回答日、答えた範囲（全社か一部か）、回答者の部署、質問への窓口を書き添えます。たとえば「全社を対象に、2026年11月時点の状況を回答しました。未実施の項目は備考に予定を記載しました。ご不明な点は総務の◯◯までお願いします」といった形です。時点と範囲を書いておけば、あとで状況が変わったときの説明が楽になります。

項目が多く間に合わないときは、黙って遅らせず、早めに途中経過を伝えます。この日数は図鑑の目安で、どの会社にも当てはまるものではありません。

11費用がかかる要請を受けたら：公取委と経産省の考え方

「有償のサービスを使え」「認証を取れ」と言われて、費用が全部自社の持ち出しになるのは苦しいものです。公正取引委員会と経済産業省が2022年10月28日に公表した文書は、取引先への対策の実施の要請そのものについて、直ちに独占禁止法上問題となるものではないとしています。一方で、方法や内容によっては優越的地位の濫用として問題になり得ると注意しています。この文書の「下請法」は、2026年1月1日の法改正で取適法（中小受託取引適正化法）になりました。

これらは、行為者の取引上の地位が相手より優越しており、相手が今後の取引への影響を懸念して受け入れざるを得ないことが前提です。自社の取引に当たるかは、個別の事情によります。迷ったら、下の相談先に聞いてください。

想定事例と解説も公開されています。発注側が説明会を開き、必要性や対策の方法、費用の考え方を説明する。受ける側は、IPAの教材やひな形で費用を抑え、お助け隊サービスと補助金を使う。そのうえで、かかった費用について価格交渉を申し入れ、合意した結果を双方が書面に残す、という流れです。解説によると、組織全体の対策にかかる費用は間接経費として計上されることが想定され、発注側は価格交渉の申出に応じる必要があります。交渉では、対策が自社の利益にもつながる点や、その発注側からの仕入割合などを勘案することが考えられる、とされています。

価格交渉は全額を相手に払ってもらう話ではありません。解説の考え方に沿って、何にいくらかかったかを資料にして、話し合いを始めましょう。結果は書面に残します。

12評価制度が始まると何が変わるのか

IPAが運営するSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、委託元ごとにばらばらな要求に「共通のものさし」を示す仕組みです。★3・★4の受付は2027年3月に始まる予定です。★を取れば、発注側の要求に答えやすくなることが期待されています。今後は、シートの代わりに「★3を取っていますか」と聞かれる場面も出てくるかもしれません。

ただし、★の取得は任意で、取引の要件にするかは当事者が決めます。IPAのよくある質問によると、★の有無だけでなく、要求事項を共通のチェックリストとして使い、対策の実施状況を確かめることも想定されています。今のうちにSCS評価制度の料金と日程のニュースや用語の説明を読み、要求事項のExcelを自社の点検に使っておくと、シートへの回答にも役立ちます。

13無料でできる準備：シートが来る前にやること

1. 図鑑のセキュリティレベル診断を受ける。18問で、6つの対策ごとの点数と先に直す3つが分かります。編集部が作った目安で、公的な評価ではありません。
2. IPAの自社診断を付ける。25項目です。社内の数人で付けると、認識の差が見えます。
3. 基本方針を作り、SECURITY ACTIONを宣言する。★一つ星は6か条に取り組むこと、★★二つ星は自社診断をして基本方針を定め、外部に公開することが条件です。
4. 機器とサービスの一覧を作る。表計算ソフトの1枚で始めます。
5. 回答の控えを残す場所を決める。次に来たシートは、前の回答から作れます。

SECURITY ACTIONは自己宣言で、IPAの認定ではありません。シートに書くときも「宣言しています」と書きます。自己宣言だけで足りるかは取引先によるので、実際の取り組みもあわせて説明しましょう。監視や駆け付けまで任せたいときはお助け隊サービスの一覧で比べられます。

14提出したあとに忘れやすいこと

• 予定を守る。書いた期日の前に進み具合を見ます。遅れるなら、先に連絡します。
• 状況が変わったら直す。大きな変更や事故があれば、前の回答が古くなります。多くのシートは定期的に更新を求められます。
• 事故の連絡先を聞いておく。何かあったとき、取引先のどこに連絡するかを確かめます。
• ファイルの送り方に気をつける。回答には社内の弱点が書かれています。送り先を見直し、指定があれば指定の方法で送ります。

15困ったときの相談先

16よくある質問