はじめに
最近、取引先の大手企業から「セキュリティ対策の状況を回答してください」というチェックシートが送られてくることが増えていませんか？これはサプライチェーンセキュリティの強化に伴う動きで、今後さらに増加すると予想されます。
本記事では、チェックシートの典型的な質問項目と、具体的な回答の書き方を解説します。
なぜチェックシートが送られてくるのか
サプライチェーン攻撃では、セキュリティが弱い取引先を踏み台にして大手企業に侵入するケースが増えています。大手企業にとって、自社のセキュリティを強化しても、取引先が脆弱であればリスクは残ります。
そのため、取引先に対してセキュリティ対策の実施状況を確認するチェックシートを送付し、対策が不十分な取引先には改善を要請する動きが広がっています。
SCS評価制度の開始により、この動きはさらに加速します。近い将来、チェックシートへの回答だけでなく「SCS★3の取得」を取引条件として求められるケースも出てくるでしょう。
典型的な質問項目と回答のポイント
Q. MFA（多要素認証）を導入していますか？
導入済みの場合
「はい。Microsoft 365（またはGoogle Workspace）の全ユーザーにMFA（多要素認証）を適用しています。認証方法はMicrosoft Authenticator（またはGoogle認証アプリ）を使用しています。適用範囲は全社員〇名です。」
未導入の場合
「現在導入準備中です。〇年〇月までに全社員への展開を完了予定です。」回答で「未導入」と書くよりも、「導入予定あり（時期：〇月）」と書く方が印象が良いですが、嘘の回答は絶対にNGです。
Q. セキュリティポリシーを策定していますか？
策定済みの場合
「はい。情報セキュリティポリシーを策定しています。最終更新日は〇年〇月〇日です。全社員に周知しており、年1回の教育時に内容を確認しています。」
最終更新日が重要です。3年以上前のポリシーは「更新されていない」と見なされる可能性があるため、年1回の見直しを推奨します。
Q. インシデント対応体制はありますか？
「はい。インシデント対応手順書を策定しており、連絡体制（発見者→IT担当者→経営層の連絡フロー）を整備しています。外部連絡先（IPA、警察、弁護士）のリストも維持しています。年1回のインシデント対応訓練を実施しています。」
体制が「ある」だけでなく、「訓練を実施している」ことも記載すると評価が高くなります。
Q. EDR（エンドポイント検知・対応）を導入していますか？
M365 Business Premiumを利用中であれば「Microsoft Defender for Business（EDR）を全端末に導入しています」と回答できます。Windows Defenderだけの場合は「Windows Defenderによるリアルタイム保護を全端末に適用しています。EDRの導入を検討中です（〇月目処）」と回答します。
Q. データのバックアップを取得していますか？
「はい。以下のバックアップを定期的に取得しています。
- メールデータ：Exchange Online / Gmail のクラウド上に保存
- ファイルデータ：SharePoint / Google ドライブ上に保存
- バックアップの復旧テスト：年1回実施（最終実施日：〇年〇月）」
復旧テストの実施状況を記載するとポイントが高いです。
Q. 従業員向けセキュリティ教育を実施していますか？
「はい。年1回のセキュリティ研修と、四半期ごとのフィッシングメール訓練を実施しています。新入社員には入社時にセキュリティオリエンテーションを実施しています。最終実施日：〇年〇月」
頻度と最終実施日を具体的に記載しましょう。
回答できない場合のリスク
チェックシートに回答できない、または対策が不十分であることが判明した場合、以下のリスクがあります。
- 新規取引の不成立
- 既存取引の打ち切り・縮小
- 入札・コンペからの除外
- 取引先からの改善要請（期限付き）
チェックシートに強くなるためにやるべきこと
日頃からドキュメントを整備する
チェックシートは「対策を実施しているか」だけでなく「文書化・記録されているか」を問います。セキュリティポリシー、インシデント対応手順書、IT資産台帳、教育の実施記録を日頃から整備しておきましょう。
「最終実施日」を記録する
「年1回の教育を実施しています」と書いても、最終実施日が2年前では説得力がありません。教育、訓練、バックアップテスト、ポリシーの見直し等の実施日を記録する習慣を付けましょう。
SCS★3の取得を目指す
SCS★3を取得していれば、チェックシートの大半の質問に「★3取得済み」と回答できます。チェックシートへの個別回答の手間も大幅に削減できます。
まとめ
取引先からのチェックシートは、今後ますます増えていきます。「来てから慌てる」のではなく、日頃からセキュリティ対策を実施し、ドキュメントを整備しておくことが最善の準備です。
SCS★3の取得は、チェックシート対応を最も効率化する方法です。
筆者: 株式会社BTNコンサルティング 亀田 英佑
中小企業に特化した情シスアウトソーシング「情シス365」を運営。M365/GWS環境の設計・構築50件以上の実績。
https://www.josis365.com