この記事は、取引先からセキュリティチェックシートを求められた中小企業向けに、回答の進め方と、回答を機にまず見直すべき委託先・保守業者のアクセス管理を整理したものです。特定製品の紹介は含みません。
ある日、取引先の購買部門や情報システム部門から「セキュリティチェックシートへの回答をお願いします」というメールが届く。数十から百項目を超える質問に対して、「実施している／一部実施／未実施」を答える形式が多く、期限は2〜3週間。中小企業にとっては、何を聞かれているのか分からない項目も多く、担当者が一人で抱え込んで止まってしまうケースをよく見ます。本記事では、チェックシートが送られてくる背景、回答の進め方、そして回答を機に最初に見直すべき領域を整理します。
なぜ取引先はチェックシートを送ってくるのか
大手企業がチェックシートを送る理由は、自社が「取引先経由で侵入される」リスクを管理するためです。近年のサイバー攻撃では、セキュリティが手薄な取引先や委託先を踏み台にして本命の企業に侵入する、いわゆるサプライチェーン攻撃が定着しています。実際に、部品メーカーや物流会社への攻撃が、その先の大手メーカーの工場停止につながった事例が国内でも複数報告されています。
こうした背景から、経済産業省の「サイバーセキュリティ経営ガイドライン」は、取引先を含めたサプライチェーン全体のリスク管理を経営者の責務として位置づけています。業界単位でも、自動車業界の「自工会／部工会・サイバーセキュリティガイドライン」のように、取引先に一定水準を求める枠組みが広がっています。チェックシートは、こうした要請が末端の取引先まで届いた形です。
つまり、送ってきた取引先は「疑っている」のではなく、「説明できる状態にしてほしい」と言っています。ここを理解すると、回答の姿勢が変わります。
チェックシートで聞かれる典型的な項目
内容は取引先によって異なりますが、おおむね次の領域に集約されます。
- 体制・方針：セキュリティ責任者の有無、基本方針の策定・公開、従業員教育の実施
- ID・アクセス管理：多要素認証、退職者アカウントの削除、管理者権限の管理
- 端末管理：OS更新、ウイルス対策／EDR、暗号化、私物端末の扱い
- ネットワーク：ファイアウォール、VPN機器の更新、無線LANの認証
- データ保護：バックアップの取得と復元テスト、機密情報の管理、外部共有の制御
- インシデント対応：発生時の連絡体制、報告手順、ログの保存
-
委託先管理：自社の再委託先・保守業者の管理状況
最後の「委託先管理」は見落とされがちですが、取引先が最も気にしている項目の一つです。自社が取引先の委託先であるように、自社にも保守業者やSIer、業務委託者がいる。その管理ができていないと、取引先から見れば「その先が穴」になります。
回答の進め方 — 正直に、根拠を添えて
1. 盛らない
「一部実施」を「実施している」と書きたくなりますが、避けてください。チェックシートは契約や監査の根拠になります。後日インシデントが起きた際、回答と実態が異なれば、契約上の責任問題に発展します。未実施は未実施として、「いつまでに何をするか」を添える方が信頼されます。
2. 「実施している」の根拠を残す
「多要素認証を実施している」と答えるなら、対象範囲（全利用者か一部か）、設定の証跡（管理画面のスクリーンショット、ポリシー設定の一覧）を手元に残します。次回の更新時や、取引先からの追加質問に即答できるようになります。
3. 分からない項目は放置しない
「ログの保存期間」「暗号化の方式」など、担当者が即答できない項目は、社内の別の人か、契約している保守業者・IT委託先に確認します。答えられる人が社内にいない場合、それ自体が「委託先に依存していて自社で把握できていない」状態を示しています。
4. 回答を自社の現状把握に転用する
チェックシートは、外部が作った無料のセキュリティ診断項目でもあります。回答の過程で「未実施」「不明」と書いた項目を一覧にすれば、それがそのまま自社の課題リストになります。
回答を機に、まず見直すべき領域 — 委託先・保守業者のアクセス管理
チェックシートで「未実施」が並ぶ企業に共通して空白になっているのが、自社に出入りしている委託先・保守業者のアクセス管理です。ここは取引先からの評価に直結するうえ、実際の侵入経路としても多いため、最初に手をつける価値があります。
典型的な問題
- 保守業者が使うリモート接続用のアカウントが、いつ・誰が・何にアクセスしたか記録されていない
- SIerが構築時に作った管理者アカウントがそのまま残っている
- 退職した業務委託者のIDやVPN接続設定が有効なまま
- 委託先が持ち込んだ端末が、社員端末と同じネットワーク・同じ権限で動いている
- 契約書にセキュリティに関する取り決め（アクセス範囲、事故時の報告義務）がない
見直しの手順
アクセスの棚卸し
外部の人・組織が使っているアカウント、接続経路（VPN、リモートデスクトップ、保守用回線）、アクセス先を一覧にします。「誰が」「どこから」「何に」の3点が埋まらないものは、その時点で要対応です。
最小権限と期限付き
委託先アカウントは、業務に必要なシステムだけにアクセスできる権限に絞り、契約期間や作業期間に合わせた有効期限を設定します。常時有効な管理者権限を外部に渡さないことが原則です。
社員端末と分ける
委託先の端末は、自社管理端末と同じ扱いにしません。管理外端末からは業務システムに直接アクセスさせず、Web版のみ・ダウンロード禁止・別ネットワークなど、端末の状態に応じた制御を設けます。
ログの保全
委託先アカウントの操作ログを一定期間保存し、異常があれば追跡できる状態にします。チェックシートの「ログ保存」項目にもそのまま回答できます。
契約に書く
アクセス範囲、遵守事項、インシデント発生時の報告義務と期限、再委託の制限を契約書または覚書に明記します。取引先から求められている内容を、自社の委託先にも同じように求める形です。
説明できる状態は、営業上の資産になる
チェックシートは負担ですが、対応できる企業とできない企業の差は、そのまま取引の継続・拡大の差になります。大手企業の調達では、セキュリティ要件を満たさない取引先を新規に選定しない、あるいは既存取引を縮小する動きが進んでいます。逆に言えば、「自社のセキュリティ状況を根拠付きで説明できる」ことは、同業他社との差別化になります。
国内制度としては、IPAの SECURITY ACTION（★1→★2）が、自己診断と基本方針の公開を通じて「取り組んでいる」ことを対外的に示す入口になります。より高い水準を求められる場合はISMS認証やプライバシーマークが候補になりますが、まずはチェックシートに正直に答えられる状態を作ることが先です。
まとめ
セキュリティチェックシートは、取引先が「説明できる状態にしてほしい」と求めているものです。盛らずに根拠を添えて回答し、未実施の項目は自社の課題リストとして扱う。そして最初の見直し対象として、自社に出入りする委託先・保守業者のアクセス管理に手をつける。この一連の対応が、取引先からの評価と、実際の侵入リスク低減の両方につながります。
参考文献
- 経済産業省・IPA「サイバーセキュリティ経営ガイドライン」Ver3.0
- IPA「中小企業の情報セキュリティ対策ガイドライン」第3.1版
- IPA「SECURITY ACTION」制度 https://www.ipa.go.jp/security/security-action/
- 日本自動車工業会・日本自動車部品工業会「自工会／部工会・サイバーセキュリティガイドライン」
- NIST, "SP 800-207 Zero Trust Architecture" (2020)
筆者は中小企業向けの情シス支援・セキュリティ設計を行っています。チェックシート対応や委託先アクセスの棚卸しから進めたい方は、情シス365で情報を公開しています。