「はい」にチェックが付いた点検表を、どう本物か確かめるか

Posted at 2026-10-14

出発点＝点検表を作ったら、穴が見えた

2026年10月、8つの機関が相次いで企業にセキュリティ対策の点検を求めました。文書は機関ごとに分かれていますが、求めている対策は重なっていて、セキュリティ研究者 piyokango 氏の横断整理では17項目にまとまります。

私たちはその17項目を「やる順番・最初に動く人・費用」で並べ替えた表を作りました。作っている最中に、気づいたことがあります。

チェックリストは「できている／できていない」しか記録しない。「なぜそう言えるか」が残らない。

これは今回の17項目に限った話ではなく、監査対応や取引先からのセキュリティ調査票でも同じです。この記事は、その穴をどう埋めたかの設計の話です。

点検表に「はい」とチェックが付いているとき、その中身は実際には次のどれかです。

①②③は、どれも「はい」として同じ欄に入ります。だから、あとから見た人には区別できません。半年後に自分で見返しても、どの「はい」が①だったかは思い出せません。

点検表が「宣言」で終わるか「実態」になるかは、この3つを分けられるかで決まります。

17項目の点検表に、記入式のシートを1枚足しました。記入する列は4つです。

核心は「どこを見るか」の欄です。○を付けるときに、どこを見て○にしたかを同じ行に書かせます。

これで「はい」が①（根拠を示せる）に寄ります。②や③のまま○を付けようとすると、「どこを見るか」の欄が空になるので、書いている本人が気づきます。欄が埋まらないこと自体が、その「はい」の種類を教えてくれます。

列を1つ足しただけですが、表の性格が変わります。チェックリストは「書いてあるか」を見る道具で、根拠の欄が付いて初めて「本物か」を確かめる道具になります。

最初、○△×の規則をこう書きました。「設問で、いちばん下の選択肢を選んでいれば○」。

ところが実際に利用者の画面を開くと、利用者が見ているのは選択肢の並び順ではなく、回答ごとに付く L1〜L4 のバッジでした。並び順は、画面のどこにも出ていません。

規則を書き直しました。「L4なら○／L2・L3なら△／L1なら×」。

規則は「正しいこと」ではなく「利用者が見ているもの」で書く。見えていないもので判定させると、人は自分の解釈で埋めます。そして解釈で埋められた○は、②や③に戻ります。

シートには、こう書きました。

分からないものは×ではなく、「次の一手」の欄に「誰に聞くか」を書いてください。

×は「できていない」という判定です。「分からない」は判定ではなく、未調査です。この2つを混ぜると、調べれば○だったものが×として残り、逆に「たぶん大丈夫」が○として残ります。

別紙の確認項目（14問）にも同じことを書きました。

答えが出ないまま表を埋めないでください。空欄のほうが、あとで役に立ちます。

空欄は、次に何を調べるかを示す印です。埋まった表より、空欄の位置が正確な表のほうが、次の行動が決まります。

17項目のうち、情報システム部門が1人で○を付けられない項目があります。

だから別紙にはこう書きました。「誰に聞けば分かるか」を1行書いて、次の会議に持っていくのが近道です。

点検表を1人で埋めようとすると、②③の「はい」が増えます。聞きに行く相手の名前を書く欄がある表は、1人で埋める表より、①の「はい」が増えます。

今回のシートで変えたのは、表の列が1つと、規則の言葉が2箇所だけです。

どれも大きな仕組みではありません。ただ、この3つが無い点検表は、どれだけ項目が多くても「書いてあるか」までしか確かめられません。

チェックリストが見ているのは「書いてあるか」であって、「本物か」ではありません。本物かどうかは、「どこを見たか」を同じ行に書かせたときに初めて、検証可能になります。

私たちはこの設計を、国の注意喚起に対応する17項目の点検表（無料公開）に入れました。測れる10項目と測れない7項目を分け、測れない側には自分で確認する14問を付けています。点検表そのものより、「はい」の隣の欄のほうが、あとで効くと思っています。

当社の診断（SecuROI）は現在地を測るもので、合否を判定するものではありません。この記事に書いた欄の設計も、判定のためではなく、自分の「はい」を1年後の自分が検証できるようにするためのものです。