中小企業のための セキュリティチェックシート 回答・書き方完全ガイド 

こんな場面は珍しくありません。営業担当者がメールを受け取り、総務担当者へ転送し、最後は「パソコンに詳しそうだから」という理由で一人に回答が集まります。ところが、質問には就業規則、社員教育、バックアップ、クラウド、契約、事故時の連絡など、複数の部署や外部業者に確認しなければ分からない内容が含まれています。 

ここで大切なのは、担当者が一人で正解を考えることではありません。チェックシートは試験ではなく、「自社では今、誰がどのように管理しているか」を取引先へ説明するための確認票です。 

回答を始める前に、依頼内容を確認する 

担当者「この質問票は、会社全体について答えるのでしょうか。それとも今回の取引だけでしょうか？」 
社長「確かに分からないな。先方へ確認してみよう」 

同じ質問でも、会社全体を対象にするのか、特定の業務だけを対象にするのかで回答は変わります。たとえば、取引先データを会計クラウドでは扱っていないなら、会計クラウドの設定は今回の対象外かもしれません。逆に、全社共通のメールで取引先情報を扱うなら、Microsoft 365は対象に含まれる可能性があります。 

先方へ確認する6つのこと 

□ 回答対象は会社全体か、今回の業務だけか 

□ 対象となる拠点・システム・データはどれか 

□ 提出期限と提出方法 

□ 回答の基準日 

□ 証拠資料の添付が必要か 

□ 分からない質問の問い合わせ先 

この時点では、まだ「はい・いいえ」を書かない 

最初から上から順番に埋めると、推測で回答しやすくなります。まず全質問へ色や記号を付けて、次の4つに分けます。 

印	意味	例
緑	自分で確認できる	研修の実施日、社内規程
黄	誰かに聞けば分かる	バックアップ、ルーター設定
赤	未対応または確認できない	復元テスト、定期的な権限点検
灰	今回の対象外か確認が必要	自社で運用していないサーバー

質問ごとに「確認する人」を決める 

担当者「技術の質問まで、私が答えないといけませんか？」 
社長「外部の保守会社に聞く項目と、社内で確認する項目に分けよう」 

セキュリティチェックシートは、総務担当者一人の仕事ではありません。みどり商事では、質問を次のように分担しました。 

質問の分野	確認する相手	確認するもの
PC・更新・ウイルス対策	外部保守会社	管理方法、点検記録、契約範囲
メール・多要素認証	Microsoft 365管理者	設定画面、対象アカウント
入社・退職・教育	総務・人事	手順書、研修資料、実施記録
バックアップ	外部保守会社＋総務	対象データ、頻度、保存先、復元記録
契約・再委託	社長・契約担当	契約書、秘密保持、事故連絡条項
営業部の運用	営業責任者	データ保存先、持ち出し、共有方法

質問を日常の言葉へ置き換える 

質問文が難しいときは、「誰が・何を・いつ・どうやって」に分解します。 

質問：「アクセス権を適切に管理していますか」 
↓ 日常の言葉に置き換える 
「新しく入った人へ誰が権限を付ける？」「異動や退職のとき誰が外す？」「最後に確認したのはいつ？」 

回答の根拠を集める 

社長「規程に『バックアップを取る』と書いてある。それなら『はい』でいいな」 
担当者「実際に動いているか、最後に確認した日も調べましょう」 

ルールに書いてあることと、実際に行っていることは別です。「毎日バックアップする」と書かれていても、エラーで止まっていたり、誰も復元したことがなかったりすれば、そのまま「実施済み」とは言いにくい状態です。 

見つけたい証拠の例 

確認項目	見つけたいもの
OS更新	更新設定、端末一覧、点検記録
多要素認証	管理画面の設定、対象アカウント一覧
バックアップ	実行記録、保存先、復元テスト記録
社員教育	研修資料、実施日、参加者記録
退職者対応	停止申請、削除完了記録
事故対応	緊急連絡先、報告手順、外部相談先

証拠が見つからないとき 

「やっているはず」と推測せず、未確認として扱います。外部業者が管理している場合も、「任せています」で終わらせず、どこまでが契約範囲かを確認します。 

回答文を書く 

回答は長い作文にする必要はありません。次の順番で2～3文にまとめると、状況が伝わりやすくなります。 

書き方の型 
1. 今どうしているか 
2. どこまでが対象か 
3. 誰が・どの頻度で確認するか 
4. 未対応なら、誰がいつまでに改善するか 

場面1：OSの更新 

弱い回答：「自動更新しています」 
 
読みやすい回答：「会社が管理するWindows PCでは自動更新を有効にしています。月1回、総務担当者が外部保守会社の報告を見て、更新に失敗した端末がないか確認しています。」 

場面2：バックアップ 

弱い回答：「毎日バックアップしています」 
 
読みやすい回答：「会計データと受発注データを毎日バックアップしています。保存結果は外部保守会社が確認しています。ただし、データを戻すテストは実施できていないため、10月までに総務担当者と保守会社で確認します。」 

場面3：多要素認証 

弱い回答：「対応済みです」 
 
読みやすい回答：「Microsoft 365の管理者アカウントでは多要素認証を有効にしています。一般社員のアカウントは一部未対応のため、対象と時期を確認中です。」 

場面4：社員教育 

弱い回答：「社員へ周知しています」 
 
読みやすい回答：「入社時に、不審メールと情報持ち出しの注意事項を説明しています。全社員向けの定期研修は未実施のため、年度内の実施を社内で検討しています。」 

場面5：非該当 

弱い回答：「N/A」 
 
読みやすい回答：「今回の対象業務では、自社運用のサーバーを使用していないため、本質問は非該当と判断しました。取引先データは契約対象のクラウドサービス上で扱っています。」 

「はい・一部実施・未対応・非該当」の違い 

回答	どんな状態か	書き方
はい	対象範囲で実施し、運用と根拠を確認できる	対象、担当者、頻度を添える
一部実施	部署・端末・アカウントの一部だけ実施	実施範囲と未対応範囲を分ける
未対応	必要だが、まだ行っていない	代替策、責任者、予定時期を書く
非該当	質問の対象となる設備・業務が存在しない	なぜ対象外かを説明する
不明	確認先や証拠が見つからない	誰へ確認中か、いつ回答するかを書く

迷ったら「一部実施」または「確認中」と正直に書き、範囲と次の行動を添えます。予定を「実施済み」として書かないことが重要です。 

最終確認して提出する 

担当者「未対応が5項目あります。このまま提出して大丈夫でしょうか？」 
社長「隠さず、優先順位と改善予定を書こう。費用が必要なものは私が判断する」 

未対応項目を見つけたときこそ、社長の出番です。担当者だけでは、予算、社内ルール、教育時間、契約変更を決められません。次の3つを社長へ伝えます。 

• 何が未対応か 

• 放置すると、どの業務や取引に影響するか 

• いつまでに、誰が、いくら程度で改善するか 

提出前の読み合わせ 

□ 同じ質問なのに別の箇所で回答が矛盾していないか 

□ 「全社員」「全端末」など、実態より広く書いていないか 

□ 未対応を実施済みとしていないか 

□ 非該当の理由が書かれているか 

□ 添付ファイルに個人情報や秘密情報が含まれていないか 

□ 経営者が改善予定と提出内容を承認したか 

よくある質問 

全部「はい」でないと取引に不利ですか？ 

評価方法は取引先や契約によって異なります。実態と違う回答は避け、未対応の場合は、現在の代替策と改善予定を分けて書きます。取引条件は取引先へ確認してください。 

外部IT業者へ任せていれば「はい」でよいですか？ 

任せている事実だけでは判断できません。契約範囲、実施内容、異常時の連絡、報告方法を確認し、自社側の窓口も明確にします。 

「非該当」と「未対応」は何が違いますか？ 

質問の対象となる設備や業務が存在しない場合が非該当です。必要な対策をまだ行っていない状態は未対応です。 

証拠資料は何でも提出してよいですか？ 

規程、台帳、管理画面、契約書には個人情報や秘密情報が含まれることがあります。必要範囲、マスキング、提出方法を取引先と確認してください。 

まとめ：最初に書くのではなく、最初に分ける 

社長「チェックシートは、担当者一人が答えるテストではなかったんだな」 
担当者「はい。社内の誰が何を管理しているか確認する作業です」 
社長「次から困らないよう、今回集めた資料を残しておこう」 

チェックシートが届いたら、すぐ回答欄を埋める必要はありません。まず対象範囲と期限を確認し、質問を「自分で確認できる」「誰かに聞く」「未対応」「対象外」に分けます。 

• 分からない項目を推測で埋めない 

• 規程だけでなく、実際の運用と記録を確認する 

• 一部実施は、できている範囲と未対応範囲を分ける 

• 未対応には、責任者と予定時期を付ける 

• 提出した回答と証拠を残し、次回の土台にする