セキュリティチェックシート 回答・書き方完全ガイド 

取引先からセキュリティチェックシートが届いたものの、「専門用語が分からない」「誰に確認すればよいか分からない」と困っていませんか。 

最初から回答欄を順番に埋める必要はありません。まず提出期限と回答対象を確認し、設問を「回答できる」「社内または外部業者への確認が必要」「未対応」「非該当」に分けると、作業を整理しやすくなります。 

大切なのは、すべての質問を無理に「はい」にすることではありません。現在の実施状況、対象範囲、確認できる根拠を正確に書き、未対応の項目には今後の対応方針を添えます。 

この記事では、専任のセキュリティ担当者がいない中小企業を想定し、チェックシートが届いてから提出するまでの進め方と、よくある設問の回答例を分かりやすく紹介します。 

セキュリティチェックシートとは 

セキュリティチェックシートとは、取引先や委託元が、取引相手の情報セキュリティ対策状況を確認するために使用する質問票です。「情報セキュリティ調査票」「委託先確認票」「サプライヤーセキュリティチェック」などの名称で送られる場合もあります。 

質問内容は、社内体制、アカウント管理、パソコンの更新、ウイルス対策、バックアップ、社員教育、事故発生時の連絡、委託先管理など多岐にわたります。そのため、受け取った担当者だけで回答を完結させず、経営者、総務、各業務の担当者、外部IT業者などへ確認しながら作成します。 

取引先が確認したいこと 

取引先が知りたいのは、立派な規程があるかどうかだけではありません。情報を預けても大丈夫か、問題が起きたときに連絡と対応ができるか、日常的な管理が行われているかを確認しようとしています。 

すべて「はい」にする必要はない 

実施していない対策を「はい」と回答すると、後日、根拠資料の提出を求められたときや事故が起きたときに説明できません。現状を正確に書いたうえで、未対応なら改善予定を、非該当なら対象外となる理由を記載します。 

回答の基本姿勢 

・実施済み：何を、誰が、どの範囲で、どの頻度で行っているかを書く 

・一部実施：実施済みの範囲と未実施の範囲を分けて書く 

・未対応：現状に加え、予定、担当、代替策のいずれかを添える 

・非該当：対象となる業務や設備がない理由を具体的に書く 

届いたら最初に確認する6項目 

同じ会社でも、全社を対象とする質問と、特定のサービスや委託業務だけを対象とする質問では回答が変わります。対象範囲が曖昧な場合は、自己判断で広げず、依頼元へ確認します。 

回答対象を確認する 

最初に「誰の、どの業務について回答するのか」を明確にします。たとえば、会社全体、取引先から受託している業務、特定のクラウドサービス、個人情報を扱う部署など、質問票ごとに対象が異なります。 

提出条件を確認する 

Excelへの入力だけでよいのか、署名や押印が必要か、規程や画面の添付を求められているかを確認します。根拠資料へ機密情報が含まれる場合は、そのまま提出せず、伏せ字、抜粋、画面範囲の調整などが可能か依頼元へ相談します。 

セキュリティチェックシートを回答する6つの手順 

手順1：全設問を4つに分類する 

回答を書き始める前に、すべての設問へ目を通し、次の4つに分類します。 

分類	意味	次の対応
A：回答できる	社内で状況を把握している	根拠を確認して回答する
B：確認が必要	他部署や外部業者が把握している	確認先と期限を決める
C：未対応	対策を実施していない	改善予定または代替策を整理する
D：非該当	対象となる業務や設備がない	対象外となる理由を書く

この分類を先に行うと、すぐ書ける項目と、確認に時間がかかる項目を分けられます。期限直前に外部業者への確認が必要だと分かる事態も防ぎやすくなります。 

手順2：質問ごとに確認する人を決める 

質問の内容に応じて確認先を割り振ります。専任担当者がいなくても、実際の作業を行っている人をたどれば回答できる項目は多くあります。 

• 経営者：責任者、方針、事故時の最終判断 

• 総務・人事：入退社、社員教育、端末台帳、社内ルール 

• 各部署の管理者：共有フォルダ、業務データ、持ち出し 

• 外部IT業者：ネットワーク、バックアップ、端末設定、ログ 

• 利用サービスの管理者：アカウント、多要素認証、アクセス権限 

手順3：専門用語を日常の作業へ置き換える 

質問文が難しい場合は、専門用語をそのまま考えず、普段の作業へ置き換えます。 

• 「アクセス制御」→ 誰がどのフォルダやサービスを使えるか 

• 「脆弱性管理」→ OSやソフトを更新しているか 

• 「可用性」→ 障害時にも業務を続けられるか、復旧できるか 

• 「インシデント管理」→ 紛失や誤送信が起きたとき誰へ連絡するか 

• 「証跡」→ 実施したことを示せる記録や画面があるか 

手順4：回答の根拠を集める 

回答の根拠は、必ずしも大規模な規程である必要はありません。実際に運用していることを確認できる資料を集めます。 

• 社内規程、手順書、チェックリスト 

• 端末台帳、アカウント一覧、権限一覧 

• 設定画面の写しや管理画面の出力 

• バックアップや更新の実施記録 

• 研修資料、受講記録、周知メール 

• 事故対応記録、連絡網 

手順5：回答文を作る 

回答文は「実施しています」だけで終わらせず、次の要素から必要なものを加えます。 

回答文の型 

・結論：実施済み、一部実施、未対応、非該当 

・対象：全社員、管理端末、特定部署、対象サービスなど 

・方法：どのような手順や設定で行っているか 

・頻度・タイミング：毎月、入退社時、年1回など 

・担当：誰が確認または実施するか 

・根拠：台帳、設定、記録、規程など 

手順6：社内確認後に提出・保存する 

回答を作成した担当者だけで提出せず、回答対象の責任者または経営者が確認します。提出したファイル、添付資料、確認に使った根拠、依頼元とのやり取りを同じ場所へ保存しておくと、次回の回答や改善確認に利用できます。 

判定別の書き方 

「はい・実施済み」の書き方 

「はい」だけでは、実際に何を行っているかが伝わりません。対象と方法を簡潔に補足します。 

例：会社が管理するWindows端末を対象に、自動更新を有効化しています。更新状況は外部IT業者が定期的に確認し、未適用が見つかった場合は担当者へ連絡します。 

「一部実施」の書き方 

実施している範囲と、まだ実施できていない範囲を分けます。 

例：社内で利用する主要クラウドサービスでは多要素認証を有効化しています。一部の旧システムは未対応のため、利用者を限定し、移行時に多要素認証へ切り替える予定です。 

「未対応・いいえ」の書き方 

未対応であることを明記し、分かる範囲で改善予定、担当、代替策を添えます。実施が決まっていないのに、確定した日付を書かないようにします。 

例：現時点では定期的なアクセス権限の棚卸しを実施していません。入退社時の変更は行っています。今後、対象となる共有フォルダを整理し、定期確認の方法を検討します。 

「非該当・N/A」の書き方 

「該当なし」だけではなく、なぜ対象外なのかを記載します。 

例：当社では自社データセンターやサーバールームを保有しておらず、対象設備がないため非該当です。業務では外部のクラウドサービスを利用しています。 

「不明・確認中」の書き方 

提出期限までに確認できない場合は、曖昧なまま「はい」とせず、確認中であることと確認先を記載します。必要に応じて、回答期限を依頼元へ相談します。 

頻出項目別の回答例 

以下は書き方の例です。実際の回答では、自社で行っている内容に合わせて修正してください。実施していない内容を、そのまま回答へ使用しないでください。 

1．情報セキュリティ責任者 

弱い回答	担当者を決めています。
改善した回答	情報セキュリティに関する最終判断は代表者が行い、アカウントや端末の日常管理は総務担当者が行っています。技術的な設定変更は、契約している外部IT業者へ依頼しています。

2．OSアップデート 

弱い回答	パソコンを最新にしています。
改善した回答	会社が管理するWindows端末では自動更新を有効化しています。更新状況は管理担当者が確認し、未適用の端末が見つかった場合は利用者へ更新を依頼します。

3．ウイルス対策 

弱い回答	ウイルス対策ソフトを入れています。
改善した回答	会社が管理する端末ではウイルス対策機能を有効化しています。検知の通知は管理担当者が確認し、必要に応じて端末をネットワークから切り離して外部IT業者へ連絡します。

4．多要素認証 

弱い回答	MFAを使っています。
改善した回答	メールやクラウドストレージなど、社外から利用できる主要サービスでは多要素認証を有効化しています。新規アカウントの発行時に管理者が設定状況を確認します。

5．アクセス権限 

弱い回答	適切に管理しています。
改善した回答	共有フォルダへのアクセス権限は、所属部署と担当業務に基づいて設定しています。入社、異動、退職時に総務担当者から管理者へ変更を依頼し、変更結果を記録しています。

6．バックアップ 

弱い回答	毎日バックアップしています。
改善した回答	業務データは指定した保存先へバックアップしています。管理担当者が実行結果を確認し、エラーがある場合は原因を調査します。復元が必要な場合の連絡先と手順も確認しています。

7．社員教育 

弱い回答	年に一度研修しています。
改善した回答	全社員を対象に、情報の取扱い、不審メール、誤送信、端末紛失を扱う教育を実施しています。実施後は受講状況を記録し、未受講者へ再受講を案内します。

8．退職者アカウント 

弱い回答	退職時に削除しています。
改善した回答	退職日までに人事担当者から管理者へ連絡し、退職時刻に合わせてメール、クラウドサービスなどのサインインを停止します。必要なデータの引き継ぎを確認した後、社内の運用に従ってアカウントを削除し、結果を記録します。

9．インシデント対応 

弱い回答	問題があればすぐ報告します。
改善した回答	情報漏えいや不審メールなどを発見した社員は、被害拡大を避けるため操作を止め、総務担当者へ連絡します。総務担当者は代表者と外部IT業者へ報告し、影響範囲と取引先への連絡要否を確認します。対応内容は記録として残します。

10．委託先・再委託先管理 

弱い回答	委託先に任せています。
改善した回答	業務で利用する外部サービスと委託先を一覧で管理しています。新たに利用する際は、取り扱う情報、利用目的、担当者、契約内容を確認し、重要な変更があった場合は見直します。

11．未対応項目 

弱い回答	現在検討中です。
改善した回答	現時点では定期的な権限確認を実施していません。入退社時の変更は行っています。今後、対象となる共有フォルダと確認者を整理し、定期確認の方法を検討します。

12．非該当項目 

弱い回答	該当なし。
改善した回答	当社では自社でサーバールームを保有しておらず、対象となる設備がないため非該当です。業務データは契約中のクラウドサービスで管理しています。

よくあるNG回答と直し方 

根拠なく全部「はい」にする 

「はい」が多いほど評価されるとは限りません。実態と異なる回答は説明できないため、現状を確認して判定します。分からない項目は確認中とし、未対応なら改善方針を記載します。 

「適切に」「定期的に」だけで終わる 

抽象的な言葉だけでは、運用内容が伝わりません。「誰が」「いつ」「何を」「どの範囲で」行うかを一つか二つ補足します。 

未対応と非該当を混同する 

必要な対策を実施していない場合は未対応です。そもそも対象となる業務、設備、データが存在しない場合に非該当を使います。判断に迷う場合は、理由を書いて依頼元へ確認します。 

外部業者へ任せているだけで「はい」にする 

外部業者が作業していても、自社側で契約内容、対象範囲、連絡先、確認方法を把握していないことがあります。「外部業者へ委託している」だけでなく、自社がどのように確認しているかを書きます。 

機密情報をそのまま提出する 

証跡として求められても、アカウント名、取引先名、IPアドレス、個人情報などが不要に含まれていないか確認します。必要な範囲を依頼元へ確認し、伏せ字や抜粋で提出できないか相談します。 

まとめ：最初に書くのではなく、最初に分ける 

セキュリティチェックシートの回答で重要なのは、専門用語を完璧に理解することや、すべて「はい」にすることではありません。対象範囲を確認し、質問を分類し、実際の担当者へ確認しながら、現在の運用を正確に言葉にすることです。 

• 最初に提出条件と対象範囲を確認する 

• 設問を4つに分類し、確認先を割り振る 

• 実施内容、対象、頻度、担当、根拠を必要に応じて補足する 

• 未対応は改善予定、非該当は理由を書く 

• 提出内容と根拠を保存し、次回の回答と改善に活用する 

一度整理した回答と根拠は、次回のチェックシート対応だけでなく、自社のセキュリティ対策を見直す材料にもなります。まずは回答欄を埋める前に、全設問を4つへ分類するところから始めてください。 

よくある質問 

全部「はい」でないと取引に不利ですか？ 

評価方法は取引先や契約によって異なります。実態と違う回答は避け、未対応の場合は、現在の代替策と改善予定を分けて書きます。取引条件は取引先へ確認してください。 

外部IT業者へ任せていれば「はい」でよいですか？ 

任せている事実だけでは判断できません。契約範囲、実施内容、異常時の連絡、報告方法を確認し、自社側の窓口も明確にします。 

「非該当」と「未対応」は何が違いますか？ 

質問の対象となる設備や業務が存在しない場合が非該当です。必要な対策をまだ行っていない状態は未対応です。 

証拠資料は何でも提出してよいですか？ 

規程、台帳、管理画面、契約書には個人情報や秘密情報が含まれることがあります。必要範囲、マスキング、提出方法を取引先と確認してください。