セキュリティチェックシートの答え方｜答えられない項目と、ISMS・P マークがないとき

全部「はい」でなくてよい。答えられない項目には書き方がある

取引先から Excel のセキュリティチェックシートが届き、回答を任されたものの、質問は数十から数百に及びます。「いいえ」と書いてよいのか、ISMS も P マークも持っていないが大丈夫か、と迷う担当者は少なくありません。シートを送る側の評価の進め方を解説した資料に比べると、受け取った側の答え方をまとめた資料は多くありません。

先に結論を書きます。

• 個人情報保護委員会のガイドラインは、委託先は法律が求める水準の安全管理措置を講じれば足りると解されるとしており、全部「はい」にする必要はありません
• 答えられない項目は、空欄や根拠のない「はい」にせず、現状・代替策・対応予定時期・対象外の理由のいずれかを添えて正直に書きます
• ISMS や P マークの取得は法律上の義務ではなく、求めるかどうかは取引先との契約で決まります

この記事は、取引先から届いたシートに回答する中小企業の担当者と、システム開発や制作を請けている会社の担当者に向けて書いています。回答の段取り、質問の分類ごとの答え方、答えられない項目の書き方、認証の要否の判断までを扱います。2026 年 10 月 23 日時点で確認した公的資料に基づきます。ISMS や P マークを取ると決めた後の手順と費用は、ISMS 取得ガイド と P マーク取得ガイド にまとめています。

セキュリティチェックシートとは

セキュリティチェックシートは、取引先が委託先や利用するクラウドサービスのセキュリティ対策を確認するために送る質問票です。Excel の表に「情報セキュリティ基本方針を定めていますか」「PC のディスクを暗号化していますか」といった質問が並びます。「はい・いいえ・一部対応・該当なし」などの選択肢と補足欄で答える形が一般的です。

質問は大きく 2 種類に分かれます。1 つは、業務を委託される会社としての体制を聞く質問で、規程・教育・オフィスの管理・再委託などが対象です。もう 1 つは、提供するクラウドサービスやシステムそのものを聞く質問で、稼働時間・バックアップ・データの保管場所・脆弱性への対応などが対象です。システムの開発・保守を請けている会社や、SaaS を提供している会社には、両方が届きます。

取引先が送ってくる理由

背景には法律上の義務があります。個人情報保護法 第 25 条は、個人データの取扱いを委託する事業者に、委託先を監督する義務を課しています。個人情報保護委員会の 個人情報保護法ガイドライン (通則編) 3-4-4 は、監督の中身を次の 3 つに分けています。

1. 委託先の選定。委託先の安全管理措置を、委託する前に確認する
2. 委託契約の締結
3. 委託先における個人データの取扱状況の把握

シートは主に 1 と 3 の確認に使われます。回答は取引を始めるか、続けるかの判断材料になり、契約後の監査でも照合されます。

個人情報のほかに、取引先を経由したサイバー攻撃への備えも理由の 1 つです。経済産業省と IPA の「サイバーセキュリティ経営ガイドライン Ver3.0」(2023 年 3 月) は、改訂の背景に、サプライチェーン全体を通じた対策の必要性が高まったことを挙げています。

様式が会社ごとに違う理由

委託先の評価に使う国の統一様式はありません。取引先が自社の規程や業界の基準をもとに作るため、同じことを聞く質問でも、言い回しや細かさが会社ごとに違います。

国もこの状態を課題として挙げています。IPA の SCS 評価制度のサイト は、委託元にとってはチェックリストなどの要求事項が適切かどうかを担保しにくく、委託先にとってはさまざまな委託元からさまざまな要求事項を求められ、過度な負担になっていると説明しています。

今後、取引先ごとの様式の違いを減らす共通の基準になりうるのが、経済産業省と内閣官房国家サイバー統括室が 2026 年 3 月に構築方針を公表した「サプライチェーン強化に向けたセキュリティ対策評価制度 (SCS 評価制度)」です。取引先に求める対策の水準を ★3・★4 の段階で示す任意の制度で、IPA は ★3・★4 の運用開始を 2027 年 3 月頃と予定しています (IPA の FAQ)。経済産業省は、★の取得の有無を問うだけでなく、制度の要求事項・評価基準を共通のチェックリストとして使う方法も想定しています (経済産業省の FAQ)。★3・★4 の違いや準備の順番は SCS 評価制度の記事 で解説しています。

「経済産業省のセキュリティチェックシート」と呼ばれる資料

「セキュリティチェックシート」と「経済産業省」を組み合わせて検索すると、目的の違う複数の資料が出てきます。どれも、委託先を評価するために国が定めた様式ではありません。

資料	発行元・公表時期	目的	想定する使い手
セキュリティチェックシート解説	経済産業省・2008 年	システム導入時に、発注者が RFP でセキュリティの要件を示す	システムを導入するユーザー企業
クラウドサービスレベルのチェックリスト	経済産業省・2010 年	クラウドを利用する前に、サービスレベルを提供事業者と確認する	クラウドを利用する企業
ASP・SaaS の安全・信頼性に係る情報開示指針 (ASP・SaaS 編) 第 3 版	総務省・2022 年	SaaS の安全・信頼性に関する情報を開示する	SaaS の提供事業者
5 分でできる！情報セキュリティ自社診断 第 4.0 版	IPA・2026 年	自社の対策状況を点検する	中小企業

経済産業省の セキュリティチェックシート解説、総務省の 情報開示指針 第 3 版の公表資料、IPA の 5 分でできる！情報セキュリティ自社診断 は、各発行元のサイトで公開されています。

回答する側から見ると、これらは取引先の質問の出どころを推し量る手がかりになります。サービス時間や計画停止の通知を細かく聞かれたら、クラウドのサービスレベルを確認する系統の質問だと読めます。自社の点検には、IPA の自社診断が使えます。

届いたら、回答の前に決めておくこと

回答に取りかかる前に、範囲と期限を確認し、意図が分からない質問を取引先に聞いたうえで、担当を決めます。

flowchart LR
  A["シートが届く"] --> B["範囲と期限を<br/>確認する"]
  B --> C["意図が分からない<br/>質問を取引先に聞く"]
  C --> D["質問を分類して<br/>担当を割り振る"]
  D --> E["回答と根拠資料を<br/>そろえて提出する"]
  E --> F["回答の控えを残す"]

1. 回答の範囲を確認します。会社全体について答えるのか、委託される業務や提供するサービスに限るのかで、回答が変わります。たとえば「全従業員に年 1 回の教育を実施していますか」は、会社全体では「いいえ」でも、その業務の担当者に限れば「はい」になることがあります。シートに範囲が書かれていなければ取引先に確認し、回答の冒頭に範囲を明記します。
2. 全項目が期限に間に合わないと分かったら、期限の前に連絡します。答えられた項目を先に出し、残りの項目には回答予定日を添えます。期限前に知らせておけば、取引先も社内の審査の段取りを組み直せます。
3. 意図が分からない質問は取引先に聞きます。専門用語の意味が分からない質問や、自社の業務に当てはまらない質問は、推測で答えずに取引先へ確認します。意図を取り違えた「はい」は、後で照合されたときに説明できなくなります。
4. 質問を分類して担当を割り振ります。1 人で全項目に答えようとせず、次の章の表で質問を分類して担当を決めます。保守を外部に委託しているシステムの質問は、委託先への確認に日数がかかるため、範囲の確認と並行して依頼を出しておきます。

質問の分類と、答えるときの根拠資料

質問の並びは取引先ごとに違いますが、個人情報保護委員会のガイドラインにある別添「講ずべき安全管理措置の内容」の分類に振り分けると整理しやすくなります。ガイドラインは、委託先の選定にあたって、この別添の各項目が実施されることを確認するよう委託元に求めています。

別添の分類	質問の例	答える人	根拠にする資料
基本方針の策定	情報セキュリティ基本方針を定め、公表しているか	経営者、総務	基本方針
規律の整備	個人情報や機密情報の取扱規程があるか	総務	規程類
組織的な措置	責任者を決めているか。事故のときの報告経路はあるか	総務、経営者	体制図、事故対応の手順
人的な措置	秘密保持の誓約を取っているか。教育をしているか	総務・人事	誓約書、教育の実施記録
物理的な措置	入退室を管理しているか。PC の紛失・盗難への対策はあるか	総務、情報システム担当	入退室の記録、端末の台帳
技術的な措置	アクセス権限、ログ、脆弱性への対応、バックアップ、暗号化	情報システム担当、保守の委託先	権限の一覧、設定画面、更新の記録
外的環境の把握	外国にある事業者のサービスでデータを保管・処理しているか	開発の責任者、契約の担当	クラウドの契約内容、データの保管場所

再委託の有無と管理方法を聞かれたときに備えて、ガイドラインの考え方も押さえておきます。ガイドラインは、委託先が再委託するときに、再委託の相手方や業務内容などについて委託元が事前に報告を受けるか承認することを望ましいとしています。再委託先の一覧と、再委託先との契約の写しを用意しておきます。

別添には、従業員 100 人以下の「中小規模事業者」(一部の事業者を除く) 向けの手法の例も示されています。自社の規模で何をすればよいかを判断するときの目安になります。

規程や台帳がそもそもない場合は、IPA の 中小企業の情報セキュリティ対策ガイドライン 第 4.0 版 の付録が使えます。付録 2 に情報セキュリティ基本方針、付録 5 に情報セキュリティ関連規程、付録 6 に資産管理台帳のサンプルがあります。ひな形をそのまま提出せず、自社で実際に運用する内容に直してから使います。個人情報の棚卸しから始める場合は、個人情報リスクアセスメントの実務ガイド も参考にしてください。

保守を委託しているシステムの項目

技術的な措置の質問は、システムの保守を外部の開発会社やクラウド事業者に任せていると、社内では答えられません。シートの質問文をそのまま転送するのではなく、答えに必要な事実を具体的に聞きます。聞く内容は次のとおりです。

• OS・ミドルウェア・ライブラリの更新を、どの基準で、いつ適用しているか
• 管理者権限を持つアカウントは誰のもので、退職者や契約終了者の権限をいつ消しているか
• 何の操作のログを、どこに、何日分保管しているか
• バックアップの頻度と保管場所、最後に復元を試した時期
• 脆弱性診断を受けたことがあるか、あればその時期

Web アプリの実装について聞かれたら、IPA の 安全なウェブサイトの作り方 改訂第 7 版の巻末にあるセキュリティ実装チェックリストが参照先になります。更新や脆弱性への対応を継続して回す仕組みは、脆弱性管理を ISMS で回す で扱っています。

委託先から答えが返らない場合や、保守の担当がそもそもいない場合は、シートの回答とは別の問題として扱います。自社のシステムの更新を誰が担っているかが曖昧になっている状態だからです。

答えられない項目の書き方

「いいえ」「一部対応」と書いてよい理由

個人データの取扱いの委託について、ガイドラインは、委託元が法の水準を超える高い対策を取っていても、委託先にも同じ水準を求める趣旨ではないと注記しています。法律上は、委託先は法第 23 条が求める水準の安全管理措置を講じれば足りると解されています。確認の方法も、委託する個人データの内容や規模に応じて選ぶもので、口頭による確認も含まれます。

つまり、シートの全項目が「はい」でなければ委託できない、という仕組みにはなっていません。ただし、取引先が契約でそれ以上の水準を求めることはあります。法律上の最低線と、取引先が求める水準は分けて考えます。

書き方の 4 つの型

答えられない項目は、次の 4 つの型のいずれかで補足を書きます。文例は、架空の会社を想定した一般的な例です。

型	使う場面	文例
現状	一部だけ実施している	一部対応。新しく購入した PC はディスクを暗号化してから配布しています。それ以前の PC は未対応です
代替策	求められた方法とは別の方法で同じ目的を満たす	いいえ。入退室の記録は取っていません。個人データを扱う PC は施錠できる部屋に置き、鍵の貸出を記録しています
対応予定時期	対応すると決めている	いいえ。全従業員向けの教育は未実施です。2027 年 1 月に実施し、以後は年 1 回行います
対象外の理由	自社の業務に当てはまらない	該当なし。貴社の個人データは紙で受け取らず、クラウド上のシステムでのみ扱うため、書類を保管する場所はありません

対応予定時期は約束になります。実行できる日付だけを書き、社内で決裁が要るものは決裁を取ってから書きます。現状と対応予定時期を組み合わせて書いても構いません。

避けたい回答

• 空欄。答えていないのか、該当しないのかを取引先が判断できません
• 根拠のない「はい」。「はい」と答えた項目は、契約後の監査や事故の調査で、規程・記録・設定と照らし合わされます。回答を出す前に、項目ごとに根拠になる資料がどこにあるかを確認してください
• 「検討中」だけ。誰が、いつまでに、何をするのかがないと、取引先の判断材料になりません

FIXIT

正直に「いいえ」って書いたら、取引を切られない？

Kaname

「いいえ」だけで切られるとは限りません。現状と予定を添えれば、取引先の判断材料になります。

次の回答を楽にする準備

取引先が増えるほど、様式の違うシートが届きます。1 回目の回答を、次に使い回せる形で残しておきます。

• 標準回答集。別添の分類ごとに、回答文と根拠資料の置き場所をまとめる
• 回答の控え。いつ、どの取引先に、何と答えたか。対応予定時期を書いた項目は、その期限も一覧にする
• 見直しの時期。年 1 回に加えて、規程や設定、保守の委託先を変えたときに直す
• 基本方針の公開。SECURITY ACTION の二つ星の要件でもあり、回答で公開先の URL を示せる

SaaS を提供している会社なら、回答済みのシートやセキュリティへの取り組みをまとめた資料を公開し、個別の質問をそこで受ける方法もあります。

ISMS・P マークがないと取引できないのか

法律は委託先に認証の取得を求めていない

前述のとおり、ISMS や P マークの取得は法律上の義務ではありません。

一方で、取引先が認証の取得を取引の条件にすることはあります。条件になっていれば、その取引では契約上の要件です。シートに「認証の有無」の欄があっても、それが必須の条件なのか、参考として聞いているだけなのかは様式からは分かりません。まず取引先に、認証が必須か、同等の対策の説明で足りるかを確認します。

回答や対策にかかる費用

取引先の求めに応じて対策を足す場合、そのコストは価格交渉の材料になります。経済産業省と公正取引委員会の 取引先とのパートナーシップの構築に向けて は、発注者が取引先にセキュリティ対策の実施を要請すること自体は、直ちに独占禁止法上の問題になるものではないとしています。要請する対策の例には、認証の取得も挙がっています。一方で、取引上の地位が優越している発注者が、認証の取得などを要請しながら、コスト上昇分の価格への反映を価格交渉の場で明示的に協議せずに取引価格を据え置くことは、独占禁止法上問題となるおそれがあるとしています。対策に費用がかかるなら、見積もりを添えて協議を申し入れて構いません。

認証がなくても示せるもの

同等の対策の説明で足りるなら、次のもので取り組みを示せます。

• IPA の SECURITY ACTION の宣言。中小企業が自ら対策に取り組むことを宣言する制度で、ロゴは無料で使えます。一つ星は「情報セキュリティ 6 か条」に取り組む宣言で、対策の実施前でも申し込めます。二つ星は、自社診断で状況を把握したうえで情報セキュリティ基本方針を定め、外部に公開する宣言です
• IPA の自社診断の結果と、低かった項目の改善予定
• 規程類、教育の実施記録、端末の台帳など、回答の根拠にした資料

SECURITY ACTION は IPA が対策状況を認定する制度ではありません。IPA は「認定を受けました」「取得しました」という書き方について、第三者の誤解を招くとして注意を呼びかけています。回答には「SECURITY ACTION の一つ星 (二つ星) を宣言しています」のように書きます。

認証を取るかどうかを決める目安

次のどれかに当てはまるなら、取得を検討する段階です。

• 取引先の要件や契約書の案に、ISMS や P マークの名前が明記されている
• 複数の取引先から、同じ認証を求められている
• 認証の有無で質問の一部を省略する取引先が多く、毎回の回答の負担が大きい

ISMS は、適用範囲にある情報資産全体のセキュリティ管理の仕組みを認証するものです。P マークは、個人情報の取扱いを管理する仕組みを対象にした制度です。取引先の要件の文面で、どちらを求められているかを確認してください。取得の手順・期間・費用は、ISMS 取得ガイド と P マーク取得ガイド にまとめています。両方が必要な場合は ISMS と P マークの併用取得ガイド を参照してください。

まとめ

届いたシートは、まず別添の分類の表に振り分け、答えられない項目に 4 つの型のどれを使うかを決めてください。振り分けると、社内で誰に聞くかと、取引先に何を説明するかを決めやすくなります。

FIXIT の支援 — 答えられない項目を、対策の優先順位に置き換える

答えられない項目が規程・体制・教育に集中していて、どこから手を付けるか決められない場合は、FIXIT の 情報セキュリティコンサルタント で支援します。最初のヒアリングで取引先から何を求められているかを整理し、リスクアセスメントで対策の優先度を決めたうえで、規程の整備と従業員教育まで進めます。

チェックシートの技術的な質問には、規程を読むだけでは答えられないものが多く含まれます。AI 駆動開発のクリエイティブスタジオとして開発と運用の両方に携わっている立場から、アクセス権限やログ、更新の運用といった実際のシステムの事情を踏まえて規程を整えます。認証の取得が必要になった場合も、それまでに整えた規程と記録を土台として生かせます。外部の支援者の選び方は 情報セキュリティコンサルの選び方 で整理しています。

保守を委託している開発会社が技術的な質問に答えてくれない場合や、保守の担当がいない場合は、シートの回答より先に保守体制の問題を片付ける必要があります。開発会社の乗り換え・システム引き継ぎ では、現状調査だけを切り出して依頼できます。どちらに当てはまるか分からない段階でも、お問い合わせ からご相談いただけます。