「経済産業省準拠」と呼ばれるセキュリティ対策評価チェックシートとは？ ガイドラインを実務項目に落とす考え方

委託先にセキュリティチェックシートを送ろうとして、経済産業省やIPAの資料を開く。ところが、そのままでは使えません。資料には大事な考え方が書かれていますが、取引先にそのまま送って回答してもらえる確認表ではないからです。

公的資料には、対策の考え方だけでなく、委託先への質問例まで示したものもあります。ただし、それらがそのまま自社の取引内容に合ったチェックシートになるわけではありません。どの内容を、どこまで、相手が回答できる設問にするかは、自社の委託内容に合わせて決める必要があります。

この記事のテーマは、そこに絞ります。Excel運用の限界でも、委託先管理全般でもなく、「経済産業省やIPAの考え方を、取引先が回答できるチェックシートの設問にどう落とすか」です。

先に言葉の整理をしておきます。「経済産業省準拠」とは、経済産業省やIPAのサイバーセキュリティ関連ガイドラインの考え方や対策項目を参考にした、という意味です。経済産業省が特定の民間チェックシートを認定・監修しているわけではなく、「経済産業省準拠」という名前の公式シートが配られているわけでもありません。

下敷きになるのは、経済産業省の「サイバーセキュリティ経営ガイドライン Ver3.0」や、IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」、その関連資料である「5分でできる！情報セキュリティ自社診断」などです。これらの考え方に沿わせておくと、確認すべき範囲の見当がつき、自分でゼロから組むより抜けが出にくくなります。

ただし、ここで止まると中途半端です。「これらのガイドラインに準拠しています」と言えても、それだけでは中身を保証しません。
大事なのは、その考え方をどんな設問に変えたか、です。

なお、セキュリティチェックシートそのものの目的や基本項目を整理したい場合は、関連記事のセキュリティチェックシートとは？目的・項目例・導入時の落とし穴を解説も参考になります。

経済産業省やIPAには、用途の異なるガイドラインやチェック資料があります。ただ、「経済産業省のセキュリティチェックシート」という名前で統一された一つの様式があるわけではありません。「経産省準拠」「経産省ガイドライン版」といった名称で、民間企業が公的資料を参考に独自のチェックシートを作成している例があります。参照している資料も一つではありません。混同を避けるために、関係する資料・制度を分けて見ておくと分かりやすくなります。

資料・制度	内容	位置づけ
2013年版ガイドラインを参考にした民間シート	経済産業省「クラウドサービス利用のための情報セキュリティマネジメントガイドライン（2013年度版）」などを参考に、民間企業がチェックシートを作成している例があります。	民間で作成された実例。現行の唯一の基準ではありません。
現行の公的資料	IPA「中小企業の情報セキュリティ対策ガイドライン（第4.0版）」や、委託先の対策状況を確認する手順を示した「プラクティス9-1」など。委託先確認に直接使える考え方が示されています。	現在の確認内容を考えるときの参考資料。
SCS評価制度	サプライチェーン強化に向けたセキュリティ対策評価制度。企業のセキュリティ対策状況を評価・可視化する仕組みです。	チェックシートとは別の評価制度。

「経産省準拠」「経産省ガイドライン版」といった表現を見たときは、何の公的資料を参照しているのかを確認する必要があります。SCS評価制度は、こうした民間のチェックシートとは別の制度です。

IPAの「中小企業の情報セキュリティ対策ガイドライン（第4.0版）」や、委託先の対策状況を確認する手順を示した「プラクティス9-1」を参考に、委託先へ確認する内容を分けてみると、たとえば次のようになります。以下は公的資料の正式な分類ではなく、本記事でまとめた区分です。個別の設問を網羅するのではなく、「何を確認するのか」までを示すものとして参考にしてください。

確認する領域（記事用の区分）	確認しておきたい内容の例
情報管理の体制と基本方針	情報セキュリティの基本方針を定めているか。責任者や連絡窓口を決めているか。扱う情報の種類を分類し、管理する対象をはっきりさせているか。
従業員教育と人的管理	委託業務に従事する担当者に、セキュリティ教育を実施しているか。
アクセス管理と技術的な備え	通信経路を必要な範囲に限定しているか。不正な侵入を防ぐ仕組みや、不正な通信を監視する仕組みがあるか。
インシデントへの備え	事故が起きたときの連絡先・報告の期限・初動の手順を決めているか。委託元への報告ルールを共有しているか。
委託先・再委託先の管理	再委託の有無を把握しているか。再委託先の管理方法や、委託先を変えるときの連絡ルールを定めているか。委託契約にセキュリティに関する取り決めを含めているか。
クラウド・外部サービスの利用	業務で使う外部サービスを把握しているか。業務データを外部サービスに預けてよいかの可否・範囲・承認のルールを決めているか。
バックアップと復旧の備え	重要なデータをバックアップしているか。バックアップから元に戻せるかを、定期的に確認しているか。

すべての委託先に同じ深さで確認する必要はありません。扱う情報の重要度や、自社システムとの接続の有無、再委託の有無に応じて、確認する範囲を絞ったり、深さを変えたりすると、相手の負担と自社が知りたいことの釣り合いが取りやすくなります。

経済産業省やIPAの資料は、対策の方向性や考え方を示すものです。「経営層が関与する」「情報資産を把握する」「委託先を管理する」といった、抽象度の高い記述が中心になります。
これは資料の役割としては正しいのですが、取引先にそのまま渡しても、相手は何をどう答えればいいか分かりません。

たとえば「適切なアクセス管理を行っていますか」とだけ聞くと、「はい」と回答されてもおかしくありません。でも、その「はい」が、全員が管理者権限を持っている状態を指しているのか、必要な人だけに絞っている状態を指しているのかは、回答からは分かりません。
抽象的な設問は、回答欄が「はい」で埋まっても、実態が見えないのです。

だから、ガイドラインをチェックシートにするには、考え方を、相手が具体的に答えられる粒度の設問へ分解する必要があります。
この分解の質が、そのままチェックシートの質になります。

「このシートは経産省ガイドラインに準拠しています」とうたう確認表を見たら、参照しているガイドライン名より先に、設問そのものを見てください。見るべきは、考え方が回答できる形に翻訳されているかどうかです。

設問を作るときの目安は、「対策していますか」で止めず、「誰が、何を、どの頻度で、どの範囲に実施しているか」が答えられる形になっているかです。主語と対象と頻度が入っていれば、回答する側も具体的に書けますし、こちらも実態を読み取れます。

もう一つ、委託先に聞く項目と、自社で判断する項目を分けておくと混乱が減ります。
相手の運用状況を確認したい設問と、その回答を見てこちらが許容範囲かどうかを決める判断とは、別物だからです。そして回答を受け取ったら、回答そのものだけでなく、その根拠や補足、確認した人の判断まで残せる形にしておく。
ここまで設計して、はじめて「使えるチェックシート」になります。

具体的に、ガイドラインで重視される考え方を、取引先に送れる設問に変えるとどうなるか。代表的なものをいくつか挙げます。

公的資料で 重視される考え方	チェックシートに落とすときの聞き方
情報資産を把握する	委託業務で扱う情報の種類を分類し、管理対象を明確にしていますか
アクセス管理を行う	業務に必要な担当者だけが情報やシステムにアクセスできるよう、権限を付与・変更・削除していますか
委託先・再委託先を管理する	再委託の有無、再委託先の管理方法、変更時の連絡ルールを定めていますか

左の列は、ガイドラインを読めば出てくる考え方です。これをそのまま設問にすると「情報資産を把握していますか」となり、また「はい」で終わってしまいます。右の列のように、対象や範囲を具体化すると、相手は自分の運用に当てはめて答えられますし、回答を見たこちらも、足りない部分を見つけやすくなります。

なお、生成AIやAI搭載SaaSの利用を具体的に確認したい場合は、委託先のAI利用を確認するチェックリスト｜入力情報・再委託・SaaS利用の確認項目も参考になります。

設問を作っていると、つい広く聞いてしまいがちです。よくある、答えられない設問を挙げておきます。

• 「セキュリティ対策を実施していますか」――範囲が広すぎて、何を答えればいいか決まりません。
• 「教育をしていますか」――頻度も対象も分からず、年に一度の通知でも「はい」になります。
• 「再委託先を管理していますか」――変更時の連絡や、責任の所在までは見えません。
• 「生成AIを使っていますか」――入力してよい情報の範囲や、契約形態が抜け落ちます。

共通しているのは、回答者が具体的に答えられる粒度になっていないことです。
設問は、相手が自分の状況を思い浮かべて書ける大きさまで割る。これだけで、回答の中身がずいぶん変わります。

作った設問を、全委託先に同じ深さで送る必要はありません。
個人情報を扱う先や、自社システムに接続してくる先、再委託のある先は深く、接点の薄い取引先は軽く。取引内容に応じて項目を調整したほうが、相手の回答負担とこちらが知りたいことが見合います。

重いシートを一律に送ると、増えるのは回答の手間だけ、ということになりがちです。

委託先や取引先ごとに確認項目を出し分ける考え方は、取引先評価チェックリストとは？委託先管理で確認すべき項目と運用方法で詳しく整理しています。

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、日々の委託先確認に使うチェックシートとは別の仕組みです。経済産業省が2026年3月27日に「制度構築方針」を公表した、企業のセキュリティ対策状況を共通の基準で評価・可視化する制度で、スキームオーナーはIPAです。
公式の説明では、対策の段階を★3・★4に分け（★5は今後検討）、★3はセキュリティ専門家の確認・助言を経た自己評価、★4は評価機関による第三者評価で、文書確認に加えて実地審査や技術検証（脆弱性検査等）が想定されています。特定のセキュリティ対策製品の導入が必須とされているものではありません。制度の開始（申請受付の開始）は、公式には「★3及び★4：2026年度末頃の制度開始を目指す」とされており、整備状況によって変わる可能性があるとも示されています（経済産業省 SCS評価制度）。
チェックシートは、この制度そのものを代替するものではありません。制度開始前の現時点では、既存の委託先確認を続けながら、今後公表される内容に応じて確認方法を見直していくのが現実的です。

SCS評価制度と委託先管理の関係を詳しく知りたい場合は、SCS評価制度で委託先管理はどう変わる？をご覧ください。

設問をうまく作れても、Excelとメールで運用していると、回答ファイルや根拠資料、差し戻しの記録が別々の場所に残りやすくなります。確認済みかどうかの判断も、どこにあるか分かりにくくなりがちです。

項目を整えても、この「回答に付随する情報」がバラバラに散ると、次回の確認に使えません。去年の判断理由が分からなければ、結局また一から確認することになります。せっかく設問を作り込んでも、判断の積み重ねが残らないと、毎年ふりだしに戻ってしまいます。

Excelやメールでの回収、差し戻し、履歴管理の課題は、セキュリティチェックシートの運用課題とは？Excel・フォームの限界と解決ツールで詳しく解説しています。

ここまでをまとめると、この記事で重視したいポイントは二つです。一つは、ガイドラインの考え方が、回答できる設問に翻訳されていること。
もう一つは、回答とその根拠、判断理由が、次回に引き継げる形で残ること。
設問づくりと、判断の記録。この両方がそろって、はじめて委託先管理として機能します。

マモリスは、こうしたチェックシートのやり取りを、作成・依頼・回収・確認・差し戻しと、そのやり取りの記録を同じ流れの中で扱えるようにするサービスです。
繰り返し確認では、前回のテキストや選択肢の回答を初期値として使うこともできます。また、回答内容や確認・差し戻しの履歴を残しておくことで、次回の確認時に過去の判断をたどりやすくなります。
期限前のリマインドメールの送信や、一括での催促にも対応しています。大事なのは、項目を作ることそのものよりも、判断の積み重ねを次につなげられることです。

経済産業省やIPAのガイドラインは、優れた考え方の集まりです。ただ、そのまま取引先に送れる確認表ではありません。経済産業省やIPAの公的資料を参考にチェックシートを作るには、考え方を、相手が具体的に答えられる設問へ落とし込む作業が要ります。

ガイドライン名を並べることがゴールではなく、設問の粒度をそろえ、回答とその判断理由を残せる形にすること。そこまでやって、確認は次の年につながります。まずは、自社が委託先に本当に確認したいことを、答えられる設問の形にするところから始めてみてください。

実際に使えるチェックシートの種類を確認したい場合は、無料で使えるチェックシートテンプレート一覧もご覧ください。 経済産業省やIPAの考え方をもとに、自社や委託先向けのチェックシートをどう設計すればよいか迷う場合は、マモリスの無料診断をご利用ください。