「IPAのセキュリティチェックシート」を探していると、複数の異なるツールが検索結果に出てきて、どれが自社に必要なものか分かりにくいと感じることがあります。
実はIPAは、単一の「セキュリティチェックシート」を1つだけ公表しているわけではありません。目的や対象読者が異なる複数のツールを、それぞれ別の文書として公表しています。この記事では、IPAが提供している主なチェックツールの種類と、それぞれの使い分けを整理します。
なお、IPAが公開しているチェックリストや関連資料はこれらに限られません。本記事では、企業のセキュリティチェック実務で混同されやすい代表的な3系統に絞って整理します。
IPAが提供する代表的なチェックツール3系統
①中小企業の情報セキュリティ対策ガイドライン「5分でできる！情報セキュリティ自社診断」
「中小企業の情報セキュリティ対策ガイドライン」（2026年3月改訂・第4.0版）の付録として提供されている自己診断シートです。経営者・情報システム担当者が、自社のセキュリティ対策の現状をおおまかに把握することを目的としています。
診断項目には、外部から内部ネットワークへの不要な通信の遮断や、Webサイトの安全な運用に関する項目なども含まれており、比較的短時間で自社の対策状況を振り返る用途に向いています。同ガイドラインには他にも、情報資産管理台帳や情報セキュリティ関連規程のサンプルなど、複数の付録ツールが用意されています。
②「安全なウェブサイトの作り方」に付随するチェックシート
「安全なウェブサイトの作り方」は、Webサイトの開発者・運営者向けに、IPAが届出を受けた脆弱性関連情報をもとに作成された資料です。巻末には、Webアプリケーションのセキュリティ実装状況を確認するためのExcel形式の「セキュリティ実装チェックリスト」も付属しています。
SQLインジェクションやクロスサイトスクリプティングなど、脆弱性の種類ごとに実装状況を確認する形式になっています。こちらは中小企業の自社診断とは異なり、Webアプリケーションの開発・運用に直接関わる担当者を想定した、より技術的な内容です。Webサービスを提供している企業が、自社のWebアプリケーションの実装状況を点検する際の参考にもなります。
③入退管理システムにおける情報セキュリティ対策要件チェックリスト
入退管理システム（オフィスの入退室管理等）を調達・運用する際に確認すべき要件をまとめたチェックリストです。政府機関の調達を主な想定読者としていますが、自治体や民間組織の調達でも利用可能とされています。対象が入退管理システムという特定用途に絞られているため、多くの企業にとっては該当する場面が限られるツールです。
代表的な3系統をどう使い分けるか
| 主な対象読者 | 確認する内容 | |
|---|---|---|
| 自社診断（①） | 経営者・情報システム担当者全般 | 組織全体のセキュリティ対策の現状 |
| Webサイト向け（②） | Web開発者・運営者 | Webアプリケーションのセキュリティ実装状況 |
| 入退管理システム向け（③） | システム調達担当者 | 入退管理システムの機能要件 |
取引先や委託先から「セキュリティチェックシートを提出してほしい」と言われた場合、まずどのツールを指しているのかを確認することが大切です。特に①と②は目的も対象読者も異なるため、混同すると準備の方向性がずれてしまいます。
それぞれのツールはどこで入手できるか
①中小企業の情報セキュリティ対策ガイドライン「5分でできる！情報セキュリティ自社診断」
IPA公式サイトの「中小企業の情報セキュリティ対策ガイドライン」ページから、本編(PDF)とあわせて付録3としてダウンロードできます。ガイドライン全体は第4.0版(2026年3月改訂)が最新です。
②「安全なウェブサイトの作り方」に付随するチェックシート
IPA公式サイトの「安全なウェブサイトの作り方」ページから、解説書(PDF)とセキュリティ実装チェックリスト(Excel)を、それぞれ個別にダウンロードできます。
③入退管理システムにおける情報セキュリティ対策要件チェックリスト
IPA公式サイトの該当ページから、チェックリスト本体(PDF)と、第4章を抜粋した編集可能なExcel版の両方が入手できます。
いずれも無料で公開されており、利用にあたって登録や申請は必要ありません。
サプライチェーン対策としての位置づけ
近年は、IPA単体のチェックツールに加えて、経済産業省が主導するSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）のように、取引先間で共通の基準を使う仕組みも整備が進んでいます。SCS評価制度の概要は、SCS評価制度で委託先管理はどう変わる？で整理しています。また、★3取得における専門家確認の仕組みについては、SCS評価制度★3の「専門家確認」とは？をご覧ください。
チェックシートを社内で運用する際に起きやすいこと
いずれのチェックツールを使う場合も、記入して終わりではなく、その後の確認・保管が実務上の負担になりがちです。誰が回答し、誰が内容を確認したか、対応が必要な項目にどう対処したかを記録として残しておかないと、翌年また同じ確認をゼロからやり直すことになります。
マモリスでできること
マモリスは、IPAの各チェックツールの内容を判定したり、代わりに評価したりするものではありません。ただし、IPAが公開している診断項目やチェックリストを参考に、自社用のチェックシートとして整理し、回答依頼・回収・確認・差し戻し・証跡の保管までを扱いやすくする用途で利用できます。
- IPAの診断項目を参考にした設問グループを作成し、社内・委託先への回答依頼に使える
- 回答内容を確認し、対応が必要な項目に差し戻しコメントを残せる
- 前年の回答をベースに、変更点を確認しながら次回の診断を進めやすくなる
まとめ
「IPAのセキュリティチェックシート」には、中小企業向けの自社診断、Webサイト向けのセキュリティ実装確認、入退管理システム向けの要件確認など、目的の異なる複数のツールがあります。取引先から提出を求められた際は、まずどのツールを指しているのかを確認し、必要な範囲で準備を進めることが大切です。
よくある質問
Q1. IPAの「5分でできる自社診断」と「安全なウェブサイトの作り方」のチェックシートは同じものですか？
A. 異なります。前者は組織全体のセキュリティ対策の現状を把握する自己診断で、後者はWebアプリケーションのセキュリティ実装状況を確認するための技術的なチェックシートです。
Q2. 取引先から「IPA準拠のチェックシートを提出してほしい」と言われたら、どれを使えばよいですか？
A. まず取引先に、どのIPA資料やチェックシートを指しているのか確認することが大切です。「IPA準拠」という言い方だけでは、5分でできる自社診断を指すのか、Webサイト向けのセキュリティ実装チェックリストを指すのかが分かりません。委託先管理の文脈では自社診断が候補になりますが、Webサービス提供者の場合はWebサイト向けのチェックリストを求められることもあります。
Q3. IPAのチェックシートに対応していれば、SCS評価制度にも対応したことになりますか？
A. 別の制度です。IPAの自己診断は自社での振り返りを目的としたツールですが、SCS評価制度は経済産業省が主導する第三者評価を含む制度で、★3では専門家確認が必要です。詳しくは別記事をご覧ください。
無料診断でチェックシート運用状況を確認する
IPAの診断項目やチェックリストを参考にしても、社内での回答依頼、回収、確認、差し戻し、証跡管理まで運用するには手間がかかります。現在のチェックシート運用にどのような負担があるか、マモリスの無料診断で確認できます。登録不要で、3分ほどで確認できます。
参考情報
本記事は、2026年7月時点で公表されている以下の一次情報をもとに作成しています。