取引先からセキュリティチェックシートが届いたら｜回答の書き方と提出までの手順

取引先から「セキュリティチェックシートにご回答ください」と連絡が来て、期限は来週、設問は数十問——。情報システムの専任者がいない会社ほど、こうした依頼は突然感が強く、どこから手をつけるか迷いやすいものです。

このとき、いきなり1問目から埋め始めるのはおすすめしません。先に、提出期限・回答の対象範囲・社内で誰に確認すべきかを押さえ、設問を「すぐ回答できる」「社内確認が必要」「現時点では未対応」「相手に意味を確認したい」の4つに分けてから書き始めると、途中で確認が必要になって作業が止まる箇所を把握しやすくなります。分からない設問や未対応の項目を推測で「はい」にせず、自社の実態と補足をセットで書くこと。これがこの記事全体を通しての基本方針です。

なお、チェックシートそのものの目的や項目例は「セキュリティチェックシートとは？目的・項目例・導入時の落とし穴を解説」にまとめているため、本記事では回答する側の動きに絞ります。

チェックシートを開く前に、依頼メールと添付ファイルから次の点を拾い出しておきます。

• 提出期限（いつまでか、書面提出か回答フォームか）
• 対象となる契約・業務（どの取引についての確認か）
• 回答対象の範囲（会社全体か、特定の拠点・サービス・システムか）
• 回答方法（Excel返送、専用フォーム、PDFなど）
• 求められている添付資料（規程、構成図、認証書など）
• 提出前に社内承認が必要か
• 不明点の問い合わせ先（相手の担当者名・連絡先）

特に見落としやすいのが「回答対象の範囲」です。全社を対象にした設問なのか、今回の委託業務で使う特定のシステムだけが対象なのかで、答えが変わる設問は少なくありません。範囲が読み取れないときは、この段階で相手に確認し、回答の前提を揃えてから進めます。

設問数が多いチェックシートを上から順に埋めていくと、途中で社内確認が必要な設問に当たるたびに手が止まります。先に全体を眺めて、設問を次の4つに振り分けておくと進めやすくなります。

• すぐ回答できる（自分の担当範囲で事実が分かる）
• 社内確認が必要（他部署に聞かないと答えられない）
• 現時点では未対応（対策をまだ導入していない）
• 相手に確認が必要（設問の意味や対象範囲があいまい）

「相手に確認が必要」に分けた設問は、早めにまとめて問い合わせます。確認が必要な設問をまとめておけば、問い合わせ内容を整理して相手へ伝えられます。たとえば次のような聞き方です。

設問◯番の「対象システム」は、今回の委託業務で利用する△△のみを指す認識で問題ないでしょうか。全社の情報システムまで含む場合は、対象範囲を教えていただけますか。

セキュリティチェックでは、一人だけでは事実確認できない設問が含まれる場合があります。設問の種類ごとに、社内で誰に聞けばよいかの目安を挙げます。

設問カテゴリ	主な確認先の例
アカウント・アクセス権限	情報システム、システム管理者
PC・端末・ウイルス対策	情報システム、IT管理担当
開発・脆弱性対応	開発責任者、インフラ担当
個人情報の取扱い	個人情報保護責任者、法務、総務
従業員教育	人事、総務、情報セキュリティ担当
委託・再委託	契約担当、法務、事業責任者
インシデント対応	情報システム、セキュリティ責任者、経営層
認証・社内規程	管理部門、ISMS事務局など

ただし、担当部署の呼び方や分担は会社によって異なります。専任部署がない場合は、経営者や管理部門が担当している場合もあります。この表はあくまで「誰が事実を知っていそうか」の当たりをつけるための目安です。

チェックシートには、「はい／いいえ」で答える形式があります。ただ実務では、条件付きで「はい」だったり、未導入だが代替策があったりと、二択だけでは実態を表しにくい設問もあります。ここで無理に「はい」を選ぶより、実態を、相手が判断できる情報量で書くほうが、あとの説明が楽になります。

状況	避けたい回答	書き方の考え方	補足に入れる情報
条件付きで実施している	「はい」だけ	実施範囲と対象外を明記	対象の端末・業務、対象外の範囲
未導入だが代替策がある	「いいえ」だけ	未導入の事実と代替措置を併記	代わりに実施している対策
一部だけ対応	「はい」または空欄	どこまで対応済みかを線引き	対応済み／未対応の範囲
今後対応する予定	「対応予定」だけ	実際に決まっている対応内容を書く	対応内容、予定時期、現在の代替措置
取引の性質上あてはまらない	空欄	「該当なし」と判断した理由を書く	該当しないと判断した根拠
自分では分からない	推測で「はい」	「確認中」とし提出方法を相手と相談	いつまでに確認できるか

たとえば、ウイルス対策ソフトの導入を問う設問で、業務用PCには入れているが私用スマホからの業務利用は対象外という場合、「はい」だけでは実態とずれます。「業務用端末には導入済み。私用端末からの業務利用は原則禁止とし、対象外」のように、範囲を添えて書きます。

未導入の設問でも「いいえ」で止めず、「現時点で◯◯は未導入。代替として△△を実施している」と代替措置まで書くと、相手が実際のリスクを判断しやすくなります。「対応予定」と書くのは、実際に計画が決まっている場合に限ります。何を・いつまでに・誰が対応するのかが社内で固まっていないのに「対応予定」と書くと、次回の確認で進捗を尋ねられたときに答えられなくなります。「該当なし」も、その設問が適用されない理由を一言添えます。たとえば「今回の取引では○○を行っていないため、本設問の対象がない」といった形です。理由を書いておくと、空欄との違いが相手にも伝わります。

なお、ここで挙げた例文はそのまま使う定型文ではありません。必ず自社の実態に置き換えてください。実態と異なる回答は、あとで説明できなくなります。

未対応の項目があると、書きにくさから空欄にしたり、実態より良く見せたくなったりします。未対応の項目がある場合も、未対応という事実だけではなく、対象範囲や代替措置、今後の対応予定などをあわせて伝えることで、取引先が状況を判断するための情報を補えます（取引先がこうしたチェックを求める背景は「セキュリティチェックシートはなぜ必要か｜セキュリティが「取引条件」になる時代」で扱っています）。

未対応の項目は、次の要素のうち相手の判断に必要なものを添えて伝えます。

• 何が未対応なのか（対象範囲を限定する）
• 代わりに取っている措置（代替策）
• 対応する予定があるか、あるならその時期
• そのリスクを現状どう抑えているか

改善計画が決まっていないのに「対応予定」とは書きません。決まっていない場合は、現在の代替措置を記載し、現時点の実態と回答内容を一致させます。

回答だけでなく、「社内規程を提出してください」「ネットワーク構成図を添付してください」「認証書のコピーを送ってください」と、資料の提出を求められる場合があります。ここは、求められたものをそのまま全部送る前に、いったん立ち止まって確認する部分です。

• 相手が本当にその資料を必要としているか（回答で足りないか）
• 今回の取引の対象範囲が分かる資料になっているか
• 最新版か
• 社外秘の情報が含まれていないか
• アカウント情報、内部IPアドレス、詳細なネットワーク構成など、今回の判断に不要な機密情報まで含んでいないか

不要な機密情報が含まれる場合は、該当箇所をマスキングする、必要な部分だけを抜粋する、別途概要資料を用意するといった対応も選べます。資料によって外部へ開示できる範囲は異なります。資料の種類だけで判断せず、社内の情報開示ルールや今回の取引で必要な範囲を確認してから提出します。

設問数が多い、または社内確認に時間がかかると分かった時点で、期限内に全問そろえられるかを早めに見積もります。難しいと分かったら、期限が来てからではなく、その時点で相手に相談します。提出期限の延長が可能か、一部回答を先に提出できるかを確認します。相談の際は、いつまでなら提出できるか、先に一部だけ提出してよいか、といった選択肢を添えると話が進みやすいです。

お世話になっております。いただいたチェックシートについて、一部の設問で社内確認に時間を要しており、全項目のご回答が◯月◯日までとなる見込みです。先に回答可能な項目のみ先行してお送りする形でもよろしいでしょうか。

避けたいのは、期限に間に合わせるために不明な設問を推測で埋めることです。いったん提出した内容は、その後のやりとりの前提として扱われる場合があり、あとから訂正する手間のほうが大きくなりがちです。

一通り書き終えたら、提出前に次の点を見直します。

• 設問どうしで回答が矛盾していないか
• 「はい」と答えた項目を、聞かれたら説明できるか
• 添付資料の内容と回答が食い違っていないか
• 社外秘の情報を不要に含めていないか
• 回答の対象範囲が相手に伝わる書き方になっているか
• 「対応予定」と書いた項目に、実在する計画があるか
• 提出に必要な社内承認を得たか
• 提出した版を自社にも保存したか

特に、複数人で分担して回答した場合は、担当ごとに書きぶりや前提がずれていないかを一度通して確認しておくと安心です。

提出して終わり、とは限りません。相手から設問の追加質問が来たり、証跡の追加提出を求められたり、一部の項目について改善を依頼されたりする場合があります。こうした追加のやりとりに備えて、「何を・どういう根拠で回答したか」を社内に残しておきます。

同じ取引先から翌年また同じチェックが届く場合も、別の取引先から似た内容を聞かれる場合もあります。提出版と回答の根拠を後から確認できる状態にしておけば、次回の確認時に前回の回答内容と根拠を参照できます。回答した本人が異動・退職した後でも、社内の誰かが経緯をたどれる状態にしておくことが重要です。

Q1. セキュリティチェックシートは誰が回答するものですか？

設問によって確認先が異なるため、情報システム・総務・人事・法務・事業責任者など、複数の担当者への確認が必要になる場合があります。専任者がいない場合は、経営者や管理部門が取りまとめる形もあります。窓口を一人決め、各設問の確認先を割り振ると進めやすくなります。

Q2. 分からない設問は空欄のまま提出してもよいですか？

空欄のまま出すと、未対応なのか確認中なのかが相手に伝わりません。「確認中」「該当なし（理由）」など、現在の状態が分かる形で記載すると、相手も回答状況を判断しやすくなります。

Q3. 未対応の項目は「いいえ」と書くと取引に不利になりますか？

一律には決まりません。取引先が何を重視するか、代替措置があるか、対象範囲がどこまでか、改善計画があるかによって受け取られ方は変わります。実態と異なる「はい」を書くのではなく、未対応の事実と代替措置・対象範囲を記載したほうが、提出後の説明との整合性を保ちやすくなります。

Q4. 回答期限に間に合わない場合はどうすればよいですか？

間に合わないと分かった時点で早めに相手へ相談します。一部だけ先に提出してよいか、期限を延ばせるかを確認し、不明な設問を推測で埋めて期限を守ることは避けます。

Q5. 社内規程やネットワーク構成図はそのまま提出してよいですか？

そのまま全部を出す前に、最新版か、社外秘や今回の判断に不要な機密情報（アカウント情報、内部IP、詳細な構成など）が含まれていないかを確認します。必要に応じてマスキングや抜粋、概要資料での代替も選べます。社内の情報開示ルールがあれば、それに沿って判断します。

Q6. 一度回答した内容は次回も同じ回答を使ってよいですか？

前回の回答は出発点として使えますが、そのまま流用はしません。導入したシステムや体制、取引の対象範囲が前回から変わっている場合があるため、前回回答を見直したうえで現状に合わせて更新します。提出版と根拠を残しておくと、この見直しがしやすくなります。

ここまでは、自社が回答する側としての進め方でした。一方で、自社も取引先やSaaSベンダーへセキュリティチェックを依頼している、あるいは今後依頼する場合は、依頼する側の運用——チェックシートを作り、送り、回収し、未回答を催促し、回答を確認して差し戻す——を別に整えておく必要があります。受け取った回答をどう確認・判断するかは「セキュリティチェックシートの回答をどう確認するか｜空欄・「対応予定」・条件付き回答の判断基準」で扱っています。