セキュリティチェックは自己申告だけでいい？証跡や追加確認をどこまで求めるか

取引先や委託先に送ったセキュリティチェックシートの回答が返ってきたとき、その内容は相手が自分で記入した自己申告です。全項目が「はい」で埋まっていても、それは相手がそう答えたという事実を示すだけで、実際にそのとおり運用されているかどうかまでを直接示すわけではありません。ここで迷いやすいのが、回答をそのまま受け取ってよいのか、それとも根拠となる資料まで求めるべきなのか、という判断です。この記事では、回答を依頼して確認する側（委託元）の立場で、どのような場合に回答を基本とし、どこから証跡や追加の確認まで求めるのかを決める考え方と、資料を求める場合の具体例・依頼文の例を紹介します。

回答を集める方法と、集めた回答をどこまで確かめるかは、別々に考えられます。相手にどう答えてもらうか、選択式にするか記述式にするか、備考をどう書いてもらうかは回答方法の話です。一方で、返ってきた回答をそのまま受け取るのか、裏付けとなる資料まで見るのかは、確認方法の話になります。

自己申告そのものが問題なのではありません。多くのセキュリティチェックは相手の申告を出発点にしており、それ自体は現実的な進め方です。ただ、申告を受け取ったあとに、それをどこまで確かめるかという判断が残ります。

なお、そもそも「何を確認するか」という設問の選び方は、別の記事で扱っています（→ 委託先セキュリティチェックはどこまで見るべき？）。この記事はその次の段階、確かめる深さに絞ります。

確認の深さは、一律に決めるものではありません。相手すべて・全項目に対して規程やログの提出まで求めれば、確かに裏付けは厚くなります。ただ、その分だけ相手の作業負担と自社の確認工数が増えます。提出された資料を読み込み、回答と照らし合わせる作業も発生します。

確認を厚くすること自体が目的になってしまうと、依頼する側も答える側も負担だけが重くなり、肝心の中身を見きれなくなります。だからこそ、どこに手間をかけ、どこは回答を基本に進めるかを分けて考える必要があります。

どこまで確かめるかを決めるとき、手がかりになるのは、その委託先や設問がどれくらいのリスクを持つかです。判断の材料として、次の3つが使えます。

• 扱う情報：どんな情報を渡すのか（個人情報や機密情報か、公開情報に近いか）
• 委託先に与える権限：システムへのアクセスや操作の範囲がどこまで及ぶか
• 問題が起きた場合の影響：漏えいや停止が起きたとき、自社や利用者にどれだけの影響が出るか

この3つをどう評価するかは、確認した結果をどう判断するかという段階でも使う見方です。ここでは評価そのものを細かく解説するのではなく、評価の結果によって確認方法をどう変えるかに絞ります。対応の目安は、たとえば次のように考えられます。

リスクの見方	確認方法の考え方
比較的限定的	回答を基本に確認
追加の裏付けが必要	回答＋証跡を検討
影響が大きい	証跡に加え、必要に応じて追加確認・監査等を検討

この段階分けは、実務上の目安として示すものです。公的機関がこの3段階を定義しているわけではありません。自社の基準や契約内容に合わせて、区切り方は調整してかまいません。

自社で確認方法を決める際、回答を基本とする方法を選択肢にしやすいのは、渡す情報が限られていて、相手に与える権限も狭く、問題が起きても影響が大きくなりにくい相手です。こうしたケースでは、すべての項目に同じように証跡を求める必要があるかを検討する余地があります。

ただし、これは「この条件なら回答だけで十分」と決められる話ではありません。扱う情報や契約条件、自社が定める基準によって、必要な確認は変わります。同じ相手でも、渡す情報が増えれば求める確認も変わります。回答を基本にする場合でも、気になる項目だけは備考や補足で状況を詳しく書いてもらう、といった中間的な進め方もできます。

回答だけではなく証跡まで求めるかは、回答内容そのものより、その確認対象で問題が起きた場合の影響を踏まえて決めます。扱う情報が重要である、委託先に広い権限を与える、問題が起きた場合に業務や利用者への影響が大きい、といった場合には、回答だけでなく根拠資料まで確認する選択肢が出てきます。

一方で、すべての項目について一律に資料提出を求めればよいわけではありません。証跡まで求める対象を決めたあとは、具体的にどの回答へ根拠資料を求めるか、返ってきた資料をどう確認するかという実務が続きます。具体的な確認手順は「セキュリティチェックシートの回答をどう確認するか」で扱っています。

証跡を求めると決めた項目について、どんな資料を求めるかの例を挙げます。
編集部が想定した運用例で、すべての委託先に共通する必須資料ではありません。相手の業務や規模によって、用意できる資料は異なります。

教育の実施

• 確認したい事実：委託業務に関わる担当者が、情報の取扱いに関する教育を受けているか
• 求める資料の例：直近の教育の実施記録（実施日、テーマ、受講対象）、教材の目次
• 対象範囲・日付の確認：委託業務の担当者が受講対象に含まれているか。実施日が回答の内容と合っているか
• 提出が難しい場合の相談：受講者名簿は個人名を伏せて受講者数だけにしてもらう。教材はオンラインの画面共有で見せてもらう

アクセス権の見直し

• 確認したい事実：委託業務で使うシステムの権限が定期的に見直され、不要な権限が外されているか
• 求める資料の例：直近の見直しの実施記録（実施日、対象システム、見直した件数、削除・変更した件数）
• 対象範囲・日付の確認：対象システムに、自社の情報を扱うシステムが含まれているか。見直しの日付が回答の内容と合っているか
• 提出が難しい場合の相談：アカウント一覧そのものではなく、件数をまとめた報告や、該当部分を伏せ字にした抜粋で確認する

バックアップの実施

• 確認したい事実：自社の情報を含むデータのバックアップが取られ、復元できる状態か
• 求める資料の例：バックアップの取得方針（頻度・保管期間・保管場所の種別）、直近の復元テストの実施記録
• 対象範囲・日付の確認：自社の情報が保存されるシステムが対象に含まれているか。復元テストの日付と結果
• 提出が難しい場合の相談：構成情報など外に出しにくい部分は伏せてもらい、方針と実施日を確認する。オンラインで説明を受け、聞いた内容を記録に残す

再委託の管理

• 確認したい事実：再委託先を把握し、再委託先にも必要な安全管理を求めているか
• 求める資料の例：自社の業務に関わる再委託先の一覧（名称、作業範囲）、再委託先との契約で安全管理を定めた条項の抜粋
• 対象範囲・日付の確認：一覧が自社の委託業務に関わる範囲に絞られているか。一覧の作成日・更新日
• 提出が難しい場合の相談：再委託先の名称を出しにくい事情がある場合は、作業範囲と所在地域を示してもらい、契約上の扱いを相談する

規程や手順書は「何をすることになっているか」を示し、実施記録は「実際に行ったか」を示します。
どちらを確かめたいかで、求める資料が変わります。規程の提出だけでは運用まで確認できたことにはならず、運用の記録だけでは、続けて行う仕組みがあるかは見えにくくなります。

記録を求める場合でも、ログや管理画面を加工せずにそのまま出してもらう必要はありません。必要な部分の抜粋、個人名や秘密情報の伏せ字、オンラインでの閲覧など、相手と相談して方法を決めます。
確認に使わない個人情報や秘密情報まで受け取ると、受け取った側にも管理の手間が生じます。どの方法でも確認として十分になるわけではないため、何を確かめたかと、確かめられなかった点を記録に残します。

資料を求めるときは、何の資料を、どの範囲・期間で、どこまで伏せてよいか、どう提出してほしいかを伝えると、相手が準備しやすくなります。次は文面の一例です。

○○株式会社 ご担当者様

先日はセキュリティチェックシートへのご回答をありがとうございました。
ご回答のうち、次の2項目について、運用の状況が分かる資料のご提出をお願いできますでしょうか。

・アクセス権限の定期的な見直し：直近1回分の見直しの実施記録（実施日、対象システム、見直した件数が分かるもの）
・バックアップ：バックアップの取得方針と、直近の復元テストの実施日が分かるもの

対象は、当社からお預けしている情報を扱うシステムに限ります。個人名、アカウント名、システム構成の詳細は伏せていただいてかまいません。
ファイルでのご提出のほか、オンラインでのご説明でもかまいません。資料のご用意が難しい場合は、ご事情をお聞かせください。別の確認方法をご相談させてください。

○月○日までにご連絡いただけますと幸いです。

資料が出せないことを、すぐに不備や取引不可と扱う必要はありません。
出せない理由を聞き、追加の説明や別の資料で確かめられるかを相談します。返ってきた資料や説明をどう確認し、どう判断するかは、後半の「返ってきた回答をどう確認するか」で紹介している記事で扱います。

求める資料を決めたら、回答用の設問と、資料を受け取るファイル添付の設問を1枚のチェックシートにまとめ、委託先1社に依頼してみると、回収と確認にかかる手間を見積もりやすくなります。
マモリスでは、管理する側が無料プランに登録して、回答と資料の回収、内容の確認、必要な場合の再提出の依頼までを試せます。回答する委託先はログイン不要です。無料プランはファイルの保存容量が小さいため、試す段階では資料を数点に絞ると扱いやすくなります。資料の内容が回答と合っているかの判断は、受け取った側の担当者が行います。

回答と必要な資料の回収を、無料で試す

証跡の確認よりさらに踏み込む方法として、監査や実地での確認、追加の報告を求める進め方があります。ただ、これはすべての委託先に一律で行うものではありません。渡す情報が特に重要だったり、問題が起きたときの影響が大きかったりする相手に対して、必要に応じて検討する深さです。

個人データの取扱いを委託する場合について、個人情報保護委員会は、委託先における個人データの取扱状況を把握することは必要としつつ、その手段として立入検査を行うこと自体が一律に義務付けられているわけではなく、委託する個人データの内容や規模に応じた適切な方法をとればよいとしています。監査をするかどうかも含め、確認方法は相手やリスクに応じて考える必要があります。

監査のような重い確認を全社に課すと、続けること自体が難しくなります。影響の大きい相手に絞って深く確認し、それ以外は回答や証跡を中心に進める、というメリハリが現実的です。

毎回すべての相手に重い確認を課していると、依頼も回答も回らなくなり、更新のたびに滞るようになります。

セキュリティチェックは、契約更新や定期的な見直しなどで繰り返し実施する場合があります。継続して確認する場合には、確認の深さと運用負担のバランスも考えておく必要があります。どこを厚く、どこを軽くするかをあらかじめ決めておけば、確認のたびに同じ判断を一からやり直すことを避けやすくなります。

ここまでは、送る前にどの深さの確認を課すかという設計の話でした。実際に回答や証跡が返ってきたあとには、空欄や「対応予定」といった回答をどう扱うか、提出された資料を回答とどう照らし合わせるか、という別の作業が続きます。この回答そのものの確認の進め方は、別の記事「セキュリティチェックシートの回答をどう確認するか」で具体的に扱っています。

そして、確認を終えた回答をもとに、その委託先と取引を進めてよいかをどう判断するかは、さらにその次の段階です（→ 確認した結果をどう判断するか）。「何を確認するか（項目）→どこまで確かめるか（この記事）→返ってきた回答をどう確認するか→結果をどう判断するか」という流れで考えると、それぞれの段階を切り分けやすくなります。

Q1. 回答がすべて「はい」でも信用してよいですか？

「はい」という回答は、相手がそう申告したことを示します。渡す情報や権限、問題が起きたときの影響の大きさによって、回答に加えて証跡を求めるかを判断します。すべてを疑う必要も、すべてをそのまま受け取る必要もありません。

Q2. すべての項目に証跡を求めるべきですか？

すべての項目に一律で証跡を求める、と決める必要はありません。証跡の確認は相手と自社の双方に負担がかかるため、扱う情報や影響の大きい項目に絞って求めるのが続けやすい進め方です。

Q3. 委託先の確認は法律で義務づけられていますか？

個人データの取扱いを委託する場合には、個人情報保護法第25条により、委託先への必要かつ適切な監督が求められます。ただしこれは個人データを委託する場合の監督義務であり、あらゆるセキュリティチェックが法的に義務づけられているわけではありません。契約や自社の基準に基づいて行う確認も多くあります。

Q4. 監査はどこまで行えばよいですか？

一律の基準があるわけではありません。個人データの取扱いを委託する場合について、個人情報保護委員会は、委託先における個人データの取扱状況を把握することは必要としつつ、その手段として立入検査を行うこと自体が一律に義務付けられているわけではなく、委託する個人データの内容や規模に応じた適切な方法をとればよいとしています。扱う情報や権限、問題が起きた場合の影響を踏まえ、証跡で確認するのか、追加の確認まで行うのかを決めます。

• 個人情報保護法（e-Gov法令検索）
• 「委託先における個人データ取扱状況の把握」に関して立入検査等を行うことは義務か（FAQ Q5-9）｜個人情報保護委員会

確認の深さを相手や項目によって変える場合は、誰に何を依頼し、どこまで確認したかを後から追えるようにしておく必要があります。マモリスでは、チェックシートの作成、回答依頼、回答状況の確認、差し戻し、回答履歴の管理までを同じ流れの中で扱えます。根拠資料が必要な設問では、回答者からファイルを添付してもらうこともできます。委託先ごとの確認を繰り返し管理している場合は、運用方法を見直す選択肢の一つになります。