セキュリティチェックシートの回答をどう確認するか｜空欄・「対応予定」・条件付き回答の判断基準

委託先から返ってきたセキュリティチェックシートを開いて、手が止まる瞬間があります。空欄が3つ残っている。「対応予定」と書かれた項目がある。「クラウド環境は対象外」と条件が付いている。——このまま確認済みにしてよいのか、差し戻すべきなのか。

チェックシートの運用で本当に判断が問われるのは、作成や送付ではなく、回収した後のこの場面です。この記事では、返ってきた回答を確認する手順と、空欄・「対応予定」・条件付き回答といった判断に迷いやすい回答の扱い方、そして判断基準と記録の残し方までを、委託先管理の担当者向けに解説します。

セキュリティチェックシートそのものの目的や項目例については、セキュリティチェックシートとは？目的・項目例・作り方から運用まで解説をご覧ください。

回答が提出された状態と、その内容を確認して判断を下した状態は、別のものです。

回収済みとは、委託先から回答が届いたという事実にすぎません。空欄があっても、水準を満たさない回答があっても、提出されれば回収済みになります。一方、確認済みとは、回答内容と必要な根拠資料を確認し、現時点で追加の確認が必要かどうかを判断した状態です。取引の開始・継続そのものに別途承認が必要な場合は、社内の判断権限に従って決定します。チェックシートの確認は、その判断材料のひとつです。

委託先の確認について、公的なガイドラインも「回答を受け取ること」で終わらない考え方を示しています。IPAの「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）は、重要な情報を委託先へ渡す場合に委託先の対策状況を考慮する必要性を示し、個人情報保護委員会も、委託する個人データの内容や規模に応じて委託先の取扱状況を適切な方法で把握するという考え方を示しています。ただし、これらは原則を示すものであり、判断区分や記録項目といった本記事の実務設計は、その原則を運用に落とすためのひとつの方法です。

回収率100%は、確認が終わったことを意味しません。確認という業務の中身は、次章の手順に分解できます。

確認は、次の5つのステップで進めます。

ステップ1：空欄・未回答の項目を確認する

まず全体を見て、空欄や未回答の項目がないかを確認します。内容の判断に入る前に、回答が揃っているかどうかを見る段階です。必須項目に空欄があれば、この時点で差し戻しの対象になります。

ここでいう必須項目は「回答を必ず求める項目」、重要項目は「回答内容を重点的に評価する項目」です。重要項目は、原則として必須回答に設定しておくと運用が分かりやすくなります。

ステップ2：重要項目の回答内容を確認する

すべての項目を同じ深さで見る必要はありません。委託する業務の内容と、預ける情報の重要度に応じて、重点的に見る項目をあらかじめ決めておき、その回答が求める水準に達しているかを確認します。

ステップ3：回答と根拠資料を照合する

根拠資料の提出を求めた項目では、資料が添付されているかどうかだけでなく、次の点を照合します。

• 回答内容を裏付ける資料になっているか
• 資料の対象となる会社・組織・システムが、回答した委託先・委託業務と一致しているか
• 有効期限や改定日が古すぎないか
• 委託する業務の範囲を資料が含んでいるか
• 回答の記載と資料の記載に矛盾がないか

「認証を取得している」という回答に添付された認証書の対象範囲が、実際に委託する業務を含んでいない、という食い違いは実務で起こりやすいものです。

ステップ4：判断区分を決める

確認の結果は、次の3つに分かれます。

• 確認済み：現時点で追加の確認は不要と判断した
• 差し戻し：回答の修正・追記・資料の再提出が必要
• 条件付きで受け付ける：現時点では受け付けるが、対応期限や再確認が必要

このほか、担当者だけでは許容の可否を決められない回答は、判断結果を出す前に上長や情報システム部門、法務などの上位判断へ回します。これは判断区分のひとつではなく、判断に至るまでの手続きです。誰の確認を経るべきかは、後述の判断権限とあわせて事前に決めておきます。

ステップ5：判断理由と次の対応を記録する

どの区分に判断したかだけでなく、なぜそう判断したかを記録します。特に条件付きで受け付けた場合は、何を条件にしたか、いつ再確認するかを残さないと、受け付けた事実だけが残って条件が消えていきます。記録の中身は後述の章で詳しく扱います。

手順どおりに進めても、判断に迷う回答は必ず出てきます。代表的な4つの型と、その扱い方です。

空欄の理由は、確認者には分かりません。設問の見落としなのか、「該当なし」のつもりなのか、現時点では回答できない事情があるのか——回答が空欄である以上、確認者側からは判別のしようがありません。

だからこそ、確認者側で意味を推測して埋めないことが原則です。「たぶん該当なしだろう」と解釈して確認済みにすると、その解釈の責任は確認者が負うことになり、あとから問題が起きたときに説明できなくなります。

扱いは3段階に分かれます。必須項目の空欄は差し戻します。任意項目でも判断に必要な空欄は、理由または回答の追記を求めます。判断に影響しない任意項目は空欄のまま受け付けられますが、その場合も、確認者側で「該当なし」などの意味を補わないことが原則です。

最も判断が分かれる回答です。対応する意思は示されていますが、現時点では対策が講じられていないという事実の表明でもあります。

期限が書かれているかどうかだけでは判断できません。少なくとも次の要素を確認します。

• その項目は、委託する業務に実際に関係するか
• 未対応のまま委託を続けた場合、情報漏えいや業務停止への影響はどの程度か
• 対応が完了するまでの間、代替となる措置はあるか
• 対応の責任者と完了予定日が明確になっているか
• 完了したことを、何によって確認するか（完了報告か、資料の再提出か）
• 対応完了前に、委託を開始または継続してよいか
• 条件付きで受け付ける判断について、社内の誰の承認が必要か
• 期限が来たときの再確認を、社内の誰が担当するか

影響が小さく、代替措置があり、責任者と期日が明確であれば、条件付きで受け付ける判断があり得ます。逆に、委託業務の中核に関わる項目で代替措置もない場合は、対応完了までの差し戻し、あるいは上位判断へ回す対象になります。

条件付きで受け付ける場合は、「いつ・何を・どうやって再確認するか」を判断記録に残します。ここが残っていないと、翌年の確認まで誰も思い出さない、という事態になりやすいためです。

「一部の環境のみ対応」「クラウド環境は対象外」といった回答では、対象外とされた範囲を委託業務で実際に使うのかどうかが判断の分かれ目です。

対象外の範囲が委託業務に関係しないのであれば、その旨を記録した上で確認済みにできます。関係するのであれば、対象外の範囲について追加の説明や対策を求める差し戻しになります。範囲の線引きが回答から読み取れない場合は、推測せず、適用範囲の明示を依頼します。

「該当なし」は一見きれいな回答ですが、本当に該当しないのか、設問の解釈違いなのかは区別が必要です。たとえば「個人情報の取り扱いはない」という回答が、委託業務の実態と食い違う例もあります。

委託業務の内容から見て該当するはずの項目に「該当なし」が付いていたら、理由の確認を挟みます。設問側の工夫としては、選択肢に備考欄を添えて「該当なしの場合は理由をご記入ください」としておくと、この往復を減らせます。

前章の判断を回答が届いてからその場で考えると、担当者ごと、時期ごとに判断がぶれます。同じ「対応予定」でも、ある担当者は通し、別の担当者は差し戻す——この状態は、委託先側から見ても基準が読めず、確認の信頼性を下げます。

事前に決めておくべきものは、判断基準と判断権限の2つに分かれます。

判断基準として決めるもの

• 必須回答とする項目（空欄なら理由を問わず差し戻す項目）
• 許容できない回答（この回答であれば水準未達とする線）
• 根拠資料の提出を求める項目
• 「対応予定」を条件付きで受け付ける条件（影響度・代替措置・期限の明確さ）
• 条件付きで受け付けた場合の再確認期限の目安

判断権限として決めるもの

• 担当者だけで判断してよい範囲
• 上長・情報システム部門・法務などへ確認を回す条件（たとえば、重要項目の「対応予定」、契約や法令に関わる回答など）

判断権限は補足ではなく、基準と同じ重さを持ちます。誰が決めたのかが曖昧なまま確認済みになった回答は、あとから経緯を説明できないためです。

確認業務の成果物は、「確認済み」というステータスではなく、判断の記録です。残すべきものは次のとおりです。

• 重要項目や例外的な回答を確認済みにした判断根拠
• 差し戻した理由と、差し戻し後のやりとりの経緯
• 条件付きで受け付けた場合の条件・委託先側の対応責任者・社内の承認者・再確認の担当者・期限・再確認の結果
• 未解決のまま残っている事項
• 対象となった委託業務・システム・情報の範囲
• 使用したチェックシートの版
• 適用した判断基準の版
• 確認した人と確認した日

この記録は、2つの場面で効きます。

ひとつは監査や社内説明の場面です。「なぜこの回答で確認済みにしたのか」という問いに、当時の判断根拠で答えられる状態を保てます。

もうひとつは翌年の年次更新です。前年に何を条件に受け付けたか、どの項目で差し戻しの往復があったかが残っていれば、翌年は同じ議論を繰り返さず、前年の条件が果たされたかの確認から始められます。年次更新の進め方そのものは、委託先の年次確認で扱っています。

ここまでの運用は、Excelとメールでも組み立てられます。委託先が少なく、確認者が1人で、差し戻しの往復も少ないうちは、Excelの管理表に判断結果と理由を書き足していく形で十分に回ります。

規模が増えると、記録の置き場所が分かれ始めます。判断理由はメール本文に、差し戻しの経緯は返信の連なりに、再確認の期限は担当者の手元のメモに——それぞれ残ってはいるものの、1年後に「この委託先を条件付きで受け付けた条件は何だったか」を探すと、当時の担当者のメールボックスをたどることになります。委託先の数、確認者の数、差し戻しの回数が増えるほど、この分散は追いにくくなります。詳しくはセキュリティチェックシートをExcelで管理する限界で扱っています。

マモリスは、チェックシートの作成から回答依頼、回収、確認、証跡保管までを扱うプラットフォームです。この記事で扱った確認業務では、次のように使えます。

回収した回答には、確認済みチェックを付けて確認の完了を記録できます。修正や追記が必要な回答は差し戻しができ、コメントを記録として残せます。差し戻しを受けた委託先は、ログイン不要のURLから回答を修正して再提出できます。回答・確認・差し戻しの履歴は保管され、PDFとして保存できるため、監査や翌年の確認時に当時の経緯を参照しやすくなります。

条件付きで受け付ける運用を行う場合は、確認済みチェックとあわせて、受け付けた条件や再確認の予定を確認コメントに残す形になります。判断の中身をコメントとして残しておくことで、ステータスだけでは伝わらない「なぜ受け付けたか」を後から追えます。ただし、確認コメントへの記録は判断の経緯を残すためのもので、記録した再確認期限の到来を通知する機能ではありません。条件付きで受け付けた案件の期限管理は、社内の予定管理や管理表と組み合わせる形になります。

セキュリティチェックシートの確認業務は、回答を受け取ることではなく、空欄・「対応予定」・条件付き回答といった判断に迷う回答に対して、事前に決めた基準で判断し、その理由を残すことです。判断区分は「確認済み」「差し戻し」「条件付きで受け付ける」の3つに分け、担当者の権限を超えるものは上位判断へ回す手続きを決めておく。そして、判断の理由と再確認の予定を、あとから探せる場所に残す。この積み重ねが、翌年の確認と監査対応の土台になります。

Q1. 空欄が1項目でもあれば差し戻すべきですか？

一律に差し戻す必要はありません。必須項目の空欄は差し戻し、任意項目でも判断に必要な場合は理由や回答の追記を求めます。判断に影響しない任意項目は空欄のまま受け付けることもできますが、確認者側で「該当なしだろう」と意味を推測して扱わないことが重要です。

Q2. 「対応予定」という回答は、確認済みにできますか？

期限の記載だけでは判断できません。委託業務への影響度、代替措置の有無、責任者と完了予定日の明確さ、完了を確認する方法を見た上で、条件付きで受け付けるか、対応完了まで差し戻すかを判断します。条件付きで受け付ける場合は、条件と再確認の予定を必ず記録に残してください。

Q3. 条件付きで受け付けた回答は、いつ再確認すべきですか？

受け付けた時点で決めた完了予定日が基準になります。完了予定日を過ぎたら、完了報告や資料の再提出によって対応の完了を確認します。年次更新まで待つと期間が空きすぎる場合が多いため、再確認は年次のサイクルとは別に、条件ごとに期限を設定する形が向いています。

Q4. どの設問に根拠資料の提出を求めるべきですか？

すべての設問に求めると、回答者・確認者の双方の負担が大きくなります。委託業務に直接関わる重要項目と、回答だけでは実態を判断しにくい項目（認証の取得状況、規程の整備状況など）に絞って求め、それ以外は回答と備考欄の記載で判断する形が現実的です。

• IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）
• 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」