セキュリティチェックシートとは？目的・項目例・導入時の落とし穴を解説

セキュリティチェックシートは、取引先や委託先の情報セキュリティ対策を確認する場面で使われる質問票です。取引先から提出を求められた、委託先管理の一環として必要になった、監査や内部統制の話のなかで出てきた、といったきっかけで調べている方もいるでしょう。

一方で、「正直、何のためにやっているのか分からない」「形だけになっている気がする」と感じている方も少なくないのではないでしょうか。

この記事では、セキュリティチェックシートとは何か、何のために使うのか、どんな項目があるのか、どう作ってどう運用するのか、そして導入時にどこでつまずくのかを、実務目線で順に見ていきます。

セキュリティチェックシートとは、取引先や委託先、あるいは社内に対して、情報セキュリティ対策の状況を確認するための質問票です。セキュリティ体制、技術的な対策、日常の運用ルールといった内容について、項目ごとに回答を求める形式が一般的です。

アンケートや自己申告書と混同されがちですが、セキュリティチェックシートは「集めて終わり」の資料ではありません。集めた回答をもとに判断し、その判断を記録として残すところまでが一連の役割です。

「セキュリティチェックリスト」「セキュリティ調査票」「セキュリティ質問票」など、組織によってさまざまな名称が使われています。名称と内容の対応について、共通の公式定義があるわけではありません。

項目の一覧を「チェックリスト」、回答欄や証跡の提出欄まで含む様式を「チェックシート」と呼び分ける場合もありますが、名称だけで用途を判断せず、誰が何を確認し、回答後にどう判断するためのものかを見ることが重要です。本記事では「セキュリティチェックシート」で統一します。

セキュリティチェックシートの目的は、単に「対策ができているか」を確認することではありません。実務上の目的は、主に次の3つです。

すべてのリスクをゼロにすることはできません。その前提で、どんなリスクがあるのか、どこが弱いのかを把握するために使います。

チェック結果をもとに、そのまま進めてよいか、条件付きで進めるか、一度立ち止まるべきかを判断します。セキュリティチェックシートは、意思決定の材料です。

事故やトラブルが起きたときには、「なぜ、その取引を進めたのか」「事前に何を確認していたのか」の説明を求められる可能性があります。セキュリティチェックシートは、その判断の根拠を残すための道具でもあります。

セキュリティチェックシートは、特定の業界や大企業だけのものではありません。実務では、次のような場面で使われています。

• 委託先・取引先のセキュリティ確認
• システム開発や運用を外部に委託する際
• SaaSやクラウドサービスの導入前確認
• 契約締結前の事前確認
• 社内向けのセキュリティ自己点検

特に委託先管理では、取引開始前や契約更新時などに、相手先の対策状況を確認するために使われます。受け取る側として回答を求められる場合と、確認する側として自社で作成・送付する場合の両方があり、立場によって悩みどころも変わります。

セキュリティチェックシートの項目は、目的や取引内容によって変わりますが、よく使われる項目は大きく4つの領域に分かれます。

まず確認されるのが、体制面です。

• 情報セキュリティの責任者・担当部署が定まっているか
• セキュリティに関する社内規程・ルールがあるか
• 従業員へのセキュリティ教育を実施しているか
• 秘密保持契約や誓約書の運用があるか

技術以前に、組織として取り組んでいるかを見る項目です。

次に多いのが、技術的な対策です。

• アクセス権限の管理方法（付与・変更・削除の手順）
• パスワードポリシーや多要素認証の利用状況
• ウイルス対策ソフトやOS・ソフトウェアの更新状況
• ログの取得・保管と監視の有無

回答者が迷いやすく、形だけの回答になりやすい部分でもあります。設問側に記入例（回答サンプル）や補足を添えると、回答者による設問の解釈のばらつきを抑えやすくなります。

預ける情報そのものの扱いを確認する領域です。

• 取り扱う情報の種類と機密区分
• 保存場所と保存期間
• データの暗号化
• 外部への持ち出しや共有の制限
• 契約終了時の返却・削除方法
• 個人情報を取り扱う場合の管理方法

委託で情報を預ける場合、この領域が確認の中心になります。

実務で差が出やすいのが、運用面です。

• インシデント発生時の対応手順と連絡体制
• バックアップと復旧の方法・頻度
• 再委託・外注先の管理状況

「あるか」よりも、実際に回っているかが重要です。

セキュリティチェックシートの項目を考える際は、経済産業省やIPAが公開しているガイドライン、チェックシート、自己診断ツールを参考にできます。

ただし、公的資料はすべて同じ目的で作られているわけではありません。経済産業省の「サイバーセキュリティ経営ガイドライン」に付属するチェックシートは、経営者や実務担当者が自社の取り組みを確認するためのものです。IPAの「5分でできる！情報セキュリティ自社診断」も、自社の対策状況を把握し、改善点を見つけるためのツールです。

これらは、取引先へそのまま送るための共通調査票ではありません。委託先や取引先への確認に使う場合は、公的資料の考え方を、相手が具体的に回答できる設問へ落とし込む必要があります。

経済産業省やIPAの資料を実務設問へ変換する考え方は、「経済産業省準拠」と呼ばれるセキュリティ対策評価チェックシートとはで解説しています。

IPAが公開している自己診断やWebサイト向け資料の違いは、IPAのセキュリティチェックシートには何がある？にまとめています。

セキュリティチェックシートを作る際に、よくある失敗があります。それは、最初から完璧なものを作ろうとすることです。他社のテンプレートをそのまま使う、すべてのリスクを網羅しようとする。このやり方では、項目が多すぎる、回答が雑になる、確認する側も疲れる、という結果になりがちです。

取引内容に応じて必要な項目に絞る前提で、作成の手順を追っていきます。

手順1. 確認する目的と対象を決める

誰を確認するのか、どの業務・システム・情報を対象にするのか、取引開始・更新・定期確認のどの場面で使うのかを最初に決めます。ここが曖昧だと、項目の取捨選択ができません。

手順2. 確認すべきリスクを洗い出す

個人情報や機密情報を預けるか、自社ネットワークへ接続するか、業務停止時の影響はどの程度か、再委託があるか。取引の内容から、今回見るべきリスクを挙げます。

手順3. 相手が具体的に答えられる設問へ変える

「適切に管理していますか」ではなく、対象・方法・頻度が分かる聞き方にします。「アクセス権限は誰が、どんな手順で付与・削除していますか」のように、答えの形が想像できる設問が目安です。

手順4. 回答形式と根拠資料を決める

YES／NOだけでなく、補足欄、URL、規程や証跡の添付欄などを用意します。回答形式が実態を拾えるかどうかで、後の判断のしやすさが変わります。

手順5. 回答後の判断基準を決める

どの回答なら承認するのか、誰が確認するのか、不足があれば差し戻すのか。設問を作る段階で、回収後の扱いまで決めておきます。

白紙から設問を書き起こすのは負荷が高いのも事実です。既存のテンプレートを土台に、上記の手順で自社の取引に合わせて項目を足し引きする進め方が現実的です。セキュリティ以外の用途も含めたテンプレートの種類と目的別の選び方は、無料で使えるチェックシートテンプレート一覧で紹介しています。

セキュリティチェックシートの運用は、おおむね次の流れで進みます。

• 作成：確認したい項目を決め、設問を用意する
• 依頼・配布：相手に送り、回答を求める
• 回収：返ってきた回答を集める
• 回答内容の確認：基準を満たしているか、内容を見る
• 差し戻し・再提出：不足や不明点があれば、修正を依頼する
• 判断内容の記録：どう判断したか、その根拠を残す
• 定期・変更時の再確認：契約更新時や委託内容の変更時など、必要なタイミングで再確認する

このうち、作成から回収までは、Excelやフォーム、メールでも進められます。設問を作って送り、返ってきた回答を集めるところまでは、特別な仕組みがなくても回せます。

難しさが出てくるのは、回答が集まったあとです。どの回答を確認し終えたのか、基準に満たない項目を誰がどう判断したのか、差し戻して再提出された記録が残っているのか。この確認と記録の部分が、運用のなかで抜けやすいところです。

セキュリティチェックシートは、導入しただけでは意味がありません。実務でよく見られる落とし穴があります。

チェックを回した、回答をもらった。ここで満足してしまい、中身を見なくなるパターンです。形式的に実施しているだけでは、実質的なリスク低減にはつながりません。

実際の現場では、YESでも一部に例外がある、NOでも別の対策を講じている、といった回答もあります。単純な二択では、実態が見えなくなります。

「改善予定」と書かれたまま、次の確認が行われない。これは非常によくあるパターンです。条件付きOKが放置されると、セキュリティチェックシートは一気に形骸化します。

形骸化を防ぐために、難しい仕組みは必要ありません。意識すべきなのは、次の3点です。

どの状態なら問題なしとするのか、どこからを要対応とするのか。基準を言葉にしておくと、判断がぶれにくくなり、後から説明しやすくなります。

「改善予定」で終わらせず、いつ、何を確認するのかを決めておきます。次回確認の予定とセットにすることで、放置を防げます。

前回の回答を手元に置き、変わった点に注目します。差分を見ることで、確認すべきところが絞り込めます。

セキュリティチェックシートは、回答を集めるための書類ではなく、判断と記録のための道具です。集めた回答をどう判断し、その根拠をどう残すかを意識すると、チェックは「作業」から「判断の道具」に変わります。

Q1. セキュリティチェックシートは誰が作るものですか？

多くの場合、確認する側、つまり取引や委託を依頼する側が作成します。担当としては、情報システム部門やセキュリティ担当が中心になりますが、取引条件に関わるため、購買・調達や法務が関わることもあります。社内点検の場合は、管理部門が作ることが一般的です。

Q2. 回答がなかなか返ってこない場合はどうすればよいですか？

回答期限を明確にし、期限前に状況を確認すると、回答者が対応時期を判断しやすくなります。それでも返ってこない場合は、設問が多すぎないか、相手が答えにくい形になっていないかを見直す価値があります。記入例や補足資料を添えると、回答の手間が下がります。

Q3. ExcelやGoogleフォームでも運用できますか？

作成・配布・回収までであれば、ExcelやGoogleフォーム、メールでも運用できます。件数が少なく、確認の状況を追える範囲なら、それで足りる場面も多いです。

難しくなりやすいのは、回答が集まったあとの確認と記録です。誰がどこまで確認したか、差し戻しの経緯はどうか、前回との差分はどうか、といった情報が複数のファイルやメールに分かれてくると、件数や更新の頻度が増えるにつれて追いにくくなります。

Q4. 毎年同じ内容で確認してもよいですか？

前回との変化を比較するため、基本となる項目を継続して使う方法は有効です。ただし、委託内容、扱う情報、利用システム、法令や脅威の変化に応じて、設問を見直す必要があります。

Q5. 回答が集まった後に確認すべきポイントは何ですか？

基準に満たない項目がないか、条件付きで進める場合は次にいつ確認するか、前回から変わった点はないか、の3つが中心です。あわせて、その判断を誰がしたのかを記録に残しておくと、後から説明できる状態になります。

マモリスは、セキュリティチェックシートの作成、回答依頼、回収、確認、記録までをブラウザ上で行えるサービスです。回答者はURLを開くだけで回答でき、アカウント登録は必要ありません。

確認の状態や差し戻しの記録を残せるため、誰がどこまで確認したかを後から追えます。繰り返し設定では、毎週・毎月・毎年の回答依頼を設定できるため、定期的に確認を行う運用にも利用できます。

• サイバーセキュリティ経営ガイドラインと支援ツール｜経済産業省
• 中小企業の情報セキュリティ対策ガイドライン｜IPA
• 情報セキュリティ教材・ツール｜IPA