セキュリティチェックシートの回答のコツ｜よくある質問項目・根拠の示し方・できていない項目の書き方
この記事の要点
- チェックシートの依頼は増えている。約7割が依頼の増加を感じ、76%が1週間以内の回答を求められているという調査がある。
- よく聞かれるのは、認証・体制・規程・教育・資産管理・アクセス管理・暗号化・端末・ログ・バックアップ・委託先・事故対応・物理対策など。
- 回答には根拠（規程名・記録・設定）を添える。「規程がある」と「実施している」は分けて考える。
- できていない項目を「はい」にしない。「一部実施」「該当なし（理由）」「代替策あり」「対応予定（時期）」を使い分ける。
- 事故の有無・報告期限・監査の受け入れなど、事実や契約に関わる設問は担当者が必ず確認する。
セキュリティチェックシートの準備、どこまでできていますか？ 会員登録なし・約5分で無料診断できます。
無料で5問試すセキュリティチェックシートとは
セキュリティチェックシートは、取引先が委託先や仕入先の情報セキュリティ対策を確かめるために送ってくる質問票です。「委託先評価シート」「セキュリティ調査票」などとも呼ばれます。多くはExcelで、質問ごとに「はい／いいえ／該当なし」を選び、補足を書く形式です。
依頼は増えています。SecureNaviの調査（780名）では、約7割（68%）が回答依頼の増加を感じ、76%が1週間以内の回答を求められていました（出典：SecureNavi調査（PR TIMES））。1件に3〜8時間かかるという声もあります（出典：Recogee）。
よく使われる様式
様式は取引先ごとにさまざまですが、公開されている様式を元にしたものもよく見かけます。
- IPA「5分でできる！情報セキュリティ自社診断」：25項目。自社診断用ですが、取引先が流用することもあります（出典：IPA「中小企業の情報セキュリティ対策ガイドライン」）
- 経済産業省「SaaS向けSLAガイドライン」のチェックリスト：クラウドサービスの提供者向け。稼働率・バックアップ・データ消去などを聞かれます（出典：経済産業省（PDF））
- 各社の独自様式：数十〜百数十項目のExcelが多い
よく聞かれる質問項目
民間の調査をもとに、よく聞かれる質問を分類すると次のようになります。右の列は、回答の根拠になりやすい資料です。
| 分類 | 質問の例 | 根拠になりやすい資料 |
|---|---|---|
| 認証 | ISMS・Pマークを取得していますか。適用範囲は | 登録証、適用範囲の文書 |
| 体制 | セキュリティの責任者を決めていますか | 体制図、任命の記録 |
| 規程 | 基本方針・社内規程を定め、見直していますか | 方針、規程の改訂履歴 |
| 人 | 従業員と秘密保持の誓約をしていますか | 誓約書の様式、就業規則 |
| 教育 | 全従業員に年1回以上教育していますか | 教育計画、受講記録 |
| 資産管理 | 扱う情報を台帳で管理していますか | 情報資産台帳、個人情報管理台帳 |
| アクセス管理 | IDは個人ごとか。権限を定期的に見直していますか。多要素認証は | アクセス管理規程、権限の棚卸し記録、管理画面の設定 |
| 暗号化 | 通信や保存データ、PCを暗号化していますか | 規程、システムの設定 |
| 端末 | ウイルス対策・OS更新・私物端末やUSBの制限は | 端末管理規程、管理ツールの画面 |
| ログ・バックアップ | ログを保存・確認していますか。バックアップと復旧テストは | 手順書、確認の記録 |
| 委託先 | 再委託はありますか。委託先を評価していますか | 委託先管理規程、評価表、契約書 |
| 事故対応 | 事故時の連絡体制は。何時間以内に報告しますか | 事故対応手順、報告様式 |
| 物理 | 入退室管理、クリアデスク、書類の施錠保管は | 物理的管理規程、入退室記録 |
回答のコツ1：根拠を添える
「はい」とだけ書くより、何を根拠に「はい」と言えるのかを補足欄に書くと、取引先の確認が早く進み、追加の質問も減ります。
- 規程に定めている場合：「情報セキュリティ規程 第○条で、退職時のアカウント削除を定めています」
- 実施している場合：「年1回、全従業員にオンラインで教育を実施し、受講記録を保管しています（直近：2026年○月）」
- 設定している場合：「業務で使うクラウドサービスの管理者アカウントには多要素認証を設定しています」
ここで大切なのは、「規程に書いてある」と「実際に行っている」は別だということです。規程は「〜しなければならない」というルールで、実施を示すのは記録や設定です。規程はあるが記録がない項目は、「はい」と言い切る前に実態を確かめましょう。
回答のコツ2：できていない項目は正直に書く
LANSCOPEのブログで紹介されている調査では、「情報資産を把握できている」と答えた企業は51%でしたが、達成の基準を示して聞き直すと71%が「できていない／わからない」と答えました。基準があいまいなまま「なんとなく」答えている実態があるということです（出典：LANSCOPE ブログ）。
チェックシートの回答は、取引の判断材料として扱われます。事実と違う回答は、あとで事故が起きたときにトラブルの原因になりかねません。できていない項目は、次のように書き分けると誠実さが伝わります。
| 状況 | 回答 | 補足の書き方（例） |
|---|---|---|
| 一部だけ実施 | 一部実施 | 「社内PCは暗号化済み。私物スマートフォンは対象外のため、業務データの保存を禁止しています」 |
| 業務・設備がない | 該当なし | 「自社でサーバーを持たず、すべてクラウドサービスを利用しているため」 |
| 別の方法で対応 | はい（代替策） | 「専用の入退室システムはありませんが、ビルの受付で来訪者を記録し、執務室は施錠しています」 |
| これから対応 | いいえ（対応予定） | 「2026年○月までにバックアップの復旧テストを実施する予定です」 |
「対応予定」を「はい」に混ぜないことがポイントです。予定を書くときは時期も添えます。
回答のコツ3：人が決めるべき設問を見分ける
次のような設問は、規程から機械的に答えず、担当者や責任者が必ず確認してください。
- 事実を聞く設問：過去の事故の有無、従業員数、再委託先の社名、取得している認証の番号と有効期限
- 契約に関わる設問：事故時に何時間以内に報告するか、監査の受け入れ、データの保管国、損害賠償
- 認証の範囲：ISMSは部門やサービス単位で取得していることがあります。「全社で取得」と書いてよいか確かめましょう
回答のコツ4：同じ質問には同じように答える
取引先ごとに違う答えをしていると、信頼を損ねます。一度確定した回答は「回答集」として保存し、次のチェックシートで使い回しましょう。規程を変えたら、関係する回答も見直します。
Excel様式の注意点
チェックシートの多くはExcelで、回答欄がプルダウン（入力規則）になっていたり、セルが結合されていたりします。回答するときは次の点に気をつけましょう。
- プルダウンの選択肢以外の言葉を書かない（「はい」「○」「実施」など、様式の選択肢に合わせる）
- 行や列を追加・削除しない、シート名を変えない
- 補足が長くなる場合は、補足欄に収まる長さにし、必要なら別紙を添付する
回答の前に社内で集めておく情報
チェックシートが届いてから慌てないように、よく聞かれる事実は1か所にまとめておくと便利です。
- 会社の基本情報（従業員数、拠点、事業内容）
- 取得している認証の種類・登録番号・有効期限・適用範囲
- セキュリティの責任者と、事故時の連絡窓口
- 使っている主なクラウドサービスと、多要素認証の設定状況
- 再委託先の一覧と、秘密保持契約の有無
- 教育・内部監査の直近の実施日
これらを一度まとめておけば、取引先が変わっても同じ情報を使い回せます。
規程が整っていると、回答は速くなる
チェックシートの質問の多くは、Pマーク・ISMSで整える規程・台帳・記録と重なっています。方針・規程・台帳・教育や監査の記録がそろっていれば、根拠を示した回答を早く作れます。何から整えるかは「Pマークとisms（ISO27001）の違い」も参考にしてください。
セキュカクでチェックシートに回答する
セキュカクでは、届いたExcelを選ぶと、質問と回答欄を見つけて、会社の規程やできていることを根拠に回答案を作り、元のExcelに書き込みます。根拠のない質問は「はい」にせず「要確認」にします。最初の5問は無料、1ファイル9,800円（税込）、Pマーク・ISMSの文書一式を購入した方は無料です。最終的な回答は、必ずご自身で確認してください。
よくある質問
- Q. チェックシートで「いいえ」と答えると取引できなくなりますか？
- 取引先の判断によりますが、できていない項目があることよりも、事実と違う回答の方が後で問題になりやすいと考えられます。一部実施や代替策、対応予定の時期を補足に書いて、状況を正確に伝えましょう。
- Q. Pマークを持っていればチェックシートは不要になりますか？
- 取引先によって扱いが異なります。認証の有無はよく聞かれる質問の一つですが、それ以外の対策についても回答を求められることがあります。Pマーク・ISMSで整えた規程や記録は、回答の根拠として使えます。
- Q. 「該当なし」はどんなときに使いますか？
- その質問の対象になる業務や設備が自社にない場合です。たとえば自社でサーバーを持っていない場合のサーバー室の質問などです。理由を補足に書いておくと、確認がスムーズです。
- Q. 回答期限が短いときはどうすればいいですか？
- 過去の回答や規程を集めた回答集を作っておくと、次から速く答えられます。事故の有無や契約条件など、人が決めるべき設問は先に担当者へ確認を回しておきましょう。
出典・参考資料
- SecureNavi「セキュリティチェックシートに関する調査」（PR TIMES）
- LANSCOPE ブログ「セキュリティチェックシート」
- Recogee「セキュリティチェックシート」
- IPA「中小企業の情報セキュリティ対策ガイドライン」
- 経済産業省「SaaS向けSLAガイドライン」（PDF）
この記事は2026年10月12日時点の公開情報をもとに、セキュカク編集部が一般的な情報としてまとめたものです。規格の本文は掲載していません。料金・様式・審査の基準は変わることがあるため、最新の情報はJIPDEC・ISMS-AC・各審査機関・認証機関の公式情報でご確認ください。「プライバシーマーク」は一般財団法人日本情報経済社会推進協会（JIPDEC）の登録商標です。