取引先からセキュリティチェックシートが届いたら｜今の答え方と、これからの備え

取引先から「情報セキュリティに関するご確認のお願い」といった件名のメールが届き、数十項目のチェックシートが添付されている。回答期限は2週間後。開いてみると、「情報セキュリティ基本方針を策定していますか」「アクセス権限を定期的に見直していますか」といった質問が並んでいる。

エアフォルクです。中小企業の安全なAI活用と情報セキュリティ対策をご支援しています。今回は、取引先からこうしたチェックシートが届いたときに、まず何を確認し、どのように回答すればよいのかを整理します。あわせて、こうした確認が行われる背景と、今後に向けて何を準備しておけばよいのかもお伝えします。

はじめにお断りしておきますと、項目ごとの模範解答をお示しする記事ではありません。様式は取引先ごとに異なりますので、ここで扱うのは、どの様式にも共通する考え方です。

なぜ今、取引先がセキュリティの確認をしてくるのか

回答の方針を決める前に、相手が何を心配しているのかを押さえておくと、書くべきことが見えやすくなります。

IPA（情報処理推進機構）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威の2位に「サプライチェーンや委託先を狙った攻撃」が挙がっています。この脅威は2023年以降、4年連続で2位です。ちなみに1位は「ランサム攻撃による被害」でした。

サプライチェーンを狙った攻撃とは、標的にした企業を直接攻撃するのではなく、その企業とつながっている関連会社や業務委託先を経由して侵入する手口を指します。攻撃側から見れば、防御を固めた大企業を正面から狙うより、取引関係のある企業を経由するほうが入りやすい、という考え方です。

つまり、取引先が送ってきたチェックシートは、御社だけを疑って送られているとは限りません。取引全体の安全を確認する手続きとして運用されている面があると、当社では受け止めています。

もっとも、この確認のやり方には、以前から課題も指摘されてきました。公表資料では、発注する側（委託元）について「委託先におけるセキュリティ対策が可視化しづらく、要求事項（チェックリスト等）の適正性の担保も難しい」、発注を受ける側（委託先）について「複雑なサプライチェーン下で様々な委託元から様々な要求事項を求められ、過度な負担につながっている」と、双方の課題が挙げられています。取引先ごとに違う様式が届いて負担が大きい、という感覚は、御社だけのものではありません。

そして、この2つの課題に対応するために、国として新しい仕組みの準備が進んでいます。

「サプライチェーン強化に向けたセキュリティ対策評価制度」とは

いま、サプライチェーン強化に向けたセキュリティ対策評価制度（以下、SCS評価制度）という制度の構築が進められています。

企業がどの程度セキュリティ対策を実施しているかを★の段階で表し、取引の相手方がその状況を確認できるようにする仕組みです。公表資料では、2社間の取引契約などにおいて、委託元が委託先に適切な★を提示し、示された対策を促すとともに実施状況を確認することが想定されている、と説明されています。サプライチェーンのなかでの自社の立ち位置に応じて必要な対策が示されることで、企業が対策を決めやすくなることが、目指す効果として挙げられています。

経済産業省と内閣官房国家サイバー統括室が検討を進めており、制度の詳細化と運用はIPAが担うとされています。制度の考え方をまとめた「制度構築方針」は、2026年3月27日に公表されました。

制度の中身として公表されていること

評価は★3・★4・★5の3段階で構成されます。このうち、2026年8月の時点で要求事項と評価基準が公表されているのは★3と★4です。順に見ていきます。

• ★3 — すべてのサプライチェーン企業が最低限実装すべき水準という位置づけです。要求事項は26件で、組織的な対策とシステムの防御策が中心とされています。評価の方法は、セキュリティ専門家の確認を経たうえで自社が評価する「専門家確認付き自己評価」です。

• ★4 — 標準的に目指すべき水準という位置づけです。要求事項は43件で、組織のガバナンスや取引先の管理まで含みます。評価の方法は、評価機関による第三者評価で、実地審査と技術検証を含むとされています。

開始の時期については、IPAが公開している「よくある質問」に、★3・★4は2027年3月頃の運用開始を予定と示されています。申請の方法そのものは、2026年10月頃に公開される予定です。いずれも現時点で公表されている予定であり、確定した期日ではありません。

まだ公表されていないこと

一方で、この記事を書いている2026年8月時点では、まだ公表されていない部分も多く残っています。

• ★5の基準と評価の方法

• 申請にかかる費用（今後公開予定）

• 申請の方法（2026年10月頃に公開予定）

• 制度の取得ガイドと解説書（2026年10月頃に公表予定）

• 評価機関の一覧（2026年12月末頃）とセキュリティ専門家の一覧（2027年1月以降）

経済産業省と内閣官房国家サイバー統括室は、2026年4月27日に注意喚起を出しており、制度の詳細はIPAから公表されるため、正しい情報をIPAから得るよう呼びかけています。制度に関する情報は、今後も更新されていくとお考えください。

今回のチェックシートとの関係をどう見るか

ここで、事実と当社の見方を分けてお伝えします。

公表資料には、「今使われているチェックシートがこの制度に置き換わる」とは書かれていません。 ★の取得が義務になるとも、取引の条件になるとも示されていません。この点を断定的に書いている情報を見かけた場合は、一次情報をご確認ください。

そのうえで、制度が生まれた動機に「様々な委託元から様々な要求事項を求められ、過度な負担につながっている」という委託先側の課題が挙げられていることを踏まえると、★が取引先とのやり取りにおける共通の物差しとして使われる場面が出てくることも考えられます。 これは公表資料からの推測であって、決定した事実ではありません。

また、今すぐ★の取得申請を急ぐ必要がある、とも公表されていません。 運用開始の予定は2027年3月頃で、申請の方法もまだ公開されていません。

ここまでを踏まえ、当社としては次のように考えています。 回答期限がある以上、まずは今回届いたチェックシートに正確に答えることが先です。ただしこれは、制度について何も見ておかなくてよい、という意味ではありません。制度が求めている内容を知り、自社の現状とどこが離れているのかを確かめる作業は、申請の時期とは関係なく、今から始められます。その手段としてIPAが示しているものは、後ほどお伝えします。

今回のチェックシートは、制度の開始を待たずに回答する

制度の話をお伝えしましたが、目の前の期限は変わりません。ここからは、今回のチェックシートにどう向き合うかをご説明します。

チェックシートを開くと、全項目を「はい」で埋めなければ取引に影響するのではないか、と感じるかもしれません。そう考えると、「はい」と書けない項目の前で手が止まります。

しかし、求められる水準も、回答をどう評価するかの基準も、取引先によって異なります。 全項目が「はい」であることを求める相手もあれば、そうでない相手もあります。相手の基準を御社の側から決めることはできません。

だからこそ、御社の側で用意しておきたいのは、満点の回答そのものではありません。どこまでできていて、どこができていないのか。そして、できていない部分について、いつまでに何をするつもりなのか。 これを自社の言葉で説明できる状態です。

ここで、事実と異なる回答をした場合に何が起きるかを考えてみてください。仮に「はい」と書いて提出したあとに、実際には実施していなかったと判明したとします。そのとき問題になるのは、対策が不十分だったことよりも、申告が事実と違っていたことのほうになりかねません。取引の前提となる信頼に関わる話ですので、対策の不足とは性質が違います。

ですので、判断の軸としては、満点を目指すのではなく、現状と改善予定を正確に伝える書類として扱うほうが安全です。なお、回答が取引にどう影響するかは、取引先の基準や契約の内容によって異なります。そこは御社の側では動かせません。動かせるのは、回答の正確さと、説明できる状態を作ることのほうです。

回答を書き始める前に、社内で確認しておくこと

チェックシートには、総務や経営者の方が単独では答えられない項目が含まれています。書き始める前に、次の3点を整理しておくと、後戻りが少なくなります。以下は公的に定められた手順ではなく、当社が支援の現場で有効だと考えている進め方です。

1つ目は、誰が回答するかを決めることです。 提出そのものは総務や経営者の方が担うとしても、機器や設定の実態を答えられるのは、実際にそれらを触っている人です。社内にIT担当の方がいればその方に、いなければ機器を設置した業者やベンダーに確認する必要があります。ここを飛ばすと、推測で埋めた項目が残ってしまいます。

2つ目は、社内の現状を先に把握することです。 どこまでできているかが分からないまま項目を読むと、判断に迷って手が止まります。自社の状況を短時間で確認する材料としては、IPAが公開している「5分でできる！情報セキュリティ自社診断」が使えます。これは「中小企業の情報セキュリティ対策ガイドライン 第4.0版」の付録3として提供されているもので、PDF版とExcel版があります。取引先のチェックシートそのものではありませんが、自社の現在地を掴む出発点になります。

3つ目は、分からない項目を分からないまま置かないことです。 推測で「はい」と書くことも、面倒だからと「いいえ」で揃えることも、どちらも避けてください。前者は事実と異なる申告になり、後者は実際にはできている部分まで過小に伝えることになります。判断できない項目は、確認先と確認事項をメモしておき、回答を作る過程で埋めていきます。

「できていない」項目をどう書くか

回答作業のなかで、判断に迷いやすいのがこの部分です。

チェックシートには、「はい／いいえ」の二択に加えて、備考欄や補足欄が設けられていることがあります。この欄をどう使うかで、同じ「いいえ」でも伝わる内容が変わります。 何も書かずに「いいえ」だけを返すと、現状がどうなっているのか、今後どうするつもりなのかは、相手に伝わりません。

備考欄には、次の3つを書いておくと、御社の状況が過不足なく伝わります。

• 現在どうなっているのか（実施していない、一部の部署のみ実施、など）

• なぜそうなっているのか（該当する業務がない、担当者が不在、など）

• いつまでに何をする予定か（時期と、決まっていれば担当）

たとえば「アクセス権限を定期的に見直していますか」という項目に「いいえ」と答える場合、備考欄はこのような形になります。

これはあくまで書き方の一例です。実際の回答は、御社の状況と、取引先が何を聞いているのかに合わせて組み立ててください。

3つ目の予定については、書ける範囲で構いません。それよりも、根拠のない期限を書かないことのほうが大切です。社内で決まっていない時期を書いてしまうと、次回の確認でその約束が持ち出されることがあります。まだ判断できないのであれば、「経営層で検討中」と書くほうが、後々のやり取りが楽になります。

なお、御社の業務に該当しない項目もあるはずです。たとえば自社でWebサーバーを運用していない会社に、その運用管理を問う項目が来ることもあります。この場合は「いいえ」ではなく、該当しない旨とその理由を書いてください。「いいえ」とだけ答えると、対策を怠っていると受け取られる可能性があります。

回答で見つかった不足は、今後の準備の材料になります

チェックシートは、提出した時点で終わりにはなりません。備考欄に改善予定を書いた場合、その予定は社内の宿題として残ります。

そして、この宿題は、先ほどお伝えした制度の動きとも重なってきます。回答の過程で「できていない」と分かった項目は、今後セキュリティ対策を整えていくときの出発点になるからです。

とはいえ、書いた項目をすべて同時に進める必要はありません。取引に直結する項目と、自社のリスクが大きい項目から着手するという順序で考えるのが現実的です。どの項目がそれに当たるかは、業種や取引内容によって変わりますので、一律には決められません。ここは経営判断の領域になります。

今から使える、公的な準備手段

制度の開始を待たなくても、今から始められる準備は、公的な資料のなかで示されています。

ひとつは、SECURITY ACTIONです。これは中小企業が自ら、情報セキュリティ対策に取り組むことを宣言する制度です。一つ星は「これから『情報セキュリティ6か条』に取組むことを宣言するもの」と説明されており、対策の実施前でも申し込むことができます。そしてIPAは、この制度について、SCS評価制度の★3・★4取得の準備段階として、まずSECURITY ACTIONから始めるよう案内しています。

もうひとつは、先ほども触れた「中小企業の情報セキュリティ対策ガイドライン 第4.0版」です。IPAによれば、このガイドラインはSCS評価制度の基本的な考え方を取り込んでおり、付録5の「情報セキュリティ関連規程（サンプル）」は★3・★4の要求事項・評価基準に対応する形で見直されています。

いずれも、IPA自身が制度の準備段階として位置づけている資料です。これらを活用して不足項目を整理していくことは、今後の制度を見据えた準備にもつなげやすいと、当社では考えています。 今から着手をおすすめするのは、この理由からです。

対策を進めるときの注意点

ただし、対策の中には、進め方に注意が必要なものがあります。

たとえば「アクセス権限の見直し」のように、社内の権限設定に手を入れる項目です。権限を実際に変更するときは、その権限を使っている業務がないかを先に確認してください。 業務システムの中には、動作に管理者権限を必要とするものがあります。確認せずに権限を外すと、日常業務が止まってしまうおそれがあります。まず現状の権限を一覧にし、業務での必要性を確かめたうえで、IT担当者や導入したベンダーと相談しながら段階的に進めることをおすすめします。

まとめ：期限内に正確に返し、そのうえで足場を作る

今回お伝えした内容を、「今やること」と「今後に向けて始めること」に分けて整理します。

今回のチェックシートについて

• 求められる水準も判断の基準も取引先によって異なる。相手の基準は御社の側では決められない

• 満点を目指すより、現状と改善予定を正確に説明できる状態を作る

• 事実と異なる回答は、取引上の信頼に関わる問題になりかねない

• 実態を知っている人に確認してから書く。推測で埋めない

• 「いいえ」の項目は、現状・理由・予定を備考欄に添える

• 該当しない項目は、その旨と理由を書く

今後に向けて

• サプライチェーンや委託先を狙った攻撃は、IPAの10大脅威で4年連続2位。取引先から対策状況を尋ねられる場面は、今後も想定しておく

• SCS評価制度の準備が進んでいるが、★の取得が義務や取引条件になると公表されているわけではない。運用開始の予定は2027年3月頃

• SECURITY ACTION とガイドライン第4.0版は、公的に準備段階と位置づけられている

• 制度の詳細は今後も更新されるため、情報はIPAの公式ページで確認する

最初に着手していただきたいのは、回答を書き始める前に、社内で誰が何を答えられるのかを確認することです。機器や設定に関する項目は、総務や経営者の方だけでは正確に答えられません。社内のIT担当者、いなければ設置業者やベンダーに、いつまでに何を確認したいのかを早めに伝えてください。回答期限が決まっている以上、この確認にかかる時間を見込んでおく必要があります。

そのうえで、書ける項目から埋めていけば、期限内に正確な回答を返すことは十分に可能です。そして、その過程で見えてきた不足項目が、今後のセキュリティ対策の優先順位を考える材料になります。

それでも、「どの項目を誰に確認すればよいのか分からない」「できていない項目を、これからどう整理していけばよいのか分からない」という状態でしたら、エアフォルクでもご相談を承っています。今回の回答をどうまとめるかだけでなく、そこで見えてきた不足について、規程の整備や従業員教育など、その会社にとって必要な順序を一緒に整理します。

https://erfolg-dx.co.jp/information-security/

出典

• IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公表）／解説書［組織編］（2026年3月12日公開）

• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日公表）

• 経済産業省・内閣官房国家サイバー統括室「SCS評価制度に関する注意喚起」（2026年4月27日）

• IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」特設ページ（本制度の概要／詳細情報／要求事項・評価基準〈2026年4月21日公開〉／関連制度・施策／よくある質問）※2026年8月11日確認

• IPA「5分でできる！情報セキュリティ自社診断」／「中小企業の情報セキュリティ対策ガイドライン 第4.0版」付録3・付録5（2026年3月27日公表）

• IPA「SECURITY ACTION セキュリティ対策自己宣言」一つ星