近年、サプライチェーン攻撃の増加により、取引先から情報セキュリティ対策について確認を求められる機会が増えています。情報セキュリティ方針やアクセス権限管理、多要素認証（MFA）の導入状況などを確認する「セキュリティチェックシート」への対応も、その一つです。
しかし、質問内容や回答方法は取引先ごとに異なるため、「何をどこまで回答すればよいのか分からない」「似たような質問への対応に手間がかかる」と感じている担当者も少なくありません。2026年度末頃に運用開始が予定されているSCS評価制度も、こうした確認事項を標準化するために整備が進められています。
セキュリティチェックシートへの対応で重要になるのは、単に対策を実施していることではなく、自社の取り組みを客観的に説明できることです。
そこで今回は、セキュリティ確認が広がる背景を整理するとともに、企業に求められる「説明責任」と備え方について解説します。
＜3文でわかる！この記事のポイント＞
取引先からセキュリティチェックシートへの回答を求められる機会が増えています。チェックシートへの対応は、単なる情報提供ではなく、自社のセキュリティ対策を説明し、取引先から信頼を得るための重要な取り組みです。本記事では、セキュリティチェックシートが求められる背景と、SCS評価制度の観点から企業に求められる「説明責任」の本質について解説します。
これまでのセキュリティ対策は、自社の情報資産を守るための取り組みとして考えられることが一般的でした。しかし現在は、「自社だけが安全であればよい」という考え方は通用しなくなっています。
その背景にあるのが、サプライチェーン攻撃の増加です。
サプライチェーン攻撃とは、攻撃者が本来の標的企業を直接狙うのではなく、取引先や委託先、グループ会社など比較的侵入しやすい企業を経由して攻撃を行う手法です。
企業活動では、販売管理システムや会計システム、クラウドストレージ、外部委託先など、多数の企業やサービスが連携しながら業務を行っています。そのため、一社で発生したセキュリティ事故が、取引先や顧客企業へ波及し、被害が連鎖的に拡大するケースも少なくありません。
こうした状況を受け、企業には自社のリスクだけでなく、取引先を含めたサプライチェーン全体のリスクを管理することが求められるようになりました。
そして、これにより取引先を評価する基準も変化しています。これまでは価格や品質、納期、供給能力などが主な評価項目でしたが、現在では「適切なセキュリティ対策が実施されているか」も重要な判断材料の一つとなっています。
特に大企業やグループ企業では、取引先に対してセキュリティ対策の実施状況を確認する動きが広がっています。万が一、取引先を起点とした情報漏えいやシステム障害が発生すれば、自社の事業継続にも大きな影響を及ぼしかねないためです。
近年は、取引を始めるに当たって、セキュリティチェックシートや質問票による確認が、取引開始時のプロセスとして定着しつつあります。
サイバー攻撃が高度化・巧妙化する中、取引先の安全性を確認すること自体は自然な流れと言えるでしょう。その一方で現場では、チェックシートが標準化されていないことで別の課題も生まれています。
質問項目は企業ごとに異なり、表現や回答形式、求められる粒度も統一されていません。そのため、担当者は、「何を聞かれているのか分からない」「どこまで回答すべきなのか判断できない」「毎回資料を探し直している」といった負担を抱えることになります。
しかし、取引先が本当に知りたいのは、個別の質問への回答だけではありません。企業として継続的に安全な運営ができる状態にあるのか。そして、その状態を客観的に説明できるのか。この点こそが、取引先が重視する点です。
つまり、セキュリティチェックシートへの対応で求められているのは、諸々の質問に答えることだけではなく、自社のセキュリティ対策を説明できる状態に整えておくことなのです。
「サイバー攻撃対策」というと、多くの企業は、ウイルス対策ソフトの導入やアクセス制御の強化、多要素認証の導入などを思い浮かべるでしょう。もちろん、こうした対策も重要です。
しかし、取引先が確認したいのは、個別の対策を導入しているかどうかだけではありません。
企業に求められている「セキュリティの説明責任」とは、実施している対策だけでなく、その運用体制や継続的な管理の仕組みについて、第三者に客観的に説明・証明できる状態のことです。例えば、多要素認証を導入していても、例外運用が常態化している企業と、運用ルールまで徹底している企業とでは、リスクの水準は大きく異なります。また、バックアップを取得していても、復旧手順が整備されていなければ、実際の障害発生時に十分機能しない可能性があります。
つまり、取引先が知りたいのは、「何を導入しているか」ではなく、「どのように管理しているか」という点なのです。
実際、取引先から送付される質問票では、次のような内容が確認されるケースが増えています。
一見すると、個別の対策を確認しているように見えますが、こうした質問は、組織として継続的にセキュリティを管理できる体制かを確認しています。また、このような観点は多くの企業に共通しているため、質問内容にも共通点が多く見られます。
しかし、求められている内容の多くは共通しているにもかかわらず、企業ごとに表現や評価基準が異なるため、回答のたびに資料を集め直したり、説明内容を調整したりする手間が発生しています。これが、担当者にとって大きな負担となっているのです。
このような課題を解消するため、共通の評価基準によって企業のセキュリティ対策を可視化しようという取り組みが進められているのが、SCS評価制度（サプライチェーン全体のセキュリティ対策状況を共通の基準で確認するための評価制度）です。
では、企業は具体的にどのような観点について説明できる状態を目指せばよいのでしょうか。
2026年度末頃に運用開始が予定されているSCS評価制度では、企業のセキュリティ対策を★3、★4で評価し、継続的なリスク管理体制が整っているかを客観的に確認することを目的としています。
SCS評価制度は、中小企業向け情報セキュリティ自己宣言制度である「SECURITY ACTION」（★1、★2）を基礎的な取り組みとしています。また、高度なサイバー攻撃にも対応するセキュリティ対策向けに★5も検討されています。詳しくは、コラム「ご存じですか？ SCS評価制度 取引先のセキュリティリスクを見極める新たな共通基準とは」を参照ください。
出典：経済産業省「SCS評価制度」★3・★4要求事項及び評価基準
この確認項目は全部で153項目あり、★4を取得するためには全てに対応することが求められています。そのため、この項目数だけを見ると「中小企業には難しい制度ではないか」と感じるかもしれません。
しかし、評価項目の内容を見ていくと、SCS評価制度が重視しているのは高度な技術対策だけではありません。評価の中心となっているのは、企業が継続的にセキュリティを管理し、その取り組みを客観的に説明できる状態にあるかという点です。
例えば、評価項目は次の7つの領域で構成されています。
| 評価領域 | 確認したいこと |
|---|---|
| ガバナンス整備 | 管理責任者・方針はあるか |
| 取引先管理 | 委託先まで管理できているか |
| リスク特定 | リスクを把握しているか |
| 攻撃等の防御 | 技術対策はあるか |
| 攻撃等の検知 | 異常を検知できるか |
| インシデント対応 | 初動対応できるか |
| インシデントからの復旧 | 業務を継続できるか |
この評価体系を見ると、SCS評価制度の評価項目は、製品の導入状況ではなく、企業が取引先に対して、セキュリティ管理体制や運用状況を適切に説明するための観点として捉えることができます。
ここでは、説明責任を果たすための取り組みについて、「ルールの整備」と「インシデントへの備え」の観点からSCS評価制度の評価項目を整理してみましょう。
SCS評価制度の評価項目を見ると、最初に挙げられているのは、ガバナンスやリスク管理に関する領域です。管理責任者の明確化やセキュリティ方針の策定、リスクを把握・管理する仕組みなどが評価対象となっています。
サイバー攻撃対策というと、ファイアウォールやウイルス対策ソフトなどの技術的な対策に目が向きがちです。しかし、制度が求める内容を見ると、「対策を導入している」ことだけでは十分ではないという考え方が見て取れます。
例えば、新しいクラウドサービスを導入する際の確認ルールが整備されていなければ、情報漏えいリスクの高いサービスを利用してしまう可能性があります。また、担当者の異動や退職によって管理が属人化すると、設定ミスや運用漏れが発生するおそれもあります。
つまり、SCS評価制度では、ルールや責任体制を整備し、担当者が変わっても継続的に管理・運用できるかどうかを重視しているのです。
このことから、「対策を実施している」と説明するだけでは十分ではなく、「その対策が組織の仕組みとして定着し、継続的に運用されていること」まで説明できることが求められているといえます。
もちろん、「ルールや責任体制を整備すれば十分」というわけではありません。万が一インシデントが発生した場合には、初動対応だけでなく、社内の責任者や取引先、委託先へどのように連絡・報告するかをあらかじめ定めておくことも重要です。
SCS評価制度の確認項目には、アクセス権限の管理や多要素認証の実施、システムやネットワークの監視体制、脆弱性への対応、インシデント発生時の対応手順なども含まれています。
こうした項目は、情報システム部門の役割と思われがちですが、実際には運用ルールの整備や権限管理の承認フロー、取引先を含めた緊急時の連絡・報告体制など、管理部門が関わる領域も少なくありません。インシデントへの備えでは、設備や製品を導入するだけでなく、それらを適切に運用し、万が一の事態にも機能させられる体制が欠かせないのです。
つまり、SCS評価制度で求められているのは、情報システム部門だけでなく管理部門も含めた組織全体でセキュリティ対策を継続的に運用し、インシデント発生時にも適切に機能することです。そして、その体制や運用状況を客観的な根拠をもって説明できるかが、企業に求められている「説明責任」といえるでしょう。
では、こうした説明責任に、企業はどのように備えればよいのでしょうか。
SCS評価制度で問われるのは、単にセキュリティ対策を実施しているかどうかではなく、「その対策を説明できるかどうか」にあります。
実際、多くの企業ではウイルス対策ソフトの導入やアクセス権限の設定など、さまざまなセキュリティ対策を講じています。業務で利用するクラウドサービスにも、セキュリティを重視して選ぶ企業が増えています。しかし、十分な対策を講じていても、取引先から質問票が届いた途端、回答に苦慮している企業は少なくありません。
それは、対策を実施していないからではなく、実施している対策や利用しているクラウドサービスの安全性を裏付ける情報が整理されていないことが大きな要因です。「データはどこで保管されていますか」「第三者認証は取得していますか」「障害発生時の復旧体制はどうなっていますか」「委託先のセキュリティ管理はどのように確認していますか」といった質問に対し、「たぶん大丈夫です」「ベンダーに任せています」では十分な回答にはなりません。
取引先が知りたいのは、「安全そうだ」という印象ではありません。「なぜ安全だと言えるのか」を裏付ける客観的な根拠です。取引先からの質問に回答するには、社内規程や運用ルール、利用しているクラウドサービスや委託先が公開しているセキュリティ情報などを確認しながら回答することになります。
つまり、セキュリティチェックシートへの対応をスムーズにするには、日頃からこうした「説明材料」を整理しておくことが肝心なのです。
近年は、サプライチェーン全体のセキュリティ強化が求められる傾向が強く、クラウドサービスにおいても、セキュリティポリシーや第三者認証の取得状況、サービス稼働状況、データ保護に関する考え方などを積極的に公開するようになっています。
例えば奉行クラウドでは、サービス稼働状況やセキュリティポリシー、第三者認証の取得状況、データ保護に関する考え方などをホームページで公開しています。サービスの稼働状況もホームページで常時確認できるため、現状システムが適切に動いているかをリアルタイムに把握することが可能です。
特に、昨今被害が拡大しつつあるランサムウェア攻撃に対しては、クラウド基盤として採用しているMicrosoft AzureでOSの特別な管理権限を一元管理しており、奉行クラウドを提供しているOBCでさえもOS・データベースに触れられない仕組みになっています。そのため、管理者権限が奪取されることがなく、ランサムウェア攻撃が成立しない構造になっています。こうした構造を背景に、2026年4月には「ランサムウェアからの安全宣言」を発表し、システム構造や運用管理体制によって基幹業務データを守る考え方や仕組みを公開中です。
このように、セキュリティ対策の内容や考え方が公開されていることで、取引先からの質問に対しても客観的な根拠をもって説明しやすくなります。
さらに、奉行クラウドのセキュリティ対策に関する情報を、一覧で確認できるホワイトペーパー「奉行クラウド セキュリティ対策ガイド」も提供しています。セキュリティ対策や第三者認証、サービス運用に関する情報が整理されているため、セキュリティチェックシートや質問票への回答時にも参考資料として活用しやすいでしょう。
重要なのは、セキュリティ対策を実施していることだけではなく、その内容を必要なときに客観的な根拠をもって説明できる状態を整えておくことです。日頃から説明材料を整理しておくことが、取引先からの確認にも落ち着いて対応できる体制づくりにつながります。
SCS評価制度の評価項目を見てみると、「誰がどの情報にアクセスできるのか」「データはどこに保管されているのか」「障害や災害時に業務を継続できるのか」といった内容が数多く含まれています。これらはセキュリティ対策だけでなく、組織として適切に管理・運用できているかを示すための項目です。
言い換えれば、これから評価されるのは、セキュリティ対策を実施していることだけではなく、その内容を客観的な根拠とともに説明できる状態です。SCS評価制度は、現時点では任意適用ですが、見方を変えれば、その説明責任を果たせる状態になっているかを確認するための一つの判断基準ともいえるでしょう。
もし今、次の問いにすぐ答えられないのであれば、一度、自社が利用しているサービスや運用体制を確認してみてはいかがでしょうか。
ホワイトペーパー「奉行クラウド セキュリティ対策ガイド」では、取引先からのセキュリティ確認の備えとしても押さえておきたいポイントや、説明材料として活用できる情報をまとめています。まずは、このホワイトペーパーを参考に、自社が「セキュリティ対策を説明できる状態になっているか」を確認するところから始めてみてはいかがでしょうか。
SCS評価制度は、サプライチェーン全体のセキュリティ対策状況を可視化し、取引先や委託先を含めたリスク管理を進めるための評価制度です。現時点では法令による義務ではありません。しかし、取引先からセキュリティチェックシートや質問票による確認が広がる中で、実質的に対応を求められる場面は今後増えていく可能性があります。
代表的な確認項目には、データの暗号化やアクセス権限の管理、監視体制、障害発生時の対応体制、第三者認証の取得状況などがあります。しかし、重要なのはセキュリティ対策を実施していることだけでなく、その内容を客観的な根拠をもって説明できることです。
奉行クラウドでは、ランサムウェア対策をはじめ、利用基盤やデータ保護、監視体制、第三者認証などのセキュリティ情報を公開しています。また、ホワイトペーパー「奉行クラウド セキュリティ対策ガイド」でもセキュリティ対策や運用体制を確認できます。取引先からのセキュリティ確認に対応する際の説明材料としても活用できます。