取引先のセキュリティ質問票に答える前に集める4つの記録｜推測で「実施済み」と書かないために

取引先から届くセキュリティ質問票は、すぐに「はい」「いいえ」を埋めると、後で説明できない回答が残ることがあります。回答前に、誰が何を確認したかを短く残しておくと、次回の更新にも使えます。

この記事は、質問票の回答根拠を社内で整理するための方法です。契約、法令、監査の要求を判断するものではありません。設問の意味や提出方法に不明点があれば、取引先へ確認してください。

最初に回答の担当と期限を決める

質問票はIT部門だけで完結しないことがあります。総務、経理、外部保守先など、設問ごとに確認先が異なるためです。提出期限、質問票の版、回答責任者、確認先を一枚にまとめます。

機密情報を含む台帳、設定画面、ログを、そのままメールへ添付する必要はありません。必要な証跡の形式と安全な受け渡し方法は、相手と合意してから決めます。

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版には、情報資産を洗い出して重要度を考える手順、資産管理台帳のサンプル、自社診断などが用意されています。質問票のためだけに新しい仕組みを作る前に、既存の記録を確認する入口として利用できます。

「実施済み」だけでは、実態が分かりません。設問ごとに次のように分けます。

たとえば「バックアップを実施しているか」という設問では、保存先があるだけでなく、対象、頻度、復元を確認した日を分けて確認します。復元テストをしていなければ「復元は未確認」と記録します。

設問：退職者のアカウントを停止する手順はありますか
回答状態：一部確認済み
根拠：人事から総務へ通知する手順書（2026年9月確認）
未確認：SaaS管理者の停止記録、共有IDの有無
次の確認先：総務、各SaaSの管理者
回答者・確認日：担当者名／日付

このメモは社内用です。取引先へ渡す回答には、設問が求める範囲だけを記載し、担当者名、内部パス、設定値などを必要以上に含めません。

提出済みの質問票、回答根拠メモ、相手からの追加質問を同じ場所に保管します。次回、同じ設問が来たときに前回の回答をそのまま流用せず、確認日と運用変更の有無を見直せます。

社内の資産や優先順位を整理する前段階では、最初の30日で確認することを参照してください。外部へ相談する際は、機密情報を含めずに相談前に整理する5項目から準備できます。