取引先のセキュリティ要求に答える実務テンプレ

5-1. なぜ取引先要求が強化されているのか

いま多くの企業がサプライチェーン全体のリスクを前提に管理しています。
規模に関係なく、委託先や仕入先の事故が自社の停止や信用毀損につながるため、調達部門は事前評価と継続評価を仕組み化しています。
結果として、中小企業にも「セキュリティチェックシートの提出」「運用証跡の提示」「是正計画の提出」が求められるケースが増えています。
ポイントは、満点を取ることではなく、運用していることを説明できることです。

5-2. よく求められる要求項目

– 体制 責任者の指名 連絡体制 事故時のエスカレーション
– 規程 情報セキュリティ基本方針 取扱規程 端末持ち出し クリアデスク メールの外部送信基準
– 技術 MFA バックアップ EDR 監査ログ 暗号化 脆弱性対応
– 運用 権限棚卸 退職者アカウントの無効化 共有リンクの棚卸 訓練と教育
– 取引先データ 受領から廃棄までの管理 許可ドメイン 期限付き共有 再委託の基準
– 事故対応 初動手順 連絡先 証跡保全 影響評価 再発防止

これらは大企業向けの高度要件の“縮小版”として提示されることが多く、できている範囲を具体的に示すことが最重要です。

5-3. ひとり情シスの基本方針

1 既に回っている運用を言語化して証跡化する 例 MFA必須化の社内通知 スクリーンショット ログの保持設定の証拠
2 改善が必要な項目は期日付きの是正計画に落とす 例 共有の既定を社外不可に変更 期限は月末 責任者は情報管理担当
3 全てを自社で抱え込まない アウトソースとツールの活用で運用負荷を平準化
4 相手先との合意をリスクベースで交渉 絶対条件と猶予可能事項を分ける

5-4. 最小運用で揃える証跡セット

体制
– 組織図と責任者の指名 文書化して社内公開 連絡先を明記
– 事故時の連絡フローを一枚で図示 経営 取引先 法務の順序を記載

規程
– A4一枚の情報セキュリティ方針 目的 適用範囲 役割 罰則は簡潔に
– 取り扱いルール データ分類 共有既定 メール添付禁止 URL共有への切替を明文化

技術
– MFA必須化の設定画面キャプチャと未設定者ゼロのレポート
– バックアップ方針 分離保管 週次複製 リストア試験結果の記録
– 監査ログ保持期間の画面キャプチャ 90日以上を推奨
– 端末のEDR やウイルス対策の導入一覧とバージョン 例外がある場合は期限付き

運用
– 退職者アカウント無効化の台帳 当日処理の証跡を添付
– 共有リンクの棚卸結果 外部共有 期限なし を一括失効した記録
– フィッシング訓練やEラーニングの受講率レポート 月次15分の運用でも可

5-5. チェックシート回答テンプレ

設問 重要システムのアクセスに多要素認証を使用していますか
回答 はい 対象はメール 主要SaaS VPN 管理コンソール 設定は必須化し 未設定者は毎日通知でゼロ運用 保証のため設定画面キャプチャを添付

設問 バックアップの取得と復旧手順は整備されていますか
回答 はい 業務データは分離保管 週次複製 四半期にリストア試験を実施 直近の試験結果を添付

設問 退職者アカウントの取り扱いはどうなっていますか
回答 人事発令当日に無効化 所有権移管 二要素解除 APIトークン廃止をチェックリスト化 台帳とサンプル証跡を添付

設問 社外共有の制御はどう行っていますか
回答 共有の既定は社内のみ 外部共有は期限付きで申請制 月次で棚卸し 期限なしは自動失効 監査ログを保持

設問 事故発生時の連絡と初動は
回答 連絡窓口を一本化 初動は封じ込め 証跡保全 影響評価の順 取引先には事実ベースで段階的に連絡 プレイブックを添付

5-6. 証跡パッケージの作り方

構成 1 総括レター 2 体制図 3 規程抜粋 4 技術設定の画面キャプチャ 5 運用レポート 6 是正計画
形式 PDF一つにまとめ 目次付きでファイル名に年月を付与 例 security evidence 2025 09
更新 月次で差分のみ追加 直近三カ月分を優先して提出

5-7. アウトソースと内製の分担の考え方

– 内製するもの 共有既定の設定変更 退職者無効化の実務 監査ログの週次レビュー 事故時の一次切り分け
– 外部に任せるもの 24時間監視のSOC 高度なEDR運用 脆弱性診断とペンテスト 法務や広報を含む大規模インシデント対応訓練
– ハイブリッド 月次レポートはベンダから受領し 社内向けサマリを自社で作る 監査対応の質問はひな形で一次受けし専門質問だけをエスカレーション

5-8. 90日で取引先要求に耐える土台を作る

Day1 30 体制指名 方針のA4一枚化 共有既定の社外不可へ変更 MFA未設定者ゼロ化 退職者棚卸の実施
Day31 60 監査ログ保持90日を確認 バックアップの分離とリストア試験 権限ロールの第一弾を導入 共有リンク棚卸の定着
Day61 90 証跡パッケージの初版完成 机上監査を実施 取引先向け説明資料を整備 ベンダ連携の運用改善をレビュー

5-9. 社内合意と伝え方

– 経営向け メッセージ例 取引先要求はコストではなく売上の保険 ここで落とすと案件損失につながる
– 現場向け メッセージ例 共有の既定が社外不可なのはあなたを守るため 例外は期限付きで申請可能に
– ひとり情シス向け スローガン やっていることを見える化 できていないことには期日を付ける

5-10. 今日からのチェックリスト

– 体制図と連絡窓口を一枚にまとめ 社内ポータルに掲載
– MFA未設定者ゼロ化の証跡を取得 画面キャプチャと未設定者レポート
– 共有既定を社内のみへ変更 外部共有は期限付きに統一
– 退職者アカウントの当日無効化ワークフローを確認 台帳の雛形を配布
– 証跡パッケージのフォルダ構成を作成 先月分の差分から収集開始

— 取引先からの要求は負担ではなく武器になります。
運用を言語化し証跡化するだけで、営業の信頼獲得と社内の合意形成が劇的に進みます。
完璧よりも、動いていることの証明を重視しましょう。