メニュー

コラム｜セキュリティ

取引先からセキュリティチェックシートが届いたら、中小企業がまずやること

公開：2026-10-29　更新：2026-10-29　文：渡部 秀雄（DXプランニング代表）

取引先からセキュリティの確認票が届いても、慌てなくて大丈夫です。回答の前にそろえておくことと、今日からできる5つの準備を、やさしく整理しました。

セキュリティ確認 回答案 対策しています取引先へ

何が起きているか

取引先から「セキュリティチェックシート（情報セキュリティ対策の状況を尋ねる確認票）」が届く場面が増えています。背景には、取引先や委託先を経由して攻撃が広がる被害があります。

IPA（独立行政法人 情報処理推進機構）の「情報セキュリティ10大脅威2026」では、組織向けの脅威の2位に「サプライチェーンや委託先を狙った攻撃」が入っています（1位は「ランサム攻撃による被害」）。サプライチェーンとは、原材料の調達から納品までの取引のつながりのことです。

国の動きもあります。2026年3月、経済産業省と内閣官房国家サイバー統括室は、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の方針を公表しました。運営はIPAです。登録申請の受付は、2027年3月に始まる予定です（2026年10月時点の予定で、変わる可能性があります）。

ポイント：この制度の取得は任意です。取引の条件にするかどうかは、契約する当事者どうしが決めます。今すぐ取得しなければならないものではありません。

SCS評価制度の「★」とは

制度は、対策の水準を星で表します。中小企業にまず関係するのは、★3と★4です。

項目★3★4
方法専門家の確認が付いた自己評価第三者評価（評価機関が実地審査と技術検証を行う）
項目数26件43件
登録料20,000円（1年更新）。2028年3月31日までは割引で10,000円60,000円（3年更新）
※定められた要求事項をすべて満たす必要があります。技術検証とは、システムに弱点がないかを技術的に確かめることです。

★3は自己評価が中心なので、回答の中身に責任を持つのは自社です。申請のしかたをまとめた「登録申請の手引」は、2026年11月末ごろに公表される予定です。最新の情報はIPAのページで確認してください。

中小企業にとって何が問題か

IT担当がいない会社では、次のような困りごとが起きがちです。

  • 質問の意味が分からず、誰が答えるのか決まっていない。
  • 自社のパソコンの台数やOSの種類を、すぐに答えられない。
  • よく分からないまま「対応済み」と書いてしまう。

特に気をつけたいのは最後の点です。回答は自社の責任で出すものです。実態と違う回答をすると、後で取引先との信頼を損なうおそれがあります。できていない項目があっても、正直に書くことが大切です。

対策に取り組むことは、取引にも関係します。IPAの「2024年度中小企業における情報セキュリティ対策に関する実態調査」（4,191社が回答）では、取引先から対策を求められた企業は1割強でした。また、体制を整えている企業の約6割、第三者認証を取っている企業の約7割が「取引につながった」と答えています。

なお、公正取引委員会と経済産業省の資料では、取引先に対策を求めること自体は、直ちに独占禁止法上の問題にはならないとされています。ただし、根拠のはっきりしない対策費を、合理的な範囲を超えて負担させる場合などは、問題になるとされています。

今日からできること

  1. 確認票を1か所に保存し、回答担当者を決める
    共有フォルダに「受領日・提出期限・取引先名」が分かる形で置き、担当者を1人決めます。
  2. 自社の機器の一覧をつくる
    パソコン・サーバー・クラウドサービスについて、台数、OSの種類、ウイルス対策ソフトの有無を表計算ソフトに書き出します。
  3. IPAの自社診断で現状を確かめる
    「5分でできる！情報セキュリティ自社診断」の質問に答えて、できていることと足りないことを書き出します。
  4. 「情報セキュリティ6か条」を見直す
    OS・ソフトを最新にする、ウイルス対策ソフトを使う、パスワードを強くする、共有設定を見直す、バックアップを取る、脅威や手口を知る、の6つです。できていないものを1つ選んで始めます。
  5. SECURITY ACTIONを調べる
    IPAの制度で、認定ではなく自己宣言です。一つ星は「6か条に取り組む」宣言です。二つ星は、自社診断をしたうえで基本方針を定め、外部に公開します。ロゴは無料で使えます。2026年4月1日から、申込みにはGビズID（国の手続きで使う共通のログインID）のプライムかメンバーのアカウントが必要です。

回答するときの心がけ

次の点は公的な決まりではなく、実務上のコツです。

  • 実態のとおりに書く。
  • 「該当なし」と書くときは、理由を添える。
  • 「対応予定」と書くときは、時期を添える。
  • 根拠になる資料（規程や画面の写真など）を用意しておく。
  • 書いた回答は「回答集」として残し、次回に使えるようにする。
注意：分からない質問に、推測で「はい」と答えるのは避けましょう。提出期限も早めに確認し、間に合わない場合は取引先に相談してください。

機器の一覧づくりやSECURITY ACTIONは、SCS評価制度に備える準備にもなります。

よくある疑問

Q. 全部の項目に「はい」と答えられません。取引は続けられますか。

できていない項目があるだけで、取引が終わると決まっているわけではありません。実態を正直に書き、改善の予定時期を添えて回答するほうが、信頼につながりやすいと考えられます。

Q. SCS評価制度は、すぐに取得しないといけませんか。

取得は任意です。求められるかどうかは、取引先によって違います。まずは取引先が何を求めているのかを確認し、自社診断で現状を知ることから始めましょう。

Q. 相談できる先はありますか。

IPAに「企業組織向けサイバーセキュリティ相談窓口」があります。中小企業の経営相談を無料で受ける「よろず支援拠点」もあります。また、見守りと駆けつけをまとめた「サイバーセキュリティお助け隊サービス」もあります。基本となる「1類」の価格の上限は、ネットワーク監視型が月額1万円以下、端末監視型が1台あたり月額2,000円以下です。

まとめ

確認票が届いたら、まず保存先と回答担当者を決め、機器の一覧と自社診断で現状をつかみましょう。回答は実態のとおりに書き、できていない点には改善の時期を添えると伝わりやすくなります。回答の整理や対策の優先順位で迷ったときは、DXプランニングにもお気軽にご相談ください。

出典

無料｜IT担当がいない会社のセキュリティ点検表（20項目・A4・2枚）会社のケースごとに、確かめるべき項目と「まずやること」が分かります。登録不要です。ダウンロード
この記事を書いた人渡部 秀雄（DXプランニング代表）。IT企業で、企業向けのデータ連携基盤の構築・検証、帳票づくりの自動化、ホームページのサーバー管理から更新までの運用に携わっています。IT担当がいない中小企業・団体の外部のIT担当として、相談から仕組みづくり、保守までを引き受けています。

まずは無料でご相談ください

「こんなこと頼めるかな？」という段階でも大丈夫です。初回のご相談は無料で、その場で契約を求めることはありません。通常、2日以内（土日を含む）にお返事します。

無料で相談する