セキュリティ調査票の書き方 ― 取引先から届いたチェックシートに困ったら

～回答例付き！ セキュリティ調査票の「何を書けばいいかわからない」を解決する～

「取引先から突然、セキュリティ調査票が送られてきた。数十項目もあって、何をどう書けばいいかわからない」――中小企業の情シス担当者が直面する、最も身近で切実なセキュリティ課題のひとつです。

セキュリティ調査票（セキュリティチェックシートとも呼ばれます）は、取引先が自社のサプライチェーン全体のセキュリティリスクを確認するために送付するものです。適切に回答できないと、取引の継続に影響が出る可能性があります。

このコラムでは、セキュリティ調査票の典型的な質問カテゴリごとに、具体的な回答例と書き方のコツを解説します。

この記事でわかること

・セキュリティ調査票の構成と典型的な質問パターン
・カテゴリ別の回答例と書き方のコツ
・「対策していない」項目がある場合の正直な回答方法
・調査票の回答をきっかけに自社のセキュリティ体制を整備するステップ
・サイバーセキュリティ対策促進助成金を活用した対策整備の方法

---

1. セキュリティ調査票とは ― 背景と目的

なぜ取引先が調査票を送ってくるのか

サプライチェーン攻撃の脅威が高まる中、大企業や中堅企業は取引先のセキュリティ状況を定期的に確認するようになりました。経済産業省の「サイバーセキュリティ経営ガイドライン」でも、サプライチェーン全体のセキュリティ管理が経営者の責務として明記されています。

セキュリティ調査票は、取引先が「この企業と安全に取引を続けられるか」を判断するための情報収集です。回答内容は、取引継続の判断材料になる場合があります。

調査票の一般的な構成

カテゴリ	質問数の目安	聞かれること
組織・体制	3〜5問	セキュリティ責任者の有無、ポリシーの策定状況
ネットワーク対策	5〜10問	ファイアウォール、UTM、VPN等の導入状況
端末対策	3〜5問	ウイルス対策ソフト、OS更新、暗号化の状況
アクセス制御	5〜8問	パスワードポリシー、多要素認証、権限管理
データ保護	3〜5問	バックアップ、暗号化、データ廃棄の方法
社員教育	2〜3問	セキュリティ研修の実施状況
インシデント対応	3〜5問	対応手順の有無、連絡体制、過去のインシデント
物理セキュリティ	2〜3問	入退室管理、サーバー室の施錠

---

2. カテゴリ別の回答例と書き方のコツ

組織・体制に関する質問

Q：情報セキュリティの責任者を任命していますか？

状況	回答例
任命済みの場合	「代表取締役の○○を情報セキュリティ管理責任者として任命しています。日常的なセキュリティ管理は情報システム担当の△△が実施し、定期的に責任者に報告する体制を取っています」
未任命の場合	「現在、正式な任命は行っておりませんが、○月までに情報セキュリティ管理責任者を任命し、社内に周知する予定です」

Q：情報セキュリティポリシーを策定していますか？

状況	回答例
策定済みの場合	「情報セキュリティ基本方針を策定し、IPAのSECURITY ACTION二つ星として宣言・公開しています。基本方針に基づくセキュリティ管理規程も整備しています」
未策定の場合	「現在策定中です。SECURITY ACTION二つ星の取得を目指し、○月までに情報セキュリティ基本方針を策定・公開する予定です」

ネットワーク対策に関する質問

Q：ファイアウォールまたはUTMを導入していますか？

状況	回答例
導入済みの場合	「○○社のUTM（機種名：△△）を導入しています。ファイアウォール、IPS、アンチウイルス、Webフィルタリング機能を有効にし、シグネチャの自動更新を設定しています」
未導入の場合	「現在はルーターのファイアウォール機能のみで運用しています。サイバーセキュリティ対策促進助成金を活用し、○月までにUTMを導入する計画で準備を進めています」

社員教育に関する質問

Q：従業員向けのセキュリティ教育を実施していますか？

状況	回答例
実施済みの場合	「年4回の全社員向けセキュリティ研修を実施しています。直近では2026年○月に外部講師によるフィッシングメール対策研修を実施し、全社員（30名）が受講しました。受講記録を保管しています」
未実施の場合	「これまで体系的なセキュリティ研修は実施しておりませんでした。○月に外部の専門機関に委託して全社員向け研修を実施する予定で、準備を進めています」

---

3. 「対策していない」項目がある場合の対応

正直に回答した結果、「対策していない」項目が多いと不安になるかもしれません。しかし、嘘をつくのは最もやってはいけないことです。

正直に回答しつつ、改善計画を示す

未対策の項目には、以下の3点をセットで記載しましょう。

1. 現状を正直に述べる：「現在は○○の対策を実施しておりません」
2. 改善計画を示す：「○月までに○○を導入する予定です」
3. 根拠を添える：「サイバーセキュリティ対策促進助成金の活用を申請中であり、採択後速やかに導入する計画です」

取引先が求めているのは「完璧な対策」ではなく、「改善に向けて取り組む姿勢」です。具体的な計画と期限を示すことで、取引先の信頼を得ることができます。

---

4. 調査票をきっかけにセキュリティ体制を整備する

セキュリティ調査票への回答は、自社のセキュリティ状況を棚卸しする絶好の機会です。

ステップ1：調査票の各項目を「対策済み」「未対策」「一部対策」に分類する

まずは現状を可視化します。

ステップ2：未対策の項目に優先順位をつける

すべてを一度に対策する必要はありません。「取引先が特に重視している項目」「対策しないと事業に影響が出る項目」から優先的に着手します。

ステップ3：サイバーセキュリティ対策促進助成金を活用して対策を実施する

東京都内の中小企業であれば、サイバーセキュリティ対策促進助成金を活用してセキュリティ機器の導入費用の1/2（最大1,500万円）の助成を受けられます。調査票で「未対策」と回答した項目を、サイバーセキュリティ対策促進助成金を使って一気に改善することが可能です。

サイバーセキュリティ対策促進助成金の申請については申請サポートサービスをご活用ください。

ステップ4：次回の調査票に備えてエビデンスを整備する

対策を実施したら、その証拠（エビデンス）を整備しておきましょう。具体的には以下のような資料です。

・SECURITY ACTION二つ星のロゴマーク・宣言書
・情報セキュリティ基本方針の文書
・セキュリティ機器の導入記録・設定内容
・研修の実施記録（日時、内容、参加者名簿）
・インシデント対応マニュアル

---

5. 専門家に相談できる体制を持つ

セキュリティ調査票の回答は、一度きりではありません。多くの取引先が年1回以上の定期確認を行っており、内容も年々高度化しています。

専門家に相談できる体制があると、調査票への対応が格段にスムーズになります。

リモートセキュリティ顧問サービス（月額5万円〜）では、セキュリティ調査票の回答支援が主要な業務のひとつです。「この質問にどう回答すればいいか」「未対策の項目をどう書けば取引先に安心してもらえるか」といった相談に、メールやチャットで気軽に対応いたします。

より包括的な支援が必要な場合は、セキュリティ伴走コンサルティング（vCISO）（月額30万円〜）で、調査票対応だけでなくセキュリティ体制全体の構築を一緒に進めることができます。

また、調査票で「社員教育が未実施」と回答せざるを得ない場合は、セキュリティ教育・研修サービス（1回8万円〜）を活用して、速やかに研修を実施することをお勧めします。

---

まとめ

セキュリティ調査票への回答は、正しい知識とコツがあればスムーズに対応できます。

・回答は正直に。未対策の項目には改善計画と期限を添える
・具体的な製品名・サービス名・実施日を記載すると信頼度が上がる
・調査票への回答を自社のセキュリティ棚卸しの機会として活用する
・サイバーセキュリティ対策促進助成金を活用すれば、未対策の項目を費用半額で改善できる
・リモートセキュリティ顧問に相談できる体制があると、継続的な対応がスムーズ

---

アクセルパートナーズへのご相談

セキュリティ調査票の回答でお困りですか？

リモートセキュリティ顧問サービスでは、セキュリティ調査票の回答支援を承っています。

・「取引先からの調査票にどう回答すればいいかわからない」
・「未対策の項目が多くて、取引停止にならないか心配」
・「調査票をきっかけに、サイバーセキュリティ対策促進助成金で対策を進めたい」

初回60分のZoom相談は無料です。お気軽にお問い合わせください。

お問い合わせ：0120-659-057（平日対応）

---

参考・出典

・経済産業省「サイバーセキュリティ経営ガイドライン Ver3.0」 https://www.meti.go.jp/policy/netsecurity/mng_guide.html
・IPA「SECURITY ACTION」制度紹介ページ https://www.ipa.go.jp/security/security-action/
・IPA「中小企業の情報セキュリティ対策ガイドライン 第3.1版」 https://www.ipa.go.jp/security/guide/sme/about.html
・東京都中小企業振興公社「サイバーセキュリティ対策促進助成金」公式ページ