minerva取引先から、セキュリティ対策についての質問票やチェックシートが届くことがあります。急に聞かれると、何をどこまで答えればよいか迷うものです。なぜ聞かれるのか、ふだんから何を整理しておけばよいか、公的な目安をどう使うかを、2026年10月時点の情報をもとに整理します。
01なぜ、取引先から聞かれるのか
会社どうしの取引では、仕事を頼む側と受ける側の間で、図面や顧客の情報などのデータをやりとりします。どこか1社に入り込まれると、そこを足がかりに取引先へ被害が広がるおそれがあります。そのため、仕事を頼む側が、取引先の対策の状況を確かめておきたいと考えるのは自然なことです。
経済産業省は、こうした確認を取引ごとにばらばらに行うと、頼む側にも受ける側にも負担が大きいことを課題として挙げています。そこで、企業の対策の状況を共通の基準で示せるようにする制度づくりを進めています。聞かれる機会は、これから増えていくと考えておくとよさそうです。
02まず、自社の状況を書き出しておく
質問票の書き方は取引先ごとに違いますが、聞かれる内容は似ています。たとえば、セキュリティの担当者は誰か、社内のルールはあるか、パソコンやソフトを更新しているか、ウイルス対策をしているか、バックアップを取っているか、問題が起きたときの連絡先や手順は決まっているか、といったことです。
IPA（情報処理推進機構）は、中小企業向けに「5分でできる！情報セキュリティ自社診断」を公開しています。25の項目に答えることで、自社の対策の状況をつかめるようになっています。質問票が届く前に一度やっておき、答えと、その根拠になる資料（ルールの文書、機器の一覧など）の置き場所をまとめておくと、聞かれたときに慌てずにすみます。
03公的な目安を使って示す
取り組みを外に示す方法の一つに、IPAの「SECURITY ACTION」があります。中小企業が自ら取り組みを宣言する制度で、ロゴマークは無料で使えます。一つ星は「情報セキュリティ6か条」に取り組むこと、二つ星は自社診断で状況をつかんだうえで、情報セキュリティの基本方針を定めて外に公開することが目安です。
注意したいのは、これは自分で宣言するもので、どこかが認定するものではないという点です。IPAも、ホームページなどで「認定を受けました」「取得しました」と書くと誤解を招くおそれがあるとして、「二つ星を宣言しました」のように書くよう案内しています。取引先に伝えるときも、宣言であることをそのまま伝えるのが誠実です。
04新しい評価の制度と、勧誘への注意
経済産業省とIPAは、「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の準備を進めています。経済産業省のページによると、★3と★4の申請受付は2026年度末ごろ（2027年1月から3月ごろ）の開始を目指しています。★3は、所定の研修を受けた専門家の確認を付けた自己評価で、有効期間は1年とされています。★4は、★3より広い範囲の対策を対象とします。予定は変わる可能性があります。
この制度は任意のもので、★を取るかどうかは取引の契約の中で決まるとされています。経済産業省は、「評価を取らないと取引が規制される」「今すぐ取らないと入札から外される」と急がせる勧誘に注意するよう呼びかけています。基準を満たすために特定の製品を入れることが必須なわけでもありません。取引先から求められたときは、何がいつまでに必要なのかを、まず取引先に確かめるのがよいでしょう。
05できていないことは、正直に答える
質問票には、すぐには「はい」と答えられない項目もあるはずです。そのときは、できていないことを隠すより、今の状況と、いつまでに何をする予定かを添えて答えるほうが、取引先にとっても判断しやすくなります。すべての項目を一度に整える必要はありません。
まずは社内で、自社診断を一度やってみること、答えの根拠になる資料をまとめておくこと、取引先とのやりとりの窓口を一人決めておくことの3つから始めてみてください。契約書にセキュリティに関する決まりが入る場合は、内容をよく読み、詳しくは専門家にご相談ください。（記事の内容は2026年10月時点の公開情報にもとづいています）
記事一覧へ戻る
