委託先のセキュリティを確かめる方法｜取引先に聞くべき質問20とチェックシートの作り方
結論
なぜ委託先を確かめるのか
2026年には、
聞くべき質問20（5分野）
入口（4問）
- 社外から
社内に つなぐ VPN機器などは ありますか。 ある 場合、 ソフトは 最新ですか。 - リモートデスクトップを
社外から 直接 使える 状態に していますか。 - 当社の
データを 扱う システムは、 どこ （自社サーバー・ クラウド）に ありますか。 - 年1回以上、
外部の 脆弱性診断を 受けていますか。 直近は いつですか。
ログイン（4問）
- VPN・クラウド・管理画面で
多要素認証を 使っていますか。 - 退職者の
アカウントは、 いつまでに 止めていますか。 - 当社の
データに アクセスできる 人を、 必要な 人に 限っていますか。 - ログイン記録を
何か 月保管していますか。
バックアップ（3問）
- 当社に
関わる データの バックアップを 取っていますか。 頻度は。 - バックアップを
社内の ネットワークとは 別の 場所にも 置いていますか。 - この
1年で、 バックアップから 戻せる ことを 確かめましたか。
事故のときの連絡（5問）
- セキュリティ事故の
責任者は 誰ですか。 - 事故を
把握してから、 何時間以内に 当社へ 連絡しますか。 - この
3年で、 セキュリティ事故は ありましたか。 - 従業員に、
不審な メールなどの 教育を していますか。 - 情報セキュリティの
基本方針や 規程は ありますか。
再委託（4問）
- 当社の
業務を、 さらに 別の 会社に 再委託していますか。 - 再委託する
場合、 事前に 当社の 承認を 得ますか。 - 再委託先と
秘密保持の 約束を 結んでいますか。 - 契約が
終わった とき、 当社の データを どう 消しますか。
チェックシートを作るときのコツ
- 「はい・いいえ」に
加えて、 「いいえの 場合の 代替策と 予定」を 書く 欄を 作る。 正直な 「いいえ」を 書きやすくなります。 - 回答期限は
少なくとも 1〜2週間とる。 調査では、 回答期日が 1週間以内の 依頼が 76%を 占めました。 短すぎる 期限は、 形だけの 回答を 生みます。 - 預ける
データの 重さで、 聞く 量を 変える。 個人情報を 預ける 委託先と、 名刺程度の 情報しか 渡さない 委託先では、 聞くべき深さが 違います。 - 毎年
同じ 質問に する。 前年との 比較が でき、 委託先も 前年の 回答を 使えます。
よくある質問
「いいえ」が多い委託先とは取引をやめるべきですか？
すぐにやめる必要はありません。代替策と改善の予定を出してもらい、期限を決めて見直すほうが、現実的なことが多いです。
SCS評価制度の★を求めればよいのでは？
★は対策の水準を示す目安として使えます。ただ、預けるデータや業務に固有の確認（再委託、データの消し方など）は、別に聞く必要があります。
委託先の方へ：届いたシートは、そのまま送ってください
Moshiruは、