2026年10月5日から7日までの3日間で、大和証券、シチズン時計、損保ジャパンの3社が、問い合わせの管理に使っていた委託先のサーバへの不正アクセスで、顧客の情報が取られた可能性があると公表しました。委託先はどれもスカラコミュニケーションズで、同社は FAQシステム「i-ask」への不正アクセスを公表しています。

このうち大和証券と損保ジャパンの公表文には、同じ一文が入っています。「当社の委託先管理のあり方を検証し、管理強化策と実施時期を決定してまいります」。

大きな会社が委託先の管理を見直せば、その先で仕事を受けている会社や個人事業主にも、セキュリティのチェックシートや確認の依頼が回ってくる可能性があります。私自身も仕事を受ける側なので、届く前に一度、自分で答えてみました。

チェックシートは何を聞いてくるのか

チェックシートの形は会社ごとに違いますが、骨格は似ています。個人情報保護委員会が公開している「自己点検チェックリスト」は、次の8つに分かれています。

委託元の会社には、個人情報保護法25条で、委託先を監督する義務があります。ガイドラインは、委託先の選定、委託契約の締結、委託先での取扱状況の把握の3つを、講じなければならない措置としています。チェックシートは、このうち「把握」のための道具の1つです。

自分で25問に答えてみたら、74点でした

最初の練習には、IPA（情報処理推進機構）の「5分でできる！情報セキュリティ自社診断」が向いています。2026年3月に出た「中小企業の情報セキュリティ対策ガイドライン」第4.0版に合わせた25問で、1問4点の100点満点です。

私は10月7日に、自分の仕事用のパソコンの設定を実際に確かめながら答えました。結果は74点で、IPA の判定では「ほぼ、出来ていますが、部分的に対策が不十分な点があるようです。」の帯でした。

点が落ちた問いを見て、気づいたことがあります。ディスクの暗号化、バックアップ、パスワードの管理、2段階認証のように、対策そのものは前からやっていたものが大半でした。落ちたのは、例えば次のような問いです。

つまり、やっているのに、聞かれると答えられない状態でした。チェックシートで困るのは、対策がないことより、こちらの方が多いのではないかと思います。

最初に用意しておきたい3つの文書

IPA のガイドラインには、そのまま使える付録が無料で付いています。チェックシートが届く前に、次の3つを自分の言葉で埋めておくと、多くの設問に答えやすくなります。

1. 情報セキュリティ基本方針

誰が責任を持ち、どう取り組むかを書いた1枚です。付録2にサンプルがあります。サンプルは従業員のいる会社向けなので、個人事業主なら「全社」「従業員」の部分を自分に合わせて書き直します。私の分は、hebiwork.com/security に載せています。

2. 使っている機器とサービスの一覧

パソコン、スマートフォン、クラウドのサービスを並べて、どこに何の情報を置いているか、多要素認証をかけているかを書いておきます。付録6の資産管理台帳が使えます。クラウドの利用は、チェックシートでよく聞かれます。

3. 事故が起きたときの連絡手順

気づいてから、誰に、何時間以内に連絡するかを決めておきます。個人情報の漏えいで国への報告が必要になる場合、施行規則は速報を「速やかに」としていて、ガイドラインはその目安を「概ね3～5日以内」としています。委託先で起きた事故は、委託元の報告にも関わるので、委託元への連絡は早いほど喜ばれます。付録8に、中小企業向けの対応の手引きがあります。

答えるときの書き方

チェックシートへの答え方で、気をつけていることが3つあります。

記入例つきの Excel を置いています

IPA の25問に、記入例と書き方のコツ、3つの文書の一覧を足した Excel を作りました。回答を選ぶと点数も自動で出ます。登録なしでダウンロードできます。

記入用 Excel をダウンロード（無料）

設問は IPA「5分でできる！情報セキュリティ自社診断」を利用しています。記入例と書き方のコツは、私が独自に追加したものです。

外に見せる証跡として、SECURITY ACTION があります

IPA の「SECURITY ACTION」は、中小企業や個人事業主が、自社の取り組みを自分で宣言する制度です。二つ星は、25問の自社診断を実施し、情報セキュリティ基本方針を外部に公開していることが条件です。2026年4月からは、申込みに GビズID が必要になりました。ロゴは無料で使えます。

私も10月7日に二つ星を宣言しました。ただし、これは自分で宣言する制度で、IPA が対策の状況を認定するものではありません。IPA も「認定を受けました」「取得しました」ではなく、「宣言しました」と表現するよう案内しています。チェックシートの答えの代わりにはならず、答えを用意する出発点、くらいに考えるのが正確です。

経済産業省と IPA は、委託先が「様々な委託元から様々な要求事項を求められ、過度な負担につながっている」ことなどを課題に挙げて、「サプライチェーン強化に向けたセキュリティ対策評価制度」を準備しています。2026年度末頃の開始を目指していて、10月の時点ではまだ始まっていません。この制度を引き合いに「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」といった勧誘が報告されているとして、経済産業省と内閣官房国家サイバー統括室が注意を呼びかけています。制度は任意で、特定の製品を入れる必要もないとしています。

一連のニュースを見て、自分のところは大丈夫かと気になった方へ

委託先からの漏えいの公表が続いて、自分のところは大丈夫だろうかと気になった方もいると思います。取引先からチェックシートが届く前でも、今やっている対策を一緒に棚卸しして、足りない文書を整えるところからお手伝いしています。届いたチェックシートの回答づくり、SECURITY ACTION 二つ星の宣言、ホームページの外部公開状況の点検（侵入テストではありません）も含めて、セキュリティチェックシート回答サポート にまとめています。機器やソフトの販売はしていません。ご相談は無料です。

出典