取引先からセキュリティ対策を確認されたらどうするか

「御社のセキュリティ対策を教えてください」と聞かれることが増えています

新しい取引を始めるときや、契約を更新するとき。

取引先から突然

「情報セキュリティ対策について回答してください」

という確認表が届くことがあります。

質問を見ると

「ウイルス対策はしていますか」

「アクセス権限を管理していますか」

「バックアップを取っていますか」

「退職者のアカウントは削除していますか」

など、普段あまり意識していなかった項目が並んでいます。

大企業だけの話に感じるかもしれませんが、現在は小規模な会社や事業所でも、取引先からセキュリティ体制を確認されることがあります。

これは相手が厳しくなったというより、取引先を含めた全体で情報を守ろうとしているためです。

まず、分からない項目を無理に「対応済み」にしない

確認表を受け取ると、すべて「はい」にしたくなるかもしれません。

しかし、実際には行っていない対策を「実施済み」と回答することはおすすめできません。

例えば

• バックアップしていると思っていたが、復元確認をしたことがない
• ウイルス対策ソフトは入っているが、更新状況を確認していない
• 社員ごとのアカウントではなく共有アカウントを使っている
• 退職者のアクセス権限が残っている
• Wi-Fiの管理者パスワードを何年も変更していない

といったことは珍しくありません。

確認表は、満点を取るための試験ではありません。

現在できていることと、これから改善すべきことを整理する機会として考える方が現実的です。

確認されやすいポイントはある程度決まっています

質問項目は企業によって異なりますが、よく確認される内容には共通点があります。

例えば次のような項目です。

• Windowsやソフトウェアを更新しているか
• ウイルスや不正アクセスへの対策があるか
• 社員ごとにアカウントを分けているか
• パスワードを適切に管理しているか
• 多要素認証を使用しているか
• 社内ネットワークを適切に管理しているか
• USBメモリなどの利用ルールがあるか
• データをバックアップしているか
• 重要情報へアクセスできる人を制限しているか
• 退職・異動時に権限を変更しているか
• インシデント発生時の連絡方法が決まっているか
• 従業員へセキュリティについて周知しているか

特別な設備があるかだけを見ているわけではありません。

日頃どのように管理しているかも重要な確認項目です。

「導入している」と「運用できている」は違います

セキュリティ製品を導入していても、それだけで十分とは限りません。

例えばバックアップ装置があっても、何年も復元テストをしていなければ、本当に使えるか分かりません。

多要素認証を導入していても、一部の重要なアカウントだけ設定されていないことがあります。

UTMやセキュリティ機器が設置されていても、管理者が誰なのか分からない状態では、問題が起きたときに対応できません。

取引先から確認されたときは

「何を導入しているか」

だけではなく

「誰が管理し、どのように使っているか」

まで整理しておくと回答しやすくなります。

証拠を求められることもあります

取引先によっては、回答だけでなく資料の提出を求められる場合があります。

例えば

• セキュリティに関する社内ルール
• ネットワーク構成
• バックアップの運用方法
• 使用しているセキュリティ製品
• アカウント管理方法
• 従業員への教育記録
• インシデント発生時の連絡体制

などです。

ここで重要なのは、大量の立派な書類を作ることではありません。

小規模な会社であれば、一枚や数枚程度の簡潔なルールでも、実際に運用されている方が意味があります。

「パスワードは使い回さない」

「退職者のアカウントは最終勤務日に停止する」

「重要データは指定された場所へ保存する」

といった基本的な内容からでも構いません。

分からない質問は、そのままにしない

セキュリティ確認表には、専門用語が使われていることがあります。

例えば

「EDRを導入していますか」

「脆弱性管理を実施していますか」

「アクセスログを取得していますか」

と聞かれても、自社の環境が該当するのか判断できないことがあります。

そのような場合は、意味が分からないまま回答しない方が安全です。

現在利用している

• パソコン
• サーバーやNAS
• ルーター
• Wi-Fi
• クラウドサービス
• セキュリティソフト
• バックアップ

などを一度整理すると、どの質問へどう答えるべきか見えてきます。

対策できていない項目があっても、改善計画を示せます

確認の結果

「ここはまだ対策できていない」

という項目が見つかることもあります。

それ自体が、すぐに取引できないという意味ではありません。

例えば

「現在は共有アカウントを使用しているが、○月までに個別アカウントへ移行予定」

「バックアップは実施しているが、復元確認を定期化する」

「多要素認証について、重要アカウントから順次設定する」

というように、現状と改善予定を整理できます。

できていないことを隠すよりも、把握したうえで改善していることを説明できる方が、信頼につながります。

普段から簡単な「セキュリティ台帳」を作っておく

確認依頼が来るたびに、一から調べるのは大変です。

そこでおすすめなのが、社内で簡単な一覧を作っておくことです。

例えば

• 使用しているパソコン
• OS
• セキュリティソフト
• ルーターやWi-Fi機器
• 利用しているクラウドサービス
• バックアップ先
• 管理者
• 多要素認証の有無
• 更新日
• 契約先

などをまとめておきます。

これだけでも、取引先から質問されたときの負担はかなり減ります。

機器が故障したときや担当者が変わったときにも役立つため、セキュリティ確認のためだけの資料ではありません。

TrusKiteでは「回答するところ」から一緒に整理します

取引先からセキュリティ確認表が届いたものの

「質問の意味が分からない」

「自社がどこまで対応できているのか分からない」

という相談もあります。

TrusKiteでは、現在のパソコンやネットワーク、アカウント、バックアップなどを確認しながら、実際の環境に沿って整理します。

必要であれば

• PCやアカウントの管理状況確認
• ネットワーク構成の確認
• Wi-Fiやセキュリティ機器の確認
• 多要素認証の設定
• パスワード管理の見直し
• バックアップ体制の確認
• 社内ルールの整理
• 改善すべき項目の優先順位付け

まで、一つずつ進めていきます。

確認表を埋めることだけが目的ではありません。

次に同じ質問をされたとき、自社のセキュリティについて自信を持って説明できる状態を作ることが大切です。

セキュリティ対策は「説明できること」も大切です

しっかり対策している会社でも、その内容が整理されていなければ、取引先へうまく伝えられません。

反対に、確認をきっかけに一つずつ環境を整理することで

「何を守っているのか」

「誰が管理しているのか」

「問題が起きたらどうするのか」

が明確になります。

取引先からセキュリティ対策について聞かれたときは、面倒な書類が届いたと考えるだけではなく

自社のIT環境を点検する良い機会

として活用してみてください。

小さな会社であっても、完璧である必要はありません。

できていることを正しく把握し、足りないところを一つずつ整えていく。

その積み重ねが、会社と取引先双方の安心につながります。

※取引先が求めるセキュリティ基準は、業種、取り扱う情報、契約内容によって異なります。

※確認表への回答は、実際の運用状況と一致する内容で行うことが重要です。