取引先のセキュリティチェックシートを営業から担当部門へ回す手順

セキュリティチェックシートは、設問ごとに対象と根拠を残し、情報セキュリティ、製品、契約の回答担当へ分けて回します。営業は回答の取りまとめを担い、未確認の項目を推測で「対応済み」にせず、承認者と提出する版を一致させてください。

受領した質問票の原本と提出条件を保つ

受領日、依頼元、対象サービス、利用予定、提出期限、指定形式を記録し、受け取ったファイルを保存します。質問票を編集する前に原本を残してください。複数のサービス名が書かれていたり、対象がまだ決まっていなかったりする場合は、どの範囲の回答が求められているかを相手に確認します。営業が扱いやすい製品へ勝手に置き換えません。

設問番号と文言を対応させた台帳を作ります。番号のない書式なら社内の参照番号を付け、原文の場所も残します。似た質問をまとめる場合も、提出時に元の設問へ戻れるようにします。長い設問の条件部分を削ると、回答の意味が変わるおそれがあります。分からない用語は、回答者が確認できる質問として扱います。

提出期限の希望と、各部門が確認できる予定を分けて記録します。依頼元が急いでいても、全問の承認が済んだことにはなりません。間に合わない可能性があれば、回答できる範囲と調整の必要な範囲を責任者へ相談します。質問票を受け付けた連絡と、完成版を提出する約束を同じ文で曖昧にしないようにします。

設問を機能・運用・契約へ振り分ける

利用者の認証や権限に関する問いは、製品の機能と自社の実際の運用を分けて確認します。機能が存在しても、今回の環境で設定されているとは限りません。逆に運用手順があっても、製品が自動で強制する機能とは限りません。設問の意図に応じて複数の担当が必要なら、取りまとめる主担当を一人決めます。

保存先、バックアップ、障害時の連絡、利用終了後の扱いなども、営業が一般的なクラウドの説明から回答しません。今回のサービス、契約、環境に当てはまる根拠を担当者へ求めます。IPAの手引きは事業者と利用者の役割を意識するために参照できますが、チェック項目の存在は自社が満たしている証明にはなりません。

責任範囲や個別の保証を尋ねる問いは、契約を扱う担当へ回します。「サービスで対応」と書くだけでは、誰が何を行うか分からない場合があります。製品担当の説明をそのまま法的な保証文に変えないでください。回答可能な事実、運用条件、契約上の確認が必要な表現を台帳上で区別することが、営業の取りまとめの役割です。

回答には対象と根拠資料の範囲を付ける

担当者には、回答文だけでなく根拠となる資料、確認日、適用する対象を返してもらいます。社内資料の全体を外部へ出せるとは限らないため、根拠を内部で確認することと添付してよいことは別にします。外部へ説明できる要約の承認が必要なら、その担当も記録してください。回答者の名前だけでは根拠の範囲は分かりません。

過去の別顧客向けの回答が見つかっても、今回の質問票へ無条件でコピーしません。対象サービス、運用、時点、設問の条件が同じかを確認します。以前の回答を参照候補として渡すことはできますが、現在の承認としては扱いません。変更の可能性がある項目に担当者がいない場合、その設問は未確認のまま残します。

回答欄が「はい・いいえ」だけの場合でも、条件を省いてよいとは限りません。指定の補足欄や相手が認める方法で、対象や制約を示せるか確認します。答えがないことを「いいえ」に変えると、機能がないとの意味になる可能性もあります。未確認、非該当、非対応を混同せず、どう提出するかを責任者と相手の指示に照らして決めます。

架空の設問台帳と承認待ちの例

以下は全て架空の例です。架空の質問票では、設問Aが認証方法、設問Bがデータ削除、設問Cが障害時の契約上の責任を尋ねています。Aは製品担当が対象環境の資料を確認し、Bは運用担当が手順を確認中、Cは契約担当へ照会中です。台帳には各設問の原文、根拠、回答案、承認者、状態を別々に記載します。

架空の取りまとめ文は「設問Aは対象環境の確認と回答承認が済んでいます。Bは利用終了時の運用条件、Cは契約条件を担当部署へ確認中です。現時点で全項目回答済みとはせず、提出方法を調整したく存じます」です。これは社内と相手へ状態を説明する構成例であり、実在するサービスの認証や削除機能を示していません。

対照の架空ケースでは、過去の資料にバックアップありと書かれていますが、復旧の対象と現在の手順を確認できません。営業は設問に対応済みと入れず、必要な範囲を運用担当へ返します。期限が近いことから復旧時間を推測して埋めることもしません。未確認の根拠と、それを解決する担当が明確な状態を保ちます。

版を固定して設問と回答の対応を確かめる

回答が集まる間に依頼元から新しい質問票が届いたら、原本を分けて保存します。設問の追加、番号の変更、条件の修正を比較し、同じ番号だから同じ問いだと考えないようにします。旧版で承認した回答のどれが新しい設問にも使えるかは、担当者に確認します。全回答を一括して新しい書式へ貼り替えて承認済みにしません。

提出候補を一つに固定し、原文の設問、回答、補足、添付の対応を確認します。セルの表示幅で文が隠れていないか、コメントに内部情報が残っていないかも、実際に渡すファイルで確認します。根拠資料を添付する場合は、外部共有を承認された版だけを選びます。作業用ファイルの共有リンクをそのまま相手へ渡さないでください。

承認は、どの設問にどの回答を出す判断なのかが追える形で残します。修正後に意味が変わった回答は再確認が必要です。取りまとめ担当が文章を読みやすくする場合でも、保証の範囲や条件を削らないようにします。提出直前の変更があったら、変更箇所と承認状態を見て、必要に応じて提出を待ちます。

提出記録と追加質問を同じ台帳へ戻す

提出後は、実際のファイル名と版、送付先、送付日、提出した項目を残します。相手からの受領連絡と、セキュリティ審査の承認は分けてください。追加質問が来た場合は、提出版のどの回答への問いかを対応させ、同じ設問の根拠を確認できる担当へ回します。回答した事実を、契約や安全性の評価が完了した状態へ広げません。

一般的な資料送付と異なり、ここで作るのは設問単位の回答根拠と承認の台帳です。LDMへ営業運用を相談する際も、回答そのものの判断を情報管理者や担当部署に残します。本稿は、質問票への自動回答、認証取得、契約審査などの製品機能を示していません。利用するツールで設問と根拠をどう結び付けるかは実際の対応範囲を確認します。

一次資料、確認日2026年10月18日：IPA「中小企業のためのクラウドサービス安全利用の手引き」 https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/000072150.pdf 。参照範囲は役割の分担と利用前に確認する観点です。特定サービスの対策状況や認証、個別の質問への正解を検証していません。設問台帳と全ての事例は執筆上の提案と架空の例です。

実際には無料の受信トレイ到達テスト（check.live-direct-marketing.online）で確認できます。

よくある質問