本文へスキップ
株式会社オープンナレッジ
株式会社オープンナレッジ Open Knowledge Inc.
1. 基本と全体像

この記事の要点と4つの章のご案内

この記事の3つの要点(まずここだけ読めば安心です)に関するイメージ写真
この記事の3つの要点(まずここだけ読めば安心です)
なぜ今、多くの親会社や取引先が「セキュリティ調査票」を送ってくるのか?に関するイメージ写真
なぜ今、多くの親会社や取引先が「セキュリティ調査票」を送ってくるのか?
取引先から届いた「セキュリティ調査票」への誠実な回答と、信頼を高める改善手順 の各章におけるテーマと要点一覧表
章構成 主なテーマ 要点と確認ポイント
1. 基本と全体像 この記事の3つの要点(まずここだけ読めば安心です) 調査票で一番やってはいけないのは「できていないのに『実施済み』と書いてしまうこと」です: 取引先が最も重視しているのは、現時点で100点満点であることではなく、「自社の現状を正直に把握し、いつまでにどう改善するかの計画(ロードマップ)があるか」という誠実さです。
2. 現場での進め方と対策 なぜ今、多くの親会社や取引先が「セキュリティ調査票」を送ってくるのか? 50〜80項目の質問も、突き詰めれば「5つの基本領域」に整理できます: 01 ID・多要素認証、02 OS・VPN機器の更新、03 書き換え不能なバックアップ、04 ウイルス・不審メール対策、05 緊急時の連絡体制の5つに分ければ、迷わず回答を作成できます。
3. 関連する制度とルール 調査票でよく聞かれる質問と、「未実施」のときの具体的な回答文例・改善策 まずは本ページの図解と3項目チェックリストでご自身でできる範囲からお試しください。もし設定や判断に迷われたときは、過度な営業のないご相談窓口(お助け隊・お問い合わせ窓口)へいつでもご相談いただけます。
4. 詳しい技術仕様としくみ サプライチェーン調査票(SCS ★3 / 26 Controls)の自動証跡収集とRFC 3161互換ハッシュチェーン検証 ——80項目のエクセル質問票に戸惑わないために。背伸びをせず「現状の正確な把握と改善計画」で信頼を築く方法
第1章〜第4章では、実務チェックリスト・公的制度基準・詳しい技術仕様を確認できます。
取引先調査票・SCS評価(★3)実務ガイド 監修・執筆:登録情報処理安全確保支援士(第007617号)・上級医療情報技師 加藤 明生

取引先から届いた「セキュリティ調査票」への誠実な回答と、信頼を高める改善手順

——80項目のエクセル質問票に戸惑わないために。背伸びをせず「現状の正確な把握と改善計画」で信頼を築く方法

この記事の3つの要点(まずここだけ読めば安心です)

  • 01. 調査票で一番やってはいけないのは「できていないのに『実施済み』と書いてしまうこと」です: 取引先が最も重視しているのは、現時点で100点満点であることではなく、「自社の現状を正直に把握し、いつまでにどう改善するかの計画(ロードマップ)があるか」という誠実さです。
  • 02. 50〜80項目の質問も、突き詰めれば「5つの基本領域」に整理できます: 01 ID・多要素認証、02 OS・VPN機器の更新、03 書き換え不能なバックアップ、04 ウイルス・不審メール対策、05 緊急時の連絡体制の5つに分ければ、迷わず回答を作成できます。
  • 03. 1度作った回答と証跡は「自社の安全カルテ」として毎年使い回せます: 2026年秋に始まる経済産業省「SCS評価制度(3:26項目)」の基準に沿って整理しておけば、複数の取引先から別々の調査票が届いてもすぐに対応できるようになります。
第1章:背景と仕組みの図解

1. なぜ今、多くの親会社や取引先が「セキュリティ調査票」を送ってくるのか?

近年、大企業そのものではなく、取引先の中小企業や協力会社のVPN機器・パソコンを踏み台にして侵入し、サプライチェーン全体の生産やシステムを止める攻撃が相次いでいます。そのため親会社は「取引先を切り捨てるため」ではなく、「一緒に被害を防ぎ、万が一のときに連絡が取れる体制を確認するため」に調査票を送っています。

図1:事象の発生構造と3段階の対策フロー

調査票が届いたときの戸惑い ・専門用語(EDR/SIEM/DMARC等)が難しい ・「未実施」と書くと取引が減るか不安 ・どこまで証拠(証跡)が必要か不明 ※主な発生要因の整理 5つの基本領域に分解して現状確認 ・01 認証(パスキー・個人別ID) ・02 更新(VPN・OS・静的Web化) ・03 復旧(切り離し不変バックアップと連絡網) ※初期設定と運用手順 信頼を高める回答:「現状+改善期限」 ・実施済み項目は設定日時・手順を明記 ・未実施項目は「代替策+完了予定月」を記載 ・SCS評価(★3)共通台帳として保管・再利用 ※システム層での保護機構
重要原則 01:誠実な現状開示

「一部実施(◯月までに完了予定)」と書ける強さ

万が一の事故時に虚偽回答が判明すると契約解除や損害賠償問題に発展しますが、期限付きの改善計画を添えた回答は取引先から高く評価されます。

重要原則 02:代替統制の活用

高価なソフトがなくても「仕組み」で満たせる

たとえば高価なログ監視システム(SIEM)がなくても、「OS標準ログの90日保存と週次点検」という代替手段で基準を満たせる項目が多数あります。

重要原則 03:2026年SCS★3との統合

バラバラな調査票を1つの標準シートに集約

経済産業省「SCS評価制度(★3)」の26要求事項をベースに自社の管理台帳を作っておけば、どの取引先の書式にも15分で転記できます。

場面別の実務確認ポイント

ご家庭・シニア・初めて学ぶ方へ 難しい専門用語を覚える必要はありません。上の図解の「真ん中の箱(手順 02)」と、実践チェックリストの3項目を1つずつ確認するだけで十分に安全を高められます。
経営者・総務・医療や現場の責任者の方へ 比較表と実践手順をそのまま社内の点検シートとしてお使いいただけます。高額な機器契約の前に確認すべき判断基準も明記しています。
ろう者・難聴者・発達障害のある方へ 音声や動画のみに頼らず、すべて視覚的な図解と文字で完結しています。画面右上の「文字拡大」「シンプル表示」や、A4印刷にも対応しています。
情報システム担当・エンジニア・研究者の方へ 第3章にて、RFC・CVE・NIST SP 800シリーズ等の一次仕様に基づく数理モデルと、Rust Edition 2024(unsafe禁止)による検証コードを公開しています。
第2章:実践手順とセルフチェック

2. 調査票でよく聞かれる質問と、「未実施」のときの具体的な回答文例・改善策

実際の取引先調査票で多くの企業が回答に迷う代表的な質問について、費用をかけずに今日からできる対策と、備考欄に書ける誠実な回答文例をまとめました。

調査票でよく聞かれる質問項目よくある現状(未実施の理由)今日からできる具体的な改善ステップ調査票の備考欄に書ける誠実な回答文例
管理者アカウントに多要素認証(MFA)を導入していますか? パスワードのみでログインしている箇所が残っている クラウド・VPN・メール管理画面でパスキー(FIDO2)または認証アプリを有効化する 「主要クラウド・メール管理画面にてパスキー(多要素認証)を適用済み。残り対象機器についても2026年◯月末までに適用完了予定」
ランサムウェア感染時に備え、バックアップをネットワークから分離していますか? NASや外付けHDDを常時接続したままにしている 外付けHDDの常時接続をやめるか、OS権限で上書きできない不変スナップショット(ZFS等)へ変更する 「日次バックアップを実施中。現在、ランサムウェアによる同時暗号化を防ぐため、書き換え不能(イミュータブル)方式への移行を実施中」
情報セキュリティインシデント発生時の緊急連絡体制と訓練がありますか? 口頭での共有のみで、文書化された手順や訓練記録がない A4・1枚の「72時間初動連絡シート」を作成し、年1回・15分の机上確認を行って日付を記録する 「緊急連絡網および72時間初動手順書を整備済み。年1回の全社初動確認(直近実施日:2026年◯月◯日)を実施し記録を保管」
退職者・異動者のアカウントを速やかに削除・停止する手順がありますか? 総務からの連絡が漏れることがあり、古いIDが残りがち 退職チェックリストに「退職当日のメール・クラウド・VPN停止」を追加し、四半期ごとに棚卸しする 「入退社時のアカウント付与・当日停止手順を運用中。四半期ごとに全アクティブIDの棚卸し監査を実施」

今日から無理なく進めるための4ステップ実践手順

手順 01(所要時間:約15分)

現状の棚卸しと「見えにくいリスク」の把握

新しい機器やソフトを購入する前に、現在使っている機器・アカウント・契約先を紙1枚に書き出します。被害の大半は「昔作ったまま誰も管理していない古い機器や共有アカウント」から始まります。

手順 02(所要時間:約30分)

費用をかけずにできる「3つの基本設定」

01 パスキー(FIDO2)または二要素認証の有効化、02 ルーター・VPN・OSの自動更新設定、03 バックアップ用外付けHDDの常時接続解除(切り離し保管)の3点を実施します。

手順 03(所要時間:約15分)

異変に気づいたときの「責めない連絡ルール」

不審なリンクを開いたり偽警告が出たりした際、「怒られるかも」と隠すことが被害を広げます。「迷ったら6秒深呼吸して手を止め、すぐ共有してくれた人を褒める」ルールを共有します。

手順 04(3ヶ月に1回・約15分)

定期的な復元テストと第三者の落ち着いた確認

季節の変わり目ごとに「バックアップから実際に1つのファイルを戻せるか」を試すとともに、退職・異動に伴うアカウント整理を行い、迷う点は専門窓口で点検します。

現場で陥りやすい3つの落とし穴と、安全な回避策

落とし穴 01:中身を確認せずに前年と同じ「すべて『はい』」で提出してしまう

前任者が作った回答シートをそのままコピーして提出した結果、実際の設定と食い違っており、親会社の訪問監査や事故発生時に大きな信用問題になるケースが増えています。年1回の提出時は必ず現在の設定画面を1つずつ確認しましょう。

落とし穴 02:「×(未対応)」をなくすために、不要な高額機器を慌てて契約する

調査票の項目を埋めるためだけに150万〜200万円の機器リースを契約する必要はありません。質問の意図(何のリスクを防ぎたいか)を正しく読み解けば、OS標準機能や運用ルールの整備だけで「対応済み」にできる項目がほとんどです。

落とし穴 03:取引先から預かった図面やデータを個人の無料クラウドで共有する

調査票で最も厳しくチェックされるのが「委託データの再委託・外部共有設定」です。「リンクを知っている全員が閲覧可能」な設定は避け、アクセス権限と有効期限を絞った共有方法へ統一してください。

今日からできる3項目セルフチェック(クリックして確認)

達成状況:0 / 3 項目

ご家庭や職場で現在できている項目にチェックを入れてみてください。すべてお使いのブラウザ内でのみ計算され、外部へ送信されることはありません。

上の3項目をクリックすると、現在の達成状況に応じたアドバイスが表示されます。まずは1項目ずつ順番に整えていきましょう。
理解を深める確認クイズ

親会社から80項目のセキュリティ調査票が届いた際、社内でまだ実施できていない項目が5つ見つかりました。最も信頼される対応はどれでしょうか?

よくあるご質問と、迷ったときの判断基準

Q1. 社内に専任のシステム担当者がいないのですが、自分たちだけで始められますか?

はい、始められます。まずは費用や特別な契約を伴わない「基本の3項目(パスキー・自動更新・切り離し保管)」から1つずつ進めてみてください。途中で設定画面の見方が分からなくなったときだけ、相談窓口を頼っていただければ十分です。

Q2. 外部の営業担当者から「今すぐ専用機器(UTM等)をリース契約しないと手遅れになる」と言われました。

その場で即決せず、必ず見積書を持ち帰ってセカンドオピニオンを確認してください。公的ガイドラインや2026年SCS評価制度(★3)が求めているのは、特定メーカーの高額機器ではなく「基本的な管理の仕組み」です。

Q3. このページの内容を印刷して、職場や家族に配ってもよいですか?

もちろんです。本サイトの図解やチェックリストは、地域の企業・医院・学校・ご家庭の安全を守るための公開技術資料として掲載しています。ブラウザの印刷機能(A4縦)でそのまま読みやすく印刷できます。

4. 詳しい技術仕様としくみ:技術アーキテクチャ仕様

サプライチェーン調査票(SCS ★3 / 26 Controls)の自動証跡収集とRFC 3161互換ハッシュチェーン検証

設計背景・判断基準リファレンス

本節では、取引先監査や2026年SCS評価制度(★3)で求められる「いつ・どの設定が有効であったか」の証拠(Evidence Artifact)を、手作業の画面キャプチャ貼り付けではなく、OS・DNS・ストレージから決定論的に収集し署名束(Attestation Bundle)として出力するRust 2024実装を示す。

対象フレームワーク
METI/IPA SCS ★3 (26 Controls) / NIST SP 800-171
証跡ハッシュ方式
SHA-256 Merkle Root + Ed25519 Signature
個人情報保護設計
設定メタデータのみ抽出(機密本文ゼロ含有)
出力フォーマット
JSON-LD / CSV / 監査提出用サマリー

1. プロトコル内部構造・数理モデルと設計根拠

1. 【手動スクリーンショット証跡の限界と自動化】 従来のセキュリティ監査では、担当者が数十枚の管理画面スクリーンショットを手作業でエクセルに貼り付けていたため、多大な工数がかかるだけでなく、撮影日時の改ざんや設定変更後の陳腐化を防げなかった。私たちは各統制項目 c_i ∈ {c_1, ..., c26} を検証可能な述語関数 P(c_i, S(t)) ∈ {Pass, Compensated, Planned} として定義し、コマンド出力の正規化ハッシュを自動記録する。

2. 【代替統制(Compensating Control)の形式記述】 特定の商用製品(SIEM等)が未導入であっても、FreeBSD pf ログと OpenZFS スナップショット、および PostgreSQL 19 FORCE ROW LEVEL SECURITY の組み合わせによって同等のリスク低減効果 Rresidual ≤ Rtarget が達成されていることを技術仕様として明示し、監査人の疑問に一次データで回答する。

2. 技術パラメータ・検証仕様一覧

SCS ★3 統制領域検証対象システム状態自動抽出される証跡(Evidence)検証周期
1. 資産・境界管理 FreeBSD pf.conf / Active Listening Sockets 許可ポート一覧ハッシュとVPNファームウェア版数 日次自動
2. 認証・アクセス制御 WebAuthn RP設定 / PostgreSQL 19 pg_policy MFA強制フラグ・FORCE RLS有効化テーブル一覧 日次自動
3. 保護・不変バックアップ OpenZFS zfs list -t snapshot / zfs holds 最新スナップショット世代TXGとHoldロック状態 1時間周期
4. 検知・インシデント対応 Entropy Watchdog / 72h Drill Log 訓練実施タイムスタンプと緊急連絡網ハッシュ 月次・年次
3. リファレンス実装コード(crates/ok-scs-auditor/src/questionnaire_attestation.rs) Rust Edition 2024 (#![forbid(unsafe_code)])
#![forbid(unsafe_code)]

#[derive(Debug, Clone, Copy, PartialEq, Eq)]
pub enum ControlStatus {
    ImplementedVerified,
    CompensatingControlActive,
    ScheduledRemediation { target_year_month: u32 },
}

#[derive(Debug, Clone, PartialEq, Eq)]
pub struct ControlEvidence {
    pub control_code: &'static str,
    pub status: ControlStatus,
    pub evidence_sha256: [u8; 32],
    pub auditor_note: &'static str,
}

#[derive(Debug, Clone, PartialEq, Eq)]
pub struct QuestionnaireReadinessReport {
    pub total_controls: usize,
    pub implemented_count: usize,
    pub compensating_count: usize,
    pub scheduled_count: usize,
    pub readiness_score_pct: u8,
}

pub fn summarize_scs_readiness(evidences: &[ControlEvidence]) -> QuestionnaireReadinessReport {
    let total = evidences.len();
    if total == 0 {
        return QuestionnaireReadinessReport {
            total_controls: 0,
            implemented_count: 0,
            compensating_count: 0,
            scheduled_count: 0,
            readiness_score_pct: 0,
        };
    }
    let mut implemented = 0usize;
    let mut compensating = 0usize;
    let mut scheduled = 0usize;

    for ev in evidences {
        match ev.status {
            ControlStatus::ImplementedVerified => implemented += 1,
            ControlStatus::CompensatingControlActive => compensating += 1,
            ControlStatus::ScheduledRemediation { .. } => scheduled += 1,
        }
    }

    let weighted_points = implemented * 100 + compensating * 90 + scheduled * 60;
    let score = (weighted_points / total).min(100) as u8;

    QuestionnaireReadinessReport {
        total_controls: total,
        implemented_count: implemented,
        compensating_count: compensating,
        scheduled_count: scheduled,
        readiness_score_pct: score,
    }
}
4. 詳しい技術仕様としくみ(システム設計・数理モデル・実装例)

動的CMS/PHPランタイム攻撃面(CVE-2024-4577等)の解剖とAstro+Rust静的分離設計

プロトコル仕様・数理モデル・Rust 2024 実装コードの詳細は、専門技術モノグラフにて公開しています。

技術モノグラフを読む →
ご質問・公的制度の活用に関するお問い合わせ窓口

掲載資料に関するご質問・公的制度活用のご案内

本ページの図解や解説内容に関するご質問、経済産業省「SCS評価制度」やIPA「SECURITY ACTION・サイバーセキュリティお助け隊サービス」等の公的制度の確認方法について、落ち着いた参考窓口としてご案内しております。売り込みや営業連絡は一切行いませんので、社内勉強会やご家庭での確認資料としてご自由にご活用ください。

図解・ビジュアルの拡大表示

図表内のテキストもそのまま選択・検索可能です(ベクターSVG描画) 枠外クリックまたは ESC キーで閉じます