セキュリティチェックシートでよく聞かれる項目とは？中小企業向けに考え方を解説
セキュリティチェックシートは突然求められることがある
取引先との契約や更新、委託業務の開始時などに、
セキュリティチェックシートへの回答を求められることがあります。
たとえば、
・情報管理のルールはありますか
・パスワード管理は行っていますか
・多要素認証を使っていますか
・バックアップは取得していますか
・事故時の連絡体制はありますか
といった内容です。
中小企業では、
これまで特に意識していなかった項目を急に聞かれ、
「何をどう答えればいいのか分からない」と感じることも少なくありません。
しかし、チェックシートは単なる書類作業ではありません。
取引先は、
自社に情報を預けても問題ないか、
事故が起きたときに対応できるかを確認しようとしています。
チェックシートで見られていること
セキュリティチェックシートでは、
細かい項目が多く並んでいることがあります。
しかし、本質的に見られているのは、
大きく分けると次のような点です。
・重要な情報を把握しているか
・アクセスできる人を管理しているか
・不正アクセスを防ぐ対策をしているか
・事故が起きたときに対応できるか
・取引先の情報を適切に扱えるか
つまり、
「すべての項目に完璧に対応しているか」だけではなく、
自社のセキュリティ対策をどの程度整理できているかが重要になります。
そのため、
チェックシートに回答する前に、
まずは自社の現状を整理することが大切です。
よく聞かれる項目① パスワード管理
よく聞かれる項目の一つが、
パスワード管理です。
たとえば、
・パスワードの使い回しを禁止しているか
・推測されにくいパスワードを使っているか
・パスワードを共有していないか
・退職者のアカウントを停止しているか
といった内容です。
ここで見られているのは、
アカウントが簡単に不正利用されない状態になっているかです。
パスワード管理は、
特別な製品を入れる前に取り組める基本的な対策です。
まずは、
重要なサービスでパスワードの使い回しがないか、
共有アカウントが放置されていないかを確認することが重要です。
よく聞かれる項目② 多要素認証
最近では、
多要素認証について聞かれることも増えています。
多要素認証とは、
パスワードに加えて、スマートフォン通知や認証アプリなど、
別の方法で本人確認を行う仕組みです。
チェックシートでは、
・多要素認証を導入しているか
・管理者アカウントに設定しているか
・メールやクラウドサービスで利用しているか
といった形で確認されることがあります。
すべてのサービスに一度に導入する必要はありません。
まずは、
メール、管理者アカウント、重要なクラウドサービスなど、
影響が大きいものから設定するのが現実的です。
よく聞かれる項目③ アカウント管理
アカウント管理も、
チェックシートでよく確認される項目です。
たとえば、
・利用者ごとにアカウントを発行しているか
・退職者のアカウントを停止しているか
・不要なアカウントを定期的に確認しているか
・管理者権限を持つ人を把握しているか
といった内容です。
ここで重要なのは、
誰がどのサービスを使える状態なのかを把握していることです。
中小企業では、
担当者が変わったり、退職者が出たりしても、
アカウントの停止や権限変更が後回しになることがあります。
そのため、
定期的に利用者と権限を見直すことが大切です。
よく聞かれる項目④ アクセス権限
クラウドストレージや社内ファイルでは、
アクセス権限について確認されることがあります。
たとえば、
・重要な情報にアクセスできる人を制限しているか
・外部共有リンクを管理しているか
・閲覧権限と編集権限を分けているか
・不要な共有を削除しているか
といった内容です。
アクセス権限で重要なのは、
「必要な人が、必要な範囲だけアクセスできる状態」にすることです。
便利だからといって、
全員がすべての情報にアクセスできる状態にしていると、
誤操作や情報漏えいの影響が大きくなります。
まずは、
顧客情報、契約書、請求情報など、
影響が大きい情報から共有範囲を確認するとよいでしょう。
よく聞かれる項目⑤ バックアップ
バックアップも、
多くのチェックシートで確認される項目です。
たとえば、
・重要データのバックアップを取っているか
・バックアップの頻度は決まっているか
・バックアップ先は分離されているか
・復旧できることを確認しているか
といった内容です。
バックアップは、
ランサムウェアや誤削除などが起きたときに、
業務を復旧するための重要な対策です。
ただし、
バックアップを取っているだけでは十分とは限りません。
実際に復旧できるか、
バックアップ先も同時に被害を受けないか、
誰が確認するのかを整理しておくことが重要です。
よく聞かれる項目⑥ ログ管理
ログ管理についても、
確認されることがあります。
ログとは、
誰が、いつ、どのシステムにアクセスしたか、
どのような操作をしたかを記録する情報です。
チェックシートでは、
・ログを取得しているか
・ログを確認できる状態か
・不審なログインを確認できるか
・ログの保存期間を決めているか
といった内容が聞かれることがあります。
ログは、
問題が起きたときに状況を確認するための重要な手がかりになります。
すべてのログを毎日細かく確認する必要はありませんが、
重要なサービスでログが残っているか、
問題が起きたときに確認できるかを把握しておくことが大切です。
よく聞かれる項目⑦ セキュリティ事故時の対応
チェックシートでは、
事故時の対応体制について聞かれることもあります。
たとえば、
・セキュリティ事故時の報告先は決まっているか
・取引先への連絡ルールはあるか
・初動対応の手順はあるか
・ログや証跡を確認できるか
といった内容です。
ここで見られているのは、
問題が起きたときに、社内で判断し、必要な相手に連絡できる状態かどうかです。
完璧なマニュアルを作る必要はありません。
まずは、
事故が疑われるときの社内報告先、
確認する項目、
外部に相談する基準を決めておくことが現実的です。
チェックシート回答で注意したいこと
セキュリティチェックシートでは、
分からない項目を無理に「対応済み」とするのは避けた方がよいです。
実態と異なる回答をすると、
後から説明が難しくなる可能性があります。
重要なのは、
できていることと、できていないことを分けて整理することです。
たとえば、
・現在対応済みの項目
・一部対応している項目
・未対応だが今後対応予定の項目
・自社には該当しない項目
を分けると、
回答しやすくなります。
チェックシートは、
単に丸を付けるものではなく、
自社のセキュリティ対策の現在地を確認する機会として使うことができます。
まずはここから始める
最初は、次の3つを整理するだけでも十分です。
①チェックシートの項目を種類ごとに分ける
②できていること、できていないことを整理する
③重要度が高い項目から対応方針を考える
すべてを一度に対応する必要はありません。
重要なのは、
取引先が何を確認したいのかを理解し、
自社として説明できる状態を作ることです。
まとめ
セキュリティチェックシートでは、
パスワード管理、多要素認証、アカウント管理、アクセス権限、バックアップ、ログ管理、事故対応など、
幅広い項目が確認されます。
一見すると難しく感じるかもしれませんが、
本質は「自社の情報を適切に扱える状態か」を確認することです。
まずは、
チェックシートの項目を整理し、
自社でできていることと不足していることを分けることから始めるのが現実的です。
そのうえで、
影響が大きいものから順番に対策を進めていくことが重要です。
無料相談のご案内
取引先からセキュリティチェックシートへの回答を求められ、
何をどう整理すればよいか分からない場合は、
無料相談で現状を確認しながら進め方をご案内しています。
Shelltasでは、
専門的な内容も分かりやすく整理し、
無理なく対応できる方法をご提案しています。
まずは現状整理からでも構いませんので、
お気軽にご相談ください。
