セキュリティ対策を取引先に説明するときのポイント｜中小企業向けに解説
取引先にセキュリティ対策を説明する場面は増えている
近年、取引先からセキュリティ対策について確認されるケースが増えています。
たとえば、
・セキュリティチェックシートへの回答
・契約前の確認
・委託業務を開始する前の確認
・情報管理体制に関する質問
・事故時の報告体制の確認
などです。
中小企業でも、
取引先の情報や顧客情報を扱う場合、
自社のセキュリティ対策について説明を求められることがあります。
このときに重要なのは、
難しい専門用語で説明することではありません。
自社がどのような考え方で対策を行っているのか、
現状として何ができていて、何が今後の課題なのかを整理して伝えることが大切です。
取引先が確認したいこと
取引先が知りたいのは、
単に「セキュリティ製品を導入しているか」だけではありません。
本質的には、
自社の情報や業務を任せても問題ないかを確認しています。
たとえば、
・重要な情報を把握しているか
・アクセスできる人を管理しているか
・アカウントやパスワードを適切に管理しているか
・事故が起きたときに連絡できる体制があるか
・委託先や外部サービスを適切に管理しているか
といった点です。
つまり、
取引先への説明では、
「どの対策を導入しているか」だけでなく、
「どのように管理しているか」を伝えることが重要になります。
完璧に見せようとしすぎない
取引先に説明する場面では、
できていないことを隠したくなるかもしれません。
しかし、実態と異なる説明をしてしまうと、
後から問題になる可能性があります。
たとえば、
・実際には運用していない対策を「対応済み」と答える
・確認していない項目を「問題なし」と答える
・ルールはあるが実態がない状態で説明する
といった対応は避けた方がよいです。
重要なのは、
完璧に見せることではありません。
できていること、できていないこと、今後対応予定のことを分けて説明することです。
その方が、
取引先から見ても、現状を把握して改善しようとしている会社として伝わりやすくなります。
まず整理すべきこと
取引先に説明する前に、
まず自社の現状を整理することが重要です。
最低限、次のような項目を確認しておくと説明しやすくなります。
・どの情報を扱っているか
・どのシステムやクラウドサービスを使っているか
・誰が管理しているか
・どのようなアカウント管理をしているか
・バックアップを取っているか
・事故時の連絡先が決まっているか
・委託先に情報を渡しているか
これらが整理できていないと、
取引先から質問されたときに、
その場で調べながら回答することになります。
逆に、現状を整理しておけば、
完璧な体制でなくても、説明しやすくなります。
説明するときは「対策の目的」を伝える
取引先に説明するときは、
対策そのものだけでなく、
その対策が何のためにあるのかを伝えると分かりやすくなります。
たとえば、
・パスワード管理は、不正アクセスを防ぐため
・多要素認証は、パスワード漏えい時のリスクを下げるため
・バックアップは、事故時に復旧できるようにするため
・ログ管理は、問題が起きたときに状況を確認するため
・事故時の連絡体制は、影響を早く共有するため
といった形です。
単に「実施しています」と答えるよりも、
「何のリスクを下げるために実施しているのか」を説明できると、
取引先にも伝わりやすくなります。
できていないことは改善方針とセットで伝える
すべての対策がすでに整っている会社ばかりではありません。
特に中小企業では、
人手や予算の制約があり、
すぐにすべてを対応するのが難しいこともあります。
その場合は、
できていないことをそのままにするのではなく、
今後どう改善するかを整理しておくことが重要です。
たとえば、
・現在は一部サービスのみ多要素認証を設定している
・今後、管理者アカウントから順番に設定予定
・バックアップは取得しているが、復旧確認は今後実施予定
・退職者アカウントの確認ルールを整備中
といった形です。
取引先にとって重要なのは、
「未対応の項目があるかどうか」だけではありません。
現状を把握し、
優先順位をつけて改善しようとしているかも見られます。
根拠になる資料を残しておく
取引先に説明する場合、
口頭だけではなく、根拠になる資料があると対応しやすくなります。
たとえば、
・利用システムの一覧
・アカウント管理表
・バックアップの確認記録
・事故時の連絡先一覧
・社内ルール
・委託先管理の確認表
・過去のチェックシート回答
などです。
最初から立派な規程や手順書を作る必要はありません。
まずは、
現状を整理した簡単な一覧やメモでも十分です。
重要なのは、
聞かれたときに説明できる材料を持っておくことです。
取引先への説明で注意したいこと
取引先に説明するときは、
次の点に注意するとよいです。
・実態と違う回答をしない
・分からない項目を無理に断定しない
・専門用語だけで説明しない
・できていないことを放置しない
・改善予定を曖昧にしすぎない
特に、
「確認中」と「未対応」と「対応済み」は分けて考えることが重要です。
分からないことをすぐに回答するよりも、
確認したうえで正確に答える方がよい場合もあります。
取引先対応では、
早さだけでなく、正確さも大切です。
まず押さえたいポイント
最初は、次の3つを整理するだけでも十分です。
①自社でできている対策を整理する
②できていない対策と今後の対応方針を整理する
③取引先に説明できる資料を残しておく
この3つができると、
セキュリティチェックシートや取引先からの質問にも対応しやすくなります。
すべてを完璧にする必要はありません。
重要なのは、
自社の状況を把握し、
必要な対策を順番に進めていることを説明できる状態にすることです。
まとめ
取引先にセキュリティ対策を説明するときは、
難しい専門用語で説明する必要はありません。
重要なのは、
自社がどのような情報を扱い、
どのようなリスクを想定し、
どの対策を行っているのかを整理して伝えることです。
できていないことがある場合も、
隠すのではなく、今後の改善方針とあわせて説明できるようにしておくことが大切です。
取引先対応は、
単なる書類作成ではなく、
自社のセキュリティ対策を見直す機会として活用できます。
無料相談のご案内
取引先からセキュリティ対策の説明を求められ、
何をどう整理すればよいか分からない場合は、
無料相談で現状を確認しながら進め方をご案内しています。
Shelltasでは、
専門的な内容も分かりやすく整理し、
取引先に説明しやすい形にまとめる支援を行っています。
まずは現状整理からでも構いませんので、
お気軽にご相談ください。
