取引先からセキュリティ資料の提出を求められたら？中小企業が準備しておきたいものを解説
取引先から資料提出を求められることが増えている
近年、取引先からセキュリティに関する資料の提出を求められるケースが増えています。
たとえば、
・セキュリティチェックシート
・情報管理に関する社内ルール
・事故発生時の連絡体制
・アカウント管理の状況
・バックアップの実施状況
・委託先管理の状況
などです。
特に、顧客情報や取引先情報を扱う業務では、
「どのように情報を管理しているか」を確認されることがあります。
このとき、
何を提出すればよいのか分からず、
慌てて資料を探したり、急いで作成したりする会社も少なくありません。
取引先から求められてから対応するのではなく、
あらかじめ基本的な資料を整理しておくことが重要です。
なぜ資料の提出を求められるのか
取引先がセキュリティ資料の提出を求める理由は、
自社だけでなく、取引先を含めた全体のリスクを確認するためです。
たとえば、ある会社がセキュリティ対策をしていても、
委託先や取引先で情報が漏えいすると、
結果として自社にも影響が及ぶ可能性があります。
そのため、
取引先は「この会社に情報を渡しても大丈夫か」
「業務を任せても問題ないか」
を確認する必要があります。
これは、相手を疑っているというよりも、
事業を安全に継続するための確認です。
中小企業にとっても、
資料を整理しておくことは、
取引先からの信頼につながります。
まず準備しておきたい資料
最初から立派な文書をすべて用意する必要はありません。
まずは、取引先から聞かれやすい内容を中心に、
基本的な資料を整理しておくことが現実的です。
準備しておきたいものとしては、
次のような資料があります。
・セキュリティ対策の概要
・情報管理に関する社内ルール
・アカウント管理表
・バックアップの確認記録
・事故時の連絡体制
・委託先管理の整理表
・改善予定のメモ
すべてを一度に作る必要はありません。
まずは、
「自社ではどのように情報を管理しているか」
を説明できる状態にすることが大切です。
セキュリティ対策の概要
最初に準備しておきたいのが、
自社のセキュリティ対策の概要です。
これは、専門的な資料である必要はありません。
たとえば、
・利用している主なクラウドサービス
・重要情報の管理方法
・アカウント管理の方法
・多要素認証の利用状況
・バックアップの実施状況
・事故発生時の連絡方法
などを簡単にまとめます。
取引先から見ると、
自社がどのような考え方で情報を管理しているかが分かるだけでも安心材料になります。
細かい技術用語を並べるよりも、
「何を守るために、どのような対策をしているか」
を分かりやすく説明することが重要です。
情報管理に関する社内ルール
次に準備しておきたいのが、
情報管理に関する社内ルールです。
たとえば、
・パスワード管理
・多要素認証
・クラウドストレージの共有設定
・外部へのファイル送付
・個人情報の取り扱い
・退職者アカウントの停止
・事故や不審な事象があった場合の報告
などです。
取引先からは、
「社内でどのようなルールを決めているか」
を確認されることがあります。
このとき、
実際にはルールがあっても、
文書化されていないと説明しにくくなります。
難しい規程にする必要はありません。
まずは、
日常業務で守るべき内容を、
社内で確認できる形にしておくことが大切です。
アカウント管理の資料
アカウント管理も、
取引先から確認されやすい項目です。
特に、クラウドサービスや業務システムを利用している場合は、
誰がどのサービスを使えるのかを整理しておく必要があります。
たとえば、
・利用しているサービス名
・管理者アカウントの有無
・利用者の範囲
・退職時の停止手順
・外部委託先のアカウント有無
・多要素認証の設定状況
などです。
すべてのアカウントを細かく一覧化するのが難しい場合でも、
重要なサービスから整理するだけで十分です。
特に、顧客情報、契約情報、請求情報などに関わるサービスは、
優先して確認しておくとよいでしょう。
バックアップの確認記録
バックアップについても、
取引先から確認されることがあります。
重要なのは、
「バックアップを取っています」と言えるだけではなく、
どの情報を、どの頻度で、どこに保存しているかを整理しておくことです。
たとえば、
・対象となるデータ
・バックアップの頻度
・保存先
・復旧確認の有無
・担当者
・最後に確認した日
などです。
特に、業務に必要なデータが失われると、
自社だけでなく取引先にも影響する可能性があります。
そのため、
バックアップの実施状況を簡単に記録しておくことは、
取引先への説明にも役立ちます。
事故時の連絡体制
セキュリティ事故が起きた場合に、
誰が、誰に、どのように連絡するのかも重要です。
取引先からは、
事故発生時の報告体制を確認されることがあります。
たとえば、
・社内の一次連絡先
・責任者
・取引先への連絡窓口
・外部委託先への確認方法
・初動対応の流れ
などです。
事故が起きてから連絡先を探していると、
対応が遅れる可能性があります。
あらかじめ連絡体制を整理しておくことで、
万が一のときにも落ち着いて対応しやすくなります。
委託先管理の整理表
自社が外部委託先を利用している場合は、
委託先管理についても確認されることがあります。
たとえば、
・どの業務を委託しているか
・どの情報を渡しているか
・委託先の担当者
・契約や秘密保持の有無
・再委託の有無
・事故時の連絡方法
などです。
特に、顧客情報や取引先情報を委託先に渡している場合は、
どの範囲で情報を共有しているのかを整理しておくことが重要です。
すべてを細かく管理するのが難しい場合でも、
重要な委託先から確認するだけでも意味があります。
改善予定も説明できるようにする
取引先から確認を受けたとき、
すべての項目が完璧に対応済みとは限りません。
中小企業では、
まだ対応途中の項目があることも自然です。
重要なのは、
できていないことを曖昧にするのではなく、
今後どのように改善する予定かを説明できることです。
たとえば、
・多要素認証を順次設定予定
・共有リンクの棚卸しを実施予定
・事故時の連絡体制を文書化予定
・委託先管理表を作成予定
・社内ルールを見直し予定
といった形です。
改善予定が整理されていると、
取引先にも前向きに対応していることを伝えやすくなります。
提出前に確認したいこと
資料を提出する前には、
内容を確認することも大切です。
特に注意したいのは、
不要な情報まで渡していないかという点です。
たとえば、
・社内向けの詳細な設定情報
・不要な個人情報
・他社名が入った資料
・内部の管理者情報
・公開すべきでないシステム情報
などが含まれていないか確認します。
取引先に説明するための資料と、
社内で管理するための資料は、
分けて考えることが重要です。
提出する資料は、
必要な範囲に絞り、
相手に伝えるべき内容が分かる形に整えましょう。
まず押さえたいポイント
最初は、次の3つを準備するだけでも十分です。
①自社のセキュリティ対策の概要
②アカウント、バックアップ、事故時連絡体制の整理
③未対応項目と改善予定のメモ
この3つがあると、
取引先から確認を受けたときにも対応しやすくなります。
大切なのは、
完璧な資料を作ることではありません。
自社の状況を整理し、
説明できる状態にしておくことです。
まとめ
取引先からセキュリティ資料の提出を求められる場面は、
今後も増えていく可能性があります。
そのときに慌てないためには、
普段から基本的な資料を整理しておくことが重要です。
まずは、
セキュリティ対策の概要、社内ルール、アカウント管理、バックアップ、事故時の連絡体制、委託先管理などを、
説明できる形にしておきましょう。
すべてを完璧にそろえる必要はありません。
できていること、できていないこと、これから改善することを整理するだけでも、
取引先への説明はしやすくなります。
中小企業にとって重要なのは、
無理なく準備し、必要なときに説明できる状態を作っておくことです。
無料相談のご案内
取引先からセキュリティ資料の提出を求められている場合や、
何を準備すればよいか分からない場合は、
無料相談で現状を整理しながら進め方をご案内しています。
Shelltasでは、
専門的な内容も分かりやすく整理し、
中小企業でも無理なく対応できる資料づくりを支援しています。
まずは現状整理からでも構いませんので、
お気軽にご相談ください。
