取引先から1通のメールが届く。添付はExcelで、設問は数十から百数十行。「来週までにご返送ください」。情報システムの専任者がいない会社にとって、セキュリティチェックシートへの回答は毎回つらい作業です。
難しいのは、設問の多くが自社だけでは答えられないことにあります。Webサイトに関する項目は特にそうで、制作会社やサーバー会社に聞かなければ事実が分かりません。そして期限は迫ります。
この記事では、チェックシートのうちWebサイトに関する設問に絞って、よく聞かれる18項目、答えられないときの書き方、事前にそろえておく資料を整理します。累計1500件超のDX活用支援を行ってきた株式会社キャンバス（キャンバスラボ）が解説します。
この記事の要点
- Webサイト関連の設問は6分野18項目に整理でき、うち自社だけで答えられるのは一部にとどまる（2026年11月時点）。
- IPA「情報セキュリティ10大脅威 2026」組織編で「サプライチェーンや委託先を狙った攻撃」は2位。1位・2位は2023年以降4年連続で変動がない。
- 空欄で返さない。「未対応／対応予定時期／代替措置」の3点を書けば、管理されている状態として読まれる。
- 設問をそのまま委託先へ転送すると粒度が揃わない。質問文に直してから照会する。
- 一度作った回答は社内台帳に残し、次回は差分のみ更新する。
関連記事：ホームページ保守と脆弱性対応｜会社の選び方／PHPの脆弱性PHP2shell｜今すぐの確認手順
目次
セキュリティチェックシートとは？
セキュリティチェックシートとは、発注者が委託先や取引先に対し、情報の取り扱い体制や技術的な管理状況を設問形式で確認し、取引を継続してよいかを判断するために提出を求める書面である。
名称は企業によって「情報セキュリティ確認書」「委託先評価シート」などさまざまですが、目的は共通しています。自社の情報を預ける相手が、適切に管理しているかを確かめることです。
提出を求められる機会が増えているのには理由があります。IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公表）の組織編では、「サプライチェーンや委託先を狙った攻撃」が2位に入っています。同ランキングの1位「ランサム攻撃による被害」と2位は、2023年以降4年連続で順位に変動がありません。
自社が直接狙われなくても、取引先経由で被害が広がる。この構図が定着したため、発注者側は委託先の管理状況を確認せざるを得なくなっています。チェックシートは、相手が自社を疑っているから送ってくるものではありません。
Webサイトについて何を聞かれますか？
設問の表現は企業ごとに違っても、Webサイトに関して聞かれている中身は下の18項目にほぼ収まります。「確認先」の列は、誰に聞けば事実が分かるかを示しています。
| 分野 | # | 聞かれていること | 回答に必要な事実 | 確認先 |
|---|---|---|---|---|
| 通信の保護 | 1 | 全ページが暗号化されているか | HTTPSの適用範囲 | 自社 |
| 2 | 証明書の管理者と更新方法 | 証明書の種類・有効期限・更新担当 | 自社／サーバー会社 | |
| 3 | フォーム送信時の暗号化 | フォームの設置場所とプロトコル | 自社 | |
| 脆弱性管理 | 4 | CMS・プラグインの更新体制 | 担当者・頻度・直近実施日 | 制作会社 |
| 5 | 実行環境のバージョン | PHP等のバージョンとサポート期限 | サーバー会社 | |
| 6 | 脆弱性情報の収集方法 | 情報源と確認頻度 | 制作会社 | |
| 7 | 脆弱性診断の実施有無 | 実施時期と範囲（未実施なら未実施と記載） | 自社 | |
| アクセス制御 | 8 | 管理画面の認証方式 | 二要素認証・IP制限の有無 | 制作会社 |
| 9 | アカウントの棚卸し | 実施頻度と直近の実施日 | 自社 | |
| 10 | 権限の分離 | 編集者と管理者の分離状況 | 自社 | |
| ログ | 11 | アクセスログの取得 | 取得対象と保存先 | サーバー会社 |
| 12 | ログの保存期間 | 保存月数 | サーバー会社 | |
| 13 | ログの確認体制 | 誰がいつ確認するか（未実施なら未実施） | 自社 | |
| バックアップ | 14 | 取得頻度と世代数 | 日次／週次、保持世代 | 制作会社 |
| 15 | 保管場所の分離 | 本番環境と別の場所か | サーバー会社 | |
| 16 | 復元試験の実施 | 試験の実施時期（未実施なら未実施） | 自社 | |
| インシデント対応 | 17 | 事故発生時の連絡体制 | 一次連絡先と対応時間 | 自社＋委託先 |
| 18 | 報告手順の整備 | 社内の報告ルートと外部報告の判断基準 | 自社 |
答えられない項目はどう書けばよいですか？
最もよくない回答は空欄です。空欄は「管理していない」とも「答えたくない」とも読めるため、追加の照会を呼び、結果として手間が増えます。
| 状況 | 書き方 | 記入例 |
|---|---|---|
| 未対応だと分かっている | 未対応であることと、対応予定時期、代替措置の3点を書く | 未対応。2027年3月までに二要素認証を導入予定。現在はIP制限で管理画面へのアクセスを制限。 |
| 確認中で間に合わない | 確認中であることと、回答予定日を書く | 確認中。委託先へ照会中のため、◯月◯日までに追加回答します。 |
| 自社の構成に当てはまらない | 該当なしと、その理由を書く | 該当なし。会員機能を保有しておらず、個人データをサイト上に保存していないため。 |
| 対応している | 頻度・担当・直近実施日を数字で書く | 対応。毎月第2営業日に制作会社が実施。直近は2026年11月10日。 |
「対応しています」だけの回答は、未対応とほぼ同じ扱いを受けます。確認できる事実が書かれていないためです。逆に、未対応でも3点セットで書かれていれば「把握したうえで計画している」と読まれます。
Webサイト側の設問だけ、こちらで確認します
チェックシートのWebサイトに関する設問と、対象サイトのURLをお送りください。公開情報から確認できる範囲を調べ、委託先へ照会すべき項目を質問文の形で整理してご返信します。保守の契約先が他社の場合でも対応します。
届いてからの進め方
つまずきが多いのはSTEP 3です。受け取った設問をそのまま委託先へ転送してしまうと、相手は自社の立場で読むため回答の粒度が揃わず、再照会が発生します。
| やりがちな照会 | 何が起きるか | 書き直した質問文 |
|---|---|---|
| 「この設問に答えてください」と転送 | どこまでが委託範囲か相手が判断できず、曖昧な回答が返る | 「貴社の作業範囲で、CMSの更新は誰がどの頻度で実施していますか。直近の実施日もお知らせください」 |
| 「セキュリティは大丈夫ですか」 | 「問題ありません」で終わり、シートに転記できない | 「管理画面にIP制限または二要素認証は設定されていますか。設定されている場合は方式をお知らせください」 |
| 「ログはありますか」 | 有無だけが返り、保存期間が埋まらない | 「アクセスログの保存先と保存期間（月数）をお知らせください」 |
Webサイトの保守体制そのものに不安がある場合は、ホームページ保守と脆弱性対応｜会社の選び方で契約内容の確認ポイントを整理しています。回答の前提となる自社の現状把握には、脆弱性が公表されたときの確認手順も参考になります。
次回のために、回答を資産にする
チェックシートは一度で終わりません。取引先が増えれば、その数だけ届きます。毎回ゼロから調べ直すのは非効率なので、回答を社内の台帳として残してください。
- 設問ごとに「回答」「確認日」「確認先」「根拠資料の場所」を記録する
- 更新は年1回と、サーバーやCMSの構成を変えたときの2回でよい
- 記録した内容と実際の運用がずれないよう、実施記録も同じ場所に置く
- 次回は台帳から転記し、差分だけを確認する
社内の推進体制から整理したい場合はDX推進体制の作り方、生成AIの業務利用に関する社内ルールを並行して整備する場合は生成AI社内ガイドラインの作り方もあわせてご覧ください。
セキュリティチェックシートに関するよくある質問
Q. 答えられない項目があります。空欄で返してよいですか？
A. 空欄は避けてください。空欄は「管理していない」とも「答えたくない」とも読めるため、追加の照会を招きます。確認中であれば「確認中（回答予定日：◯月◯日）」、自社に該当しない構成であれば「該当なし（理由：自社で該当機能を保有していないため）」と書いてください。理由が書かれていれば、相手は次の判断に進めます。
Q. 「対応していない」と正直に書くと取引に影響しませんか？
A. 未対応であること自体より、把握していないことのほうが不利に働きます。実務上は「未対応／対応予定時期◯月／代替措置の内容」の3点セットで書くと、管理されている状態として評価されます。虚偽の回答は、後に事故が起きた際に責任の所在の問題に直結するため避けてください。
Q. ISMSやプライバシーマークを取得していないと回答できませんか？
A. 回答できます。チェックシートは認証の有無だけを見るものではなく、個別の管理状況を問うものです。認証欄は「未取得」と記載し、個別項目を事実で埋めてください。なお当社はISMS・プライバシーマークの取得支援そのものは行っておらず、本記事もWebサイトに関する設問に範囲を絞っています。
Q. Webサイトの管理を外部に委託している場合、誰が回答しますか？
A. 回答の名義と責任は自社にあります。ただし事実の確認は委託先に行う必要があります。実務としては、Webサイトに関する設問だけを抜き出して制作会社・サーバー会社に照会し、回答を自社で検証してからシートに転記する流れになります。照会用の質問文は本記事の表をそのままお使いいただけます。
Q. 同じような依頼が複数の取引先から来ます。毎回作り直すのですか？
A. 作り直す必要はありません。設問の表現は異なっても、聞かれている中身は共通する部分が大半です。自社の回答を一度作って社内の台帳に残し、次回はそこから転記して差分だけ埋める運用にしてください。台帳の更新は年1回と、サーバーやCMSの構成を変えたときで足ります。
Q. チェックシートの提出後、何か備えておくべきことはありますか？
A. 回答した内容と実態がずれないようにしておくことです。「更新は毎月実施」と回答したのであれば、実施記録を残してください。提出書類と実態の乖離は、事故発生時に最も問題になります。
まとめ
セキュリティチェックシートは、相手が自社を疑っているから届くものではありません。委託先経由の被害が現実の脅威として上位に定着したことの結果です（2026年11月時点）。
回答で問われているのは完璧さではなく、自社の状態を把握しているかどうかです。未対応の項目があっても、対応予定と代替措置を添えて書けば、管理されている状態として読まれます。そして一度作った回答は、台帳として次回以降の資産になります。
チェックシートの提出が迫っている場合もご相談ください
設問と対象サイトのURLをお送りいただければ、自社で埋められる項目と委託先に聞くべき項目を切り分け、照会用の質問文までご用意します。期限が近い場合はその旨をお書き添えください。
出典
- 情報セキュリティ10大脅威 2026（プレス発表）（独立行政法人情報処理推進機構（IPA）・2026年1月29日公表）
- 漏えい等報告・本人への通知の義務化について（個人情報保護委員会）
運営：株式会社キャンバス（canvas-works.jp）— AIを前提に価値をつくるデジタルクリエイティブ／システム開発企業。体験型コンテンツ開発・AI開発・自社パッケージ（ぬりえスタジアム／バッティングヒーロー／デジスポ／フライングペイント／フォトフォトAI／ディノコア創世記）を展開。2012年創業・第15期、累計1500件超のDX活用支援実績。