取引先から、次のように聞かれたことはないでしょうか。
「セキュリティ診断を受けていますか」
「脆弱性診断の結果はありますか」
「外部公開システムの点検記録を提出できますか」
「セキュリティチェックシートに回答してください」
この時に困るのは、実際には対策をしているのに、説明できる記録が残っていない場合です。
ウイルス対策ソフトを入れている。
Windows Updateもしている。
制作会社にWebサイトを見てもらっている。
保守会社にサーバーを管理してもらっている。
クラウドサービスを使っている。
それでも、取引先から見ると、**「いつ、誰が、何を、どの範囲で確認し、指摘事項をどう直したのか」**が分からなければ、十分な説明にはなりません。
セキュリティ診断で重要なのは、診断を受けることだけではありません。
診断後に、指摘事項を管理し、対応し、再確認し、必要な範囲で取引先に説明できる記録を残すことです。
なぜ取引先から確認されるのか
取引先が中小企業にセキュリティ状況を確認する背景には、サプライチェーンリスクがあります。
IPAの「情報セキュリティ10大脅威 2026」では、組織向け脅威として、1位にランサム攻撃、2位にサプライチェーンや委託先を狙った攻撃、4位にシステムの脆弱性を悪用した攻撃が挙げられています。IPAは、各自の環境に照らして選出された脅威について、極力もれなく対策することが求められると説明しています。
また、IPAの「2024年度 中小企業における情報セキュリティ対策に関する実態調査」では、サプライチェーン上の弱点を狙った攻撃が顕在化・高度化しており、中小企業等の対策が不十分な場合、重要情報の流出、製品・サービスの供給停止、取引先への影響、取引先攻撃の踏み台化のおそれがあると説明されています。
同調査の概要では、1割強の企業が取引先から情報セキュリティ対策の要請を受けていること、セキュリティ体制を整備している企業の約6割が取引につながったこと、第三者認証を取得している企業の約7割が取引につながったことが報告ポイントとして示されています。
つまり、セキュリティ対策は、単なる守りのためだけではありません。
取引を続けるため、取引先に安心してもらうため、自社の信頼性を説明するためにも必要になっています。
直近事案から見える「診断と記録」の重要性
2026年6月23日、NTTPCコミュニケーションズは、「WebARENA 大容量ファイル転送機能」の停止について公表しました。同社は、調査において情報漏えいを示す明確な痕跡は確認されていない一方で、その可能性を完全には否定できないと説明しています。
同社は再発防止策として、外部のセキュリティ専門会社によるセキュリティ診断の実施と継続的なセキュリティ水準の維持・向上、高リスク脆弱性へ迅速かつ確実に対処する体制の強化、不審アクセスを継続的に監視・検知・遮断する仕組みの導入、経営層主導による継続的改善を挙げています。
ここで注目したいのは、「セキュリティ診断」だけが再発防止策として挙げられているわけではない点です。
診断を実施する。
高リスク脆弱性に対処する。
不審アクセスを監視する。
迅速に対応できる体制を作る。
経営層が継続的改善を主導する。
つまり、診断は出発点であり、診断結果を受けて何を改善したか、今後どう維持するかまで含めて説明できる状態が重要です。
「診断を受けていますか」は質問が広すぎる
取引先から「セキュリティ診断を受けていますか」と聞かれた時、まず確認したいのは、何を対象にした診断を求められているのかです。
一口にセキュリティ診断といっても、対象はさまざまです。
| 診断・点検の種類 | 主な対象 |
|---|---|
| Webアプリケーション脆弱性診断 | ECサイト、予約サイト、問い合わせフォーム、会員サイト |
| プラットフォーム診断 | サーバー、VPN、UTM、ルーター、公開IP、ミドルウェア |
| クラウド設定確認 | Microsoft 365、Google Workspace、クラウドストレージ、SaaS |
| ネットワーク診断 | 社内LAN、無線LAN、拠点間接続、リモートアクセス |
| ペネトレーションテスト | 実際の攻撃シナリオに近い侵入可能性確認 |
| セキュリティ設定レビュー | 管理者権限、認証設定、ログ保存、バックアップ設定 |
| 自己診断 | IPAの自社診断、社内チェックシート、簡易点検 |
| 委託先確認 | サーバー会社、制作会社、保守会社、クラウド事業者の確認 |
取引先が本当に知りたいのは、「診断を受けた」という事実だけではないことが多いです。
知りたいのは、自社に関係する情報や業務を預けてもよいか、外部公開システムが放置されていないか、指摘事項が未対応のまま残っていないかです。
そのため、回答する前に、次の点を確認します。
- 対象はWebサイトか、社内ネットワークか、クラウドか
- 診断結果の提出が必要か、実施有無の回答だけでよいか
- 診断報告書の全文が必要か、サマリーでよいか
- 対象期間はいつか
- 重大な指摘事項の有無を聞かれているのか
- 是正完了の証跡まで求められているのか
- 機密保持契約が必要か
この確認をせずに、診断報告書を丸ごと送ることは避けるべきです。診断報告書には、脆弱性の詳細、管理画面のURL、IPアドレス、システム構成、攻撃手順に近い情報が含まれることがあります。
取引先に説明しやすい記録は7種類
「セキュリティ診断を受けています」と答えるために、必ずしも最初から立派な報告書が必要なわけではありません。
中小企業でまず整えたいのは、次の7種類の記録です。
1. 対象資産の一覧
何を診断したのかを説明するには、まず対象資産の一覧が必要です。
- Webサイト
- ECサイト
- 問い合わせフォーム
- レンタルサーバー
- ドメイン、DNS
- VPN、UTM、ルーター
- クラウドサービス
- ファイルサーバー、NAS
- 業務システム
- 管理者アカウント
IPAの中小企業向けガイドラインのページでは、付録として「資産管理台帳（サンプル）」が公開されています。中小企業でも、情報資産、ネットワーク機器、ソフトウェア、ハードウェアを一覧化することが実務の出発点になります。
診断記録は、資産台帳と結びつけて残すと説明しやすくなります。
たとえば、「ECサイトだけ診断済み」なのか、「VPNや公開サーバーも対象にした」のかが分かるようにします。
2. 診断実施記録
診断を受けた場合は、次の項目を記録します。
| 項目 | 記録例 |
|---|---|
| 診断名 | Webアプリケーション脆弱性診断 |
| 実施日 | 2026年7月28日 |
| 対象 | 公式サイト、問い合わせフォーム、管理画面 |
| 対象外 | 社内LAN、VPN、クラウド設定 |
| 実施者 | 外部専門会社、保守会社、社内担当者 |
| 診断方法 | 手動診断、ツール診断、設定レビュー |
| 報告書番号 | 2026-SEC-001 |
| 結果概要 | 重大1件、高2件、中3件、低5件など |
| 対応期限 | 重大・高は〇日以内、中は〇月末まで |
| 次回予定 | 2027年1月、改修後、システム変更時など |
重要なのは、診断範囲を明確にすることです。
「診断済み」とだけ書くと、すべてのシステムが安全であるかのように見えてしまいます。
実際には、Webサイトだけ、特定のURLだけ、外部公開部分だけなど、診断範囲は限られていることが多いため、対象外も記録します。
3. 指摘事項管理表
診断報告書を受け取っただけでは、対策したことにはなりません。
診断後は、指摘事項管理表を作ります。
| No. | 指摘事項 | 重要度 | 対象 | 対応内容 | 担当 | 期限 | 状態 |
|---|---|---|---|---|---|---|---|
| 1 | 管理画面のMFA未設定 | 高 | EC管理画面 | MFA有効化 | 総務 | 8/5 | 完了 |
| 2 | 古いプラグイン | 高 | WordPress | 更新・不要分削除 | 制作会社 | 8/10 | 対応中 |
| 3 | 不要なテストページ | 中 | Webサイト | 非公開化 | 制作会社 | 8/15 | 完了 |
| 4 | ログ保存期間不足 | 中 | サーバー | 保存期間見直し | 保守会社 | 8/31 | 未着手 |
| 5 | 例外設定の残存 | 低 | WAF | 影響確認後に削除 | 管理担当 | 9/15 | 確認中 |
この管理表がないと、取引先から「指摘事項は解消済みですか」と聞かれた時に答えられません。
診断報告書の全文を出せない場合でも、指摘事項の件数、重要度、対応状況、残課題を整理したサマリーであれば説明しやすくなります。
4. 対応完了の証跡
「対応しました」と口頭で言うだけでは不十分です。
対応完了を説明できる証跡を残します。
例として、次のようなものです。
- 設定変更後の画面キャプチャ
- プラグイン更新履歴
- サーバー更新履歴
- パッチ適用記録
- 不要アカウント削除記録
- MFA有効化記録
- WAF設定変更記録
- 保守会社からの作業完了報告
- 再診断結果
- 脆弱性が解消されたことの確認記録
証跡には、日時、対象、作業者、確認者を残します。
特に、外部委託先に依頼した場合は、メールだけでなく、作業報告書やチケット履歴として残すと後から確認しやすくなります。
5. 未対応事項と例外承認
すべての指摘事項をすぐに直せるとは限りません。
たとえば、古い業務システムの制約、費用、業務停止、ベンダー対応待ち、取引先システムとの互換性などにより、対応に時間がかかる場合があります。
その場合に重要なのは、未対応を放置しないことです。
未対応事項については、次のように記録します。
- なぜ未対応なのか
- リスクはどの程度か
- 暫定対策は何か
- 誰が承認したか
- いつまでに見直すか
- 最終的にどう解消するか
「対応できないので、そのまま」ではなく、例外として承認し、期限付きで管理することが重要です。
6. 再確認・再診断の記録
診断で指摘された項目を修正した後は、再確認が必要です。
- 修正後に同じ脆弱性が残っていないか
- 修正によって別の不具合が起きていないか
- 本番環境へ正しく反映されているか
- 設定変更が戻っていないか
- 対象外だった環境にも同じ問題がないか
再診断までできない場合でも、保守会社や社内担当者による確認記録を残します。
重要度が高い指摘については、可能であれば第三者による再確認を検討します。
7. 経営者への報告記録
セキュリティ診断は、技術担当者だけで完結させないことが重要です。
NTTPCの再発防止策でも、経営層が主導し、セキュリティ対策の継続的改善を全社的に推進することが挙げられています。
中小企業でも、少なくとも次の内容は経営者へ報告します。
- 診断の対象
- 重大な指摘の有無
- 業務への影響
- 対応費用
- 対応期限
- 未対応リスク
- 取引先への説明要否
- 次回診断予定
経営者への報告記録があると、後から「会社としてリスクを把握していたか」「対応を承認していたか」を説明しやすくなります。
取引先へ出すなら「全文」より「サマリー」
診断報告書の全文をそのまま取引先へ送るのは、慎重に判断してください。
診断報告書には、攻撃者に悪用される可能性のある情報が含まれる場合があります。
そのため、取引先へは、必要な範囲に限定したサマリーを提出する方法が現実的です。
セキュリティ診断実施サマリーの例
セキュリティ診断実施サマリー
会社名：〇〇株式会社
対象システム：〇〇サービス利用者向けWebサイト
診断対象範囲：公開Webアプリケーション、問い合わせフォーム、管理画面ログイン機能
診断実施日：2026年7月28日
診断実施者：外部セキュリティ専門会社
診断種別：Webアプリケーション脆弱性診断
診断方法：手動診断およびツール診断
重大度別結果：緊急0件、高0件、中1件、低3件
高リスク指摘事項の対応状況：該当なし
中リスク指摘事項の対応状況：2026年8月10日対応完了予定
再確認予定：2026年8月中旬
次回診断予定：システム改修時または2027年1月
備考：詳細報告書にはシステム構成情報を含むため、必要に応じてNDA締結後に範囲を限定して開示します。
このようなサマリーであれば、取引先が知りたい「診断の有無」「対象範囲」「高リスク指摘の有無」「対応状況」を説明しやすくなります。
出してよい情報、出すべきでない情報
取引先から求められても、何でも提出すればよいわけではありません。
出しやすい情報
- 診断実施日
- 診断対象の概要
- 診断種別
- 実施者の区分
- 重大度別の件数
- 高リスク指摘事項の対応状況
- 対応完了日
- 次回診断予定
- 自社のセキュリティ基本方針
- 事故時連絡窓口
- 委託先管理の概要
慎重に扱う情報
- 詳細な脆弱性名
- 攻撃手順
- 管理画面URL
- IPアドレス一覧
- ネットワーク構成図
- 管理者アカウント情報
- ログの詳細
- 未対応脆弱性の具体的内容
- WAFやファイアウォールの詳細設定
- バックアップ保存場所
情報を出す場合は、目的、範囲、提出先、保存期間、再提供禁止、NDAの有無を確認してください。
取引先の確認に答えるつもりが、自社の弱点を広く開示してしまっては本末転倒です。
診断を受けていない場合の答え方
まだ外部診断を受けていない場合、事実と異なる回答をしてはいけません。
避けるべき回答は、次のようなものです。
- 問題ありません
- 保守会社に任せています
- ウイルス対策ソフトを入れているので大丈夫です
- 今まで事故がないので安全です
- 診断済みです、と実態以上に答える
代わりに、現在実施している対策と、今後の予定を分けて説明します。
回答案の例
現時点では、外部専門会社による脆弱性診断は未実施です。
ただし、対象システムについては、資産台帳、管理者アカウント一覧、更新履歴、バックアップ状況、ログ保存状況を確認しています。
2026年〇月までに外部公開Webサイトを対象とした脆弱性診断を実施し、指摘事項については管理表で対応状況を記録する予定です。
高リスクの指摘事項があった場合は、優先的に是正し、対応完了後に再確認を行います。
このように答えれば、未実施であることを隠さず、改善予定を説明できます。
自己診断から始めてもよい
外部診断には費用がかかります。
そのため、すべての中小企業が最初から広範囲の診断を受けられるとは限りません。
まずは、自己診断と台帳整備から始めることも現実的です。
IPAは「中小企業の情報セキュリティ対策ガイドライン第4.0版」を公開しており、付録として「5分でできる！情報セキュリティ自社診断」「情報セキュリティハンドブック」「情報セキュリティ関連規程」「資産管理台帳」「クラウドサービス安全利用の手引き」「セキュリティインシデント対応の手引き」などを提供しています。
また、同ページでは、SECURITY ACTIONについて、中小企業自らがガイドラインに示された情報セキュリティ対策に取り組むことを自己宣言する制度だと説明されています。
ただし、自己診断や自己宣言は、外部脆弱性診断と同じものではありません。
取引先から「第三者による診断結果」を求められている場合は、自己診断だけで足りるかを確認する必要があります。
優先して診断すべき対象
限られた予算で診断を行う場合、優先順位を決めます。
優先度が高いのは、次のようなものです。
- 個人情報を扱うECサイト
- 問い合わせフォーム、予約フォーム、申込フォーム
- 会員ログイン機能
- 決済に関係する画面
- 外部公開サーバー
- VPN、UTM、リモートアクセス機器
- 取引先データを保存するクラウドストレージ
- 従業員情報を扱う勤怠、給与、労務システム
- ファイル転送サービス
- 委託元から預かったデータを扱うシステム
IPAの10大脅威2026では、システムの脆弱性を悪用した攻撃が組織向け脅威の4位に挙げられています。
外部からアクセスできるシステムや、重要情報を扱うシステムは、優先して点検対象にするべきです。
診断後に作る「是正計画」
診断を受けた後、最も大切なのは是正計画です。
診断報告書を受け取ったら、次の順番で整理します。
- 指摘事項を重大度別に分類する
- 業務影響の大きいものを確認する
- すぐ直せるものを先に対応する
- 高リスクの指摘に期限を設定する
- 委託先や保守会社に対応依頼する
- 対応完了の証跡を残す
- 再確認する
- 未対応事項を例外管理する
- 経営者へ報告する
- 次回診断時期を決める
診断は、点数を取るためのものではありません。
自社の弱点を見つけ、事故の前に直すためのものです。
診断記録のひな形
以下は、社内でそのまま使える簡易版のひな形です。
セキュリティ診断・是正管理表
確認日：2026年7月28日
確認担当者：〇〇
責任者：〇〇
対象範囲：Webサイト、VPN、クラウド、サーバー等
| No. | 対象 | 診断種別 | 実施日 | 実施者 | 指摘件数 | 高リスク | 対応状況 | 証跡 | 次回確認 |
|---|---|---|---|---|---|---|---|---|---|
| 1 | 公式サイト | Web脆弱性診断 | 2026/7/28 | 外部専門会社 | 6 | 0 | 中1件対応中 | 報告書、管理表 | 2026/8/15 |
| 2 | ECサイト | 設定レビュー | 2026/7/20 | 保守会社 | 4 | 1 | 高1件完了 | 作業報告書 | 2026/8/5 |
| 3 | VPN | 構成確認 | 2026/7/15 | 保守会社 | 2 | 0 | 完了 | 設定変更記録 | 2026/10/1 |
| 4 | Microsoft 365 | 権限確認 | 2026/7/10 | 社内担当 | 3 | 0 | 対応中 | 画面キャプチャ | 2026/8/1 |
未対応事項
| No. | 内容 | 理由 | 暫定対策 | 承認者 | 対応期限 |
|---|---|---|---|---|---|
| 1 | ログ保存期間の延長 | 契約プラン変更が必要 | 重要操作ログを手動保管 | 管理責任者 | 2026/9/30 |
| 2 | 古い業務ソフトの更新 | ベンダー対応待ち | 利用端末を限定 | 経営者 | 2026/12/31 |
取引先提出用サマリー作成日：2026年〇月〇日
提出範囲：診断実施日、対象概要、重大度別件数、対応状況
詳細報告書の扱い：NDA締結後、必要範囲のみ開示
この表を作っておくと、取引先から急に確認された時でも、落ち着いて回答できます。
月次で確認する項目
診断は年1回だけで終わらせるものではありません。
日常の運用記録も合わせて残します。
月1回、次の項目を確認するとよいです。
- Windows、Office、Adobe等の更新状況
- サーバー、CMS、プラグインの更新状況
- VPN、UTM、ルーターのファームウェア状況
- 管理者アカウントの棚卸し
- 退職者、異動者、委託先アカウントの削除
- 多要素認証の有効化状況
- バックアップ取得と復元確認
- ログ保存と不審アクセスの有無
- 外部公開ページ、不要ページ、テストページの有無
- クラウド共有リンクの棚卸し
- 未対応指摘事項の進捗
- 次回診断予定
月次の確認記録があると、「診断を受けた時だけ対策した」のではなく、継続的に管理していることを説明しやすくなります。
取引先から聞かれた時の回答例
最後に、取引先から実際に聞かれた時の回答例を示します。
外部診断を実施済みの場合
当社では、2026年7月に外部専門会社によるWebアプリケーション脆弱性診断を実施しました。
対象は、貴社業務に関係する〇〇システムの公開Web画面および管理画面です。
診断結果について、高リスクの指摘事項は対応済みであり、残る中低リスクの指摘事項についても管理表により期限を定めて是正中です。
詳細報告書にはシステム構成情報が含まれるため、必要に応じてNDA締結後にサマリーを提出します。
外部診断は未実施だが、点検中の場合
現時点では、対象システムについて外部専門会社による脆弱性診断は未実施です。
一方で、資産台帳、管理者アカウント、更新履歴、バックアップ、ログ保存、委託先保守範囲について確認を進めています。
2026年〇月までに外部公開Webサイトを対象とした診断を実施し、指摘事項については是正管理表で対応状況を記録する予定です。
自社対象外の場合
ご確認いただいた診断対象は、当社が運用管理しているシステムではなく、〇〇社が提供するSaaS環境です。
当社では、利用者権限、管理者アカウント、多要素認証、共有設定、ログ確認の範囲を管理しています。
サービス基盤側の診断・監査情報については、提供事業者の公開資料または契約上開示可能な範囲で確認します。
大切なのは、実態に合わせて正直に答えることです。
過大に答えると、事故時に説明ができなくなります。
まとめ
取引先から「セキュリティ診断を受けていますか」と聞かれた時、必要なのは、診断報告書を探すことだけではありません。
重要なのは、次の記録を出せる状態にしておくことです。
- 何を診断対象にしたかを示す資産一覧
- 診断実施日、範囲、実施者、方法を示す診断実施記録
- 指摘事項の重要度、担当、期限を示す管理表
- 対応完了を示す作業報告、設定変更、再確認記録
- 未対応事項の理由、暫定対策、承認者、見直し期限
- 経営者への報告記録
- 取引先へ提出できるサマリー
IPAの中小企業向けガイドラインでは、資産管理台帳、自社診断、クラウドサービス安全利用の手引き、インシデント対応の手引きなど、中小企業が記録を整えるために使える資料が公開されています。
「診断を受けたか」だけではなく、診断結果をどう管理し、どう直し、どう説明できるかが問われています。
ライトハウスコンサルタントでは、中小企業向けに、取引先向けセキュリティチェックシート対応、診断実施サマリーの作成、指摘事項管理表の整備、資産管理台帳の作成、委託先・保守会社への確認項目整理を支援しています。まずは、自社で外部公開しているWebサイト、サーバー、VPN、クラウドサービスを一覧化するところから始めてください。
- 投稿タグ
- サプライチェーン, セキュリティチェックシート, セキュリティ診断, 中小企業のセキュリティ, 取引先確認, 委託先管理, 指摘事項管理, 脆弱性診断, 資産管理台帳
