取引先へセキュリティ自己点検を依頼し、回答を回収するところまでは進んだ。しかし、集計表と平均点を作った後に「次に何をすればよいのか分からない」という企業は少なくありません。
回答率を上げることは、サプライチェーンの状況を把握するために重要です。一方で、回答率や総合点そのものが最終目的になると、毎年アンケートを配布して集計するだけの活動になりやすくなります。
自己点検の目的は回答を集めることではなく、回答から優先して確認すべきリスクを見つけ、取引先との対話や改善につなげることです。
本記事では、取引先のセキュリティ自己点検を回収した後に、回答データを確認し、対応優先度を整理し、重点先との対話・改善計画・継続的なモニタリングへつなげる方法を解説します。
セキュリティ自己点検は「回収」がゴールではない
例えば100社へ自己点検を依頼した場合、「回答率90%」「平均点3.2」といった指標は活動状況を把握するには役立ちます。
しかし、回答率が高くても、重要なセキュリティ上の不足が放置されていれば、サプライチェーンリスクの低減には直接つながりません。
そのため、回答率はプロセスを確認するKPIの一つと考え、その後に「重要な未達はどこか」「どの取引先を優先して確認するか」「改善状況をどう追跡するか」まで設計します。
最初に回答データの品質を確認する
リスク評価へ進む前に、まず回答データそのものを確認します。
- 未回答の項目はないか
- N/A（該当なし）の理由は妥当か
- 回答同士に矛盾がないか
- 補足説明や証跡を確認する必要がないか
- 前年から大きく変化した回答はないか
- 「改善予定」と「現在実施済み」が混在していないか
特にN/Aは、機械的に満点にも未達にも扱わない方が安全です。本当に適用対象外なのか、質問の意味が伝わらずN/Aとなったのか、追加確認が必要な場合があります。
また、未回答と未実施も同じではありません。前者は回答データの品質に関する問題、後者はセキュリティ対策の不足であり、分けて扱います。
平均点だけで取引先を評価しない
自己点検を数値化すると、平均点が低い順に取引先を並べたくなります。しかし、平均点と対応優先度が一致するとは限りません。
例えば、26項目のうち25項目を満たしていても、自社の重要システムへ接続する取引先が管理者アカウントの保護に関する重要項目を満たしていなければ、個別確認の優先度は高くなる可能性があります。
一方、複数の一般的な項目に未達があっても、重要情報を扱わず、自社システムへの接続もなく、取引停止時の影響も限定的であれば、同じ対応が必要とは限りません。
したがって、総合点は参考指標として利用しつつ、重要要求事項の未達と取引上の重要性を別に確認します。
100社を高・中・低リスクに整理する架空例
説明用の架空企業が100社から自己点検を回収したケースを考えます。
ここでは便宜上、「重点確認・対話」「改善フォロー」「通常モニタリング」という3つの対応区分へ整理します。高・中・低という表現を使う場合も、企業そのものの格付けではなく、自社との取引関係における確認優先度を表すものとします。
| 架空例 | 回答・取引状況 | 考え方 |
|---|---|---|
| 取引先A | 平均点は高いが、生産システムへリモート接続し、高権限アカウントを利用。重要対策に未達あり | 重点確認・対話の候補 |
| 取引先B | 一般項目に複数未達。ただし重要情報・システムアクセスはなく、代替可能 | 未達内容を確認し、改善フォローまたは通常モニタリングを検討 |
| 取引先C | 重要項目を未達と回答したが、同じ目的を満たす別の管理策が存在 | 証跡を確認し、残存リスクを再評価 |
| 取引先D | 重要対策を「来年度対応予定」と回答 | 将来状態として記録し、現在は未達として管理 |
このように、平均点と対応優先順位は同じものではありません。
現在の集計表に「総合点」しかない場合は、その隣に「重要項目の未達」「自社システムへのアクセス」「扱う重要情報」「業務停止時の影響」「改善予定」の列を追加してみてください。同じ総合点でも、優先して確認すべき取引先が異なることが見えてきます。
重点確認先を抽出するときの6つの視点
| 視点 | 確認内容 |
|---|---|
| 重要未達 | 取引関係上、特に重要な要求事項に不足があるか |
| 業務重要度 | 停止・侵害時に生産、販売、顧客等へ大きな影響があるか |
| 情報 | 機密情報、個人情報、認証情報等を扱うか |
| アクセス | リモート接続、管理者権限、ネットワーク接続等があるか |
| 既存・代替対策 | 要求された方法とは異なるが、同等目的の管理策があるか |
| 改善状況 | 現在の状態、改善予定、証跡を区別できているか |
重要未達の定義も全取引先で一律とは限りません。例えば管理者アクセスを持つ取引先と、物品納入のみの取引先では、重点的に見るべき項目が異なります。
高リスク先とは「対話を優先する取引先」
高リスクという区分は、「危険な企業」「取引を停止すべき企業」という意味ではありません。
自己点検だけでは分からない内容を詳しく確認し、必要な対応について対話する優先度が高い取引関係、と捉える方が実務的です。
自己点検は基本的に自己申告です。実際の対象範囲、運用方法、代替対策、改善予定などは、回答欄だけでは十分に把握できないことがあります。
面談では未達の理由と代替対策を確認する
例えば「MFA（多要素認証）未導入」という回答があった場合、未導入という事実だけで結論を出さず、対象システム、外部公開の有無、利用者・権限、現在の認証方式、別のアクセス制御、導入予定、技術的・費用上の制約などを確認します。
未達となった背景も、未認識、予算・人材不足、技術的制約、質問の適用対象外、同等目的の代替対策が存在する場合などさまざまです。
要求された対策そのものを実装していなくても、同じリスクを低減する代替対策が存在する場合があります。その場合は対策の名称だけでなく、目的と残存リスクを確認します。
改善要請だけでなく改善支援を設計する
確認の結果、改善が必要と判断しても、「○月までに対応してください」と伝えるだけが選択肢ではありません。
- 対策の考え方を説明するガイドを共有する
- 参考となる設定例や公的資料を案内する
- 共通課題について説明会・研修を行う
- 段階的な改善計画を確認する
- 代替対策やアクセス範囲の変更を検討する
- 必要に応じて残存リスクを受容する
ただし、発注側が改善費用をすべて負担するという意味ではありません。追加要求によって取引先側へ新たな費用が発生する場合は、調達・契約・法務部門を含め、取引条件との整合を確認します。
改善計画を「予定」と「現在」に分けて追跡する
改善計画では、現在の状態と将来予定を分けて管理することが重要です。
「来年度MFAを導入予定」という回答があっても、現時点では未導入です。改善予定があることは前向きな情報ですが、現在の残存リスクがなくなったことを意味しません。
改善項目ごとに、対応内容、担当、予定、進捗、確認資料、次回確認時期を整理すると、翌年度に再び一から確認する状態を避けやすくなります。
全100社の傾向を次年度施策へ反映する
個社対応だけでなく、回答全体をポートフォリオとして分析すると、共通する課題が見えてきます。
例えば、多くの取引先でインシデント報告体制が弱い場合は、個別に同じ説明を繰り返すより、共通ガイドや説明会を用意する方法があります。MFA等の特定対策について理解不足が多い場合も、参考資料を整備できます。
また、毎年多くの企業が同じ質問を「N/A」と回答する場合には、取引先側の問題ではなく、質問文や適用条件が分かりにくい可能性もあります。
つまり、自己点検結果は取引先を評価するだけでなく、自社の要求事項、アンケート、支援策そのものを改善する材料にもなります。
SCS評価制度を既存の自己点検へどう取り入れるか
経済産業省と内閣官房国家サイバー統括室が整備を進めるSCS評価制度は、サプライチェーン企業に求められるセキュリティ対策を整理し、その実施状況を可視化する仕組みです（経済産業省, 2026）。
2026年10月時点では、★3・★4は2026年度末頃の制度開始が予定されています。現時点で、既存の自己点検をすべてSCS評価制度へ置き換える必要があるという意味ではありません。
自社固有の委託内容、システムアクセス、契約要件などは残るため、制度を外部基準・共通言語の一つとして参照しながら、既存の要求事項や評価方法を見直す使い方が考えられます。
NISTのC-SCRMも、サプライチェーンリスクを単発のチェックではなく、組織のリスク管理へ組み込み、継続的に識別・評価・低減する考え方を採っています（Boyens et al., 2024）。
自己点検後のアクションチェックリスト
| 確認項目 | 確認内容 |
|---|---|
| 回答品質 | 未回答・N/A・矛盾回答等を確認したか |
| 重要未達 | 取引上重要な要求事項の不足を別途確認したか |
| 取引情報 | 情報・アクセス・業務影響を回答結果へ付加したか |
| 優先度 | 総合点だけでなく対応優先度を整理したか |
| 対話 | 重点先について未達の背景を確認したか |
| 代替対策 | 同等目的の別の管理策がないか確認したか |
| 現在・予定 | 現在の対策と将来の改善予定を分けたか |
| 改善計画 | 対応内容、担当、状況、次回確認を管理しているか |
| 全体傾向 | 共通する未達・支援ニーズを分析したか |
| 再評価 | 契約・アクセス・委託範囲変更等を契機に再確認できるか |
| 次年度改善 | 結果を次回の質問・要求・支援策へ反映したか |
まとめ
取引先のセキュリティ自己点検は、回答を回収して平均点を出すところで終了するものではありません。
まず回答データの品質を確認し、重要未達を整理します。その上で、扱う情報、自社システムへのアクセス、業務上の重要性などを加えて、どの取引先を優先して確認するかを判断します。
重点確認先についても、未達だから直ちに取引停止とするのではなく、対話によって背景、代替対策、改善予定を確認し、必要に応じて改善計画や支援方法を整理します。
さらに、個社対応だけでなく、100社全体で共通する課題を分析すれば、次年度のアンケート、ガイド、教育、要求事項そのものの改善にもつなげられます。
目指すべき状態は、「何社から回答が集まったか」を説明できることだけではなく、「回答結果から、どのリスクを優先し、何を改善しているか」を説明できることです。
SCI総合研究所株式会社のKANAMEBAでは、取引先セキュリティ自己点検を回収・集計して終わらせるのではなく、回答内容と取引上の重要性を整理し、重点確認先の抽出、対話、改善計画、継続的なモニタリングまでを設計します。
「100社以上の回答を集めたが次のアクションを決められない」「平均点は出したが重点先を説明できない」「面談後の改善管理まで仕組み化したい」といった段階から、サプライチェーンセキュリティ運用を整理できます。
参考文献
- Boyens, J. et al. 2024. Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations. National Institute of Standards and Technology. NIST SP 800-161 Rev. 1 Update 1. DOI: 10.6028/NIST.SP.800-161r1-upd1.
- National Institute of Standards and Technology. 2026. NIST Cybersecurity Supply Chain Risk Management: Due Diligence Assessment Quick-Start Guide. NIST SP 1326. DOI: 10.6028/NIST.SP.1326.
- 経済産業省. 2026. サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の概要.