取引先からセキュリティチェックシートが届いたら
「取引先からセキュリティのチェックシートが送られてきたが、 半分以上の項目に『いいえ』としか書けない」というご相談が増えています。
慌てて全部に対応しようとすると、費用も手間も膨らみます。 現実的な進め方は次のとおりです。
まずは現状を正直に埋める
見栄を張って「はい」と書くのがいちばん危険です。 後から実態と違うことが分かると、取引そのものを失いかねません。 「現在は未対応、○月までに対応予定」と書けるなら、それで通ることも多くあります。
危険度と費用で優先順位をつける
チェック項目には、すぐ直せるもの（パスワードの使い回し、更新されていないソフト）と、 時間もお金もかかるもの（機器の入れ替え、監視の仕組み）が混在しています。 タダで今日直せるものから片づけるだけで、回答の見え方が変わります。
SECURITY ACTION の宣言を活用する
独立行政法人IPAが行っている、中小企業向けの自己宣言制度です。 無料で宣言でき、対外的な説明材料になります。IT導入補助金の申請要件になっている場合もあります。
当事務所では、お客様が保有・管理するサイトやシステムを対象に、 事前の書面合意のうえで脆弱性の確認を行い、 「危険度」と「直す順番」を明記した報告書をお渡ししています。 チェックシートへの回答支援も承ります。