セキュリティの確認票に1日で答える。実施状況の表と過去の回答からAIが下書き

この記事では、取引先にセキュリティ対策を聞かれても困らない。社内の決まりと回答をAIで整えるの「AIは社内の決まりと、確認票への回答を下書きする」と「出した回答を貯める」を、仕組みとして作る方法を説明します。

一言でいうと、取引先から届いた確認票の項目を、1行ずつ表にする。会社の対策の実施状況の表と、過去に出した回答から、項目ごとに関係する行を拾う。AIが項目ごとの回答を下書きし、「している」と書いた回答が実施状況の表と合っているかを計算で照らす。社長が確かめて出し、出した回答を取引先ごとに残すという形です。確認票が届くたびに一から考え、取引先ごとに答えが食い違う状態をなくします。

確認票に正直に、早く答えることが、取引を守る

情報処理推進機構（IPA）が2024年10月から11月に全国の中小企業4,191社に行った調査では、2023年度に被害に遭った企業の、過去3期の被害額の平均は73万円、復旧までの期間の平均は5.8日でした（＠IT、ScanNetSecurityの報道による）。取引先にとっても、仕入先や外注先が止まれば自社の仕事が止まります。

そのため、取引先が仕入先や外注先に、セキュリティ対策の確認票を送ることがあります。国も、IPAが運営する「SCS評価制度」で、会社の対策の水準を取引先に示せる仕組みを作っています。制度の細かい中身は2026年度に詳しく決めて公開するとされていて、使う前に最新の案内で確かめる必要があります。

確認票への答えで大事なのは、2つです。実際にしていることだけを書くこと（正直さ）と、待たせないこと（早さ）です。していない対策を「している」と書けば、あとで分かったときに信頼を失います。答えが遅ければ、対応できない会社だと見られます。

今は確認票が届くたびに、担当者が一から考えている

多くの小さな会社では、確認票への対応が次のように行われています。

取引先から、数十の項目がある表計算のファイルが届く
担当者が、項目の意味を調べながら、記憶と社内の人への聞き取りで答える
分からない項目は、社長やシステムの担当会社に聞く。返事を待つ間に期限が近づく
出した回答は、メールの送信済みに残るだけ。次の取引先から似た確認票が来ても、また一から考える

同じことを聞かれても、取引先Aには「している」、取引先Bには「一部している」と答えてしまうこともあります。どちらが本当かを、社内でも説明できなくなります。

項目を表にし、表と過去の回答を拾い、AIが書き、社長が出す

取引先から届いた確認票の項目を1行ずつ表にし、会社の対策の実施状況の表と過去に出した回答から関係する行を拾う。AIが項目ごとの回答を下書きし、「している」と書いた回答が表と合うかを計算で照らしてから、社長が確かめて出し、回答を取引先ごとに残す

仕組みは4つの段でできています。

1. 集める：確認票の項目を1行ずつ表にする。 届いた確認票のファイルから、項目を1行ずつ取り出して表にします。項目の番号、聞かれていること、答え方の指定（はい・いいえ、選択肢、自由記述）を並べます。

2. 拾う：実施状況の表と過去の回答から、関係する行を拾う。 ここはAIの仕事ではありません。

項目ごとに、実施状況の表（対策の中身、しているか、確かめた日、担当者）から、関係する行を言葉で探して拾う
過去に出した回答の台帳から、似た項目への回答を拾う
実施状況の表で「最後に確かめた日」が1年を過ぎている行には、印を付ける

3. 下書きする：AIが項目ごとの回答を書く。 AIに、項目と、拾った実施状況の行と、過去の回答を渡し、回答を下書きさせます。

答えは「している」「一部」「していない」「確認」のどれかと、短い説明
説明には、実施状況の表のどの行をもとにしたかを添える
拾った行がない項目は、回答を空けて「確認」と書く

4. 照らして出す：計算で照らし、社長が確かめて出す。 AIの下書きで「している」と書いた項目が、もとにした実施状況の行でも「している」になっているかを、計算で照らします。合わないもの、確かめた日が古いもの、「確認」のものに印を付けます。社長と担当者が、印の付いた項目を実際に確かめ、表を直してから回答を埋めて出します。出した回答は、取引先ごとに台帳に残します。

回答の型をスキルにし、実施状況と照らし合わせはAIの外に置く

この仕組みが毎回同じ質で回るかどうかは、AIに渡す決まりと、AIの外の仕組みで決まります。作る側から見ると、ここが「AIを使う」と「使いこなす」の差です。

回答の型を Skills にまとめる。 Skills（スキル）は、AIに渡す手順書・見本・道具を1つにまとめたものです。頼まれた内容に合うときにAIが自動で読み込むので、毎回同じ説明をしなくても、AIの働きが安定します。ここでは、次のものをスキルにします。

回答の型：「している」「一部」「していない」「確認」と、短い説明の書き方
言葉の言い換え：確認票でよく使われる言い方（多要素認証、脆弱性の管理、インシデントの対応など）と、会社の実施状況の表の言い方の対応
過去に出した良い回答の見本
書いてはいけないこと：実施状況の表にない対策、使っていない製品の名前、取っていない認証や評価、「万全」「完全」などの言い切り

実施状況の表と、照らし合わせは、AIの外に置く。 AIそのもの以外の、指示・道具・点検の仕組みを設計することを、ハーネスエンジニアリングと呼ぶことがあります。ここでは、実施状況の表を社長と担当者が持つこと、項目ごとに関係する行を拾うこと、「している」と書いた回答を表と照らして合わないものに印を付けること、出した回答を取引先ごとに残すことが、それに当たります。AIが言葉の似た対策を取り違えて「している」と書いても、ここで止まります。

回答の台帳が、取引先ごとの食い違いを防ぐ

この仕組みでいちばん効くのは、出した回答の台帳です。

取引先ごとに、いつ、どの項目に、どう答えたかを残します
次の確認票では、過去の回答が拾われるので、同じことに同じ答えを出せます
実施状況の表を直したら（新しい対策を始めた、など）、過去の回答で古くなったものを一覧にできます。取引先に更新を伝えるかどうかを、社長が決めます

確認票を何度か出すと、聞かれることの多い項目が分かります。それが、次に手を付ける対策の優先順位の材料にもなります。

社長の仕事は、印の付いた項目を確かめることになる

仕組みが入ると、確認票への対応は次のように変わります（想定です）。

	今まで	仕組みが入ったあと
項目の意味	一つずつ調べる	言い換えの表から、社内の言葉に結びつく
回答の元	担当者の記憶と聞き取り	実施状況の表と過去の回答
していない対策	「している」と書いてしまうおそれ	表と照らして印が付く
取引先ごとの答え	食い違うことがある	台帳で同じ答えにそろう
かかる日数	数日から1週間	印の項目を確かめて1日ほど

経営への効果は、取引先を待たせず、正直さで信頼を得ること

効果は、前提を置いて計算します。仮に、確認票が年に4回届き、1回あたり60項目、1項目に6分かかっていたものが、下書きを確かめる1分半になれば、1回で4時間半、年に18時間が浮きます。1時間あたりの人件費を仮に2,000円として、年3万6,000円分、月にならすと月約3,000円分です。

時間だけを見ると、大きな額ではありません。この仕組みの価値は、取引先を待たせないことと、どの取引先にも同じ正直な答えを出せることです。確認票に早く、筋の通った答えを返せる会社は、取引を続けてもらいやすくなります。印の付いた項目から、足りない対策も見えます。

費用は作る費用が中心で、AIの利用料は1回70円ほど

作る順番と、かかる日数

実施状況の表を整え、回答の型と書いてはいけないことを決める（会社：社長と担当者、半日）。ここがいちばん大事です
確認票でよく使われる言い方と、社内の言い方の対応の表を作る（会社：担当者、1時間。システムの担当会社に見てもらうと確かです）
確認票の項目を表にし、実施状況の表と過去の回答から行を拾う仕組みを作る（作る人、0.5人日）
AIの下書きと、表との照らし合わせと、回答の台帳を作る（作る人、0.5人日）
過去の確認票で試して直す（作る人、0.5人日）

作る費用

作る費用＝作る人の日数（人日）× 1日あたりの単価

上の手順3〜5で、作る側の目安は合計1.5人日です。

毎月の費用

費用	中身	想定の会社での目安
AIの利用料	項目ごとの回答の下書きにかかる	60項目の確認票1回で約70円（下の計算）
表計算	すでに使っているもの	追加0円の想定
保守	実施状況の表と言い換えの表の更新	半年に1時間

AIの利用料は、読ませた量と書かせた量で決まります。2026年10月7日時点のAnthropic社のClaude（Sonnet 5.5）の公式料金は、読ませる量100万トークン（AIが文字を数える単位）あたり2ドル、書かせる量100万トークンあたり10ドルです。1項目あたり、項目と拾った行と過去の回答とスキルで3,000トークンを読ませ、200トークンを書かせると見積もると、0.008ドル、1ドル150円で1.2円です。60項目で約72円です。

何か月で取り戻せるか

取り戻すまでの月数＝作る費用 ÷（月に浮く金額 − 毎月の費用）

仮に作る費用が9万円とすると、月約3,000円分が浮く会社では、取り戻すのに2年以上かかります。確認票が年に数回の会社なら、仕組みを作るより、実施状況の表と言い換えの表と回答の型だけを作り、会社で契約したAIのチャットに確認票と表を貼って下書きさせ、表と照らすのを人が行うやり方で十分です。確認票が毎月のように届く会社や、取引先が多い会社ほど、仕組みにする意味が大きくなります。

必要な人は3役で、答えを決めるのは社長

役	誰が	すること	時間
決めて出す人	社長	印の付いた項目を確かめ、答えを決めて出す	1回1〜2時間
表を保つ人	総務やシステムの担当者	実施状況の表と回答の台帳を保ち、確かめた日を直す	月30分
作る人	社内の詳しい人か、外の作り手	項目の取り出し、行の拾い出し、照らし合わせ、台帳を作る	最初の1.5人日

いちばん大事なのは、実施状況の表を、実際に確かめて直し続けることです。表が古いと、AIは古い表のとおりに答えます。

1回目で表の穴が見え、1年で答えがそろう見込み

どこまでいけるかは、実施状況の表がどれだけ正しく保たれるかで決まります。目安は次のとおりです。

時期	見込み
1回目の確認票	「確認」の項目が多く出る。確かめた結果を実施状況の表に足す
3回目ごろ	多くの項目が表と過去の回答から答えられ、1日ほどで出せる
1年	取引先ごとの答えがそろい、聞かれることの多い対策から手を付けられる

効果を確かめるには、次の3つを記録します。

確認票が届いてから出すまでの日数：回ごとに記録します
「確認」になった項目の数：実施状況の表の穴を見る材料にします
表と照らして印が付いた数：AIの取り違えと、表の古さを見る材料にします

していない対策を「している」と書かせると失敗する

作る側から見て、よくある失敗は次の4つです。

AIが、言葉の似た対策を取り違えて「している」と書く。 表と照らす計算で印を付け、社長が確かめます
実施状況の表を直さない。 確かめた日が1年を過ぎた行に印を付け、確かめ直します
取引先ごとに答えが食い違う。 回答の台帳から過去の回答を拾い、同じ答えにそろえます
技術の項目をAIの一般論で答える。 設定や製品のことは、システムの担当会社に確かめます

取引先の確認票や、自社の実施状況の表は、外に出してはいけない情報です。会社で契約した、入力をAIの学習に使わないプランで扱い、社内ルールに書いておきます。決め方は社員が安心してAIを使える会社にする、A4で1枚の社内ルールにまとめています。

まとめ

取引先から届いた確認票の項目を、1行ずつ表にする
実施状況の表と過去に出した回答から、項目ごとに関係する行を拾う
AIが項目ごとに「している」「一部」「していない」「確認」と短い説明を下書きし、もとにした行を添える
「している」と書いた回答を表と計算で照らし、印の付いた項目を社長が確かめて出し、回答を取引先ごとに残す
作る側の目安は1.5人日だが、確認票が少ない会社はAIのチャットと表で十分。AIの利用料は1回70円ほど