取引先にセキュリティ対策を聞かれても困らない。社内の決まりと回答をAIで整える

この記事では、取引先から「情報セキュリティ対策の確認票」や「調査票」が届いたときに、慌てずに答えられる会社にする方法を説明します。一言でいうと、会社でしている対策を、実施状況の表で持つ。AIは、国の診断の結果から足りない対策の一覧と社内の決まりを下書きし、取引先の確認票には、その表と決まりだけをもとに回答を下書きする。表にない対策を「実施している」とは書かせず、回答を確かめて出すのは社長と担当者という話です。

AIの価値は、守りを固めることそのものではありません。会社が実際にしていることを、取引先に伝わる形で、正直に、早く説明できるようにすることです。説明できれば、取引を続けてもらえます。

経営への効果は、取引を守り、被害を小さくすること

取引先からのセキュリティの確認への対応は、AIを使うと次のように変わります。

	今まで	実施状況の表と、AIの下書き
確認票が届いたとき	何を答えていいか分からず、止まる	表と決まりから、回答の下書きが出る
社内の決まり	無い、または作ったまま	国の診断の結果から下書きし、毎年見直す
回答の正しさ	担当者の記憶で書く	表にあることだけを書く
足りない対策	分からない	診断と確認票から一覧になる
社員への注意	口頭で一度だけ	決まりから、短い注意の文を定期的に

経営の効果は2つあります。

• 取引を守る。 取引先、とくに大きな会社は、仕入先や外注先から情報が漏れたり、システムが止まったりすることを気にしています。確認票に答えられない、答えが遅い、という会社は、取引の続きを考え直されるおそれがあります。正直に、早く答えられることは、取引を続けてもらう材料になります
• 被害を小さくする。 確認票に答える過程で、足りない対策が見えます。基本の対策から順にふさげば、被害に遭う見込みと、遭ったときの損を小さくできます

サイバー被害の平均は73万円、復旧は平均5.8日かかっている

情報処理推進機構（IPA）が2024年10月から11月に、全国の中小企業4,191社に行った調査（速報版は2025年2月に公表）では、2023年度にサイバー攻撃などの被害に遭った企業について、次のことが分かりました（＠IT、ScanNetSecurityの報道による）。

• 過去3期の被害額の平均は73万円で、100万円以上の被害があった企業は9.4%
• 復旧までにかかった期間の平均は5.8日で、50日以上かかった企業も2.1%

一方で、直近3期に情報セキュリティ対策に投資していない企業は62.6%でした。投資しなかった理由の最多は「必要性を感じていない」（44.3%）で、「費用対効果が見えない」（24.2%）、「コストがかかりすぎる」（21.7%）が続きます。

5.8日、仕事が止まったり遅れたりすれば、その間の売上と、取引先への影響が出ます。被害額の平均は、小さな会社にとっても無視できない額です。

取引先から、対策を説明することを求められる場面が増える

国も、取引先どうしでセキュリティ対策の水準を示し合える仕組みを作っています。経済産業省などが方針を示した「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」は、IPAが運営する制度で、★3（専門家が確認する自己評価）、★4（第三者の評価）といった段階で、会社の対策の水準を示す形です。制度の細かい中身は、2026年度に詳しく決めて公開するとされています。

制度が始まる前から、取引先が独自の確認票で、仕入先や外注先の対策を聞くことはすでにあります。確認票では、たとえば、パソコンやソフトを最新にしているか、パスワードの決まりがあるか、データのバックアップがあるか、社員に教えているか、事故のときの連絡先が決まっているか、といった基本のことを聞かれます。

制度の始まる時期と中身は、2026年10月時点でまだ決まっていない部分があります。使う前に、IPAと経済産業省の最新の案内で確かめてください。

会社でしている対策を、実施状況の表で持つ

計算と表で行うこと。 まず、会社でしている対策を1つの表にします。IPAが公開している「5分でできる！情報セキュリティ自社診断」の25の項目を使うと、抜けなく書き出せます。表には、次の欄を作ります。

• 対策の中身（例：パソコンのOSを最新にする）
• しているか（している／一部／していない）
• どうやって確かめたか、最後に確かめた日
• 担当者

何が変わるか。 会社でしていることと、していないことが、一目で分かります。確認票が届いたときに、答えの元になる表がそろっています。

この表は、AIに作らせません。社長と担当者が、実際に確かめて書きます。

AIは社内の決まりと、確認票への回答を下書きする

AIに頼むこと。 次の3つを下書きしてもらいます。

• 足りない対策の一覧：実施状況の表の「していない」「一部」の項目から、始めやすい順に並べた一覧と、それぞれの手順の案
• 社内の決まり：実施状況の表をもとに、A4で数枚の社内の決まり（パスワード、持ち出し、バックアップ、事故のときの連絡）の下書き
• 確認票への回答：取引先から届いた確認票の項目ごとに、実施状況の表と社内の決まりにあることだけで答えた回答の下書き。表にない項目は「確認」と書く

人がすること。 社長と担当者が、回答の下書きを実施状況の表と照らし、本当にしていることだけになっているかを確かめます。社内の決まりは、社長が決めて社員に伝えます。

何が変わるか。 確認票に一から答えを考える時間が、確かめて直す時間になります。足りない対策が見えるので、次に何をするかが決まります。

AIへの頼み方と、返ってくる回答はこんな形になる

AIに渡す指示（見本。内容は架空です）：

下は、取引先から届いたセキュリティの確認票の項目と、当社の対策の実施状況の表と、社内の決まりです。確認票の項目ごとに、実施状況の表と社内の決まりに書かれていることだけで回答を下書きしてください。表で「していない」「一部」のものは、そのとおりに書き、今後の予定が表にあれば添えてください。表と決まりに書かれていない項目は、回答を空けて「確認」と書いてください。

返ってくる回答（見本の一部）：

確認票の項目	回答の下書き
パソコンのOSを最新にしていますか	している。毎月第1月曜に担当者が確かめる（社内の決まり 第3条）
重要なデータのバックアップをとっていますか	一部。会計のデータは毎日。そのほかは今年度中に始める予定
外部からの接続に二段階の認証を使っていますか	確認

社長と担当者は、「確認」のところを実際に確かめ、表を直してから回答を埋めます。

回答の型をスキルにし、実施状況はAIの外の表で持つ

ここまでの使い方は、そのつどAIのチャットに頼む場合です。確認票が年に何度も届くなら、もう一段の工夫をしておくと安定します。作る側から見ると、ここが「AIを使う」と「使いこなす」の差です。

回答の型と社内の決まりの型を Skills にまとめる。 Skills（スキル）は、AIに渡す手順書・見本・道具を1つにまとめたものです。頼まれた内容に合うときにAIが自動で読み込むので、毎回同じ説明をしなくても、AIの働きが安定します。ここでは、「確認票への回答の型（している／一部／していない／確認）」「社内の決まりの型」「過去に出した回答の見本」「書いてはいけないこと（表にない対策を実施していると書くこと、使っていない製品の名前、認証や評価を取っているという記述）」をスキルにします。

実施状況は、AIの外の表で持つ。 AIそのもの以外の、指示・道具・点検の仕組みを設計することを、ハーネスエンジニアリングと呼ぶことがあります。ここでは、実施状況の表を社長と担当者が持ち、回答の下書きの「している」が表の「している」と合っているかを計算で照らし、合わないものに印を付けることがそれに当たります。取引先への回答で、していない対策を「している」と書くことが、いちばん避けたい失敗です。

明日からは、国の自社診断の25項目に答えてみる

1. 社長と担当者で、IPAの「5分でできる！情報セキュリティ自社診断」の25項目に答える
2. 答えを、実施状況の表（しているか、確かめた日、担当者）に写す
3. 会社で契約した、入力をAIの学習に使わないプランに表を渡し、「していない」項目を始めやすい順に並べて、手順の案を出させる
4. いちばん始めやすいもの（OSの更新、パスワードの決まり、バックアップなど）を1つ決めて、今月中に始める
5. 過去に取引先から届いた確認票があれば、上の見本の指示で回答を下書きさせ、表と照らす

本格的にやるなら、確認票の回答を貯め、表を毎年見直す

表ができたら、次の形に育てます。

• 出した回答を貯める。 取引先ごとに出した回答を残し、次の確認票では、過去の回答を見本にAIに下書きさせます。取引先によって答えが食い違うことを防ぎます。仕組みとしての作り方と費用は、セキュリティの確認票に1日で答える。実施状況の表と過去の回答からAIが下書きで説明しています
• 表を毎年見直す。 実施状況の表に「最後に確かめた日」の欄を作り、1年を過ぎたものを計算で一覧にして、担当者が確かめ直します
• 社員への注意を定期的に出す。 社内の決まりから、不審なメールの見分け方やパスワードの注意を短い文にして、月に1回出します
• 制度への対応を考える。 取引先からSCS評価制度の★を求められそうなら、最新の案内を確かめ、必要に応じて専門家に相談します

災害やシステムの停止に備える計画は、災害の翌日も取引先への供給を止めない。事業継続の計画をAIで1枚から作るで説明しています。

対策の判断と、評価の取得はAIに任せない

• していない対策を「している」と書かない。 回答は、実施状況の表にあることだけにし、社長と担当者が確かめて出します
• 技術の判断は専門家に。 どの製品を入れるか、設定が正しいかは、AIの一般論ではなく、システムの担当会社や専門家に確かめます
• 制度の条件は原本で確かめる。 SCS評価制度などの条件は、IPAと経済産業省の最新の案内で確かめます
• 確認票そのものの扱いに気をつける。 取引先の確認票や、自社の対策の表は、外に出してはいけない情報です。会社で契約した、入力をAIの学習に使わないプランで扱い、社内ルールに書いておきます。決め方は社員が安心してAIを使える会社にする、A4で1枚の社内ルールにまとめています

まとめ

• IPAの調査では、中小企業のサイバー被害の平均額は73万円、復旧は平均5.8日。対策に投資していない企業は62.6%
• 取引先から対策の説明を求められる場面は増える。国もSCS評価制度を作っている
• 会社でしている対策を、国の自社診断の25項目で実施状況の表にし、社長と担当者が確かめて持つ
• AIは表から、足りない対策の一覧、社内の決まり、確認票への回答を下書きする。表にないことは「確認」と書かせる
• していない対策を「している」と書かない。技術の判断と制度の条件は、専門家と最新の案内で確かめる