サプライチェーンのセキュリティ管理｜取引先の確認・質問票・契約対応を解説

取引開始や契約更新の際、取引先からセキュリティ質問票や確認資料の提出を求められ、「何を説明すればいいんだろう」と迷うことはありませんか？

重要な取引先の安全管理を確認するだけでなく、反対に自社の取り組みについて説明を求められることもあります。

そんなときも、自分たちで確認することと、担当者に任せる作業をあらかじめ分けておけば安心です。

この記事では、重要な取引先の見分け方や、質問票・契約で確認しておきたいこと、自社サイトの状態を説明するための備えについてご紹介します。

セキュリティー診断さん

うちの会社、取引先がたくさんあるけど大丈夫かな… どう説明すればいいのか、正直あんまりわかってないかも…

取引先から安全管理について確認されるのはどんなとき？

安全管理について説明を求められるのは、事故が起きた後だけではありません。

新しく取引を始めるときや契約を更新するときなど、普段の取引の中でも確認されることがあります。

• 新しい取引を始める前に、相手の管理状況を確認する
• 契約更新時に、事故や未対応の問題がないか確認する
• 取引先から届いた質問票に、自社の管理状況を回答する
• 事故後に、原因や修正状況をあらためて説明する

サプライチェーンとは、自社の事業を支えている取引先や委託先とのつながりのことです。

その中の一社で事故が起きると、顧客情報が漏れたり業務が止まったりと、自社まで影響を受けることがあります。

そのため、自社が取引先を確認する場合だけでなく、取引先から自社について確認される場合にも備えておくことが大切です。

取引先が多いときは「重要度」で確認する順番を決める

取引先が多い場合、すべての会社を同じように詳しく確認するのは現実的ではありません。

まずは、重要な情報を預けていたり、日々の業務に深く関わっていたりする取引先から確認していきましょう。

特に見ておきたいのは、次の3つです。

こうした取引先とは、万が一のときにも落ち着いて対応できるよう、質問票や契約条件、事故時の連絡先などを確認しておくことが大切です。

あわせて、どの取引先を重点的に確認するのか、確認した内容を誰が管理するのかも社内で決めておきましょう。

質問票への回答と契約内容を確認するポイント

質問票を見るときは、回答欄が埋まっているかだけでなく、その内容を確認できる資料があるかも見ておきましょう。

たとえば、社内の規程や認証書、監査結果、診断結果などがあれば、実際にどのような対策を行っているのか確認しやすくなります。

自社が質問票へ回答する場合も同じです。

誰が回答を取りまとめるのか、どの資料をもとに説明するのかをあらかじめ決めておけば、担当者によって回答内容が変わりにくくなります。

確認できていない項目がある場合は、その場で判断せず、責任者と確認したうえで回答しましょう。

契約や覚書では、少なくとも次の内容を確認しておきます。

• 事故が起きた場合の連絡先と報告方法
• 再委託する場合の確認や承認
• 調査や質問への協力
• 取引終了時のデータ返却・削除

大切なのは、問題が起きたときに「誰が連絡し、誰が対応するのか」が曖昧になっていないことです。

必要な内容が契約に含まれているか、自社の担当者や必要に応じて専門家とも確認しておきましょう。

契約後も連絡方法や問題の対応状況を確認することが大切

契約したあとも、確認して終わりではありません。

「事故が起きたときにすぐ連絡を受けられるか」「重要な問題が残ったままになっていないか」は、取引を続けるうえでも確認しておきたいポイントです。

まずは、自社と取引先それぞれの責任者や連絡先を決め、事故が起きたときに最初に共有する内容も確認しておきましょう。

問題が見つかった場合は、次のような点を確認します。

• どの会社が対応するのか
• いつまでに対応するのか
• 対応が終わるまで、どのように影響を抑えるのか

すぐに解決できない場合は、業務への影響や問題の大きさを確認しながら、関係者で今後の対応を決めていきます。

取引先の担当者や利用しているサービスが大きく変わった場合も、以前決めた連絡方法や確認内容がそのまま使えるとは限りません。

必要に応じて見直しておきましょう。

取引が終わったときには、接続権限が残っていないか、預けていたデータが返却または削除されているかも確認します。

自社サイトの安全性を取引先へ説明できるようにするには？

取引先から安全管理について聞かれたとき、「対策しています」と伝えるだけでは、Webサイトが現在どのような状態なのかまでは伝わりにくいものです。

実際にサイトを確認した結果や、その後の修正状況があれば、「何を確認し、どのように対応したのか」を具体的に説明できます。

自社サイトの状態を確認する方法のひとつが、AIを使ってWebサイトの弱点を調べる『セキュリティー診断さん』です。

診断結果を見れば、自社サイトにどのような弱点があるのかを確認でき、制作会社や開発会社へ修正を依頼するときの資料としても活用できます。

さらに、診断結果と修正後の状況をあわせて残しておけば、取引先から確認を受けた際にも、自社がどのような確認と対応を行ったのか説明しやすくなるでしょう。

なお、Webサイト脆弱性診断で確認できるのは、自社または明確な許可を得たWebサイト、Webアプリ、ECサイト、外部公開APIです。

取引先の社内パソコンや社内LAN、従業員教育、契約の管理状況などは対象に含まれません。

質問票や契約の確認とは分けて、公開しているWebサイトの技術的な状態を確かめるために活用しましょう。

Webサイトの診断を検討したい場面

たとえば、次のような場合は、自社サイトの状態を確認しておくと、取引先への説明にも役立ちます。

• 取引先からセキュリティ質問票が届いた
• 契約更新時に診断結果や修正状況を求められた
• 顧客が利用する問い合わせフォームや会員機能がある
• 制作会社に管理を任せていて、現在の状態を説明しにくい
• 過去の診断後にサイトを改修している

こうしたタイミングで診断しておけば、現在の状態を把握しやすくなり、必要な修正にもつなげやすくなります。

また、以前に診断を受けていても、その後にサイトを大きく改修した場合は、あらためて確認しておくと安心です。

取引先へ説明するときに困らないよう、診断結果だけでなく、その後どのように対応したのかもあわせて残しておきましょう。

まとめ：取引先との安心できる関係づくりから始めよう

取引先とのセキュリティ対策では、相手の管理状況を確認するだけでなく、自社について聞かれたときにきちんと説明できる準備も欠かせません。

質問票や契約内容、事故時の連絡方法をあらかじめ確認しておけば、何かあったときにも落ち着いて対応しやすくなります。

自社サイトの安全性を客観的に確認したい場合は、AIでWebサイトの弱点を診断できる『セキュリティー診断さん』の活用もおすすめです。

取引先との信頼を守るためにも、自社と相手の双方が安心して取引を続けられる準備を進めていきましょう。

セキュリティー診断さん

ヨシ！ 自社サイトの確認結果と修正状況を、取引先へ説明できるようにしておくよ！ (๑•̀ㅂ•́)و✧