取引先からセキュリティの確認を求められたら：チェックシートへの答え方、SCS評価制度と SECURITY ACTION、費用の価格交渉

「来月までに、添付のセキュリティチェックシート（全80問）にご回答ください」。取引先から、こうしたメールが届く中小企業が増えています。回答の欄には「多要素認証を使っていますか」「脆弱性診断を年1回受けていますか」「ISMS を取得していますか」と並び、何をどこまで書けばよいのか、できていない項目をどう答えればよいのかで手が止まります。

確認を求められること自体は、悪い知らせではありません。IPA の「情報セキュリティ10大脅威」でも、取引先経由の攻撃は組織の脅威の上位にあり、発注する側が委託先の対策を確かめるのは自然な流れです。一方で、求められた側の中小企業には、費用と人手の負担が重くのしかかります。

この記事では、取引先から確認を求められた側の会社に向けて、答え方の順番、2027年3月に受付が始まる予定の国の評価制度（SCS評価制度）、すぐに使える SECURITY ACTION と自社診断、対策の費用を話し合うときの考え方をまとめます。取引先から脆弱性診断を求められたときに、診てもらう範囲や見積もりを整理する Excel も用意しました。登録なしで使えます。

脆弱性診断の準備シートの Excel をダウンロードする

結論：中身を確かめ、正直に答え、費用は話し合う

先に結論を書きます。

1. 取引先が求めているのが、質問への回答か、対策の実施か、認証や診断の取得かを確かめる
2. IPA の「5分でできる自社診断」で、自社の状態をつかむ
3. できていることは根拠を添えて、できていないことは「いつまでに何をするか」を添えて、正直に答える
4. 費用がかかる対策を求められたら、見込みの費用を示して価格交渉を申し出て、結果を書面に残す
5. 取引先ごとにばらばらな質問は、SCS評価制度の★3の要求事項（26件）を共通の物差しにして、回答を使い回せる形にする

SCS評価制度の★は、今の時点ではまだ取れません。今は、公開済みの要求事項で自社を点検しておく時期です。

なぜ、確認を求められるのか

IPA の「情報セキュリティ10大脅威 2026」（組織編）では、「サプライチェーンや委託先を狙った攻撃」が2位で、8年連続で選ばれています。セキュリティの弱い取引先が、攻撃の入口になるからです。

IPA の「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（2025年2月に速報、5月に報告書の概要を公表）では、2023年度にサイバーインシデントの被害を受けた中小企業975社のうち、約3割は取引先への影響が「特に無し」で、残りの約7割が、取引先に何らかの影響があったと答えています。影響の中身は、「取引先にサービスの停止や遅延による影響が出た」が36.1%、「個人顧客への賠償や法人取引先への補償負担の影響が出た」が32.4%でした。自社の被害が、取引先の事業や、賠償の負担にまで広がることがある、ということです。

同じ調査では、回答した4,191社のうち、発注元から情報セキュリティに関する要請を受けた経験がある企業は12.2%（511社）でした。要請の中身は、8割（79.6%）が「秘密保持のための措置」です。要請を受けた場合に対策を進めるうえでの課題は、「対策費用（具体的な対策と費用）の用意、費用負担の検討」が51.3%で最も多く、「情報セキュリティ対策に関する販売先（発注元企業）との契約内容の明確化」が47.0%で続きます。

まず、依頼の中身を確かめる

チェックシートが届いたら、答え始める前に、取引先に次のことを確かめます。

分からない質問は、推測で「はい」と答えないことが大切です。「御社の想定している対策の例を教えてください」と聞き返すほうが、あとで食い違いが起きません。

自社の状態をつかむ：5分でできる自社診断

自社の状態をつかむには、IPA の「中小企業の情報セキュリティ対策ガイドライン」（第4.0版、2026年3月公開）の付録にある「5分でできる！情報セキュリティ自社診断」が手軽です。25の質問に答えると、基本的な対策がどこまでできているかが分かります。

取引先との関係でいえば、たとえば No.22 に「重要情報の授受を伴う取引先との契約書には、秘密保持条項を規定していますか？」という質問があります。取引先から求められることが多い「秘密保持のための措置」と同じ論点です。

自社診断は、取引先の質問に答える前の「下書き」として使えます。自社診断で「実施していない」になった項目は、取引先のチェックシートでも「いいえ」になる可能性が高い項目です。

正直に答え、できていない項目には計画を添える

回答で一番避けたいのは、できていないことを「はい」と答えることです。事故が起きたときに、回答と実態の違いが問題になります。

答え方は、次の3つに分けると整理しやすくなります。

できていない項目が多くても、計画と優先順位が書いてあれば、取引先は判断しやすくなります。IPA のガイドラインも、受託する側は委託元の要求に応じる必要がある、としたうえで、取引先とのパートナーシップの中で対策を進める考え方を示しています。

SCS評価制度とは：取引先ごとの質問を、共通の物差しにそろえる

経済産業省などが進め、IPA が運営する「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）は、取引先ごとにばらばらだったセキュリティの確認を、共通の物差しにそろえるための制度です。2社間の取引の中で、発注する側が求める対策の段階（★）を示し、両者で実施状況を確かめることを想定しています。

（IPA「SCS評価制度 概要説明資料」2026年10月、「料金設定のお知らせ」2026年9月18日）

★3・★4は、2027年3月に受付を始める予定です（IPA）。★5は検討中です。対象は会社の IT 基盤（クラウドを含む）と外部とのネットワークの境界で、製造現場の制御システム（OT）と、取引先に納める製品そのものは直接の対象ではなく、ほかの制度やガイドラインで対策する想定です。取得の単位は、原則として法人か個人事業主です。

表の登録料は IPA に払う登録の料金です。★4の第三者評価や技術検証を頼む評価機関などへの費用は、このお知らせには含まれていないので、別に確かめます。

知っておきたい3つのこと

1. 任意の制度です。 IPA の FAQ は、★の取得は任意であり、すべての要求事項を満たしていないことを理由に、直ちに取引停止などが求められるものではないとしています。★を取引の条件にするかは、契約する会社どうしで決めます。ただし、経済産業省は、制度の開始後は発注する会社から★の取得を求められることが想定される、とも書いています。慌てる必要はありませんが、準備は早めに始めておくのが安全です。
2. 特定の製品の導入は求められていません。 FAQ は、会社の規模やシステムの構成によって求められる対応が同じではないため、特定のセキュリティ対策製品の導入を求めるものではない、としています。
3. 不適切な勧誘に気をつけます。 経済産業省と内閣官房国家サイバー統括室は、「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」といった勧誘が報告されているとして、注意を呼びかけています。

今できる準備

★は今は取れませんが、要求事項と評価基準（SCS-400）は IPA のサイトで公開されています。IPA の FAQ も、★の取得の有無だけでなく、要求事項を「共通のチェックリスト」として使い、対策の実施状況を確かめることを想定しています。

取引先との関係に関わる★3の要求事項には、たとえば次のものがあります（SCS-400 Ver.1.1）。

• 自社以外の組織（顧客、子会社、クラウドサービスの事業者などを含む取引先）が管理・提供するシステムのうち、自社の資産がつながっているものを把握する仕組みを作る（2-1-1-1）。年1回以上点検する（2-1-1-2）
• 自社の機密情報を共有する取引先との間で、業務を始める前に、機密情報の扱い（定義、使い方の制限、返却や廃棄など）を取り決める（2-1-2-1）
• 自社の機密情報を共有する取引先との間で、事故が起きたときの役割と責任を定める（2-1-4-1）

★3の要求事項26件（★を取るには、その下の評価基準をすべて満たす必要があります）に、自社が「できている・一部・できていない」の印を付けておけば、取引先ごとのチェックシートに答えるときの元の資料になります。

SECURITY ACTION：すぐに始められる自己宣言

IPA の「SECURITY ACTION」は、中小企業が情報セキュリティ対策に取り組むことを自分で宣言する制度です。ロゴマークは無料で使え、宣言に有効期限はありません。申し込みには GビズID（行政サービスの共通のアカウント）が要ります。

情報セキュリティ6か条は、OS やソフトウェアを最新にする、ウイルス対策ソフトを入れる、パスワードを強くする、共有の設定を見直す、バックアップを取る、脅威や攻撃の手口を知る、の6つです。

注意したいのは、SECURITY ACTION は IPA が認定するものではない、という点です。IPA は、「一つ星（二つ星）の認定を受けました」「取得しました」という表現は誤解を招くとして、使わないよう案内しています。取引先への回答では「SECURITY ACTION 二つ星を宣言しています」と書きます。

費用がかかる対策を求められたら：価格交渉の考え方

取引先から、有償のサービスの利用や、認証・診断の取得を求められることもあります。経済産業省と公正取引委員会は、2022年10月の文書で、発注する側が取引先に対策を求めること自体は、直ちに独占禁止法上の問題になるものではない、としています。そのうえで、やり方や内容によっては優越的地位の濫用として問題になることがあるとして、問題となるおそれがある例などを挙げています。

• 有償のサービスの利用や認証の取得を求めたのに、価格交渉の場で明示的に協議しないまま、取引価格を据え置く
• 対策の体制づくりを求め、人件費などの上昇を理由に値上げを求められたのに、応じない理由を書面やメールで答えないまま、価格を据え置く
• 「セキュリティ対策費」などの名目で、金額や算出の根拠をはっきりさせずに、または合理的な範囲を超えて負担させる
• 同等以上の対策をしているのに、指定する事業者の、より高価なサービスを使わせる

2025年12月には、両者が想定事例の解説を公表しました。組織として行う対策の費用（機器やサービスを入れて監視する、専門の人を雇う、など）は、労務費や一般管理費といった間接経費として計上することが想定されるとし、取引の相手方から価格への転嫁について価格交渉の申し出があった場合、発注する側は「その申出に応じる必要があります」としています。値上げをそのまま受け入れる義務ではなく、価格交渉に応じる必要がある、という意味です。また、この解説は、SCS評価制度の評価基準に基づく対策を求めることを、必要かつ合理性のあるもので、合理的な範囲を超えた負担ではないとしています。

求められた側が取れる手順は、次のとおりです。

1. 求められた対策にかかる費用（初期の費用と、毎年の費用）を見積もる
2. 取引先に、見込みの費用を示して価格交渉を申し出る
3. 話し合った結果（価格に反映するか、どの程度か、反映しない理由）を、書面やメールで残す
4. 困ったときは、公正取引委員会の相談窓口や、取引かけこみ寺（全国中小企業振興機関協会、無料）に相談する

SCS評価制度に沿わない、取引先独自の要求の場合は、求められた水準が、その取引で扱う情報に見合っているかも確かめます。経済産業省と IPA の「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月。2026年11月時点の最新版）は、サプライチェーンで扱う情報の機密性や重要性のランクに応じて実施すべき対策を定め、「過剰な対策や対策の形骸化」が生じないようにすることを、対策の例として挙げています。業務を受ける側には、契約のときに委託元と合意した要求事項を守ることも、対策の例に挙がっています。合意する前に、範囲と水準をすり合わせておくことが大切です。

対策は、取引先のためだけでなく、自社を守ることにもつながります。費用を全部取引先に求めるのではなく、自社の利益になる部分も考えたうえで話し合うと、交渉が進めやすくなります。

自社だけで抱えない：お助け隊サービス（新類型）

専任の担当者がいない会社では、診断から対策まで自社だけで進めるのは大変です。経済産業省は、SCS評価制度の★3・★4の取得を目指す中小企業に向けて、現状の診断から必要な対策の実施までをまとめて支援する「サイバーセキュリティお助け隊サービス（新類型）」を準備しています。診断・助言、IT ツールの導入、教育や規程の整備などを含むサービスです。

2026年9月からは、IPA が実施する実証事業が始まっています。期間は2027年9月頃までの約1年の予定で、参加する中小企業は、SCS の対策の範囲であれば、実証の期間中（最大で1年程度）に限り無料で支援を受けられます。参加するときは、IPA の実証事業の紹介ページに公表されたサービス提供事業者から選びます（経済産業省「サイバーセキュリティお助け隊サービス（新類型）」、2026年10月6日更新）。

従来からある「お助け隊サービス」は、24時間の異常の監視、緊急時の駆け付け、相談の窓口、簡易的なサイバー保険などをまとめて安く提供する、国が認定した民間事業者のサービスです。取引先への回答で「異常に気づく仕組み」や「事故のときの連絡先」を聞かれたときの備えにもなります。

脆弱性診断を求められたとき

チェックシートに「脆弱性診断を受けていますか」とあったり、診断の結果の提出を求められたりすることもあります。まず、取引先がどの範囲を想定しているかを確かめます。

SCS評価制度の★4の技術検証（SCS-430）では、インターネットとの境界にある VPN 装置・ルーター・ファイアウォールなどの OS とファームウェアに、CVSS の基本値が7.0以上の脆弱性がないかを確かめます。対象は外から直接つながる機器で、原則として5台を選んで診断します（5台以下なら全部。希望すれば増やせます）。範囲内のすべての機器のメーカー・型番・グローバル IP アドレス・使っているポートを出し、選ばれた機器は OS とファームウェアの版も出す前提になっています。

今のうちにできるのは、インターネットとの境目にある機器の一覧を作り、ファームウェアの版と、更新が当たっているかを確かめておくことです。自社で作った Web サイトやシステムを診てもらう場合は、範囲が別になります。範囲の決め方と見積もりの比べ方は「脆弱性診断の費用はどう決まる？」に、診断とペネトレーションテストの違いは「脆弱性診断とペネトレーションテストの違い」にまとめました。

回答を使い回せる形にする

取引先が増えるほど、似た質問に何度も答えることになります。次のように、回答の元になる資料を1か所にまとめておくと、2社目からの手間が大きく減ります。

• SCS評価制度の★3の要求事項（26件）と、自社診断の25項目への自社の答え
• 答えの根拠になる資料（社内の規程、機器の一覧、バックアップの手順、教育の記録など）の置き場所
• 過去に答えたチェックシートと、提出した日
• 「できていない」項目と、対策の予定と、担当者

社内の規程や手順は、担当者が替わっても答えられるように、文書にしておきます。書き方は「業務マニュアル・手順書の作り方」にまとめました。

よくある失敗

• できていないことを「はい」と答える。 事故のときに、回答と実態の違いが問題になります。
• 質問の意味が分からないまま答える。 取引先に意図を聞き返します。
• ★を取らないと取引できないと思い込み、急いで製品を買う。 制度は任意で、特定の製品の導入も求められていません。
• 費用の話をしないまま、自社だけで負担する。 見込みの費用を示して、価格交渉を申し出ます。
• SECURITY ACTION を「認定」「取得」と書く。 「宣言しています」と書きます。
• 取引先ごとに一から答える。 回答の元の資料を1か所にまとめます。

おわりに

取引先からセキュリティの確認を求められたら、まず中身を確かめ、自社診断で今の状態をつかみ、正直に答えて、できていないことには計画を添えます。費用がかかる対策は、取引先と話し合う前提で考えてください。SCS評価制度の★3の要求事項は、今からでも共通のチェックリストとして使えます。

機器の一覧づくりや、脆弱性診断の範囲の決め方、システムの保守の体制づくりで迷ったら、クリーヴァにご相談ください。

出典（2026年11月14日に確認）

• IPA「サプライチェーン強化に向けたセキュリティ対策評価制度」（https://www.ipa.go.jp/security/scs/index.html ）、同 FAQ、同「SCS評価制度 概要説明資料」（2026年10月）、同「料金設定のお知らせ」（2026年9月18日）、「★3・★4 要求事項・評価基準（SCS-400）Ver.1.1」、「★4 技術検証ガイド（SCS-430）」
• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度」（https://www.meti.go.jp/policy/netsecurity/scs.html ）
• 経済産業省・内閣官房国家サイバー統括室「SCS評価制度に係る不適切な勧誘に御注意ください」（2026年4月27日）
• 経済産業省・公正取引委員会「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」（2022年10月28日）、同「…を踏まえた想定事例について（解説）」（2025年12月26日）（https://www.meti.go.jp/policy/netsecurity/partnership2.html ）
• 経済産業省「サイバーセキュリティお助け隊サービス（新類型）」（https://www.meti.go.jp/policy/netsecurity/otasuketai_jissho.html ）
• 経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月24日）（https://www.meti.go.jp/policy/netsecurity/mng_guide.html ）
• IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日）、付録「5分でできる！情報セキュリティ自社診断」（https://www.ipa.go.jp/security/guide/sme/about.html ）
• IPA「SECURITY ACTION」（https://www.ipa.go.jp/security/security-action/ ）、同 FAQ
• IPA「情報セキュリティ10大脅威 2026」（https://www.ipa.go.jp/security/10threats/10threats2026.html ）
• IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」速報のプレスリリース（2025年2月14日）（https://www.ipa.go.jp/pressrelease/2024/press20250214.html ）、報告書（概要説明資料）（2025年5月）（https://www.ipa.go.jp/security/reports/sme/index.html ）