取引先のセキュリティ評価とは？評価基準・項目・チェック項目を解説

取引先のセキュリティ評価とは、委託する業務に必要な対策が取られているかを確かめ、自社に及ぶリスクを判断することです。取引先の重要度に応じて確認項目を決め、チェックシート（質問票）の回答、裏付けとなる資料、認証・評価結果、外部リスク情報を組み合わせます。
「チェックシートは回収したけれど、この回答で取引を進めてよいのか」。判断に迷うときは、質問を増やす前に、何を確認すれば判断できるのかを整理してみましょう。

本記事は、取引先・委託先に業務や情報を預ける委託元（発注側）の情報システム・セキュリティ・調達部門の方に向けて、確認すべき項目、評価方法の使い分け、判断基準の作り方を解説します。以下、委託元を「自社」、取引先・委託先をまとめて「取引先」と表記します。あわせて、SCS評価制度を取引先評価でどう捉えるかも紹介します。評価後の改善依頼や期限管理、再評価・継続監視は、別記事「取引先・委託先のセキュリティ管理とは？」で解説しています。

取引先のセキュリティ評価が必要な理由

取引先のセキュリティ評価が必要なのは、相手企業で起きた情報漏洩や業務停止が、自社の顧客対応や事業継続にも影響するためです。取引開始前や契約更新時にリスクを把握しておけば、必要な対策や取引条件を検討できます。
IPA（独立行政法人情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、「サプライチェーンや委託先を狙った攻撃」が組織向け脅威の2位に選出され、2019年から8年連続で取り上げられています。自社の対策だけでなく、情報や業務を預ける相手にも目を向ける必要があります。
ただし、すべての取引先へ同じ対策や資料を求めれば、確認する側・回答する側の負担が膨らみます。自社への影響が大きい取引先を見極め、必要な範囲に絞って評価することが大切です。
出典：IPA「情報セキュリティ10大脅威 2026」
⇒サプライチェーン攻撃とは？攻撃された場合のリスクや被害事例、防止策を解説
⇒サプライチェーンリスクとは？種類や発生する要因、リスク軽減のポイントを解説

評価前に取引先の重要度と評価範囲を決める

すべての取引先を同じ深さで評価する必要はありません。まずは委託する業務と自社への影響を整理し、重点的に確認する相手と範囲を決めましょう。
主な判断軸は、次の5つです。

• 個人情報・顧客情報・営業秘密・認証情報などを扱うか。
• 自社のシステムやネットワークへ接続するか。
• サービスが止まると、自社の業務や顧客にどの程度の影響が出るか。
• 再委託先やクラウドサービスなど、ほかの組織も業務に関わるか。
• 短期間で代替できる業務・サービスか。

例えば、顧客情報を扱うシステムの保守委託先と、公開情報だけを扱う制作会社では、重点を置く確認項目が異なります。同じ会社でも委託業務によって影響は変わるため、「企業名」だけでなく「どの業務・情報・接続先を評価したか」まで記録すると、判断の範囲が明確になります。

取引先のセキュリティ評価で確認すべき5つの項目

取引先のセキュリティ評価では、社内体制、アカウント・アクセス管理、脆弱性対応、データ管理、インシデント対応・復旧体制を確認します。本記事では主な観点をこの5つに整理していますが、取引内容や業界の要件に応じた追加・調整も必要です。

確認項目	質問例	求める証跡の例
セキュリティに関する社内体制	セキュリティの責任者と担当部署は決まっていますか？ 規程や従業員教育は定期的に見直していますか？	体制図、規程（更新日が分かるもの）、教育の実施記録
アカウント・アクセス管理	今回の業務で使うアカウント（保守用を含む）に多要素認証を適用していますか？ 不要なアカウントはいつ削除していますか？	アカウント・権限の一覧、多要素認証の設定が分かる資料、アクセスログの管理手順
脆弱性・アップデートへの対応	外部公開しているサーバーやサービスを把握していますか？ 直近の診断で指摘された項目は対応済みですか？	診断報告書、指摘ごとの対応記録、再確認結果
データ・情報の取り扱い	預けた情報の保存場所と、アクセスできる人を限定していますか？ 再委託先へ渡る情報はありますか？	情報管理規程、アクセス権限の設定資料、返却・廃棄の記録
インシデント対応・復旧体制	自社へ第一報を出す条件と期限は決まっていますか？ 担当者不在時の代替窓口はありますか？	連絡体制図・連絡手順、訓練の実施記録、復元テストの記録

セキュリティに関する社内体制

責任者・担当部署、セキュリティポリシー、従業員教育、経営層への報告体制を確認しましょう。規程があるだけでなく、担当者の異動後も運用を続けられる体制かがポイントです。
確認の裏付けには、体制図や規程の更新日、教育の実施記録などを使えます。「年1回教育を実施」という回答があれば、直近の実施日や対象者も確かめておきましょう。

アカウント・アクセス管理

多要素認証の適用範囲、業務に必要な権限への限定、不要アカウントの削除、特権アカウントとアクセスログの管理が主な確認点です。自社システムへ接続する取引先では、誰が、どの権限で、いつまでアクセスできるのかを具体化します。

「多要素認証を導入している」という回答でも、保守用アカウントが対象外なら判断は変わります。導入の有無より、今回の取引に関係する利用者・システムまで適用されているかを確認しましょう。

脆弱性・アップデートへの対応

OS・ソフトウェアの更新、脆弱性情報の収集、診断や設定点検、外部公開資産の把握状況が主な確認対象です。外部公開資産とは、インターネットからアクセスできるサーバーやサービスなどを指します。
診断を実施した事実だけでなく、指摘への対応まで見ることが重要です。診断日、対象システム、未対応項目、対応期限、再確認結果が分かれば、問題が残っていないかを判断しやすくなります。
⇒脆弱性診断とは？種類や脆弱性を放置するリスク、進め方を紹介

データ・情報の取り扱い

データ管理では、保存場所と利用目的、アクセス制限、暗号化、持ち出し・返却・廃棄のルールを確認します。紙資料や端末の保管方法も含め、情報がどこにあり、誰が扱えるのかを把握することが基本です。
再委託がある場合は、どの情報がどの組織へ渡るのかも確認しましょう。「直接の委託先では管理されているが、再委託先での扱いが不明」という状態を残さないためです。

インシデント対応・復旧体制

連絡窓口、自社への報告基準・期限、原因調査や復旧の役割分担、訓練の実施状況を確認しましょう。重要業務を担う取引先では、バックアップの取得・保管方法、復旧の優先順位と目標時間、復元テストの実施状況、復旧状況を自社へ報告する方法まで確認すると、事業停止への備えを判断しやすくなります。
窓口が決まっていても、担当者の不在時に連絡が止まるおそれがあります。代替窓口と第一報を出す条件まで決まっているかが、実際に対応できる体制を見極めるポイントです。

取引先のセキュリティを評価する3つの方法

主な評価方法は、チェックシートと証跡の確認、認証・制度上の評価の活用、外部リスク情報の調査の3つです。証跡とは、回答の裏付けとなる規程や実施記録、診断報告書などを指します。

評価方法	主に確認できること	追加で確かめたいこと
チェックシート・証跡	体制、規程、対策や運用の実施状況	回答の根拠、対象業務、確認日。必要に応じて診断報告書なども確認
認証・共通基準に基づく評価	ISMS認証の管理体制や、SCS評価制度で求める対策水準	適用範囲、有効期間、確認後の変更
外部リスク情報の調査	外部公開資産の脆弱性・設定不備や、収集可能な漏洩情報	対象企業の資産か、いつの情報か、現在も問題が残るか

各方法の確認範囲には重複する点があります。何が、いつ確認されているかを見比べ、足りない情報を補うために使い分けましょう。SCS評価制度の評価内容は、次の章で説明します。

チェックシートと証跡で実施状況を確かめる

チェックシートは、確認したい事項を同じ形式で収集する方法です。重要な項目では「はい・いいえ」だけで終わらせず、規程、教育記録、設定の確認資料、診断結果などを組み合わせます。
資料の提出が難しい場合は、機密部分を伏せた資料、画面の閲覧、担当者へのヒアリングといった確認方法も検討できます。相手の機密情報を必要以上に集めない配慮も欠かせません。

認証や共通基準に基づく評価を活用する

ISMS（情報セキュリティマネジメントシステム）認証は、一定の基準に基づく管理体制を確認する材料です。ただし、会社が認証を取得していても、今回委託する業務が適用範囲に含まれるとは限りません。対象組織・業務・有効期間を照合しましょう。
SCS評価制度も、取引先へ求める対策水準を共通の枠組みで整理する仕組みです。認証や制度上の評価を活用する場合も、自社との接続条件や取り扱う情報など、取引固有の条件は別に確認します。
⇒ISMSとは？Pマークとの違いや認証取得のメリット・デメリットを解説

外部リスク情報で評価の根拠を補う

外部リスク情報の調査では、インターネット上から確認できる脆弱性・設定不備や、取引先に関連するメールアドレス・認証情報の漏洩を調べます。チェックシートや提出資料だけでは確認できていない状況を、評価材料に加える方法です。
例えば、回答に記載されていない公開サービスが見つかれば、取引先の管理対象か、今回の業務に関係するかを追加で確認できます。一方、検出情報が古い場合や、対象企業の資産ではない場合もあるため、「検出あり＝取引不可」「検出なし＝安全」とは判断しません。
外部リスク情報の調べ方には、公開情報の収集や調査ツールの利用があります。対象システムに直接アクセスして脆弱性スキャンを行う場合は、公開情報の閲覧とは分けて考え、対象・実施条件について取引先の同意を得る運用を設けましょう。
⇒ASM（アタックサーフェスマネジメント）とは？実施ステップやおすすめツール6選を解説

取引先のセキュリティ評価で注目されるSCS評価制度

評価基準では、質問項目だけでなく「満たすべき条件」「判断に使う根拠」「未確認の場合の扱い」を決めましょう。これらを先にそろえると、担当者が変わっても判断を引き継ぎやすくなります。

• 自社への影響度に応じて必須条件を決める
• 判定条件と確認根拠をセットにする
• 「未確認」を低リスクと混同しない

自社への影響度に応じて必須条件を決める

取引先の重要度に応じて、取引開始前に満たしてほしい必須条件を決めます。顧客情報を扱う委託先では持ち出し制限、システム保守を任せる取引先では接続権限の限定など、業務に直接関わる条件を優先しましょう。
合計点が高くても、今回の業務に必要なアクセス制限や情報管理が不十分であれば、追加対策の要否を判断する必要があります。評価点と取引可否の判断を、同じものとして扱わないことが重要です。

判定条件と確認根拠をセットにする

例えば、インシデント報告の条件を「窓口があること」だけにすると、第一報の時期や担当者不在時の対応までは判断できません。「報告の条件・期限・連絡先・代替窓口が定められていること」と具体化し、連絡手順や契約上の取り決めを根拠として確認します。
脆弱性への対応なら、診断報告書だけでなく、指摘ごとの対応記録や再確認結果を照合します。質問、満たすべき状態、確認資料を一組にすると、担当者によって同じ回答の判定基準が異なることを防ぎやすくなります。
これらは自社の基準を作るための例であり、SCS評価制度の公式な判定基準ではありません。

「未確認」を低リスクと混同しない

回答と根拠がそろい条件を満たすもの、改善が必要なもの、情報不足でまだ判断できないものを区別します。高・中・低などのリスク区分を使う場合も、「未確認」は別の状態として残し、回答がないことを低リスクと扱わないようにします。
評価の記録には、判定だけでなく、判断の根拠や未確認の項目も書き残しましょう。例えば「保守用アカウントへの多要素認証の適用が未確認」と書けば、次に何を確かめるべきかが伝わります。
⇒取引先・委託先のセキュリティ管理とは？管理台帳と継続監視の進め方

取引先のセキュリティ評価に関するよくある質問

取引先評価で迷いやすいのは、着手する範囲、回答の信頼性、認証や評価基準の扱いです。それぞれの考え方を整理します。

Q. 取引先のセキュリティ評価は、何から始めればよいですか？
まず、委託する業務、扱う情報、自社システムへの接続、業務停止時の影響を整理します。そのうえで、重要度の高い取引先から確認項目と必要な資料を決めましょう。最初から全社へ一律に詳細なチェックシートを送る必要はありません。
Q. セキュリティチェックシートの回答だけで評価できますか？
重要な項目は、回答だけでは判断できません。回答だけで判断根拠が足りない項目は、証跡やヒアリングで補います。必要に応じて外部リスク情報も加えますが、診断結果などをすでに提出資料で確認できている場合は、未確認の範囲を優先すると効率的です。
Q. ISMS認証やSCS評価制度があれば、ほかの確認は不要ですか？
認証や制度上の評価だけでは、自社との取引に必要な条件をすべて確認できるとは限りません。適用範囲、有効期間、評価後の変更を確認し、不足する部分を補います。
Q. 取引先ごとに評価基準を変えてもよいですか？
取引内容や自社への影響に応じて、必須条件と確認の深さを変えるのが適切です。ただし、担当者ごとに判断が変わらないよう、重要度の分類と対応する基準を先に定め、同じ条件には同じルールを適用します。

まとめ

取引先のセキュリティ評価では、重要度に応じた確認項目を決め、回答・証跡・認証や制度上の評価・外部リスク情報を照合することが基本です。まずは重要な取引先について、何を根拠に判断できていて、どこが未確認かを整理しましょう。
その際、漏洩情報や外部公開資産の調査まで手が回らないのであれば、外部リスク情報を収集するツールが選択肢になります。既存のチェックシートを置き換えるのではなく、判断に足りない情報を補う使い方です。
SMSデータテックの「ダークウェブアイ/SCM」は、取引先・委託先に関連する漏洩情報と外部公開資産の脆弱性を把握し、まとめて可視化・管理するツールです。ダークウェブに加えて通常のウェブ上の漏洩情報も対象とし、外部公開資産の脆弱性や設定不備を確認できます。
収集した情報を回答と照合すれば、取引先へ「どの資産の、どの問題を確かめたいか」を具体的に伝えられます。外部リスク情報を自社の評価に取り入れたい方は、確認できる情報と機能をご覧ください。