「対策している証拠をください」と言われたら？資料と記録のまとめ方

取引先や顧客から「セキュリティ対策を適切に行っている証拠を見せてほしい」と求められたとき、慌てて設定画面のスクリーンショットや古い規程を探し回ることはありませんか。まず最初に取り組むべきは、手元にある資料を「ルール（規程）」「実際の仕組み（設定）」「実施した事実（記録）」の3つのグループに分類することです。これらをバラバラに保管するのではなく、一つの「証跡一覧表」にまとめ、各資料がどこにあるかを紐付ける仕組みを作ると、次回の調査依頼にもスムーズに対応できるようになります。

なぜバラバラの資料では「証拠」として不十分なのか

対策の「根拠」と「事実」が結びついていない問題

取引先が求めているのは、単なる設定画面の画像だけではありません。例えば、パスワードのルールを決めている「規程（社内のルール）」があり、そのルール通りにシステムが「設定」されており、実際にそのルールが守られていることが「記録（ログや点検結果）」として残っているか、という一連の流れです。これらがバラバラだと、たとえ正しい設定画面を見せても、「それはいつの設定ですか？」「全社員に適用されていますか？」という追加の質問に答えられなくなります。対策の根拠となるルールと、実際の動作、そして実施した事実が一本の線でつながっていることが、信頼される証拠の条件です。

提出のたびに同じ作業が発生する非効率性

多くの現場では、調査のたびに担当者が「あの設定画面の画像はどこだっけ」「去年の教育資料はどこに保存したかな」と探し回っています。これは、資料そのものを一つの場所に集めすぎていることが原因です。例えば、容量の大きいログファイルや大量の画像ファイルを一つのフォルダに詰め込むと、管理が煩雑になり、どれが最新でどれが正しいものか分からなくなります。資料そのものを集めるのではなく、「この対策の根拠は、このサーバーのこのフォルダにある」という参照先をリスト化しておくことで、作業の重複を防ぐことができます。

情報の鮮度と有効範囲が不明確なリスク

一枚のスクリーンショットを提出しても、それが「いつ」撮影されたものか、また「どの範囲」のデバイスに対して有効なものかが書かれていなければ、証拠としての価値は低くなります。例えば、一部の部署だけ設定を変更している場合、全体の設定画面だけを見せても実態とは異なります。証拠には、対象となるサービス名や利用者、取得した日付、そして例外的な扱い（一部の端末だけ設定が異なる場合など）を明記しなければなりません。これらが欠けていると、情報の正確性を疑われる原因となります。

証拠を整理するための3つの階層とは

1. 方針と役割を示す「規程」の整理

規程とは、会社としてどのようなセキュリティ方針を持ち、誰がその責任を持つかを定めた社内ルールです。証拠として提示する際は、「何を目的として、誰が、いつ決めたルールか」が分かる状態にします。例えば、情報セキュリティ基本方針や、パスワード管理規定などがこれに当たります。これらは頻繁に書き換えるものではありませんが、担当者が交代した際に「誰がこのルールを運用する責任者なのか」が規程内で明確になっている必要があります。取引先には、この規程を提示することで「我が社には守るべきルールが確立している」という根拠を示します。

2. 仕組みが動いていることを示す「設定」の確認

設定とは、規程で決めたルールをシステム上で具体的に実現している状態を指します。例えば「パスワードは8文字以上にする」という規程があるなら、システムの設定画面でその条件が有効になっていることを示す必要があります。ここで重要なのは、設定画面の画像そのものを管理することではなく、「どのシステムの設定を確認したか」という情報を整理することです。設定画面には、IDやネットワーク構成など、外部に見せてはいけない機密情報が含まれることが多いため、提出用には必要な箇所だけを切り出したコピーを用意し、元の設定情報は厳重に管理する意識が求められます。

3. 実施した事実を証明する「記録」の蓄積

記録とは、設定された仕組みが実際に運用されていることを示す活動の足跡です。例えば、社員向けのセキュリティ教育を実施した際の「受講者名簿」や、バックアップが正常に取れたことを示す「バックアップ完了ログ」などが該当します。規程（ルール）があり、設定（仕組み）があっても、記録（事実）がなければ「対策はしているが、実行されているか分からない」と判断されてしまいます。記録には、必ず「いつ、誰が、何を確認したか」という項目を含めるようにしてください。これにより、対策が継続的に行われていることを証明できます。

効率的な「証跡一覧表」の作り方と運用手順

証跡一覧に盛り込むべき必須項目

効率的な管理のために、Excelやスプレッドシートなどで「証跡一覧表」を作成しましょう。この表には、資料そのものを貼り付けるのではなく、以下の項目を記載します。まず「対策の説明（何のための対策か）」、次に「根拠の所在（規程のファイル名や保存場所）」、そして「確認日（いつ最新の状態を確認したか）」と「更新担当者」です。さらに、「対象範囲（全社員か、特定の部署か）」や「提出可否（外部提出用か、社内確認用か）」といった区分を加えておくと、取引先への回答準備がスムーズになります。なお、一覧表自体に機密性の高い情報（パスワードや具体的なIPアドレスなど）を直接書き込まないよう注意し、あくまで「どこに何があるか」を示す「索引」として活用してください。

資料の「正本」と「提出用コピー」を分ける

資料を管理する際は、常に「正本（マスターデータ）」と「提出用コピー」を分けて考えることが大切です。正本には、システムの設定画面の全情報や、詳細な構成図など、機密性の高い情報をそのまま残しておきます。一方で、取引先に送るための提出用コピーは、相手に伝えるべき情報（例：パスワードの最小文字数設定の部分）だけに絞り込み、不要な個人情報や内部ネットワークの情報は隠します。一覧表には「正本はサーバーのAフォルダ、提出用は共有フォルダのBフォルダ」といった形で、両方の所在を記録しておきましょう。

担当変更や設定変更に合わせた更新ルール

証拠の管理で最も失敗しやすいのが、担当者の交代やシステムの変更時に情報が止まってしまうことです。例えば、セキュリティ担当者が変わったのに、一覧表の「更新担当者」が旧担当者のままでは、情報の信頼性が失われます。これを防ぐには、定期的な見直し日を決めておくことが有効です。例えば「半年に一度、規程と設定が最新か確認する」といった運用ルールを決め、確認が終わったら一覧表の「確認日」を更新します。古い証拠と新しい証拠が混ざらないよう、古い資料は「旧版」として別フォルダに移動させるなどの整理も併せて行いましょう。

状況に応じた判断基準と専門家への相談

自社で管理できる範囲を見極める

すべてのセキュリティ対策を自社で完璧に記録・管理しようとすると、業務が回りません。まずは、自社でコントロール可能な「社内規定」や「PCの設定」「社員教育」などの記録から着手しましょう。一方で、クラウドサービス（SaaS）を利用している場合、そのサービス自体のセキュリティ対策（サーバーの物理的な警備など）の証拠を自社で用意することは不可能です。その場合は、サービス提供会社が発行している「監査報告書」や「セキュリティ認証」の資料を、提供元から入手して活用するという判断が必要です。自社で用意すべきものと、外部から借りてくるものを整理しましょう。

提出資料の妥当性を判断する基準

作成した資料が、取引先の要求を満たしているか不安な場合は、以下の基準でセルフチェックを行ってください。第一に「その資料は、要求されたルールを直接証明しているか（例：パスワードの件を聞かれているのに、ウイルス対策ソフトの画面を出していないか）」。第二に「その資料は、現在有効なものか（例：3年前の設定画面ではないか）」。第三に「その資料には、対象範囲が明記されているか（例：一部のサーバーだけではなく、全サーバーが対象か）」。これらが満たされていない場合、追加の質問を受ける可能性が高くなります。不安な場合は、作成した一覧表の構成案を持って、IT担当者や外部の専門家に相談することをお勧めします。

専門家へ確認すべきタイミングと質問例

「何が証拠として適切か」の判断に迷ったときは、無理に自社だけで完結させず、早めに専門家へ相談してください。特に、新しいシステムを導入した直後や、大規模な組織変更があった直後は、記録の不備が出やすい時期です。相談する際は、「何を証明したいのか（例：バックアップが毎日取れていること）」と「今手元にある資料（例：バックアップ完了メールのログ）」をセットで提示してください。その上で、「この資料で、取引先の要求を満たしていると言えますか？」「他にどのような記録を揃えておくべきですか？」と具体的に質問することで、実効性の高いアドバイスを得やすくなります。