営業でセキュリティ体制を聞かれた。受注前に共有できる説明資料の作り方

営業先が求める情報を過大に提示せず、かつ必要な要素はしっかり伝える資料を作ることが重要です。まずは「公開用・限定提出用・非提出」の3区分に情報を分け、IPAのガイドラインをベースにチェックリスト化します。その後、各区分ごとに構成と配布方法を決めて実装すれば、受注前の説明資料が完成します。

どの情報を公開すべきか判断する基準

顧客が求めるセキュリティ項目は何か

顧客は主に「情報資産の保護」「アクセス管理」「バックアップ体制」の3点を確認したがります。まずは自社のサービス提供範囲と顧客の業種・取引規模を照らし合わせ、上記項目のうち該当するものをリスト化します。

IPAの第4.0版ガイドラインでは、バックアップが情報セキュリティ6か条に加えられており、説明資料にバックアップ方針を盛り込むことで顧客に安心感を提供しやすくなります。

次に、顧客が過去に指摘したリスクや業界標準（例：ISO/IEC 27001）を参考に、追加で求められそうな項目を洗い出します。質問が具体的でない場合は、営業担当が「具体的にどのような脅威対策が必要か」や「どのレベルの認証が必要か」をヒアリングし、リストに反映させると効果的です。

自社の実態とギャップを見える化する方法

自社の現行対策と顧客が期待する項目を比較し、ギャップを可視化します。まずはIPAが提供する「5分でできる！情報セキュリティ自社診断」のチェック項目を参考に、内部ネットワークの通信遮断やウェブサイトの安全運用状況を評価します。評価結果はスプレッドシートにまとめ、各項目に「実施済み」「未実施」「計画中」のステータスを付与して整理します。

ギャップが明らかな項目については、改善計画と実施時期を簡潔に記載した表を作成します。これにより、顧客は自社の弱点と今後の対応策を一目で把握でき、信頼性が向上します。資料作成時は、ステータス表を図式化すると見やすくなります。

情報公開の範囲と法的留意点

公開できる情報は、企業の信頼性を示すと同時に機密情報を漏らさないように配慮が必要です。まずはIPAが示す「情報セキュリティ基本方針」のサンプルを参考に、方針文書の概要だけを抜粋して掲載します。個別の技術的設定やベンダー契約内容は、機密保持契約（NDA）を結んだ上で限定提出用に回すのが安全です。

また、個人情報保護法やサイバーセキュリティ関連法令に抵触しないよう、顧客情報や内部の脆弱性情報は原則として公開しません。法的リスクを回避するために、資料の最終ページに「本資料は機密情報を含む可能性があるため、無断転載・再配布は禁止します」と明記しておくと、後々のトラブル防止につながります。

公開用資料の構成と作成手順

基本方針と概要を簡潔にまとめるコツ

公開用資料は、まず「会社概要」「情報セキュリティ基本方針」「主要な対策」の3部構成にすると分かりやすくなります。方針はIPAのサンプルをベースに、企業のミッションに合わせて数行に要約します。概要は、サービス提供範囲と対象データの種類を箇条書きで示すだけで、顧客は全体像をすぐに掴めます。

次に、主要対策は「アクセス制御」「バックアップ」「インシデント対応」の3項目に絞り、各項目ごとに実施している具体的な手順やツール名（例：二要素認証、定期バックアップ）を1行で示します。過大表現は避け、実際に運用中の内容だけを記載することで、信頼性が保たれます。

具体的な対策例を示す資料の作り方

対策例は、IPAの「情報セキュリティハンドブック」や「クラウドサービス安全利用の手引き」から抜粋したテンプレートを活用します。例えば、アクセス制御では「社内システムはID・パスワード＋二要素認証で保護」と記載し、実際に導入している認証サービス名を添えるだけで具体性が増します。

また、バックアップについては「週次フルバックアップと日次増分バックアップを外部ストレージに保管」といった頻度と保管先を明示します。インシデント対応は、IPAの「セキュリティインシデント対応の手引き」から「初動対応フロー」の図を抜粋し、社内体制（担当者、報告ライン）を簡潔に示すと、顧客は自社の対応力をイメージしやすくなります。

資料のデザインと見やすさのポイント

資料は文字だけでなく、図表やアイコンを適度に配置して視覚的に情報を整理します。IPAのサンプル資料はレイアウトが整っているので、同様のフォーマット（見出し・箇条書き・表）を踏襲すると見やすさが保たれます。フォントは統一し、重要項目は太字や色で強調すると、閲覧者の注意を引きやすくなります。

さらに、PDF化してページ番号と目次を付けると、顧客が必要箇所にすぐアクセスできます。PDFにパスワード保護を設定し、閲覧のみ許可することで情報漏えいリスクを低減する一助となりますが、完全に防止できるわけではありません。デザインはシンプルに保ち、過剰な装飾は避けましょう。

限定提出資料の内容と配布方法

限定資料に入れるべき詳細項目

限定提出用資料は、顧客が求める技術的詳細や内部プロセスを含めます。具体例としては「システム構成図」「脆弱性診断結果（要約）」「サードパーティーのセキュリティ評価」などがあります。これらはIPAの「資産管理台帳」や「インシデント対応手引き」の項目を参考に、実際に自社で管理している情報を抜粋します。

ただし、ベンダー契約上の機密情報や個別の脆弱性情報は、顧客とNDAを締結した上でのみ提供します。限定資料は、顧客担当者が限定的に閲覧できるようPDFに閲覧パスワードを設定し、メールで送付する際は別途電話等でパスワードを伝えることで安全性を高めることができます。

受領確認と機密保持契約の運用

限定資料を送付したら、必ず受領確認のメールを取得し、受領日時と担当者名を記録します。さらに、資料送付時に機密保持契約（NDA）を添付し、相手方に署名してもらうプロセスを標準化します。署名は電子署名サービスを利用すれば手間が省け、契約履歴もデジタルで管理できます。

契約が完了したら、資料の配布履歴を社内の管理台帳に登録し、誰がいつ閲覧したかを追跡できるようにします。万が一情報が漏えいした場合でも、配布履歴があれば原因追及が迅速に行えるため、リスク管理が強化されます。

電子配布とアクセス制御の実装例

限定資料の配布は、クラウドストレージの「閲覧のみ」設定や、専用ポータルサイトの認証機能を活用すると安全です。

例えば、Google Driveの共有設定で「リンクを知っている人のみ閲覧可」にし、閲覧者のメールアドレスを限定することは可能ですが、リンクが転送されるリスクがあるため、個別にメールアドレスで招待し、アクセス権を明示的に設定する方が安全です。

さらに、閲覧ログを取得できるサービスを選べば、誰がいつ資料を開いたかを把握できます。

別の例として、社内で利用しているMicrosoft TeamsやSharePointの「外部ゲスト」機能を使い、顧客のメールアドレスを招待して限定フォルダにアクセスさせます。アクセス権限を「閲覧のみ」に設定し、ダウンロード禁止オプションを有効にすることで持ち出しリスクを低減できますが、完全に防げるわけではありません。

非提出情報の管理とリスク対策

非提出情報のリスト化と保管方法

非提出情報は、内部で管理すべき機密情報や将来的に公開できない技術情報です。まずは、IPAの「情報セキュリティ基本方針」や「資産管理台帳」の項目を参考に、情報資産をカテゴリ別にリスト化します。リストには「情報名」「保管場所」「保護レベル」を記載し、社内の情報管理システムに登録します。

保管方法は、暗号化された内部サーバーや、アクセス権限が厳格に設定されたファイルサーバーを利用します。外部媒体（USBメモリ等）への持ち出しは原則禁止とし、例外がある場合は上長承認と使用履歴の記録を徹底します。こうした手順を文書化し、定期的に見直すことで、情報漏えいリスクを最小化できます。

情報漏えい時の社内手順と報告体勢

万が一情報が漏えいした場合は、速やかに対応できる体制を整えておくことが重要です。まずは、IPAの「セキュリティインシデント対応の手引き」のフローチャートを社内に掲示し、インシデント発覚時の初動担当者と報告ラインを明確にします。初動は「事実確認」「被害範囲の特定」「関係者への連絡」の3ステップです。

次に、インシデント報告書をテンプレート化し、発生日時、原因、影響範囲、対応策を記入できるようにします。報告は上長と情報セキュリティ担当者に速やかに行い、必要に応じて顧客や取引先にも説明します。再発防止策として、原因分析結果を基に改善計画を策定し、定期的にレビューすることが求められます。

外部監査対応と改善サイクルの設計

顧客からの監査要求に備えるため、非提出情報の管理体制を外部監査人に説明できる資料を別途用意します。資料には「情報資産リスト」「保管場所」「アクセス制御の実装例」を簡潔にまとめ、監査時に提示できるようにします。監査結果は改善項目として管理台帳に登録し、次回の内部レビューで進捗を確認します。

改善サイクルは、PDCA（計画・実行・評価・改善）をベースに設定します。例えば、監査で指摘されたアクセス権限の見直しは「計画」段階で対象を特定し、「実行」段階で権限変更を行い、「評価」段階でログを確認し、「改善」段階で手順書を更新します。こうしたサイクルを継続的に回すことで、セキュリティ体制の信頼性を高められます。