セキュリティチェックシートを簡単に作る方法

セキュリティチェックシートは、項目を増やすほど厳格になる代わりに、誰も埋めなくなって形骸化します。専任の情報システム担当がいないチームなら、新しいツールを使い始める前に毎回必ず見る項目を10個未満に絞った一枚から始めるのが現実的です。この記事では、そのまま使える基本の項目表と、扱う情報に合わせた項目の足し引き、法令や認証のように断定できない事柄の受け止め方をまとめます。

一枚の役割を決めてから作る

ここで作るのは、ツールを試したい本人が自分で調べて埋め、決める人が同じ観点で確認するための「一次判断」の道具です。取引先へ提出する監査資料や、ベンダーに回答してもらう調査票の代わりにはなりません。役割をそこまで絞ると、項目も「公式サイトを調べれば誰でも埋められるもの」に限定でき、運用が続きます。

そのまま使える基本の項目表

番号	確認項目	主な確認先	漏れると起きること
1	提供元の名称と連絡手段が明記されているか	公式サイトの運営者情報	障害や事故の際に問い合わせ先がない
2	入力したデータの保存場所と利用範囲(学習への利用の有無など)が説明されているか	プライバシーポリシーやデータの取り扱いの説明	社外秘や個人情報が想定外に使われる
3	データを書き出し、削除する手段があるか	ヘルプと利用規約	やめるときにデータを引き上げられない
4	ログインの保護(二段階認証など)を設定できるか	セキュリティ設定の説明ページ	アカウントの乗っ取りに気づけない
5	閲覧や編集の権限を人ごとに分けられるか	管理者向けの説明	異動や退職の後も情報が見え続ける
6	障害やメンテナンスの告知場所があるか	公式のお知らせや稼働状況のページ	障害時に状況を追えず判断が遅れる
7	認証や第三者評価の記載を、確認先つきで記録したか	公式サイトの記載と認証の発行元	記載の意味を確かめないまま安心する

一次判断にはこの7項目で足ります。埋めようとして情報が見つからないなら、その「見つからない」こと自体が、慎重に扱うべきツールだというサインです。

扱う情報の重さで項目を足し引きする

シートを一種類で済ませるコツは、最初の設問を「このツールに入れる情報はどの区分か」にすることです。

• 公開情報や個人の作業メモだけ: 基本の表のままで判断します。追加の項目は要りません。
• 顧客名や取引条件が入る: データの保存場所、共有範囲、削除に関する項目を厚くし、誰が閲覧できるかまで書く欄を足します。
• 個人情報や人事情報が入る: 社内規程に該当するかの確認と、管掌部門または外部の専門家への相談を項目として追加します。

区分が重くなるほど、シートの中で結論を出そうとせず、「誰に確認したか」を記録する形へ切り替えるのが安全です。

法令や認証は断定せず、確認先を記録する欄で受ける

法令の要件や認証の意味するところは、事業の内容や時期によって変わります。シートに「この認証があるから問題ない」と書き込むと、その断定が最も危うい項目になります。代わりに、確認した一次情報のURL、確認した日付、確認した人の三つの欄を置き、判断そのものは規程や管掌部門へ委ねます。認証の名称も、作成者が意味を解釈して書かず、発行元の説明ページを確認先として記録するに留めます。

運用で決めるのは日付と見直しのきっかけだけ

記入した日付は必ず残します。規約や仕様は変わるため、シートは「その日時点の記録」でしかないからです。見直しのきっかけは、規約変更の通知を受け取ったとき、入れる情報の区分が変わったとき、年に一度の棚卸し、の三つで十分です。規約の変更を追いかける仕組みは利用規約の変更を追う運用方法で、ポリシーのどこを読めばよいかはAIツールのプライバシー情報を確認する手順で扱っています。

形骸化する典型と立て直し

網羅的な質問集を写して項目が数十個になると、埋めるのに時間がかかり、申請せずに使い始める人が出ます。基本の表へ戻し、重い確認は情報の区分で振り分ける形に直します。

「暗号化あり」「安全」といった記載の丸写しで埋まっていくのも危険なサインです。あとから何を確認したのか分からなくなるため、確認先のURLと日付をセットで書く欄に変えます。

一度承認したツールを見直さない運用では、規約変更で前提が崩れても誰も気づけません。承認に有効期限をつけ、期限が来たら確認先と日付だけでも更新します。

最初の一手

いま使っているツールをひとつ選び、基本の項目表を実際に埋めてみてください。確認先が見つからない項目や埋め方に迷う項目が、自分のチーム向けに直すべき最初の箇所です。

関連する9uick製品

導入前の確認を含むツールまわりの作業を短くしたい場合、9uickシリーズには日程調整、要約、メモなどの複数のサービスがあります。用途が合うときだけ製品一覧で現在の提供内容を確認してください。この記事では未確認の仕様や効果を断定しません。