PRACTICE

顧客セキュリティチェックシート対応

B2B SaaS のセキュリティ担当が最も時間を取られる仕事です。ここでは個人情報保護法まわりの設問に絞って、何を聞かれているのか・答える前に何を確認するのか・どう書くのかを型にします。

最も大事な前提：チェックシートの回答は、事実上の約束になります。提出後に契約書へ引用されたり、監査で「回答どおりか」を確認されたりします。できていないことを「対応済み」と書かないでください。後で最も高くつきます。

なぜこれが大変なのか

設問が難しいからではありません。構造の問題です。原因が分かると打ち手が決まります。

① 自社の事実を知らないと、一問も答えられない
「個人データの保存場所は」と聞かれても、自社のデータがどこにあるか把握できていなければ答えようがありません。チェックシート対応が遅い会社は、たいてい実態把握ができていないのであって、書く作業が遅いわけではありません。
② 一度書いた答えが、次から効いてくる
別の顧客に違う答えを返すと、後で必ず矛盾します。契約書に引用されることもあります。その場しのぎの回答が、将来の自社を縛ります。
③ 答える人が毎回違う
営業が急いで埋める、開発が推測で書く——これが最も事故ります。誰が答えるかを決めていないことが、品質のばらつきの正体です。
打ち手はひとつ：先に「回答台帳」を作る。毎回ゼロから考えるのをやめ、確定済みの事実を再利用する状態にします。初回は重いですが、2件目以降が劇的に軽くなります。

回答台帳をつくる

チェックシートが来てから調べるのではなく、先に自社の事実を確定させておくための一覧です。項目は少なくて構いません。重要なのは「誰が確認した事実か」と「いつ時点か」を残すことです。

列入れるものなぜ必要か
設問カテゴリ体制／取得／保存／提供／委託／事故対応／終了時 などどのチェックシートも大枠は同じ。分類しておくと使い回せる
標準回答そのまま貼れる文面毎回書き直さない。表現のブレをなくす
根拠社内規程の条番号／設定画面／契約書の条項エビデンスを求められたとき即座に出せる
確認者・確認日誰がいつ事実を確認したか古い回答をそのまま出す事故を防ぐ
条件付きの場合の条件「◯◯のプランに限る」「別途契約が必要」などできないことを約束しないための歯止め
未対応の場合の状況いつまでに何をする予定か／代替措置「未対応」で終わらせず、交渉可能な材料にする
台帳を作る前提として、Step 2 が必要です。
自社のデータの流れ（どこで取得し、誰が使い、どこに保存し、誰に渡し、いつ消すか）を1枚にする作業です。これがないと台帳の中身が埋まりません。順序は 勉強法の Step 2 を参照してください。個人情報保護委員会のデータマッピング・ツールキットが使えます（動画・研修に解説動画あり）。

回答の型

回答は必ず次の3つのどれかに分類します。曖昧な第4の選択肢を作らないことが最大のコツです。

分類書き方例
できる事実＋根拠。「対応しています」だけで終えない「対応しています。社内規程◯◯第◯条に定め、年1回の教育を実施しています（直近実施：◯年◯月）」
条件付きでできる条件を先に書く。後ろに書くと読み飛ばされる「Enterpriseプランに限り対応可能です。標準プランでは提供していません」
できないできない事実＋代替措置＋（あれば）予定「現時点では対応していません。代替として◯◯を提供しています。◯年◯月期に対応を検討しています」
「できない」と書いても、たいてい失注しません。相手が困るのは、できないことではなく後から分かることです。正直に書いたうえで代替案を出すほうが、結果的に通ります。
迷ったときの原則
① 事実だけを書く（予定・意向を事実のように書かない）
② 自分が確認していないことは書かない（開発・情シスに確認してから）
③ 法令の話と自社ルールの話を混ぜない（規範レベルの区別。「法律で決まっている」と「うちのルール」は別物）

個人情報保護法まわりの頻出設問

設問の文言は会社ごとに違いますが、聞かれている中身はほぼ同じです。各項目を開くと、相手の意図・確認事項・回答例・注意点が出ます。

1. 個人情報保護方針を策定し、公表していますか
設問例：「貴社は個人情報保護方針（プライバシーポリシー）を策定し、外部に公表していますか」
相手が知りたいこと：体制の有無の入口確認。ここが「いいえ」だと以降の回答の信頼度が一気に下がります。

確認すること：公開URL／最終改定日／法定の公表事項（利用目的、開示等の請求手続、苦情申出先、安全管理措置の内容など）が漏れていないか。

回答例：「策定・公表しています（URL：◯◯／最終改定：◯年◯月）。利用目的、開示等請求の手続、苦情の申出先を記載しています」
注意：公表しているが何年も更新していないのはよくあります。サービスや委託先が変わっているのに記載が古いと、その場で指摘されます。

根拠：法第32条（保有個人データに関する事項の公表等）ほか。

2. 個人情報保護管理者を設置していますか
設問例：「個人情報の管理責任者を任命していますか。氏名または役職をご記入ください」
相手が知りたいこと：問題が起きたときに誰に言えばよいか。組織図上の実在性です。

確認すること：任命の記録（規程・辞令）／役職名／実際に機能しているか（形だけでないか）／連絡先。

回答例：「設置しています。◯◯部長を個人情報保護管理者として任命し、規程◯◯第◯条に定めています」
注意：個人名をチェックシートに書くかは相手次第ですが、役職名で答えるほうが安全です（異動のたびに全顧客へ訂正が必要になるのを避けられます）。
3. 当社が預けるデータに個人情報は含まれますか／どう扱いますか
設問例：「貴サービスにおいて、当社の個人データはどのように取り扱われますか。貴社の立場（委託先／第三者）を明示してください」
相手が知りたいこと：自社が委託元としての監督義務を果たせるか。ここが曖昧だと相手の法務が止めます。

確認すること：自社の立場が「委託を受けて取り扱う」のか「第三者提供を受ける」のか／取り扱う項目／自社の目的（改善・分析）で使う場合はその範囲と根拠。

回答例：「お客様から委託を受けて、サービス提供の範囲でのみ取り扱います。お客様の個人データを当社の目的で利用することはありません（◯◯を除く。◯◯については利用規約第◯条に定めています）」
注意：「サービス改善のために統計利用します」と規約に書いているなら、ここで隠さないでください。後から発覚するほうが致命的です。

根拠：法第25条（委託先の監督）、法第27条第5項第1号。関連：事例集「委託先へ顧客CSVを渡したい」

4. 個人データの保存場所（国内／国外）を教えてください
設問例：「個人データはどの国・地域に保存されますか。国外の場合、移転の根拠をご説明ください」
相手が知りたいこと：越境移転の有無。相手側に法第28条の対応義務が発生するかを判断したい。

確認すること：本番データの保存リージョン／バックアップの保存先／ログ・監視・CDN・サポートツールなど周辺システムの所在／サポート担当がどの国からアクセスするか。

回答例：「本番データおよびバックアップは日本国内（◯◯）に保存しています。監視・分析目的で◯◯を利用しており、当該データは◯◯国に保存されます」
注意：ここが最も申告漏れの多い設問です。「本番は国内」と答えたあとで、バックアップやログ基盤が国外だったと判明する事故が頻発します。周辺システムまで洗ってから答えてください。また「保存場所」と「アクセス元」は別問題です。

根拠：法第28条（外国にある第三者への提供）、個人情報保護委員会「外国にある第三者への提供編」。関連：事例集「海外リージョンのSaaSを利用したい」

5. 再委託はありますか。管理方法を教えてください
設問例：「業務の再委託の有無、再委託先名、および再委託先の管理方法をご記入ください」
相手が知りたいこと：監督がどこまで届いているか。再委託先で事故が起きても、委託元の責任は消えません。

確認すること：クラウド事業者・外部開発・BPO・サポート外注・監視サービスなどを再委託として列挙できるか／契約での事前承諾条項／再委託先への監督方法（契約・報告・監査）。

回答例：「あります。インフラに◯◯、監視に◯◯を利用しています。いずれも契約により当社と同等の安全管理措置を課し、年1回、取扱状況の報告を受けています」
注意：「再委託なし」と反射的に答えがちですが、クラウド事業者や外部監視は再委託に当たると整理されることが多いです。相手の定義を確認せずに「なし」と書くと、後で虚偽と受け取られます。

根拠：法第25条、通則編 3-4-4。

6. 従業者への教育を実施していますか（頻度は）
設問例：「個人情報保護に関する従業者教育の実施状況と頻度をご記入ください」
相手が知りたいこと：人的安全管理措置が形骸化していないか。「実施記録があるか」が実質的な確認点です。

確認すること：直近の実施日／対象範囲（全社員か、派遣・業務委託を含むか）／受講率／記録の残し方／入社時教育の有無。

回答例：「全従業者を対象に年1回実施しています（直近：◯年◯月、受講率◯%）。入社時にも実施し、受講記録を保管しています」
注意：やっているのに記録がないと、監査では「やっていない」と同じ扱いになります。受講記録は必ず残してください。研修メニューをそのまま使えます。

根拠：法第24条（従業者の監督）、通則編 10（人的安全管理措置）。

7. アクセス権限はどのように管理していますか
設問例：「個人データへのアクセス権限の付与・見直し・削除のプロセスをご説明ください」
相手が知りたいこと：最小権限が実際に運用されているか。付与より「削除」と「棚卸し」を見ています。

確認すること：付与の申請・承認フロー／異動・退職時の削除手順と所要時間／定期棚卸しの頻度と直近実施日／特権アカウントの扱い／本番データへの直接アクセスの可否。

回答例：「業務上必要な範囲に限定し、上長承認のうえ付与しています。異動・退職時は◯営業日以内に削除し、半期ごとに棚卸しを実施しています（直近：◯年◯月）」
注意：「最小権限で運用しています」だけでは通りません。棚卸しの実施日を書けるかが分かれ目です。

根拠：法第23条（安全管理措置）、通則編 10（技術的安全管理措置）。関連：事例集「退職者アカウントを残したい」

8. アクセスログを取得・保管していますか（保管期間は）
設問例：「個人データへのアクセスログの取得有無と保管期間をご記入ください」
相手が知りたいこと：事故が起きたときに調査できるか。ログがなければ、影響範囲を確定できず報告もできません。

確認すること：何のログを取っているか（認証／参照／エクスポート／管理操作）／保管期間／改ざん防止／顧客からの調査依頼に応じられるか。

回答例：「認証・参照・エクスポート・管理操作のログを取得し、◯か月間保管しています。お客様からのご依頼に基づく調査にも対応可能です」
注意：「参照ログ」を取っていないことは珍しくありません。取っていないなら正直に書き、代替（操作ログの範囲）を示します。IPアドレスや操作履歴の保存自体が個人情報・個人関連情報の論点になる点にも留意（事例集）。
9. 漏えい発生時の報告体制と、当社への通知期限を教えてください
設問例：「個人データの漏えい等が発生した場合、当社への通知は何時間以内に行われますか」
相手が知りたいこと：相手側にも報告義務があるため、間に合う時間で連絡が来るか。ここは契約条件になります。

確認すること：社内の検知〜エスカレーション経路／顧客通知の判断者／約束できる時間（24時間？72時間？）／夜間休日の体制／既存契約で約束している期限との整合。

回答例：「検知後、速やかに調査を開始し、お客様の個人データに影響する可能性を認識した時点から◯時間以内にご連絡します。連絡窓口は◯◯です」
注意：ここは最も安請け合いしてはいけない設問です。「24時間以内」と書くなら、夜間休日でも回る体制が本当にあるか確認してください。法令上の報告期限と、契約上の通知期限は別物で、契約のほうが短いことがあります（法令マップ「契約上の義務」）。

根拠：法第26条（漏えい等の報告等）、施行規則、通則編 3-5-3。関連：CHAPTER 4 漏えい対応

10. 契約終了時のデータ返却・削除はどうなりますか
設問例：「契約終了時の個人データの返却・消去の方法、および証明書の発行可否をご記入ください」
相手が知りたいこと：やめたあとに自社のデータが残らないか。委託先の監督義務の締めくくり部分です。

確認すること：エクスポート機能の有無と形式／削除までの猶予期間／バックアップからいつ消えるか／削除証明書を出せるか／ログに残る分の扱い。

回答例：「解約後◯日間はエクスポートが可能です。その後、本番系から削除し、バックアップからは最長◯日で消去されます。ご要望に応じて削除完了の証明書を発行します」
注意：バックアップの記述を落とさないでください。「削除しました」と答えたのに、バックアップに◯か月残っていた——は典型的な指摘事項です。証明書を出せないなら出せないと書きます。

関連：事例集「バックアップから削除できない」

11. 個人データの保存期間・削除ポリシーは
設問例：「個人データの保存期間の定めと、期間経過後の取り扱いをご記入ください」
相手が知りたいこと：不要になったデータがいつまでも残っていないか。

確認すること：データ種別ごとの保存期間／削除が自動か手動か／法令・契約上の保存義務がある分の切り分け／退会ユーザーの扱い。

回答例：「サービス利用データはご契約期間中および解約後◯日間保存し、その後削除します。請求・会計関連は法令上の保存期間に従い◯年間保存します」
注意：法第22条は「遅滞なく消去するよう努めなければならない」＝努力義務です。一律の即日削除は求められていません。ただし「期間を定めていない」は指摘されます（語尾で義務の強さが決まる）。
12. 第三者提供はありますか
設問例：「当社の個人データを第三者へ提供することはありますか。ある場合は提供先と目的をご記入ください」
相手が知りたいこと：自社の知らないところでデータが流れていないか。

確認すること：委託・共同利用・第三者提供の区別／分析ツールや広告タグ経由の外部送信／法令に基づく提供（捜査関係事項照会等）への対応方針。

回答例：「サービス提供に必要な委託先を除き、第三者へ提供することはありません。委託先は◯◯です。法令に基づく開示要請を受けた場合は、可能な範囲でお客様にご連絡します」
注意：「提供なし」と書きながら、サイトに広告タグや解析タグが入っていることがあります。これは個人関連情報や外部送信規律の論点で、担当部門が違うため見落とされます（法令マップ）。
13. Pマーク・ISMS等の認証は取得していますか
設問例：「プライバシーマーク、ISMS（ISO/IEC 27001）等の第三者認証の取得状況をご記入ください」
相手が知りたいこと：個別に検証する手間を省きたい。認証があると以降の設問が簡略化されることが多いです。

確認すること：認証の種類・登録番号・適用範囲（全社か一部部門か）・有効期限。

回答例：「ISMS（ISO/IEC 27001）を取得しています（登録番号◯◯、適用範囲：◯◯事業部、有効期限◯年◯月）。プライバシーマークは未取得です」
注意：適用範囲を必ず書いてください。「取得しています」だけだと全社と誤解され、後で範囲外だと分かったときに信頼を失います。未取得なら未取得と書き、代わりに実施している統制を示します。
14. 本人からの開示等の請求にどう対応しますか
設問例：「データ主体（本人）からの開示・訂正・利用停止の請求があった場合の対応フローをご説明ください」
相手が知りたいこと：自社（委託元）に請求が来たときに、SaaS側が協力してくれるか。自社だけでは対応できないためです。

確認すること：自社は委託先の立場か／請求を直接受けた場合の取り扱い（勝手に応じない）／顧客企業への連携手順／データ抽出・削除の技術的な可否と所要日数。

回答例：「当社はお客様からの委託に基づき取り扱うため、本人からのご請求はお客様が対応主体となります。当社に直接ご連絡があった場合は速やかにお客様へお伝えします。データの抽出・削除は管理画面から可能で、個別対応が必要な場合は◯営業日で承ります」
注意：直接請求を受けて自社判断で削除すると、顧客企業のデータを無断で消したことになります（事例集）。

根拠：法第32条〜第39条。

15. 監査を受け入れられますか
設問例：「当社による現地監査またはドキュメント監査を受け入れていただけますか」
相手が知りたいこと：委託先の監督を実効的に行えるか。断られても代替手段があれば納得されることが多い設問です。

確認すること：現地監査を受け入れる体制があるか／頻度・費用の扱い／代替（第三者認証の証明書、監査報告書、チェックシート回答、脆弱性診断結果の要約）／どこまで開示できるか。

回答例：「現地監査は原則としてお受けしていませんが、代替としてISMS認証書、年次の脆弱性診断結果の要約、本チェックシートによる回答をご提供します。重大な事由がある場合は個別にご相談ください」
注意：安易に「受け入れます」と書くと、顧客数に比例して監査対応の工数が積み上がります。代替手段を用意したうえで、条件を明示するのが現実的です。

やってはいけない回答

「善処します」「検討中です」で濁す
何も答えていないのと同じです。相手は判断できず、必ず追加質問が来て工数が倍になります。できない場合は「できない＋代替＋予定」で書きます。
実装していないのに「対応済み」と書く
最も高くつく選択です。契約後に発覚すると、債務不履行や信頼喪失につながります。チェックシートを通すことが目的ではありません。
営業が単独で埋める
悪意ではなく、受注したいから前向きに書いてしまいます。技術・運用に関わる設問は、事実を確認できる人が答えると決めておきます。
法令の話と自社ルールを混ぜる
「法律で決まっているので」と書いたことが実は自社ルールだった、という誤りは信頼を損ないます。規範レベルを意識して分けて書きます。
前回の回答をそのままコピーする
体制や委託先は変わります。台帳に確認日を持たせて、古い回答をそのまま出さない仕組みにします。

運用のしかた

誰が答えるか

設問の種類答える人
体制・規程・教育・認証セキュリティ担当／管理部門
保存場所・ログ・権限・削除の技術仕様開発・インフラ（推測で書かせない）
契約条件・通知期限・監査受入れ法務＋セキュリティ担当（約束になるため単独で決めない）
提出・顧客とのやり取り営業（ただし内容の改変はしない）

いつ見直すか

エビデンスを求められたら

「規程を見せてほしい」「設定画面のスクリーンショットを」と言われることがあります。出せるもの・出せないものを先に決めておくと、その場で悩まずに済みます。

本ページは学習用の一般情報であり、個別の契約・案件についての助言ではありません。回答例はそのまま使うためのものではなく、自社の事実に置き換えて使ってください。契約条件に関わる回答（通知期限、監査受入れ、責任範囲など）は必ず法務と確認してください。