セキュリティチェックシート(導入時の審査)

セキュリティチェックシートは、クラウドサービスなどを導入する前に、 提供する事業者のセキュリティ対策を、質問票の形で確かめるための書類です。 多くの企業が、情報システム部門などで独自の様式を用意しています。

研修や試験のシステムには、社員の氏名や成績といった個人情報が集まるため、 導入の前にこの審査を求められることがよくあります (個人情報の取り扱い)。

よく尋ねられる項目

分野	内容の例
組織・体制	セキュリティの責任者、社内規程、従業員への教育
データの保管	保管場所の国・地域、ほかの利用者のデータとの分け方(データの保存場所)
通信・保存の保護	通信の暗号化、保存データの暗号化(暗号化)
アクセスの管理	ログインの方式、2段階認証、SSO、権限
記録	操作の記録(監査ログ)、ログインの記録
障害への備え	バックアップ、復旧の手順、稼働率の目標
委託先	再委託の有無と、その管理(委託先の管理)
契約の終了	データの返却・削除の方法(データのエクスポート)

審査を進めるコツ

早めに始める 審査には、質問票のやりとりや社内の確認で時間がかかることがあります。 導入の時期が決まっているなら、候補のサービスが絞れた段階で始めます。

社内の分担を決める 情報システム部門、法務、個人情報の担当など、 誰がどの項目を確かめるかを先に決めておくと、やりとりが早く進みます。

扱うデータから考える すべての項目に同じ重みをつけるのではなく、 そのシステムで扱うデータの種類と量から、重点を置く項目を決めます。 社外の受験者の情報を扱う試験と、社内の研修とでは、確かめたい点が違うこともあります。

公開されている資料を先に読む サービスのセキュリティについての公開ページや利用規約で分かることは、先に確かめておきます。 そのうえで、分からない点を質問すると、やりとりの回数が減ります。

回答を読むときの注意

「はい」「いいえ」だけで判断しない 同じ「対応している」でも、その中身はサービスによって違います。 大事な項目は、どのように対応しているかの説明を求めます。

自社の側でやることも確かめる クラウドサービスでは、パスワードの方針や権限の割り当てなど、 利用する側が設定・運用することもあります。 事業者に任せる部分と、自社で担う部分を分けて整理します。

導入後も見直す サービスの内容や規約は変わることがあります。 契約の更新のときなどに、改めて確認する運用にしておくと安心です。

パレットLMS・パレットCBTについては、回答の材料としてセキュリティのページをご覧ください。