情報セキュリティ自社診断表は何を確かめる？回答根拠の残し方

1．診断票の質問は、設定・行動・周知に及ぶ

確認日：2026年11月3日。

IPAの「5分でできる！情報セキュリティ自社診断」は、診断項目への回答を通して自社の対策状況を把握するツールです。 配布元が公開しているガイドライン本体は第4.0版です。 この記事で対象にする付録の診断票は、巻末に「2026.6 Version 6.0」と記載されています。

診断票には、データの共有設定を必要な人に限定しているかを確かめる質問があります。 電子メールやFAXの宛先の送信ミスを防ぐ取り組みも確認対象です。 従業員への情報セキュリティ教育や注意喚起も質問に含まれます。

この記事では、回答とその根拠を記録する方法を扱います。安全認証や法令適合の判定は対象にしません。

2．回答の隣に、根拠へ戻れる欄を設ける

公式の質問文と回答の選択肢を保ち、社内用の補助記録を別に用意します。質問の内容を短く書き換えると、何を確認した回答なのか分からなくなるため、原文と照合できる形がよいです。補助記録には資料名だけでなく、確認した範囲と、その時点で分かった状態も残します。

下の表は、共有範囲に関する質問に添える補助記録の例です。実際の記入時には、それぞれの項目に対応する回答根拠へ置き換えます。

この例は補助記録の書き方を示したもので、回答自体は埋めていません。資料をそろえて対象範囲の状態を確認してから、公式票の回答を選び、その理由を補助記録に残す流れです。

3．「誰が言ったか」から「何を見たか」へ進める

担当者の説明を聞く際は、現在の状態を確かめられる資料や現物も合わせて見ます。「対応していると聞いた」という記録だけでは、後任者が同じ回答を再確認しにくくなります。確認した資料の名称、対象、分かったことを短くまとめておくと、聞き直す相手も定まります。

また、ルールが書かれていることと、運用されていることを分けて記録します。規程を読んだ段階では「ルールの存在を確認」、現場で扱いを確かめた段階では「運用を確認」と書き分ける方法があります。規程だけを根拠に、実際の運用まで確認したことにしないための整理です。

根拠を見つけられない状態と、確認した結果として未対応だった状態も区別します。前者は照会先と確認予定を、後者は残る対応と担当を記録することで、次に進める作業が変わります。記入担当だけで結論を埋めず、現物を管理する担当者との照合につなげます。

4．根拠資料は、診断表からたどれる場所で保管する

回答根拠は、診断表の中にすべて貼り付ける必要はありません。診断表には確認結果の要約を残し、詳しい資料は閲覧できる相手を決めた保管場所にまとめる方法があります。保管先には、資料名や対象範囲を添え、同名の資料があっても取り違えにくくします。

担当者の交代時に確認できるよう、個人だけが使える場所に依存しないことも運用上の工夫です。ただし、根拠資料を広く共有することを目的にはしません。診断表を読む相手と、詳細資料を見る相手を分け、管理状態の確認に必要な範囲で閲覧できるようにします。

認証情報そのものを回答根拠として転記する運用は避けます。資料を添える際も、関係のない情報まで複写するのではなく、何を確かめるための資料かを記録します。外部へ示す資料は、社内で保管する根拠一式から、提出目的に応じて選び直す扱いがよいです。

5．変更後は、影響する回答と根拠を更新する

自社診断を終えた後は、残る課題に確認先と担当を付けます。「対応予定」とだけ書くより、次に何を見れば回答を見直せるかまで残すと、点検の続きに取りかかりやすくなります。対応の完了と、その状態を確認したことは分けて扱います。

機器の入れ替えや担当者の交代、社内ルールの変更があったときは、関係する回答と根拠を読み直します。前回の回答を上書きするだけでなく、変更前の記録を残し、どの資料を見て判断を変えたかも記載します。前回と違う回答になった理由を後から説明するためです。

診断票を取り直した際は、質問と回答欄の変更も確かめます。以前の質問への回答を、そのまま新しい質問に当てはめないよう、対象資料を補助記録と結びつけて保管します。点数の記録だけで区切らず、回答の理由を見直せる状態までを社内の作業範囲に含める考え方です。

6．確認表

公開・共有の前に、この表で確かめます。

7．自社の事務の手順まで形にしたいとき

ここまでの確認を、自社の事務の手順書や、AIの結果を確かめる検査まで形にしたい場合は、当社のように、手順と検査の設計まで行う相談先が選択肢になります。オンラインは全国から対応しています。

自社の事務のどこから確認を入れるかを相談したい場合は、初回無料相談をご利用ください。法律・税務・労務の判断や、効果の約束は行いません。