セキュリティチェックシートに回答するとき

セキュリティチェックシートとは何ですか？

企業が業務委託先やクラウドサービスの導入前に、相手のセキュリティ体制を確認するために送る質問票です。エンタープライズとの商談、受託開発の納品、SaaS の導入審査などの場面で発生し、数十〜数百問におよぶこともあります。サプライチェーン攻撃の増加を背景に委託先管理は年々厳格化しており、判断基準が属人化したまま運用されている企業が約7割にのぼるという調査もあります（出典: SecureNavi「日本企業のリスクチェック実態調査 2026」、prtimes.jp/main/html/rd/p/000000159.000089471.html）。

回答できない設問が残ると、商談や検収がそこで止まります。そして設問の一定割合は、自社の体制ではなく利用しているホスティングの事実を問うものです。

ホスティング起因で必ず聞かれる設問はどれですか？

シートの書式は会社ごとに異なりますが、インフラ関連の定番は次のとおりです。

• データの保管場所: サーバー・データベース・ログの物理的な所在国、リージョン
• アクセス制御: 管理画面や非公開環境へのアクセス制限（IP 制限、認証）
• 通信の暗号化: TLS/SSL の適用状況
• ログの取得・保管: アクセスログ・操作ログの取得可否と保管場所
• バックアップ: データの退避と復旧の手順
• インシデント対応: 障害・漏えい時の連絡窓口と対応言語
• 第三者認証: ISMS（ISO 27001）、プライバシーマーク等の取得状況

認証を取得していない項目はどう回答すればよいですか？

チェックシートは認証の有無だけで合否が決まるものではなく、多くの場合「代替統制」——認証はないが同等の管理をこの方法で実施している、という説明——が受け付けられます。回答の型は次の3段です。

1. 事実をそのまま書く: 保管場所・暗号化・ログなど、確認可能な事実は具体的に記載する
2. 代替統制を説明する: 認証未取得の項目は、実施している管理策（アクセス制限、権限管理、ログ確認の運用など）を書く
3. 確認先を明示する: 利用ホスティングの公開情報（ドキュメント・約款）を出典として添える

つまずきやすいのは 1 です。海外 PaaS では、コンピュートの実行リージョンは東京を選べても、ビルドの実行場所やログの保存先が海外に残り、「データ一式の所在国」を一言で回答できないことがあります。詳細は国内データ所在が要件のときを参照してください。

hanamii を使っている場合はどう書けますか？

hanamii はさくらインターネットの日本国内データセンター上で稼働しており、ホスティング起因の設問には次の事実で回答できます。

• データ保管場所: 日本国内（アプリケーションの実行環境が国内で完結）
• アクセス制御: IP 制限・Basic 認証を設定可能
• 通信の暗号化: 独自ドメインを含め SSL を自動適用
• ログ: 管理画面からアクセスログ・アプリケーションログを確認可能
• サポート窓口: 日本語で対応
• 契約: 円建て・請求書払いに対応（円建て・請求書払いで利用したいとき参照）

ホスティングを国内前提のサービスにしておくと、シートのインフラ設問が「調べれば埋まる」状態になり、回答が止まる箇所を自社の統制の説明だけに絞れます。受託案件での使い方は受託・制作会社の顧客案件で使うときを参照してください。

※本ガイドは一般的な情報提供であり、個別のチェックシートの合否を保証するものではありません。