このページの内容
違いの比較
| 観点 | 平時の質問票 | 事件のときの照会 |
|---|---|---|
| 目的 | 対策の状況を把握する | 特定の事件との関わりを確かめる |
| 送る時期 | 契約のとき・年に 1 回 | 事件が公表された後 |
| 聞くこと | 体制・MFA・バックアップ・教育など広く | 対象の製品の使用・バージョン・修正版・痕跡 |
| 問いの数 | 数十問になることもある | 3〜5 問に絞る |
| 回答の期限 | 数週間 | 数営業日 |
| 記録 | 回答の一式を保管 | 照会日・回答日・要約を 1 行ずつ |
平時の質問票の例
- 事件のときの連絡の窓口
- 管理画面・リモート接続での多要素認証の使用
- バックアップの保管の場所と、戻す手順を試した時期
- 使っている主な製品（VPN 機器・CMS など）
- SCS 評価制度などの取得の予定
項目の型セキュリティチェックシート →
事件のときの照会の例
{{製品名}}の脆弱性（CVE-{{年}}-{{番号}}）について、次の 3 点をお知らせください。
1. 当社向けのサービスでの使用の有無
2. 使用している場合、バージョンと修正版の適用の予定
3. 開発元が示す痕跡の確認の実施の有無
恐れ入りますが、{{日付}}までにご回答いただけますと幸いです。
文面の型委託先への照会メールの例文 →
2 つをつなぐ
平時の質問票で「使っている主な製品」と「連絡の窓口」を聞いておくと、事件のときの照会の相手をすぐに絞れます。事件のときの回答で分かったこと（使っている製品など）は、委託先リストに書き戻します。
よくある質問
- 平時の質問票と、事件のときの照会を 1 通にまとめてもよいですか。
- 分けることをおすすめします。事件のときの照会は 3〜5 問に絞り、数営業日で回答をもらうためのものです。広い質問を混ぜると、回答が遅れます。
原典・参考にした資料
- 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」
- サプライチェーン・サイバーセキュリティ・コンソーシアム（SC3）「SC3（IPA が事務局）」
- 独立行政法人情報処理推進機構（IPA）「SCS評価制度の詳細情報」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。