セキュリティ質問票に自信を持って回答する方法

大口の顧客との契約が近づくと、通常はセキュリティチェックシート（質問票）への記入を求められます。スプレッドシートの数十問の場合もあれば、標準形式の数百問に及ぶ場合もあります。小規模なチームにとっては、誰も勉強していない試験のように感じられるかもしれませんが、恐れる必要はありません。

相手が本当に尋ねていることを理解する

あらゆる質問票の根底にあるのは、「自社のデータをこの企業に預けても安全か」という1つの問いです。個々の項目は、アクセス制御、暗号化、バックアップ、インシデント対応、外部ベンダー管理、入社・退職時の対応など、見覚えのあるテーマばかりです。大半は限られたトピックの派生にすぎないため、事前の準備が大きな効果を発揮します。

回答集を作成する

頻出する質問への最新の回答をまとめたドキュメントを1つ作成し、年に数回見直します。それぞれの回答は、何を行っているか、どのツールを使用しているか、どの頻度で実施しているかを、簡潔かつ正確、具体的に記載します。そうすれば、次の質問票が届いたときも、締め切りに追われて一から書くのではなく、コピーと確認の作業で済むようになります。

未対応な点は正直に伝える

すべてに「はい」と答えたくなりますが、やめておきましょう。顧客のセキュリティ担当者はこうした書類を数多く読んでいるため、曖昧な回答や誇張はすぐに目につきます。まだ実施していないことがあれば正直に伝え、代替策やいつまでに対応する計画かを説明してください。

「現時点では未対応ですが、このような計画があります」という正直な回答のほうが、後日のヒアリングで破綻する回答よりもはるかに信頼を得られます。質問票の回答は契約書で参照されることもあるため、受注のためだけでなく正確性が重要です。

関連ドキュメントを準備しておく

多くの質問票では、情報セキュリティ方針、インシデント対応計画、最近のペネトレーションテストの概要、顧客データを扱う委託先の一覧など、裏付け資料の提出が求められます。必要になる前に作成し、簡潔かつ最新の状態に保ちましょう。顧客データがどこに保管されているかを示す1ページの構成図だけでも、驚くほど多くの質問の答えになります。

レポートに語らせる

SOC 2レポートを取得していれば、多くの顧客が質問票の大部分の代わりとして、あるいはSIG LiteやCAIQといった短縮版の標準フォーマットと合わせて受け入れてくれます。通常、レポートは秘密保持契約を結んだ上で開示します。レポートを取得するまでは、明確なセキュリティページと整備された回答集が、同様の役割を十分に果たしてくれます。

担当者を1人に決める

チーム内でたらい回しにされると、質問票の対応は停滞します。責任者を1人決めましょう。その担当者が回答を取りまとめ、各システムの責任者に確認し、最終版を送付します。回答したすべての質問票と提出内容のコピーを保管しておけば、顧客ごとの回答の整合性を保てます。

まとめ

回答を一度作成して正直かつ最新に保ち、規定類を用意し、担当者を1人に任せること。そうすれば、セキュリティ質問票は商談の停滞原因ではなく、通常の営業プロセスの一部になります。