サプライチェーンを「信頼」から「確認」へ変えるための質問票

入口はサービスではなく、接点から考える

取引先のセキュリティ評価では、企業規模や認証の有無が目立ちやすい。もちろん重要な情報ではあるが、自社のリスクを直接示すとは限らない。見るべきは、どのデータが、どの権限で、どの経路から外部サービスへ渡るのかだ。

例えば、同じSaaSでも閲覧だけの利用と、顧客情報を一括で更新できる連携では、確認すべき条件が変わる。接点の粒度を上げると、質問は「安全ですか」から「この操作を誰が止められますか」「ログはどの期間見られますか」へ変わる。

質問票を会話の入口にする

質問票は、提出してもらったら終わりではない。回答を読む人と実際にサービスを使う人が違う場合、現場の運用と書面の前提がずれることがある。初回の確認では、次の四つのテーマを会話にする。

• データ — 保存場所、保持期間、削除の方法、二次利用の範囲。
• 権限 — 管理者の数、委託先のアクセス、緊急時の失効方法。
• 変更 — アップデート、再委託、仕様変更を知らせるタイミング。
• 復旧 — 障害や事故の際の連絡経路、代替手段、復旧目標。

この四つに答えられない部分は、ただちに取引を止める理由ではない。確認できないという事実をリスクとして記録し、契約・設定・利用範囲のどこで補うかを決める材料にする。

契約の後ろに運用を置く

契約時に確認した内容は、時間とともに変わる。担当者の交代、連携機能の追加、データの種類の変更を拾えなければ、最初の評価は過去の記録になる。四半期に一度、利用部門とセキュリティ部門が一緒に、権限と接続を棚卸しする。

重要なのは、サプライヤーを監視し続けることではなく、自社の依存関係を見える状態に保つことだ。切り離しに何日かかるのか、別の方法に置き換えられるのか、緊急連絡先は今も有効か。そこまで質問できれば、信頼は確認可能な手順に変わる。

供給網の安心は、相手を信じる量ではなく、変化を見つける仕組みでつくられる。

小さな台帳から始める

最初から全取引先の完璧な評価を目指すと、入力が止まる。まずは業務停止の影響が大きい接点、機密データを扱う接点、管理者権限を持つ接点を並べる。項目は少なくても、担当者、更新日、次に確認する問いを必ず置く。

台帳の価値は、情報量ではなく会話のきっかけにある。追加したサービスがどの経路で業務に入り、何が起きたら接続を止めるのかを、普段の言葉で説明できる状態を目指したい。