取引先からセキュリティ対策を求められたら？中小企業の相談先と費用
この記事を読むと分かること
「当社は官公庁や公的機関、ゼネコン大手との取引があり、サーバ設備や管理などセキュリティ体制に関してのチェックシート提出を求められることがよくあります」。「信用金庫さんとの提携で、ISMSを求められたり、あった方がベターだと言われたりすることは結構ありますね」。取引先からセキュリティ対策を求められる場面は、このような状況から生まれます。
この記事では、取引先からセキュリティ対策を求められた中小企業の方に向けて、対応の進め方を解説します。最初に、取引先が何を求めているのかを確認するのがおすすめです。求められるものは、チェックシートへの回答、ISMSやPマークの取得、診断の報告書、SCS評価制度への対応の4つに分かれます。SCS評価制度は、会社のセキュリティ対策の水準を★の数で示す、国の新しい制度です。求められたものの種類によって、頼み先と費用が変わります。自社でやること、無料で相談できる窓口、民間の頼み先と費用の目安を、求められたものごとに解説します。
セキュリティコンサルの会社ごとの導入事例は、セキュリティコンサルおすすめ12選にまとめています。
1. 取引先から求められるセキュリティ対策は4つ
取引先から求められるセキュリティ対策は、チェックシートへの回答、認証の取得、診断の報告書、SCS評価制度への対応の4つに分かれます。求められたものによって、自社だけで対応できる範囲と、頼み先が変わります。
取引先が対策の状況を確認するのは、サプライチェーン（取引でつながる委託元と委託先の全体）を通じたセキュリティの事故が増えているためです。IPA（独立行政法人情報処理推進機構）は、委託先を含めたサプライチェーン全体のセキュリティ対策が求められていると説明しています。
| 求められたもの | 中身 | 主な頼み先 | 費用の目安 |
|---|---|---|---|
| チェックシートへの回答 | 取引先が用意した質問票に、自社の対策の状況を回答する | 回答は自社で書く ルールづくりの相談は公的な窓口、規程の整備と回答の支援はセキュリティコンサル | 公的な窓口の相談は無料 規程の整備を頼むと中小企業向けで50〜150万円 |
| ISMS・Pマークの取得 | 審査機関の審査を受けて、認証を取得する | 取得支援のコンサルティング会社と審査機関 | ISMSの取得支援は、公開されている料金で1規格あたり月額3.5万〜5万円（税別） Pマークの取得支援は50〜300万円 審査費用は別 |
| 診断の報告書 | システムやネットワークの弱点を調べた結果を提出する | 診断を提供しているセキュリティ会社 | 見積もりで確認 |
| SCS評価制度の★の取得 | 対策の水準を★の数で示す国の制度で、★3か★4を取得する ★3・★4は2027年3月頃の運用開始を予定 | ★3はセキュリティ専門家の確認、★4は評価機関の評価 準備の支援はセキュリティコンサル | 事務局への登録料は★3が1万円（1年分）、★4が6万円（3年分） |
費用は5章「求められたものごとの費用の目安」、相談先は6章「取引先からセキュリティ対策を求められたときの相談先」で解説します。
チェックシートは、取引先が委託先の対策の状況を確認するための質問票です。ウイルス対策、パスワードの管理、社内のルールの有無などを、項目ごとに回答します。
ISMS（情報セキュリティマネジメントシステム）は、組織が情報を守る仕組みを運用していることを、国際規格のISO27001に沿って示す認証です。Pマーク（プライバシーマーク）は、個人情報について適切な保護の体制を整備している事業者に付与されます。チェックシートの項目に、ISMSやPマークの取得の有無が入っていることもあります。
SCS評価制度と★の意味
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、会社のセキュリティ対策の水準を、★の数で示す国の制度です。経済産業省と内閣官房国家サイバー統括室が方針を公表し、IPAが運営します。★の数は対策の段階を表していて、★3、★4、★5の3つがあります。
| 段階 | 対策の水準 | 取得の方法 |
|---|---|---|
| ★3 | 一般的なサイバー脅威に対処できる水準 | 自社で自己評価を記入し、セキュリティ専門家の確認と署名を受けて事務局に提出する |
| ★4 | 被害の拡大を防ぎ、取引先のデータやシステムを守ることまで含めた水準 | 評価機関による第三者評価と技術検証を受ける |
| ★5 | より高度なサイバー攻撃に対応する水準 | 基準と開始の時期は検討中 |
取引契約などで、委託元が委託先に「★3」「★4」のように段階を提示し、対策の実施状況を確認する使い方が想定されています。取引先から「★3を取得してください」と求められた会社は、★3の基準に沿って対策を行い、事務局に登録します。登録された会社は、事務局の台帳で公開されます。
IPAは、★3と★4について2027年3月頃の運用開始を予定していると案内しています。★3を先に取得していなくても、★4を取得できます。
2. 自社でやること・外に頼めること
チェックシートの回答の中身は、自社で書きます。自社のパソコンや情報をどう管理しているかは、自社にしか分からないためです。外に頼めるのは、回答の土台になるルールづくり、認証の取得に向けた準備、診断、制度への対応の支援です。
自社でやること
- 取引先が求めている内容と期限を確認します。チェックシートへの回答なのか、認証の取得なのかで、準備にかかる期間が大きく変わります
- 自社の現状を棚卸しします。使っているパソコン、クラウドサービス、取引先から預かっている情報、社内のルールの有無を書き出すと、回答できる項目と回答できない項目が分かれます
- 足りない対策を、基本の項目から整備します。IPAのガイドラインにある「情報セキュリティ6か条」のような基本の対策から始めると、チェックシートで回答できる項目が増えます
- チェックシートに回答を記入します。書き方で迷う設問は、取引先に設問の意図を確認すると回答しやすくなります
ルールづくりを自社で進める場合は、IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版が使えます。付録には、5分でできる情報セキュリティ自社診断、情報セキュリティ関連規程のサンプル、資産管理台帳のサンプルが入っています。
外に頼めること
- 規程や体制づくり。情報セキュリティの基本方針、社内のルール、事故が起きたときの連絡の体制を、専門家と一緒に整備します
- ISMS・Pマークの取得に向けた準備。必要な文書の作成、社員への教育、内部監査、審査への対応を支援してもらえます
- セキュリティ診断。システムやネットワークの弱点を専門の会社が調べ、結果を報告書にまとめます
- チェックシートへの回答の支援。回答する内容の整理や、足りない対策の洗い出しを、セキュリティコンサルに頼めます。回答の支援を公式サイトで明記している会社は、7章「取引先から求められたときに頼めるセキュリティコンサル」で紹介しています
- SCS評価制度への対応。現状と基準の差を調べ、★の取得に向けた対策と書類の準備を支援してもらえます
ISMSとPマークは、審査機関の審査を受けて取得します。コンサルティング会社が支援するのは、審査に向けた準備です。
SCS評価制度は、★3と★4で評価の方法が違います。★3はセキュリティ専門家の確認、★4は評価機関の評価が必要で、コンサルティング会社が支援するのは、評価に向けた対策と書類の準備です。
3. セキュリティ対策を外に頼むメリット
セキュリティ対策を外に頼むと、準備にかかる時間と、担当者の負担を減らせます。
- 準備の範囲と順番を、専門家と決められます。取引先に求められた水準に対して、足りない対策と、やらなくてよい作業を区別できます
- 兼務の担当者の負担が減ります。規程や記録の様式の原案をコンサルティング会社が用意する場合は、担当者は自社の実態に合っているかの確認に時間を使えます
- 取引先への説明がしやすくなります。認証の取得や第三者の診断の結果は、自社の対策を取引先に示す根拠になります
4. 取引先に回答するときの注意点
取引先に回答するときには、気をつける点や、思っていたのと違った、という場面も出てきます。どれも、回答の前の準備で備えられます。
- チェックシートには実態に沿って回答します。取引先から根拠の提示を求められることがあるため、できている項目には記録や規程を用意しておくと安心です
- 社内のルールは、現場の運用と合わせます。規程を作っても現場が知らない状態だと、取引先の確認や審査で説明ができなくなります
- 対応できていない項目は、改善の予定と合わせて伝えるとスムーズです。いつまでに何を整備するかを書いておくと、取引先も判断がしやすくなります
- 認証の取得には数か月かかります。公開されている例では、取得までの期間は4か月〜9か月の案内が中心のため、取引先に求められた水準と期限を先に確認することが大事です
5. 求められたものごとの費用の目安
ISMSの取得支援は、公開されている料金で1規格あたり月額3.5万〜5万円（税別）です。公的な窓口への相談は無料で、SCS評価制度の★3は事務局への登録料が1万円（1年分）です。
| 頼む内容 | 頼み先 | 費用の目安 |
|---|---|---|
| 情報セキュリティ対策の相談 | 中小機構の相談窓口 | 無料（1回60分、オンライン） |
| 規程の整備 | セキュリティコンサル | 中小企業向けで50〜150万円 公開されている料金には、体制構築のプラン例で50万円（2か月）の例 |
| 現状のリスク診断（情報の扱い方やシステムのリスクの洗い出し） | セキュリティコンサル | 中小企業向けで1回50〜150万円 |
| 脆弱性診断（システムやネットワークの弱点を調べる診断） | 診断を提供しているセキュリティ会社 | 見積もりで確認 |
| ISMSの取得 | 取得支援のコンサルティング会社 | 公開されている料金では、月額制が1規格あたり月額3.5万〜5万円（税別）、総額制が65.8万円（税込）から、または78万円から。78万円は1業種・1拠点・従業員50名が前提の参考価格 審査機関に支払う審査費用は別 |
| Pマークの取得 | 取得支援のコンサルティング会社 | 50〜300万円 公開されている料金には49万円（税抜）からの例 |
| 相談先を月額で持つ | セキュリティ顧問 | 公開されている料金には、小規模企業向けで月額7万円（年更新）の例 |
| SCS評価制度の★の取得 | 事務局（IPA）への登録 | 登録料は★3が1万円（1年分）、★4が6万円（3年分）。どちらも税込 |
SCS評価制度の登録料は、IPAが2026年9月に公表した金額です。登録の受付は2027年3月以降に始まる予定です。★3の1万円は2028年3月31日までの料金で、2028年4月1日以降は2万円（1年分）になります。
ISMSやPマークを取得する場合は、コンサルティングの料金に加えて、審査機関に支払う審査費用が必要です。契約の形ごとの費用と、会社ごとの公開料金は、セキュリティコンサルの費用相場で解説しています。
6. 取引先からセキュリティ対策を求められたときの相談先
相談先は、取引先が認証の取得まで求めているかどうかで分かれます。無料で相談するなら中小機構の「IT経営サポートセンター」、認証の取得が必要なら民間の取得支援の会社です。チェックシートへの回答や社内のルールづくりは、無料の公的な窓口と公開されている資料で進められます。認証の取得が取引の条件になっている会社や、期限が決まっている会社には、民間のコンサルティング会社がおすすめです。
無料の公的な窓口で進められる会社
チェックシートを受け取ったばかりで、何が足りないのかを知りたい会社は、公的な窓口から始められます。使える窓口と資料は次の4つです。
- 中小機構の「IT経営サポートセンター」。IT活用や情報セキュリティ対策の相談を、オンラインで受け付けています。相談は無料、1回60分で、何度でも利用できます。特定のITツールやベンダーに偏らない中立的な立場からの助言だと案内されています
- IPAの「中小企業の情報セキュリティ対策ガイドライン」。第4.0版が公開されていて、付録の規程のサンプルは、SCS評価制度の★3・★4の要求事項に対応する形で見直されています
- IPAの「SECURITY ACTION」。中小企業が情報セキュリティ対策に取り組むことを自己宣言する制度です。一つ星と二つ星があり、ロゴマークを無料で使えます。IPAが対策の状況を認定する制度ではないため、取引先には「宣言しました」と伝えます
- IPAの「中小企業向けサイバーセキュリティ対策支援者リスト」。情報処理安全確保支援士（登録セキスペ）の資格者のうち、中小企業向けの支援ができる専門家の得意分野が分かるリストです。SCS評価制度の★3の確認と助言を行う専門家も、今後掲載される予定です
IPAは、SCS評価制度の★3・★4の取得の準備段階として、SECURITY ACTIONの自己宣言から始めることを勧めています。申し込みには、GビズID（複数の行政サービスを1つのアカウントで利用できる認証システム）のアカウントが必要です。
民間のコンサルティング会社に頼むほうが合う会社
次のような状況の会社は、民間のコンサルティング会社に頼むと進めやすくなります。
- ISMSやPマークの取得が、取引や入札の条件になっている会社。審査に必要な文書の作成から審査への対応までを、取得支援の会社と一緒に進められます
- 取引先から期限を示されている会社。審査の日程から逆算したスケジュールを、最初の打ち合わせで組めます
- セキュリティの担当者が、ほかの業務と兼務している会社。文書の原案づくりを任せると、担当者が通常の業務を続けながら準備を進められます
- 診断の報告書を求められた会社。システムの弱点を調べる診断は、専門の会社に依頼します
7. 取引先から求められたときに頼めるセキュリティコンサル
7章では、取引先から求められた場面への対応か、SCS評価制度への対応を、公式サイトで明記しているセキュリティコンサルを掲載しました。掲載した会社は、セキュリティコンサルおすすめ12選で紹介している会社から選んでいます。
| サービス名 | 取引先から求められたときに頼めること | 公開されている料金 | 契約の形 |
|---|---|---|---|
| オプティマ・ソリューションズ | ISMS・Pマークの取得支援、情報セキュリティ診断 | ISMS取得 月39,800円（税別）〜 | 月額制 |
| UPF | Pマーク・ISMSの取得支援 | ISMS新規取得 65.8万円（税込）〜（適用範囲につき）。Pマーク取得 49万円（税抜）〜 | 総額制 |
| レオセキュアテック | チェックシートの提出を求められたときの相談、外部セキュリティ顧問、ISMS・Pマークの取得支援 | 小規模企業向けのプラン例として、セキュリティ体制構築プラン 50万円（2カ月）、セキュリティ顧問契約プラン 月額7万円（年更新） | 月額料金制・一括料金制 |
| VLCセキュリティ | セキュリティチェックリストへの回答対応のサポート、ISMS・Pマークの取得支援、SCS評価制度のアセスメント | 公式サイトでご確認ください | 公式サイトでご確認ください |
| LRM | ISMSの取得支援（短期取得コースあり） | 公式サイトでご確認ください | 公式サイトでご確認ください |
| 認証パートナー | ISMS・Pマークの取得支援、SCS評価制度の支援 | 1規格 月額50,000円（税別）。年間60万円（税別）を一括払い | 月額制（年額を一括払い） |
| レオンテクノロジー | SCS評価制度の伴走支援、ISMSの取得支援、脆弱性診断 | 公式サイトでご確認ください | 公式サイトでご確認ください |
料金は各社の公式サイトの表記のままです。税込か税抜かも各社の表記に従いました。掲載したのは公式サイトに明記がある会社で、ほかの会社も取引先から求められた相談に対応している場合があります。各社が公開している導入事例と依頼主の声は、セキュリティコンサルおすすめ12選で1社ずつ紹介しています。
オプティマ・ソリューションズ
| 運営会社 | オプティマ・ソリューションズ株式会社（東京都千代田区、2005年設立。大阪、名古屋にオフィス） |
|---|---|
| 取引先から求められたときに頼めること | ISMS・Pマークの取得支援、情報セキュリティ診断サービス |
| 公開されている料金 | ISMS取得 月39,800円（税別）〜 |
| 契約の形 | 月額制。契約期間は20か月で、その後は1か月単位の自動更新 |
オプティマ・ソリューションズは、オプティマ・ソリューションズ株式会社が運営する、PマークとISMSの取得支援を中心にしたサービスです。ISMS取得支援のページでは、「取引先から早急にISMS取得するよう言われた...」という状況の会社に、取得支援サービスを勧めています。料金はISMSの取得が月39,800円（税別）からで、契約期間は20か月です。
UPF
| 運営会社 | 株式会社UPF（東京都中央区） |
|---|---|
| 取引先から求められたときに頼めること | Pマーク・ISMSの新規取得と更新の支援 |
| 公開されている料金 | ISMS新規取得 65.8万円（税込）〜（適用範囲につき）。Pマーク取得 49万円（税抜）〜 |
| 契約の形 | 総額制 |
UPFは、株式会社UPFが運営する、PマークとISMSの取得と更新を支援するコンサルティングサービスです。公式サイトのトップには、相談の例として「今の取引先から「Pマークを取得してくれ」と急に言われた」と記載されています。料金は総額制で、ISMSの新規取得が65.8万円（税込）から、Pマークの取得が49万円（税抜）からです。
レオセキュアテック
| 運営会社 | レオセキュアテック株式会社（東京都中央区） |
|---|---|
| 取引先から求められたときに頼めること | セキュリティコンサルティング、外部セキュリティ顧問、ISMS・Pマークの取得支援 |
| 公開されている料金 | 小規模企業向けのプラン例として、セキュリティ体制構築プラン 50万円（2カ月、6回の打ち合わせ含む）、セキュリティ顧問契約プラン 月額7万円（年更新）。料金は組織の規模と内容で変わる |
| 契約の形 | 月額料金制・一括料金制 |
レオセキュアテックは、レオセキュアテック株式会社が運営する、セキュリティのコンサルティングと外部顧問のサービスです。コンサルティングのページでは、「取引先からセキュリティ評価やチェックシートの提出を求められた。期限までに体制を説明しなければならない。」という急ぎの相談にも対応すると明記しています。小規模企業向けのプラン例として、セキュリティ体制構築プランが50万円（2カ月）、セキュリティ顧問契約プランが月額7万円（年更新）と公開されています。
VLCセキュリティ
| 運営会社 | 株式会社VLCセキュリティコンサルティング（旧 株式会社バルク。株式会社VLCセキュリティのグループ事業会社） |
|---|---|
| 取引先から求められたときに頼めること | セキュリティレベル適合チェックサービス、ISO27001（ISMS）・Pマークの取得支援、セキュリティ診断、V-Sec GC SCS評価制度 |
| 公開されている料金 | 公式サイトでご確認ください |
| 契約の形 | 公式サイトでご確認ください |
VLCセキュリティは、株式会社VLCセキュリティコンサルティングが認証の取得支援を担当している、セキュリティのコンサルティングサービスです。「セキュリティレベル適合チェックサービス」は、「取引先等からのセキュリティチェックリストへの回答対応をサポートします。」と紹介されています。SCS評価制度には、現状と★3・★4との差を調べるアセスメントサービス「V-Sec GC SCS評価制度」で対応しています。
LRM
| 運営会社 | LRM株式会社（東京都品川区、2006年設立。神戸、名古屋にオフィス） |
|---|---|
| 取引先から求められたときに頼めること | ISMS（ISO27001）の認証取得コンサルティング。短期取得コースあり |
| 公開されている料金 | 公式サイトでご確認ください |
| 契約の形 | 公式サイトでご確認ください |
LRMは、LRM株式会社が運営する、ISMS（ISO27001）の認証取得コンサルティングを中心にしたサービスです。短期取得コースのページには、おすすめの企業として「取引関係でISMS/ISO27001の早期取得を求められている」と記載されています。短期取得コースは、ISMSの取得を急いでいる会社に向けたコースです。
認証パートナー
| 運営会社 | 株式会社スリーエーコンサルティング（大阪府大阪市、1999年創業。東京支社は東京都新宿区） |
|---|---|
| 取引先から求められたときに頼めること | ISO27001（ISMS）・Pマークの認証取得と運用のサポート、SCS評価制度支援サービス |
| 公開されている料金 | ISO・Pマークは1規格 月額50,000円（税別）。年間60万円（税別）を一括払い。SCS評価制度支援サービスの料金は公式サイトでご確認ください |
| 契約の形 | 月額制（年額を一括払い）。契約期間は最低1年 |
認証パートナーは、株式会社スリーエーコンサルティングが運営する、ISO・Pマーク・ISMSの認証取得と運用のサポートサービスです。SCS評価制度支援サービスは、「経済産業省の「サプライチェーン強化に向けたセキュリティ対策評価制度」の要件準拠から、審査エビデンスの整備まで。」と打ち出されています。ISOとPマークの料金は1規格で月額50,000円（税別）で、新規の認証と運用・更新で共通です。
レオンテクノロジー
| 運営会社 | 株式会社レオンテクノロジー（東京都豊島区） |
|---|---|
| 取引先から求められたときに頼めること | SCS評価制度伴走支援サービス、ISMS認証取得支援、脆弱性診断 |
| 公開されている料金 | 公式サイトでご確認ください |
| 契約の形 | 公式サイトでご確認ください |
レオンテクノロジーは、株式会社レオンテクノロジーが運営する、セキュリティ診断とコンサルティングのサービスです。SCS評価制度伴走支援サービスは、「SCS評価制度で定められた★3・★4の評価取得に向けて、現状把握から改善計画の策定、対策実行、再評価まで一気通貫で伴走支援するサービスです。」と紹介されています。診断の報告書を求められた場合は、脆弱性診断も依頼できます。
8. セキュリティ対策を頼む前に決めること
コンサルティング会社に相談する前に、次の4つを整理しておくと、見積もりと提案の内容が具体的になります。
- 取引先に、求めているもの、期限、対象の範囲を確認することが大事です。チェックシートへの回答で足りるのか、認証の取得まで必要なのかが分かると、頼む内容と費用が絞り込めます
- 社内の担当者を選任すると進めやすくなります。コンサルティング会社とのやり取りと、社内への確認をまとめる窓口の担当者がいると、準備が止まりにくくなります
- 認証を取得する範囲を決めることが必要です。会社全体で取得するのか、取引先の業務を担当する部門に絞るのかで、準備の量と費用が変わります
- 料金に含まれる範囲を確認すると安心です。文書の作成、審査への立ち会い、取得後の運用の支援がどこまで入るかと、審査機関に支払う審査費用を、見積もりの段階で聞いておくと予算が組めます
コンサルティング会社を比べるときに見る点は、セキュリティコンサルの選び方にまとめています。
9. 取引先から求められるセキュリティ対策に関するよくある質問
取引先からセキュリティチェックシートが届いたら、何から始めればよいですか？
取引先が求めているもの、提出の期限、回答する対象の範囲を確認することから始めます。そのうえで、使っているパソコンやクラウドサービス、社内のルールを棚卸しすると、回答できる項目と、対策が必要な項目が分かれます。
取引先からISMSを取るよう言われたら、何から始めればよいですか？
取引先が求めている期限と、認証を取得する範囲を確認することから始めます。ISMSは審査機関の審査を受けて取得し、公開されている例では、取得までの期間は4か月〜9か月の案内が中心です。期限が決まっている場合は、取得支援の会社2〜3社に同じ条件で見積もりを頼むと、費用と期間を比べられます。取得支援の会社を比べるときは、ISMSコンサルの選び方が参考になります。
セキュリティの担当者がいない中小企業でも、取引先の要求に対応できますか？
担当者がいない中小企業でも、中小機構の無料相談で自社診断と社内のルールづくりを進められます。IT経営サポートセンターでは、専門家がオンラインで相談に対応しています。期限が短い場合や認証の取得が必要な場合は、文書の原案づくりまで任せられるコンサルティング会社が候補です。
ISMSとPマークは何が違いますか？
ISMSは情報セキュリティ全般、Pマークは個人情報の保護を対象にした認証です。ISMSは、組織が情報を守る仕組みを運用しているかを審査します。Pマークは、個人情報の保護の体制を審査し、法人単位で付与されます。どちらを求められているかは取引先によって違うため、チェックシートや契約の条件に書かれた名称を確認することが大事です。Pマークの取得支援の会社は、Pマークコンサルの選び方で比べられます。
SCS評価制度はいつから始まりますか？
IPAは、★3と★4について2027年3月頃の運用開始を予定していると案内しています。★5の基準と開始の時期は検討中です。準備を始める場合は、IPAが公開している要求事項と、中小企業の情報セキュリティ対策ガイドラインの付録が使えます。
10. まとめ
取引先からセキュリティ対策を求められたら、最初に何を求められているのかを確認します。チェックシートへの回答は自社で書き、ルールづくりは中小機構の無料相談とIPAの資料で進められます。認証の取得や診断、SCS評価制度への対応が必要な場合は、民間のコンサルティング会社が頼み先です。
まずは、取引先に確認する内容として、求められているもの、期限、対象の範囲の3点を書き出してみてください。認証の取得まで必要だと分かったら、同じ条件で2〜3社に見積もりを頼むと、費用と期間を比べられます。