セキュリティ点検を頼む前に、確認しておきたいこと

どこまで調べ、何を受け取り、その後は誰が直すのか。

依頼前にそろえるのは、範囲・許可・成果物・情報管理

セキュリティ点検の相談では、何をどの方法で確かめ、誰の許可で行い、何を受け取り、情報をどう扱うかを先に合意します。NCSCの侵入テストの資料も、対象や方法を定め、結果を改善へ使う観点を説明しています。ただし、資料や設定の点検と侵入テストは同じ内容ではありません。以下はSONAEの依頼時の確認案です。会社が求める判断と、提供者が実施する作業のずれを減らすために使います。

対象を、会社が管理できる範囲で特定する

Webサイト、業務クラウド、端末、利用者など、調べたい対象を識別できる形で整理します。自社が所有するものと、取引先や保守会社、クラウド提供者が管理するものを分けます。ドメインを知っていることや公開されていることだけで、試験する権限があるとは判断しません。対象の所有者、管理権限、委任を認める責任者、第三者の契約条件を確認します。対象外のシステムも示し、追加で見つかった対象を無断で調べない約束を作ります。

方法と、影響が出たときの止め方を合意する

ヒアリング、資料確認、管理画面の確認、接続を伴う試験、設定変更などを分けます。実施する人、作業時間、接続元、負荷や送信の扱い、禁止する操作、停止を求める連絡先を決めます。架空の業務クラウドの例なら、設定を閲覧する確認と、外部へ共有してみる試験は別の承認にします。診断ツールの名前が同じでも、使う機能や設定で影響は異なります。自動化やAIを使うことを、許可の範囲を広げる理由にしないようにしましょう。

報告書で、何を判断したいかを伝える

対象、方法、時点、確認した事実、根拠、優先度の理由、未確認を成果物へ含めるか聞きます。指摘の一覧だけでなく、誰が次に何を行い、どう完了を確かめるかを確認します。改善案の説明、設定変更の代行、再点検は別の作業になる場合があります。点検した範囲に問題が見つからなかったことを、全社の安全や将来の事故防止の保証へ広げません。サンプルレポートを見ながら、読む担当が理解できる表現と根拠の参照方法を合意しましょう。

総額と、資料の保存・削除の条件を確かめる

初回の点検、任意の継続支援、変更、再確認、緊急対応、追加の対象など、料金に含む範囲を分けます。見積りの前提と正式な価格、別途の承認が必要な費用も確認します。渡す資料は必要な範囲へ絞り、参照できる人、受渡しの経路、外部サービスやAIの利用、保存期間、削除、バックアップに残る範囲を相談します。秘密の値を通常の相談フォームへ貼らないようにします。契約や法律の条件は、必要な責任者と専門家が確認します。

委任の記録と、終わった後の受入を残す

合意した対象と方法、許可する人、版、実施する期間、連絡先を追える記録にします。追加作業はその都度範囲を確認し、最初の相談を包括的な許可と扱いません。報告の読み合わせでは、確認したことと未確認、改善の担当と期限、残るアクセスや資料の終了を確かめます。SONAEの法人向け支援は準備中で、診断の受付・契約・顧客環境への接続は行っていません。このひな型は相談準備のための案で、署名済みの委任状ではありません。

依頼書の一行を、作業できる条件へ書き直す

「会社のセキュリティを全部見てください」では、確認対象も成果物も決まりません。架空の依頼を「会社が契約する業務クラウドAの管理設定を、担当者の画面共有と資料で確認する。外部からの接続試験や設定変更は含めない」と書き直します。対象を特定する名称と管理者、許可する確認方法、対象外を並べると、両者が同じ作業を想像できます。見積書の対象がクラウドBになっていたり、再確認が別料金なのに含むと理解していたりする差は、作業の前に解消します。

依頼書を受け入れる前に、三つの場面を読み合わせる

対象外のサービスが見つかったら、追加の許可が出るまで調べません。業務への影響を利用者が訴えたら、合意した連絡先へ伝え、停止判断を求めます。報告書の根拠が不足していたら、事実・推定・未確認を分けてもらいます。ひな型の欄を埋めただけでは委任は成立しません。権限のある責任者が、対象と方法を特定した記録を確認し、正式な合意を残す必要があります。契約条件や第三者の許可が分からない欄は、推測で承認済みにしないでください。

公式資料の対応：NCSC「Penetration testing」の対象・報告・フォローアップと、「Choosing an MSP」の契約・役割分担を参照。項目の並べ方、架空例、受入チェックはSONAEの運用提案です。

相談前の確認表

• 対象・方法・作業時間帯・停止条件を確認する
• 管理権限と委任・必要な許可を確認する
• 成果物・再確認・設定変更の分担を確認する
• 総額・追加費用・保存期間・削除方法を確認する

参考資料（確認日：2026年10月23日）：NCSC：Penetration testing — scope and follow-up ↗ ／ NCSC：Choosing a managed service provider ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。