件名：【{サービス名}導入検討】セキュリティチェックシート ご記入のお願い {ベンダー名} {担当者名}様 お世話になっております。{自社名} 情報セキュリティ室の{自分の名前}です。 弊社にて貴社の{サービス名}の導入を検討しており、つきましては社内手続きの一環としてセキュリティチェックシートのご記入をお願いいたします。 【ご依頼内容】 ・対象サービス：{サービス名} ・想定利用範囲：{想定利用範囲（例：全社員 約{人数}名 / 取扱データ：{データ種別}）} ・チェックシート項目数：{項目数}項目（添付 Excel） ・所要時間目安：{時間}時間 【ご回答期限】 {回答期限（目安：2週間）} 【提出先】 本メール宛にご返信ください。NDA 締結後でないと開示できない情報がある場合は、別途 NDA 締結の上で対応いたします。 【代替対応】 ISMS（ISO/IEC 27001）認証、SOC 2 Type 2 レポート、ISMAP 登録、または同等のサードパーティ認証をお持ちの場合、認証書・要約版レポートのご提示で代替可能な項目もございます。事前にお知らせください。 【追加でご提供いただきたい資料（あれば）】 ・情報セキュリティポリシー（要約版可） ・直近のペネトレーションテスト結果（要約版可） ・脆弱性診断報告書（要約版可） ・データセンターロケーション一覧 ・サブプロセッサー（再委託先）一覧 ご不明な点がございましたら、お気軽にお問い合わせください。 何卒よろしくお願いいたします。 {自社名} 情報セキュリティ室

【データ保管場所と暗号化】 本サービスのデータは、{クラウドプロバイダー（例：AWS / GCP / Azure）}の{リージョン（例：東京 ap-northeast-1）}リージョンに保管されています。 ■ データロケーション ・本番データ：{リージョン} ・バックアップ：{バックアップリージョン（同一リージョン内別 AZ または別リージョン）} ・ログデータ：{ログ保管リージョン} ・データの国外移転：{あり / なし}（あり の場合、移転先と SCC / 同等措置を記載） ■ 保存時暗号化（Encryption at Rest） ・方式：AES-256（{KMS 名（例：AWS KMS）}による鍵管理） ・対象：データベース、オブジェクトストレージ、バックアップ、スナップショット全てを暗号化 ・鍵のローテーション：{ローテーション頻度（例：年1回・自動）} ■ 通信時暗号化（Encryption in Transit） ・外部通信：TLS 1.2 以上（TLS 1.0 / 1.1 は無効化済み） ・内部通信：VPC 内通信も TLS 化（mTLS を{採用 / 部分採用}） ・証明書：{認証局名}発行、{有効期間}で自動更新 ■ 鍵管理 ・KMS：{利用 KMS} ・特権アクセス：{アクセス権限の管理方法} ・操作ログ：CloudTrail / Cloud Audit Logs にて全操作を記録、{保管期間}保管 ■ 関連認証 ・ISO/IEC 27001（ISMS）：取得済み（認証番号：{番号}、有効期限：{日付}） ・SOC 2 Type 2：取得済み（直近レポート：{期間}） ・{その他認証}

【アクセス制御・認証】 お客様および弊社内のアクセス制御について、以下のとおり実装しております。 ■ お客様のユーザー認証 ・パスワード要件：英大小文字・数字・記号を含む {最小桁数}文字以上、過去 {履歴数}世代の再利用禁止 ・多要素認証（MFA）：TOTP（Google Authenticator 等）/ FIDO2 / SMS をサポート（{プラン名}以上で必須化が可能） ・SSO：SAML 2.0 / OIDC（Okta / Azure AD / Google Workspace 連携実績あり） ・SCIM：v2.0 によるユーザー自動プロビジョニング対応 ・パスワードリセット：メールリンク方式（{有効時間}有効） ■ お客様のロール / 権限管理 ・RBAC：{ロール例（例：Owner / Admin / Member / Viewer）} ・権限の最小化：機能単位で粒度の細かい権限設定が可能 ・監査ログ：管理者操作・データアクセス・権限変更を記録、CSV エクスポート可能 ■ 弊社内（管理者・運用者）のアクセス制御 ・本番環境アクセス：踏み台サーバー経由、{MFA}必須、ジャストインタイムアクセス（{ツール名}による承認制） ・最小権限の原則：業務上必要な最小限の権限のみ付与、四半期に一度棚卸し ・特権アクセス記録：全操作を記録、{保管期間}保管 ・退職時：退職日当日中にアカウント無効化、鍵・端末回収 ■ ネットワーク分離 ・本番／ステージング／開発環境を VPC レベルで分離 ・本番データへのアクセスは IP 制限・VPN 必須

【セキュリティインシデント対応】 セキュリティインシデント発生時の体制および対応手順を以下に説明いたします。 ■ 体制（CSIRT） ・常設 CSIRT を設置（メンバー {人数}名、CISO 直下） ・24時間 365日のインシデント受付窓口を運用 ・外部専門事業者（{ベンダー名}）と緊急時対応契約を締結 ■ 検知 ・SIEM：{SIEM 名}による全環境のログ集約・相関分析 ・脅威検知：{EDR 名}を全本番サーバーに導入 ・脆弱性スキャン：週次でインフラ／コンテナイメージをスキャン ・WAF：{WAF 名}によるアプリケーション層の防御 ■ 対応プロセス 1. 検知 → CSIRT 招集（{招集時間目標}以内） 2. トリアージ・影響範囲特定 3. 封じ込め・根絶（緊急停止が必要な場合の権限はあり） 4. 復旧 5. ポストモーテム作成・再発防止策の実装 ■ お客様への通知 ・お客様の個人データ漏洩のおそれがある場合：原則として{通知時間目標（例：72時間）}以内にメールおよび管理画面で通知 ・通知内容：発生日時、影響範囲、原因、対応状況、お客様にお願いしたい対応 ・個人情報保護委員会への報告：法令に基づき速報・確報を実施 ■ 訓練 ・年 {回数}回、CSIRT 主導でインシデント対応訓練を実施 ・テーブルトップ演習および技術的演習を組み合わせ ・訓練結果を踏まえてプレイブックを更新 ■ 過去のインシデント開示 直近 {期間}年間における{重大度}以上のインシデント：{件数}件（詳細は NDA 締結後に開示可能）

【可用性・事業継続】 本サービスの可用性および事業継続計画（BCP）について、以下のとおり保証しております。 ■ SLA ・稼働率：月間 {稼働率}%（{プラン名}） ・SLA 未達時の補償：{補償内容（例：当該月利用料の {補償率}% を翌月相殺）} ・除外事項：計画メンテナンス、お客様の責による事象、不可抗力 ■ 冗長化構成 ・マルチ AZ：本番環境を {AZ 数}つ以上の AZ に分散配置 ・ロードバランサー：自動フェイルオーバー ・データベース：プライマリ／レプリカ構成、{自動 / 手動}フェイルオーバー ■ バックアップ ・頻度：{頻度（例：日次フル + 1時間毎の増分）} ・保管場所：{保管場所（同一リージョン別 AZ / 別リージョン）} ・保管期間：{期間} ・暗号化：保管時 AES-256 で暗号化 ・リストア訓練：四半期に1回実施、復旧時間目標（RTO）= {RTO}、復旧時点目標（RPO）= {RPO} ■ ディザスタリカバリ（DR） ・DR サイト：{DR サイト構成} ・想定復旧時間：{災害想定 RTO} ・年次 DR 訓練を実施 ■ 計画メンテナンス ・原則として日本時間 {メンテナンス時間帯（例：日曜日 1:00-5:00）}に実施 ・実施 {予告日数（例：7日）}前までに管理画面およびメールで告知 ・年間目安：{回数}回程度 ■ ステータスページ ・URL：{ステータスページ URL} ・障害発生時はリアルタイムで状況を公開

【再委託先（サブプロセッサー）一覧】 本サービスの提供にあたり、以下の事業者を再委託先（サブプロセッサー）として利用しております。 ■ インフラ ・{クラウドプロバイダー名}：本番インフラの提供。データ処理リージョン={リージョン}。準拠認証=ISO 27001, SOC 2, ISMAP ■ メール配信 ・{メール配信サービス名}：トランザクションメール配信。データ処理リージョン={リージョン} ■ 決済 ・{決済代行名}：クレジットカード処理。PCI DSS Level 1 準拠。カード情報は弊社では保持しません ■ サポート ・{サポートツール名}：問い合わせ対応。データ処理リージョン={リージョン} ■ 分析 ・{分析ツール名}：プロダクト利用分析。{個人特定情報の有無} ■ 監視・ログ ・{監視ツール名}：システム監視・ログ集約 【再委託先の管理】 ・契約締結：全ての再委託先と DPA / 個人情報取扱委託契約を締結 ・選定基準：ISO 27001 / SOC 2 等の第三者認証、データ処理ロケーション、財務健全性 ・定期評価：年次でセキュリティ態勢を評価 【変更通知】 再委託先を追加・変更する場合、原則として {通知日数（例：30日）}前までにお客様へ通知し、ご異議のお申し出機会を提供いたします。 最新一覧は下記 URL で常時公開しております： {サブプロセッサー一覧 URL}

件名：Re: セキュリティチェックシートご依頼の件 {依頼元会社名} {担当者名}様 お世話になっております。{自社名} 情報セキュリティ部の{自分の名前}です。 セキュリティチェックシートのご依頼、誠にありがとうございます。 弊社では複数のサードパーティ認証を取得しておりますため、これらをご提示することで多くの項目への回答に代えさせていただけないでしょうか。 【取得済み認証 / 報告書】 ・ISO/IEC 27001（ISMS）：認証番号 {認証番号}、有効期限 {有効期限} ・ISO/IEC 27017（クラウドセキュリティ）：取得済み ・SOC 2 Type 2：直近レポート期間 {期間}（NDA 締結のうえ開示可能） ・ISMAP：登録済み（管理番号 {管理番号}） ・プライバシーマーク：登録番号 {登録番号} 【ご提供可能な資料】 ・ISMS 認証書（写し） ・SOC 2 Type 2 レポート（NDA 締結後） ・セキュリティホワイトペーパー（{URL}より公開） ・脆弱性診断結果サマリー（NDA 締結後） ・サブプロセッサー一覧 【弊社からのご提案】 1. 上記認証・資料で代替可能な項目はチェックシート記入を省略 2. 残った項目（御社固有の懸念事項）にはチェックシート / 個別回答書で対応 3. 必要に応じて Web 会議で技術担当者がご質問にお答え この方式により、御社の評価コストを大幅に削減できると考えております。 ご検討のほど、よろしくお願いいたします。 {自社名} 情報セキュリティ部