SUPPLY CHAIN SECURITY / WHITE PAPER

発注元のセキュリティチェックシートに、
「外部とのファイル受渡し」で答えるための実務ガイド

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）を見据えた、データ転送要件の整理と回答文例

本資料の位置づけ（最初にお読みください） SCS評価制度は、組織全体のセキュリティ対策を評価する制度であり、特定の製品・ツールを認証する制度ではありません。したがって、ツールの導入のみで★3・★4の水準を満たすことはできません。

本資料は、制度の要求事項および発注元から送付されるセキュリティチェックシートのうち、「社外との安全なデータ受渡し」に関する設問に絞り、Transfer Center Business の機能でどこまで説明できるかを整理し、そのまま使える回答文例を提供するものです。組織的対策（規程整備・教育・インシデント体制等）は別途対応が必要である旨を明記しています。

1.SCS評価制度の要点 ― なぜ今、準備が必要か

経済産業省・内閣官房国家サイバー統括室が制度を策定し、IPAが運営する制度で、2026年3月27日に制度構築方針が公表されました。運用開始は2026年度末ごろが予定されており、取引開始・継続の前提条件として星の取得を求められる可能性があります。

	★3	★4	位置づけ
要求事項数	26件	43件	★3は「全てのサプライチェーン企業が最低限実装すべき対策」、★4は「標準的に目指すべき対策」とされ、組織ガバナンス・取引先管理・システム防御・インシデント対応まで含む包括的な内容。外部とのデータ受渡しは、両段階で必ず論点になる領域です。
評価方式	専門家確認付き自己評価	第三者評価＋技術検証（実地審査あり）
有効期間	1年	3年
参照元	自工会・部工会ガイドLv1／Cyber Essentials 等	自工会・部工会ガイドLv2〜3／分野別ガイドライン等

出典：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日）、IPA「SCS評価制度の詳細情報」。要求事項・評価用ガイドは今後詳細化・公表予定のため、最新情報は各公式サイトをご確認ください。

2.チェックシートで問われる項目と Transfer Center Business の対応状況

発注元から送付される調査票で頻出する設問を、実際の様式に近い粒度で整理しました。「◎＝本サービスで説明可能」「△＝貴社側の運用・規程とあわせて回答が必要」と区分しています。

No	確認される項目	Transfer Center Business の機能・仕様	対応	回答例
1	通信経路の暗号化	TLSによる暗号化通信。CRYPTREC「TLS暗号設定ガイドライン」準拠を確認済み（TLS通信安全性評価 Grade A、評価レポートを公開）	◎	Q3
2	保管データの暗号化	アップロードされたファイルを AES-256 で暗号化して保存	◎	Q3
3	データの保管場所・越境移転	サーバは日本国内に設置。国外へのデータ移転は発生しません	◎	Q4
4	誤送信・第三者漏洩の防止（脱PPAP対応）	OTP（ワンタイムパスワード）による受信者本人認証（メール／SMSはオプション）、ダウンロード可能ユーザの限定、パスワードアクセス制限、有効期限設定	◎	Q1
5	外部からのファイル受領時の対策	ファイル集荷機能。受渡し元に対してもメールアドレス認証を実施し、身元不明の第三者による不正アップロードを遮断	◎	Q2
6	認証・アカウント統制	MFA（Google / Microsoft Authenticator 等に対応、利用者ごとに個別設定可）、ユーザ権限管理（マスター／管理者／一般）、アカウントロック	◎	Q5
7	退職者・異動時の権限棚卸	管理者によるユーザ追加・削除・権限変更が管理画面から即時に可能	△	Q6
8	操作履歴・監査証跡	ファイルの送信・集荷・ダウンロードに関する操作履歴（実施日時、対象ファイル、宛先、ダウンロード実施状況）を取得し、管理画面のダッシュボードおよび送信管理画面から確認可能。ログの保持期間は1年間	◎	Q7
9	保管期間の管理と確実な削除	送信ごとに有効期限と自動消去を設定可能。期限終了後はファイルが自動的に消去され、管理者による手動削除にも対応	◎	Q8
10	マルウェア対策	ファイルアップロード時に自動でウイルスチェックを実施	◎	Q9
11	不正アクセス・外部攻撃対策	Firewall に加え、レイヤ3〜7を保護する IPS/IDS、Webアプリケーションを保護する WAF を導入	◎	Q10
12	脆弱性管理・セキュリティ更新	継続的な機能改善とセキュリティ強化を実施し、内容をアップデート情報として公開（例：ダウンロードページのセキュリティ強化、セキュリティコードの英数字混在化等）	◎	Q11
13	障害・インシデント時の連絡体制／可用性	SLAを公開（月間稼働率99.9%以上を目標、未達時のサービスクレジットを規定）。障害受付は「緊急」区分で24時間365日・初回応答目標2時間以内。定期メンテナンスは2日前までに告知、緊急時は速やかに電子メール等で通知。障害の発生・復旧はコーポレートサイトで公表	◎	Q12・Q13
14	成りすまし・フィッシング対策	ダウンロードURLに貴社の自社ドメインのサブドメイン（例：xxx.yourcompany.co.jp）を使用可能。受領側が送信元の正当性を確認でき、ダウンロード画面に広告は一切表示されません	◎	Q14
15	社内規程・教育・第三者認証	本サービスは電気通信事業者として届出済（総務省届出番号 K-03-00159）。情報セキュリティ基本方針・個人情報保護方針・SLAを公開	△	Q15

△の項目は、本サービスの機能に加えて、貴社側の運用ルール・規程・記録の整備をあわせて回答する必要がある項目です。第5章の回答テンプレートでは、その記入欄を設けています。

3.サプライチェーン・セキュリティ観点での3つの差別化価値

① 双方向での本人認証（脱PPAP）

パスワード付きZIP添付を廃止し、送信時はOTPによる受信者認証、受領（集荷）時は送信者のメールアドレス認証を実施。片方向のみの対策と異なり、誤送信と不正アップロードの双方を遮断できる点が、調査票での説明力につながります。

② 自社ドメインによる送信元証明

共通の無料ドメインではなく貴社ドメインのサブドメインからダウンロードURLを発行。受領側が「取引先からの正規の送信である」ことを客観的に確認でき、フィッシング対策の説明根拠となります。広告表示も一切ありません。

③ 国内保管とシャドーIT対策

データはすべて国内サーバーで保管。加えてMFA・権限分離・アクセス制限といった管理機能により、無料ツールの個人利用（シャドーIT）を規程と運用の両面から排除し、社内統制を確立できます。

4.回答の裏付けとして提示できる客観的事実

調査票の回答は、機能の列挙よりも第三者が確認できる事実を添えることで説得力が高まります。以下はいずれも公開情報として参照先を提示できます。

中央省庁での採用実績ファイル転送サービス「Transfer Center Business版」が中央省庁の広報業務に採用されています（2026年8月公表）。公共機関の調達水準を満たした実績として提示可能です。

電気通信事業者としての届出総務省届出番号 K-03-00159。事業者としての法的な位置づけを明示できます。

TLS通信安全性評価レポートの公開「Grade A」「CRYPTREC TLS暗号設定ガイドライン準拠確認済み」の評価結果を公開ページとして掲載。調査票にURLを添えて回答できます。

SLA・各種方針の公開サービスレベルアグリーメント（月間稼働率99.9%目標、障害時の初回応答目標、メンテナンス事前通知、データ保全を明文化）、情報セキュリティ基本方針、個人情報保護方針を公開。「文書化された方針の有無」「復旧目標の有無」を問う設問に、条文を参照して回答できます。

5.セキュリティ調査票回答テンプレート（全15問）

実際の調査票で頻出する15の設問について、そのまま記入・提出できる回答文例を掲載します。【　】は貴社の運用実態に合わせて記入する箇所です。記入内容が事実と異なる場合、後の監査や事故発生時に重大な問題となりますのでご注意ください。

Q1.外部へのファイル送信時、どのようなセキュリティ対策を実施していますか。

【回答例】当社は、パスワード付きZIPファイルのメール添付（いわゆるPPAP）を廃止し、ファイル転送サービス「Transfer Center Business」を使用しております。通信経路はTLSにより暗号化（CRYPTREC「TLS暗号設定ガイドライン」準拠を確認済み）し、保管時はAES-256で暗号化しています。送信時にはワンタイムパスワードによる受信者本人認証、ダウンロード可能ユーザの限定、有効期限の設定を行い、誤送信および第三者による閲覧を防止しております。記入のポイント：PPAPを廃止した事実を先に書くと、以降の設問の評価が通りやすくなります。

Q2.外部からファイルを受領する際のセキュリティ対策を教えてください。

【回答例】ファイル集荷機能を使用し、当社が発行した専用URLからアップロードいただく運用としております。受渡し元に対してもメールアドレスによる認証を実施しており、身元不明の第三者による不正なファイルアップロードや、これを悪用した標的型攻撃を遮断しております。記入のポイント：「受領側の対策」を問う設問は回答漏れが起きやすい項目です。送信対策と対で記載してください。

Q3.データの暗号化方式について教えてください。

【回答例】通信経路はTLSにより暗号化しております。使用しているファイル転送サービスは、CRYPTREC「TLS暗号設定ガイドライン」への準拠が確認されており、TLS通信安全性評価においてGrade Aの評価を受けています（評価レポートは公開されております）。保管データについては AES-256 により暗号化して保存しております。記入のポイント：評価レポートの公開URLを併記すると、第三者が検証できる回答になります。

Q4.データの保管場所、および国外への移転の有無を教えてください。

【回答例】使用しているファイル転送サービスのサーバは日本国内に設置されており、送受信されたデータが国外に移転することはありません。サービス提供事業者は日本法人（ホワイトポイント株式会社）であり、電気通信事業者として総務省に届出済です（届出番号 K-03-00159）。記入のポイント：越境移転の有無は近年ほぼ必須の設問です。「国内サーバー」だけでなく、事業者の所在国まで書くと差がつきます。

Q5.利用者の認証方式およびアクセス権限の管理方法を教えてください。

【回答例】管理者および利用者に対して多要素認証（MFA／認証アプリ対応）を利用者ごとに設定しております。権限はマスター・管理者・一般ユーザに分離し、業務上必要な範囲に限定して付与しております。また、規定回数以上の認証失敗時にはアカウントロックが作動します。当社では権限付与の申請・承認を【　　　】が行い、記録を保管しております。記入のポイント：「機能があること」ではなく「誰が承認しているか」まで書くのが要点です。

Q6.退職者・異動者が発生した場合のアカウント管理はどのように行っていますか。

【回答例】退職・異動の発生時は、【　　　】を起点として、管理者が管理画面より当該利用者のアカウントを速やかに削除または権限変更しております。あわせて【　　　】ごとに登録利用者の棚卸を実施し、不要なアカウントが残存していないことを確認しております。記入のポイント：棚卸の頻度（例：半期ごと）を明記できるかどうかで印象が変わります。実施していない場合は運用開始を検討してください。

Q7.ファイルの送受信に関する操作履歴（監査証跡）は取得していますか。

【回答例】使用しているファイル転送サービスにおいて、ファイルの送信・集荷・ダウンロードに関する操作履歴（実施日時、対象ファイル、宛先、ダウンロードの実施状況）を取得しており、管理画面のダッシュボードおよび送信管理画面から確認できます。ログの保持期間は1年間です。当社では【　　　】の頻度で管理者が利用状況を確認し、確認記録を【　　】年間保管しております。記入のポイント：「取得している」だけでなく「誰が・どの頻度で確認しているか」を書くこと。SCS評価制度★4の証跡確認にも直結する項目です。

Q8.送受信したデータの保管期間および削除方法を教えてください。

【回答例】送信ごとに有効期限と自動消去を設定する運用としており、有効期限の終了後はファイルが自動的に消去されます。当社の標準的な有効期限は【　　】日とし、業務上必要がなくなった場合は管理者が手動で削除しております。記入のポイント：「無期限に保管していない」ことを示すのが目的の設問です。標準日数を社内で決めてから記入してください。

Q9.マルウェア（ウイルス）対策はどのように実施していますか。

【回答例】ファイル転送サービス側で、アップロード時に自動的なウイルスチェックが実施されます。あわせて当社の業務端末には【製品名】を導入し、パターンファイルを常時最新の状態に維持しております。記入のポイント：サービス側の対策と自社端末側の対策の両方を書くのが正解です。片方だけだと追加質問を受けます。

Q10.不正アクセスや外部からの攻撃に対する防御策を教えてください。

【回答例】使用しているファイル転送サービスでは、ファイアウォールに加え、レイヤ3〜7を保護するIPS/IDS（侵入検知・防御システム）、およびWebアプリケーションを保護するWAFが導入されております。記入のポイント：製品名まで書く必要はありません。防御レイヤの網羅性を示せば十分です。

Q11.利用しているサービスの脆弱性管理・セキュリティ更新はどのように行われていますか。

【回答例】サービス提供事業者において継続的にセキュリティ強化および機能改善が実施されており、その内容はアップデート情報として公開されています（例：ダウンロードページのセキュリティ強化、認証コードの英数字混在化等）。当社は公開情報を定期的に確認し、必要に応じて社内運用へ反映しております。記入のポイント：SaaS利用時は「事業者任せ」と書かず、自社側の確認プロセスをセットで示してください。

Q12.障害・インシデント発生時の検知、報告および連絡体制を教えてください。

【回答例】インシデントを認知した場合は、【責任者・役職】を責任者とする体制のもと初動対応を行い、貴社に影響が及ぶ可能性がある場合は認知後【　　】時間以内にご連絡いたします。使用しているファイル転送サービスについては、提供事業者のSLA（サービスレベルアグリーメント）第6条において、サービスが完全に利用不能となる「緊急」区分の障害は24時間365日受付・初回応答目標2時間以内と定められております。また同SLA第3条により、定期メンテナンスは2日前までにサイトへ掲載、緊急メンテナンスは可能な範囲で速やかに電子メール等で通知される運用です。障害の発生および復旧状況は、提供事業者のコーポレートサイトにて公表されます。記入のポイント：SCS評価制度★3でも「取引先を含む関係先への報告手順の定義」が求められます。自社の連絡先と連絡期限を必ず記入してください。

Q13.サービスの可用性、および事業継続に関する備えを教えてください。

【回答例】使用しているファイル転送サービスは、提供事業者が公開するSLAにおいて月間稼働率99.9%以上を目標として定めており、下回った場合のサービスクレジットも規定されています。データについては同SLA第7条に基づき提供事業者が定期的なバックアップを実施しております（個別復旧を保証するものではないため、重要データは当社側でも保管しております）。また、障害等により当該サービスが利用できない場合の代替手段として、当社では【代替手段】を定めております。記入のポイント：代替手段の記載が抜けると事業継続の設問で減点されます。簡潔で構いません。

Q14.成りすましメールやフィッシングへの対策を行っていますか。

【回答例】ファイル送信時に生成されるダウンロードURLには、当社の自社ドメインのサブドメイン（【xxx.貴社ドメイン】）を使用しており、受領者が送信元の正当性を容易に確認できる仕組みとしております。またダウンロード画面には広告等の第三者コンテンツが一切表示されません。無料のファイル転送ツールの業務利用は社内規程により禁止しております。記入のポイント：自社ドメインを使用していることは、受領側にとって最も分かりやすい正当性の証明になります。

Q15.情報セキュリティに関する社内規程、教育、第三者認証の状況を教えてください。

【回答例】社内規程として「【規程名】」を定め、社外とのファイル受渡しに使用可能なサービスを限定しております。従業員に対しては【　　　】に情報セキュリティ教育を実施し、受講記録を保管しております。第三者認証については【ISMS（ISO/IEC 27001）取得済／未取得】です。記入のポイント：未取得の場合も空欄にせず、「未取得。ただし以下の管理策を実施」と具体策を書く方が評価は高くなります。

※ Q5・Q6・Q7・Q8・Q12・Q13・Q15 は、サービスの機能だけでは回答が完結しません。貴社側の運用ルール（承認者・実施頻度・保管期間・連絡体制）を先に定めたうえでご記入ください。
※ 記入できない項目は、空欄のままにせず「未実施」と記載したうえで、代替として実施している対策を書き添えてください。空欄は「未把握」と受け取られ、最も評価を下げます。

15項目のうち13項目は、導入するだけで回答できます

残る2項目（退職者の権限棚卸・社内規程／教育）も、管理機能と本ガイドの文例でそのまま整備いただけます。
まずは無料トライアルで管理画面と操作履歴をご確認ください。

無料トライアルを試す導入について相談する

ご利用にあたっての注記

本資料は、Transfer Center Business のセキュリティ仕様と、発注元から一般的に求められるサプライチェーン・セキュリティ要件との対応関係を、当社の解釈に基づき整理したものです。特定の制度における適合・認証を保証するものではありません。
SCS評価制度の要求事項および評価用ガイドは今後詳細化・公表が予定されています。公表内容に応じて本資料を更新いたします。
記載の機能・仕様は本資料作成時点のものです。ご契約のプランにより提供範囲が異なる場合があります（SMSによるOTP認証はオプション機能です）。