← 概念解説に戻る

Concept Fable

セキュリティ質問票

先に結論:Security Questionnaireは、買い手がサプライヤーの安全制御、コンプライアンス状態、データ処理、事故対応の実践を評価するために用いる構造化された質問票である。しばしば身分と権限、暗号化、ログ、脆弱性管理、ペネトレーションテスト、コンプライアンス認証、子処理者、データ保持、バックアップ、事業継続性、インシデント対応をカバーする。AI / Agentサプライヤーは安全質問票に直面したとき、「私たちは安全です」とだけ答えるのではなく、再利用可能な証拠、アーキテクチャ説明、制御措置、例外処理を準備しなければならない。安全質問票の価値は、調達リスクを口頭の約束から審査可能な資料に変えることにある。

Security Questionnaire · Procurement/Security

まず物語を読む。ここでは急いで定義を示さず、まず問題そのものを立ち上がらせる。

寓話

門番の百の質問は、隊商を困らせるためではなく、城門のためにリスクを記憶するため

北門には毎日、隊商が入城してくる。新しく来た隊商は珍しい品物を携えており、城の店はどれも早く通関させたい。しかし門番の役人は長い質問の巻物を差し出した。

隊商は不平を言った。我々は品が良く、車は速く、値段は安い。なぜ倉庫に火縄があるか、夜は誰が車を見張るか、貨物帳はどこに置くか、荷を失ったらいつ報告するかを聞かれねばならないのか。若い門番も質問が多すぎると思い、三つだけ聞くことにした。事故はあったか、秘密は守れるか、賠償する気はあるか。その結果、一度通した車隊が易燃油と布を混載し、街の半分を焼きかけた。

門番は長巻を取り出したが、もはや機械的に読み上げなかった。彼は問題を城門が気にするリスクごとに分组した。身分、貨物、経路、倉庫、人員、事故、下流の助っ人、そして城を離れる手配である。

良い隊商はすぐに答え、古い記録や巡検印も出せる。答えられない箇所は必ずしも即拒否ではないが、補救措置、進入範囲の制限、再検査の手配を明記する必要がある。

一見繰り返しに見える問題も、実は異なる証拠を問うている:規則があるか、規則を誰が執行するか、執行に記録があるか、事故後に誰が通知するか。口頭の約束と検証可能な記録は同じものではない。

数ヶ月後、城門の通過はより速くなった。問題が減ったからではなく、よくある答えにはテンプレートがあり、証拠は再利用でき、高リスクの商隊は事前に識別されたからだ。門番は質問を短くしたのではなく、質問を階層化した。普通の布は少なく問い、引火性油、薬粉、貴金属は細かく問う。答えられない商隊はまず小門で再検査する。

商隊は後に、この巻の問題が自分たちを守ることにも気づいた。ある夜に荷を失ったとき、事前に貨物帳の位置と車守を書いていたため、翌日すぐに断点を見つけ、賠償の争いも少なくなった。この小さな事故で皆は立ち止まって振り返った。彼らは急いでより響きのよい言い方に変えるのではなく、誤った入口、誤解されたルール、保持すべき境界を一つずつ書き出した。

北門の問いは、厳格に見せるためではなく、見えないリスクを前もって広げるためだった。正しく問うてこそ、城門はどこまで信頼すべきかを知る。隊商も後に理解した。あの問いの巻物は技を辱めるものではなく、城門が開く前に自分が何を背負うかを知るためのものだと。

明らかにする

この物語が語るのは:セキュリティ質問票

Security Questionnaireは、買い手がサプライヤーの安全制御、コンプライアンス状態、データ処理、事故対応の実践を評価するために用いる構造化された質問票である。しばしば身分と権限、暗号化、ログ、脆弱性管理、ペネトレーションテスト、コンプライアンス認証、子処理者、データ保持、バックアップ、事業継続性、インシデント対応をカバーする。AI / Agentサプライヤーは安全質問票に直面したとき、「私たちは安全です」とだけ答えるのではなく、再利用可能な証拠、アーキテクチャ説明、制御措置、例外処理を準備しなければならない。安全質問票の価値は、調達リスクを口頭の約束から審査可能な資料に変えることにある。

重要なのは、それが単なる用語ではなく、実際のAI/Agentシステムで繰り返し現れる構造的な問題だという点だ。これを理解して初めて、いつモデルを足すべきか、いつプロセスを変えるべきか、いつガバナンスを補うべきかを判断できる。

メタファーのマッピング

  • 北門の隊商:企業環境への参入を申請するサプライヤー
  • 一卷の長い質問:Security Questionnaire
  • 引火性油と布匹の混在:未識別のデータ、セキュリティ、または運用リスク
  • 身元、貨物、経路などによるグループ化:セキュリティ制御の領域
  • 旧記録と巡検印:SOC 2、ISO、テストレポート、監査証拠
  • 進入範囲の制限:リスク緩和、是正計画、条件付き承認
  • テンプレートと再利用の証跡:ベンダーセキュリティ資料ライブラリ

Andy(任旭)判断

この概念の実戦的価値は、「賢く見えるAI機能」を納品可能、検収可能、ガバナンス可能な作業単位に分解する手助けをすることです。

CAIQSIG questionnairevendor reviewSOC 2ISO 27001

関連する識別

この概念は隣接概念と混用されやすいので、対比ページを続けて見ることをおすすめする。

京ICP备2026014272号