アンケートツールを選定する際、ISMS認証やプライバシーマークの取得、国内データ保存、通信の暗号化といったセキュリティ要件は事前に必ず確認しておきたいポイントです。しかし、いざ多くのツールを前にすると「自社にはどのレベルの対策が必要なのか」「何を基準に比較すればいいのか」と迷ってしまう担当者の方も少なくありません。
アンケートは顧客や従業員、住民の個人情報をダイレクトに収集する特性があるため、万が一セキュリティが不十分なツールを選んでしまうと、重大な情報漏洩リスクに直面するだけでなく、社内審査や稟議の段階で差し戻しが発生してプロジェクトが停滞してしまう原因にもなります。
そこでこのコラムでは、ベンダー選定や稟議・調達の場でそのまま使える「セキュリティチェックリスト8項目」をもとに、分かりやすく解説します。安全でスムーズなツール導入を進めるための基準として、ぜひご活用ください。
Contents
セキュリティ審査が重要視される背景
多くの企業や官公庁がアンケートツールのセキュリティ審査を厳格化している背景には、大きく分けて「法的な義務（コンプライアンス）」と「業務上のリスク回避」の2つの理由があります。
個人情報保護法への対応義務
2022年の個人情報保護法改正により、それまで適用外だった小規模事業者も含めたすべての事業者が、個人情報漏洩時の報告や本人への通知を義務付けられるようになりました。 アンケートツールは、顧客の声だけでなく、氏名・メールアドレス・住所、時には従業員の労務状況や住民の意見といった保護すべき個人情報をダイレクトに収集するシステムです。つまり、利用するクラウドサービス自体の安全性が、そのまま自社のコンプライアンス遵守に直結する時代になっています。
実際、アンケートツールは顧客満足度調査だけでなく、申し込みフォームやセミナー受付、社内投票、説明会の参加登録など、多様な用途で個人情報を収集する場面に使われています。用途ごとの具体的な活用ポイントは以下で解説しています。
あわせて読みたい：[申し込みフォーム・セミナー・投票・説明会にも利用可能！アンケートツールを活用するためのポイントを解説]
審査落ち（差し戻し）によるタイムロス
上場企業や官公庁・自治体などでは、情報セキュリティポリシーによって「外部クラウドサービスを利用する際は、ISMS認証やプライバシーマークの取得が必須」と調達要件（RFP）に定められているケースが主流です。 もしベンダー選定の初期段階でこれを怠り、「機能が使いやすいから」「価格が安いから」という理由だけで候補を絞ってしまうと、法務や情報セキュリティ委員会による最終審査の段階で「要件未達による稟議の差し戻し」が発生します。結果として再審査やベンダーの再選定が必要になり、プロジェクトが数ヶ月単位で遅延する原因にもなります。
このようなリスクをあらかじめ回避し、スムーズに導入を進めるために、最初から体系的なチェックリストに沿ってベンダーを見極める必要があります。
アンケートツール選定で確認すべきセキュリティチェックリスト8項目
つづいてここからは、具体的に確認すべき8つのセキュリティ項目を「必須確認」と「推奨」にわけて解説していきます。
【必須確認】調達要件に含まれる4項目
組織の規模を問わず、安全な運用において最低限クリアしておくべき「必須」の4項目です。
１：ISMS認証（ISO/IEC 27001）の取得有無
区分：必須確認
情報セキュリティマネジメントシステム（ISMS）に関する国際規格です。取得しているベンダーは、情報の機密性・完全性・可用性を維持するための組織体制が第三者機関によって定期的に審査されています。単に「会社が取得しているか」だけではなく、「提供されるアンケートサービスそのものが認証のスコープ（対象範囲）に含まれているか」を必ず確認するようにしてください。
２：プライバシーマークの取得有無
区分：必須確認
日本産業規格（JIS Q 15001）に基づき、個人情報の適切な保護体制を整えている事業者に付与される認証制度です。特に多くの住民や顧客データを扱う官公庁やBtoC企業の調達要件において明記されるケースが多く、未取得のベンダーは選定の初期段階で対象外となるケースもあります。事前の確認が必須です。
３：データ保存先と「データの保持・削除設定」
区分：必須確認
収集したアンケートデータが、国内のリージョンのみに保存されるかを確認します。（海外の法律の適用を受けるリスクの有無の確認）あわせて、個人情報保護法の観点から「回答データの保持期間設定」や「不要になったデータの完全削除設定」ができるかも重要です。データ削除権への対応や、コンプライアンスを意識している組織には欠かせない要件となります。
４：通信の暗号化対応（TLS1.2以上）
区分：必須確認
回答画面や管理画面でのデータ送受信時における暗号水準です。悪意ある第三者によるデータの盗聴や改ざんを防ぐため、TLS1.2以上が有効になっていることを確認します。脆弱性が指摘されている古い規格（TLS1.0、1.1）は主要ブラウザでもすでに無効化されているため、対応が古いツールは選択肢から外しましょう。
【推奨要件】セキュリティポリシーに応じた4項目
５：個人情報の閲覧制限・アクセス権限管理
区分：推奨
部署や担当者ごとに、閲覧・編集の権限を分けられるか確認します。特に重要となるのが住所や電話番号、メールアドレスなどの特定の個人情報項目だけを「閲覧不可」に設定できるかどうかという点です。
- スタンダードな運用：アンケート作成者は閲覧できるが、集計データの閲覧者には個人情報を隠す
- チーム運用：アカウントごとに個人情報の閲覧権限を個別にカスタマイズする
内部不正対策や「最小権限の原則」に対応するために、官公庁や大企業のセキュリティ審査（データへのアクセス制御）で厳しくチェックされるポイントです。
６：管理者操作ログの記録・保存
区分：推奨
「誰が、いつ、どの個人データにアクセス・出力したのか」のログが記録・保存されているかを確認します。インシデント発生時の原因調査や、内部監査・外部監査対応に必要な証跡となります。
７：定期的な脆弱性診断と不当アクセス対策
区分：推奨
外部専門機関による脆弱性診断（ペネトレーションテストなど）が、年に1回以上定期的に実施されているかを確認します。また、システムの脆弱性だけでなく、大量のボット（bot）や自動送信によるサーバー負荷・データ汚染を防ぐためにも、 「reCAPTCHA設定」などをアンケートごとに個別設定できる柔軟性があるかも実務上では重要なチェックポイントになります。
８：外部委託先の管理体制
区分：推奨
ベンダーがインフラの運用やシステム開発の一部を外部委託している場合、その委託先への監督体制が整備されているか確認します。委託先のセキュリティ基準が、サービス全体の安全性を左右します。
セキュリティ要件を満たすツールを選定できたら、次はどのように配信し、回答を集めるかも重要なポイントです。効果的な配信方法や回答依頼のコツも、あわせて確認しておきましょう。
あわせて読みたい：
[オンラインアンケートの配信方法と手順｜回答依頼のコツを解説]
[アンケートツールの選び方｜失敗しない比較ポイントと導入メリット]
セキュリティチェックリストの具体的な活用方法
このチェックリストは、単にベンダーのWebサイトを眺めるだけでなく、社内稟議やベンダー選定のプロセスにおいて具体的に以下の3つの方法で活用できます。
１，ベンダー選定時の「比較表」や「稟議資料」への転用
候補となるツールを2〜3社に絞り込んだ段階で、この8項目を軸にした「セキュリティ比較表」を作成します。「機能」や「価格」だけでなく「セキュリティ区分」の列を設けることで、社内の情報セキュリティ委員会や法務部門、上司に対して「なぜこのツールを選んだのか」を客観的かつ合理的に説明できる稟議資料が完成します。
２，正式な提案依頼（RFP）を出す前の「足切り基準」にする
ツール選定の後半でセキュリティ要件の未達が発覚すると、それまでの選定プロセスが無駄になってしまいます。候補が出揃った初期のタイミングでこのチェックリスト（特に必須の4項目）を開示し、条件を満たさないベンダーを早期に除外することで、選定全体のタイムロスを防ぐことができます。
３，「書面（チェックシート）」での回答を依頼する
ベンダーへ確認する際は、言った・言わないのトラブルを防ぐためにも、口頭ではなく必ず書面（セキュリティチェックシート）での回答を依頼しましょう。実績のあるベンダーであれば、自治体や大手企業向けの記入済みシートをすでに用意しているケースがほとんどです。
ベンダーへの具体的な質問例
- ISMS認証の認証スコープ（対象範囲）に、今回の提供サービスは含まれていますか？
- 収集データの保存先リージョンはどこですか？また、海外へのバックアップやデータ転送は一切ありませんか？
- 直近で実施された外部機関による脆弱性診断の時期と、発見事項への対応状況を教えてください。
- 弊社指定（またはベンダー様標準）のセキュリティチェックシートの書面提出は可能ですか？
安全なアンケート運用を叶える「スマイルサーベイ」のセキュリティ対応状況
ここまでご紹介した8つのセキュリティチェックリストについて、当社のアンケートシステム「smile survey（スマイルサーベイ）」の対応状況を一覧表にまとめました。
結論から申し上げますと、スマイルサーベイは必須・推奨を含むすべてのセキュリティ要件に標準対応（またはプラン対応）しており、官公庁・自治体・上場企業様の厳しい情報セキュリティ審査や調達基準をワンストップでクリアできます。
| No. | 確認項目 | 区分 | smile surveyの対応状況 |
|---|---|---|---|
| 1 | ISMS認証（ISO/IEC 27001） | 必須確認 | ✓ すべて対応可能（取得済み） |
| 2 | プライバシーマーク | 必須確認 | ✓ すべて対応可能（取得済み） |
| 3 | データ保存先と「データの保持・削除設定」 | 必須確認 | ✓ すべて対応可能（AWS東京リージョン） |
| 4 | 通信の暗号化対応（TLS1.2以上） | 必須確認 | ✓ すべて対応可能（標準対応） |
| 5 | 個人情報の閲覧制限・アクセス権限管理 | 推奨 | ✓ すべて対応可能（プラン別対応） |
| 6 | 管理者操作ログの記録・保存 | 推奨 | ✓ すべて対応可能（標準対応） |
| 7 | 定期的な脆弱性診断と不当アクセス対策 | 推奨 | ✓ すべて対応可能（標準対応） |
| 8 | 外部委託先の管理体制 | 推奨 | ✓ すべて対応可能（標準対応） |
よくある質問（FAQ）
アンケートツールのセキュリティに関して代表的な質問をまとめました。
Q. ISMSとプライバシーマークの違いは？
A. 評価する対象が異なります。顧客や住民の個人情報を扱うアンケートであれば「両方」を取得しているベンダーが最も安心です。
・ISMS（ISO/IEC 27001）
情報の機密性・完全性・可用性を維持するための「組織全体の管理体制」を評価する国際規格です。
・プライバシーマーク
日本産業規格（JIS Q 15001）に基づき、「個人情報の取り扱い」に特化して厳格な体制を評価する国内の認証制度です。
近年は上場企業や官公庁の調達において、両方の取得を必須条件とするケースが非常に増えています。
Q. アンケートデータが海外サーバーに保存されるリスクは？
A. 禁止されているわけではありませんが、リスク管理の観点から「国内保存」を強く推奨します。
データが海外のサーバーに保存・転送される場合、現地の法制度（政府によるデータ開示要求など）の影響を受けるリスクが否定できません。特に顧客の連絡先、従業員の評価、住民の意見といった重要な個人情報を扱う場合は、予期せぬデータ流出やコンプライアンス上のトラブルを防ぐためにも、国内のデータセンター（リージョン）に保存されるツールを選ぶのが確実です。
Q. セキュリティチェックリストを使うタイミングは？
A. 候補となるベンダーを2〜3社に絞り込み、正式な提案依頼（RFP）や社内稟議の準備を始めるタイミングが最適です。
選定の最終局面になってから「社内審査に通らない」「セキュリティ要件が足りなくて稟議が差し戻された」といった事態になると、大きなタイムロスが発生してしまいます。候補を絞り込む段階で「必須要件」を満たしているかスクリーニングしておくことで、導入プロセスを大幅に効率化できます。
Q. 独自のセキュリティチェックシートの記入を断られることはある？
A. セキュリティ体制が開示できない、あるいは社内体制が未成熟なベンダーからは断られることがあります。
官公庁や大手企業への導入実績が豊富なベンダーであれば、通常はあらかじめ記入済みのセキュリティシートを常備しているか、顧客指定のフォーマットにもスムーズに回答してくれます。理由なく回答を拒否されたり、対応を濁されたりする場合は、情報管理に対する姿勢を慎重に見極める指標にしてください。
まとめ
アンケートツールの選定は、単に「機能が使いやすいか」「コストが見合うか」だけでなく、収集する重要な個人情報や機密データを保護するために、厳格なセキュリティ要件の確認が不可欠です。
後々の情報セキュリティ審査や稟議での差し戻しといったタイムロスを防ぐためにも、選定の早い段階から本記事で紹介した「8つのチェックリスト」を活用し、確実なスクリーニングを進めましょう。
—セキュリティの厳しい審査をクリアし続ける「smile survey」
当社の高機能アンケートシステム「smile survey」は、国際規格であるISMS（ISO/IEC 27001）認証と、国内の厳格な基準であるプライバシーマークの両方を取得しています。
さらに、AWS東京リージョンによる国内サーバー保存や、アカウントごとの細やかな個人情報閲覧制限（非表示機能）、ボット送信を防ぐreCAPTCHAの個別設定など、官公庁・自治体・上場企業様が求める高度なセキュリティ要件・調達基準をすべて網羅しています。
「自社のセキュリティポリシーを満たせるか不安」「情報システム部門の審査をスムーズに通したい」という担当者様に向けて、スマイルサーベイではお客様の組織指定の「セキュリティチェックシート（回答書）」への記入・作成も、無償にてご対応いたしております。
要件定義や稟議の進め方、セキュリティ審査の手続きでお悩みの際は、ぜひ一度お気軽にお問い合わせください。
