自工会/部工会 サイバーセキュリティガイドライン v2.3　チェックシート解説ガイド

チェックシートの全153項目について、何をどう見られ、どうすれば達成できるかを、ガイドライン本体・解説書（いずれも第2.3版）の内容を交えて解説します。

非公式の解説ページです（自工会・部工会とは関係ありません）
⚠ 非公式の解説ページです。このページは、自工会/部工会・サイバーセキュリティガイドラインに取り組む企業向けに、個人が作成した非公式の解説です。一般社団法人日本自動車工業会・一般社団法人日本自動車部品工業会とは関係がなく、両団体が内容を確認・承認したものではありません。評価の判断は、必ず公式資料と取引先の指示を優先してください。詳しくはページ下部の「注意事項」をご覧ください。

このチェックシートは何か

自動車業界のサプライチェーン全体のセキュリティを底上げするために、日本自動車工業会（自工会）と日本自動車部品工業会（部工会）が作った業界共通の自己評価シートです。取引先は、各社の回答を見て対策状況を確認します。

153項目（Lv1 50／Lv2 74／Lv3 29）
24分類（方針、教育、アクセス権…）
年1回以上の自己評価が推奨
会社単位で回答（グループ連結ではなく各社ごと）

対象はオフィスのIT環境（業務の基盤となるOA環境）です。工場の制御システムや車両そのもののセキュリティは対象外です。

3つのレベルと、目指すべき会社

Lv329項目Lv274項目Lv150項目Lv3：最終到達点として目指す項目業界を代表してけん引すべき立場の会社（またはそれを目指す会社）→ Lv1〜3の全項目Lv2：標準的に目指す項目次のいずれかの会社 → Lv1・Lv2の全項目・社外の機密情報（技術・顧客情報など）を扱う・業界として重要な自社技術・情報を持つ・規模やシェアが大きく、止まると業界に影響するLv1：最低限実施すべき項目自動車業界に関係するすべての会社→ Lv1の全項目
ガイドライン本体「3. ガイドラインの構成」の定義をもとに作図。Lv2を目指す会社はLv1とLv2の全項目、Lv3を目指す会社はLv1〜3の全項目の達成が求められます。
ポイント：取引先から「Lv2」を求められるのは、取引先の機密情報（図面など）を扱っている、または止まると取引先の生産に影響する会社だと見なされているためです。まずLv1（全社必須）を固め、次にLv2を順に積み上げます。

チェックシート1行の読み方

チェックシートは1行が1項目です。左から右に「なぜ（目的）→ 何を（要求事項・達成条件）→ どこまで（達成基準）」と読み、右側で評価します。

分類・ラベル3 法令遵守目的なぜ必要か（法令を守る）要求事項会社として求めることNo.・レベルNo.9Lv1達成条件何をするか（ルールを作り教育・周知する）達成基準どこまでやるか【規則】【対象】【頻度】他社事例参考例（必須ではない）評価0／1／2／該当なし根拠記入欄規程名・年予定・理由左から読む：なぜ → 何を → どこまで自社で記入する欄↑ 評価で見られるのは主にこの2列（達成条件を、達成基準のとおりに満たしているか）
例はNo.9（Lv1・法令遵守）。「他社事例」は参考で、すべてを満たす必要はありません。

達成基準の読み解き方

達成基準は【規則】【対象】【頻度】などの見出しで区切られています。この見出しごとに、満たすべき条件を1つずつ確認します。

No.9 の達成基準（原文）【規則】・法令を守るための社内ルールを策定・策定した社内ルールを教育・周知【対象】・役員、従業員、社外要員（派遣社員等）【頻度】（教育）新規受け入れ時、かつ、1回／年（周知）定常的に、かつ、改正時やること（規則）ルールを作る ＋ 教育・周知する誰に・何に（対象）役員・従業員・派遣社員まで含めるいつ・どのくらい（頻度）入社時と年1回、改正時にも周知3つすべて満たして「2：対応完了」

評価（0／1／2／該当なし）の判定フロー

評価は自己申告ですが、取引先から根拠を求められることがあります。「文書があるだけ」では完了にならない点に注意してください。

自社にその対象（機器・業務）がそもそも存在する？ルールや手順が文書になり、承認・周知されている？ルールどおりに実施・運用している？実施した記録（証跡）が残っている？決められた頻度で見直し・点検している？はいはいはいはい該当なし（理由を書く。達成率では達成扱い）いいえ0：未実施（何もない → 改善計画を書く）いいえ1：対応中（一部のみ → 現状と完了予定時期）いいえ（一部だけ）2：対応完了（規程名・導入システム・年を書く）すべて はい「1」と「2」の分かれ目文書を作っただけ → 1文書＋実施＋記録＋見直し → 2解説書も「文書化は手段で、周知し認識を共通化することが重要」
チェックシート上部の評価欄の説明（■対策完了・■対策中・■未実施・■該当なし）をもとにした判定の考え方です。

達成率の計算

2：対応完了 の数＋ 該当なし の数そのレベルの項目数＝達成率（レベル別）計算例Lv1：完了10 ÷ 50 ＝ 20%Lv2：（完了14＋該当なし6）÷ 74 ＝ 27%「1：対応中」は何件あっても達成率には入りません
チェックシートの集計シート（Lv1・Lv1-Lv2）の計算方法。「1：対応中」は達成率に含まれません。

24分類の全体マップ

24の分類は、「特定（守る対象を明確にする）」「防御（攻撃を防ぐ）」「検知（攻撃に気づく）」「対応・復旧（被害を抑えて元に戻す）」と、全体に共通する「共通（方針・体制・教育など）」の5つのグループに分かれます。分類をクリックすると、その分類の項目ガイドが開きます。

共通：方針・体制・教育・他社1 方針Lv1 2／Lv2 1／Lv3 02 機密情報を扱うルールLv1 2／Lv2 3／Lv3 03 法令遵守Lv1 2／Lv2 2／Lv3 04 体制(平時)Lv1 3／Lv2 2／Lv3 05 体制(事故時)Lv1 3／Lv2 0／Lv3 06 事故時の手順Lv1 2／Lv2 2／Lv3 37 日常の教育Lv1 5／Lv2 6／Lv3 2特定：守る対象とリスクを明確にする8 他社との情報セキュリティ要件Lv1 2／Lv2 0／Lv3 69 アクセス権Lv1 3／Lv2 2／Lv3 010 情報資産の管理(情報)Lv1 3／Lv2 2／Lv3 011 情報資産の管理(機器)Lv1 3／Lv2 3／Lv3 112 リスク対応Lv1 3／Lv2 0／Lv3 113 取引内容・手段の把握Lv1 1／Lv2 0／Lv3 314 外部への接続状況の把握Lv1 3／Lv2 2／Lv3 015 社内接続ルールLv1 1／Lv2 2／Lv3 2防御：攻撃を防ぐ16 物理セキュリティLv1 2／Lv2 15／Lv3 217 通信制御Lv1 0／Lv2 10／Lv3 018 認証・認可Lv1 4／Lv2 4／Lv3 219 パッチやアップデート適用Lv1 1／Lv2 2／Lv3 320 データ保護Lv1 0／Lv2 1／Lv3 121 オフィスツール関連Lv1 0／Lv2 5／Lv3 0検知：攻撃に早く気づく22 マルウェア対策Lv1 2／Lv2 3／Lv3 123 不正アクセスの検知Lv1 0／Lv2 4／Lv3 2対応・復旧：被害を抑えて戻す24 バックアップ・復元(リストア)Lv1 3／Lv2 3／Lv3 0
数字は各分類のLv1／Lv2／Lv3の項目数。

1年間の回し方

4〜9月ルールに沿って運用申請・承認、台帳の更新10〜11月教育・訓練全社研修、机上訓練12月年次点検・見直し棚卸し、点検会議、リスク評価12月〜自己評価・提出チェックシートに記入1〜3月改善規程改定、次年度の計画翌年も同じサイクルで回す（PDCA）
多くの項目で「年1回以上の見直し」が求められています。決まった月に点検会議を開き、まとめて記録を残すと効率的です。