自工会のチェックシートは、自工会（日本自動車工業会）と部工会（日本自動車部品工業会）の「自動車産業サイバーセキュリティガイドライン」に付いているExcelの表です。自社の対策状況に、自分で点数を付けます。2026年度はV2.3を使い、目標レベルに応じた最大153の達成条件に2・1・0点か「該当なし」を付け、根拠を書いて、12月31日までに提出します。取引先から「自工会のチェックシートを出してください」と頼まれた担当者は、目標レベルの決め方、2点と1点の境目、根拠記入欄の中身、提出の手順でつまずきがちです。自工会・部工会の公表資料（2026年10月時点）をもとに、順に見ていきます。
LOCKED のうち、この記事に関わるのは3つのサービスです。ログインと多要素認証をまとめる LOCKED MSO、IDとアクセス権の申請・棚卸しを回す LOCKED DAS、会社の端末を管理する LOCKED MDM です。チェックシートのうち、ID・認証・アクセス権・ログ・端末に関わる達成条件で、対策とその記録づくりを支えます。
無料で製品資料をお送りしています。チェックシートのIDと端末の項目を見直すときにお使いください。 製品資料をダウンロードする →
自工会のチェックシートとは：153の達成条件に自社で点数を付ける表
チェックシートは、ガイドライン本体に並ぶ37の要求事項と153の達成条件を、1行ずつ自己評価できるようにしたExcelです。対象は会社全体のOA環境で、ガイドラインはこれをエンタープライズ領域と呼んでいます。各行には No.、レベル、達成条件、達成基準、他社事例、回答者を決める目安の「担当領域」が並び、右側の評価欄と根拠記入欄に会社が書き込みます。
依頼は商流に沿って届きます。完成車メーカーが1次仕入先（Tier1）に自己評価を頼み、頼まれた会社は自社の1次仕入先にも頼む、という形で先へ広がっていきます。結果の提出先は、依頼してきた取引先ではなく自工会・部工会です。取引先には、提出のときに共有先として指定しておけば評価結果が届きます。
提出は強制されず、達成できなくても業界としての罰則はない、と自工会・部工会のFAQは答えています。一方で、自分から取引先に結果を共有すれば、取引の検討材料として扱われる場合がある、とも書いています。毎年回ってくる業界の自主基準も、法令と同じく情報セキュリティ コンプライアンスの管理対象として担当と時期を決めておくと、担当者が替わっても途切れません。
2026年度はV2.3を使い、12月31日までに提出する
最新版は2025年9月1日に公開されたV2.3で、2026年度もV2.3で自己評価します。達成条件と達成基準は2025年度と同じです。ただしV2.2とは、目標レベル欄の位置、版番号、未入力の欄を赤く示す仕組みが違うため、FAQは2026年度の提出に必ずV2.3を使うよう求めています。前年のファイルは使い回さず、取り直します。
提出期限は2026年12月31日です。2025年度は過去最多の4,032社が提出し、前年度から898社増えました。
答える単位は会社ごと（単体）
回答の範囲は単体（その会社だけ）で、グループ会社も1社ずつ提出し、工場や拠点が複数あっても拠点ごとには分けず、会社として1つにまとめます。特定の部門しか評価できない場合は「評価範囲」で「一部」を選びます。同じ会社が部門ごとに何通も出すことは認められていません。
工場の製造設備は、2026年4月16日に公開された工場領域版v1.0が扱います。こちらにも専用のチェックシートがありますが、自工会は現時点でその結果を集計する予定はないとしています。
2026年版 情シスが直面するIDガバナンス5大課題
2026年に情シスが直面するIDガバナンスの5つの主要課題を分析。SaaS増加、リモートワーク常態化、コンプライアンス強化などへの対応策を提示します。
書き方①：目標レベルを決めて、答える項目を確定させる
入力するのは、最初のシート「自動車産業 セキュリティチェックシート(レベルアップ版)」の黄色いセルです。会社情報や目標レベルの欄、「新規」か「差し替え」かの選択、最大153項目の評価の欄に分かれます。どれも必須です。未入力の欄は赤く表示され、赤いまま提出するとエラーになります。
最初に決めるのが目標レベルです。答える項目の数が、ここで決まります。
| レベル | 項目の位置づけ | 項目数 | そのレベルを目標にしたときに答える数 |
|---|---|---|---|
| Lv1 | 規模や扱う情報によらず、最低限必要な項目 | 50 | 50 |
| Lv2 | 顧客の情報や取引先の技術情報を扱う会社が達成すべき項目 | 74 | 124（Lv1とLv2） |
| Lv3 | 模範となる水準（ベストプラクティス） | 29 | 153（Lv1〜Lv3） |
目標レベルは自社で決めます。判断の材料は、依頼してきた取引先の意向とガイドラインです。2026年度について自工会・部工会は、Lv1・Lv2をまだ達成していない会社に年度内の達成を求め、難しい場合でも年度末までにLv1の全項目を、としています。完成車メーカー、大規模なTier1、高度な技術やノウハウを持つ会社にはLv3を目指すよう求めています。2025年度に提出した4,032社の目標は、Lv1が989社、Lv2が1,704社、Lv3が1,339社でした。
会社情報の欄で間違えやすいところ
担当者メールアドレスは1つだけ書きます。提出後の通知はここに届き、誤っていると提出がエラーになるうえ、エラーの通知も届きません。このアドレスは共有先の取引先にも見えます。部署の共用アドレスやメーリングリストでもよいとされているので、担当者が異動しても通知を受け取れるアドレスにしておくと、翌年の引き継ぎが楽になります。
従業員数は単体の人数で選びます。会社分類（完成車メーカー、総合部品メーカー、機械加工・組立てなど13区分）に迷ったら代表的な事業を1つ選び、選びにくければ「その他」にします。
書き方②：評価は2・1・0点と「該当なし」の4択
評価欄は、プルダウンで「2」「1」「0」「該当なし」から選びます。根拠記入欄に書く中身も、評価ごとに決まっています。
| 評価 | 意味 | 根拠記入欄に書くこと |
|---|---|---|
| 2点 | 対策完了 | 規程の名前、導入したシステム、策定・改定・導入の年 |
| 1点 | 対策中 | 今の状況と、完了の予定時期 |
| 0点 | 未実施 | これからの改善の計画 |
| 該当なし | 自社に当てはまらない | 該当しないと判断した理由 |
2点の線引きは厳しめです。付けてよいのは、その達成条件の達成基準をすべて満たしているときだけです。FAQは、9割9分できていても残りがあるなら「できていない」と評価するよう勧めています。この表の目的は、残っているリスクを明らかにして計画的に手を打つことにある、というのが理由です。
ISO/IEC 27001（ISMS）やTISAXの認証を持っていても、全項目をまとめて2点にはできません。ガイドラインは特定の認証基準に沿って作られていないため、1項目ずつ確かめる必要があります。
「該当なし」は、付ける前に解説書の定義を確かめる
業種によっては、自社にそぐわない達成条件もあります。その場合は「該当なし」を選び、理由を書きます。IT化が進んでおらず答えられない項目も「該当なし」で答えられる、とFAQは案内しています。
落とし穴が一つあります。集計では「該当なし」も2点として数えられるため、安易に付けると、実際より対策が進んでいるように見えてしまいます。たとえば No.87（サーバー等の設置エリアの監視）は、「サーバールームがないから該当なし」と判断しがちです。しかし解説書は、重要なデータを保存してネットワーク越しに使われているならノートPCでもサーバーに当たり、執務スペースの一角の個室でも設置エリアとして扱うべきだとしています。サーバーの範囲は、思うより広く取られています。迷ったら、解説書で同じ No. を引きます。
回答者は「担当領域」の列で割り振る
各行の「担当領域」には、人事、IT、総務、購買・調達、法務といった、回答に向く部署が書かれています。1人で153項目を埋めようとせず、この列で部署に割り振ってから集めると早く進みます。回答は個人でなく会社として行うもので、前年と担当者が替わって評価が変わっても問題はない、とFAQは答えています。
書き方③：根拠記入欄には規程名・システム・年を書く
根拠記入欄を読むのは、取引先と翌年の自社の担当者です。取引先には共有先の一覧を除いた評価のシートがメールで届くので、根拠記入欄も読まれる前提で書いておくのが無難です。
次の記入例は架空のものです。
| No.（レベル） | 達成条件（要旨） | 評価 | 根拠記入欄の例 |
|---|---|---|---|
| 117（Lv1） | ユーザーIDと管理者IDを棚卸しし、不要なIDを消す | 2点 | ID管理規程（2025年4月改定）。退職・異動のたびと毎年3月に、全システムのIDを人事台帳と突き合わせて不要なIDを削除。直近は2026年3月に実施。 |
| 120（Lv3） | インターネットから使えるシステムに多要素認証をかける | 1点 | メールとファイル共有のクラウドサービスは、2026年6月に多要素認証を必須にした。VPNは2027年3月までに導入する予定。 |
| 99（Lv2） | PCからのデータの書き出しを仕組みで制限する | 0点 | USBメモリなどへの書き出しを止める仕組みはない。2027年度上期に、端末の管理ツールで書き出しを制限する計画（予算申請中）。 |
| 109（Lv2） | 社外に公開しているWebアプリケーションにWAFを入れる | 該当なし | 社外に公開しているWebアプリケーションがない。会社案内のWebサイトは静的なページのみで、入力フォームやログインの機能を持たない（2026年10月時点）。 |
2点の根拠は、規程の名前と改定年、システムの名前と導入年がそろっていれば、翌年の見直しで何を確かめればよいかがすぐ分かります。1点には「いつまでに」を必ず書きます。提出期限までに対策が終われば、「差し替え」で評価を直して出し直せます。0点でも、計画があれば計画を書いておきます。
IDと端末の達成条件について、V2.3 の No. ごとの対応表と、根拠記入欄の記入例をまとめています。 取引先からのセキュリティ評価への備え（LOCKED）を見る →
自工会チェックシートの提出方法：5つのステップ
自工会の「2026年度自己評価提出方法」では、手順は5段階です。
- 自工会のサイトから、最新のチェックシート（V2.3）をダウンロードする
- 会社情報・評価・自社の担当者メールアドレスと、共有先のメールアドレスを入力する
- 「2026年度 チェックシート提出用URL申し込み」のフォームに会社名や申込者のメールアドレスを入れ、提出用のURLをメールで受け取る
- 提出用のURLからDropboxを開き、入力したチェックシートをアップロードする
- システムからのメールを確かめ、エラーなら手順2に戻って直す
アップロードした直後は、完了の画面が出るだけです。メールはまだ届きません。入力に不備がなければ、おおむね1週間以内に no-reply@celf.jp から、自社の担当者を宛先、共有先の取引先をBCCにしたメールが送られます。不備があればエラーのメールが届きます。Dropboxの画面で入れたメールアドレスは通知には使われず、チェックシートに書いたアドレスが正として扱われます。
共有先には、頼まれた取引先だけを入れる
取引先から結果の提出を頼まれていなければ、共有先は入れなくてかまいません。複数の取引先から頼まれても、提出は1回です。「共有先入力シート」に、頼まれた取引先の担当者のアドレスをすべて入れれば、全員に届きます。1回に入れられるのは49件までで、それを超える場合は分けて提出します。自社のメンバーは共有先に入れられません。送られるメールはBCCなので、ほかの共有先のアドレスが取引先に見えることはありません。
「新規」と「差し替え」を使い分ける
その年度に初めて出すときは、前年に出していても「新規」を選びます。提出済みの評価を見直したときや、あとから別の取引先と共有することになったときは「差し替え」です。差し替えで共有先を足すときは、追加する取引先のアドレスだけを書きます。前回の共有先まで書くと、同じメールが2回届いてしまいます。エラーで戻ってきたシートを出し直すときは「新規」のままです。
同じ会社から「新規」が重ねて届くと重複の可能性を知らせるメールが返ってくるので、受け取ったら、社内のほかの部署がすでに提出していないかを確かめます。
Dropboxにつなげないとき
社内のルールでDropboxにアクセスできない場合は、提出方法の資料にある自工会の窓口へチェックシートをメールで送ると、代わりにアップロードしてもらえます。通知まで1週間以上かかることがあるため、期限の直前に頼むのは避けます。
0点・1点の項目は、完了予定と計画を書いて減らしていく
0点・1点が残るのは珍しくありません。2025年度の集計では、Lv1を目標にした989社のLv1項目の平均は100点満点で63.32点にとどまり、その33%は達成率が50%に届いていません。
「未実施」の回答が多かった達成条件は、次のとおりです。
| 集計の目標レベルの区分 | 「未実施」が多かった達成条件（要旨・未実施の社数） |
|---|---|
| Lv1 | No.66 情報資産の機密性・完全性・可用性が損なわれたときのリスクを特定する（468社）、No.69 業務影響への対策を計画どおりに管理する（458社）、No.56 機密区分の高い情報を一覧にする（439社） |
| Lv2 | No.133 社外に送るメールを監査し、利用者に周知する（503社）、No.99 PCからのデータの書き出しを仕組みで制限する（434社） |
| Lv3 | No.96 盗聴による情報漏えいへの対策（657社）、No.81 複数のログを組み合わせて異常な行動を自動で見つける（481社） |
Lv1の上位3つは、いずれもリスクや情報を書き出して一覧にする作業です。製品を買わなくても着手できます。
何点以上という基準は、今のところありません。提出期限までに終わらない項目のうち、すでに着手しているものは「対策中」の1点にして、完了の予定時期を書きます。まだ手を付けていない項目は、予定だけで1点にはせず0点のままにします。0点の項目にも改善の計画を書いておくと、翌年の自己評価がそのまま進み具合の確認になります。
自工会・部工会が「まず」と求めている対策
2026年度の説明会資料は、2025年10月にランサムウェアの被害を受けたアスクルの事例を取り上げ、問題点をガイドラインの No. に結びつけています。侵入の入口は、委託先に渡した管理者アカウントでした。このアカウントだけ、例外的に多要素認証がかかっていなかったのです。資料はこれを、No.120（インターネットから使えるシステムの多要素認証）と No.42（重要な機密情報を扱うパートナー企業の対策状況の把握）に対応させています。ほかにも、サーバーにEDRがなかった点を No.138 に、ネットワークにつながったまま暗号化されたバックアップを No.148 に結びつけています。ログが安全に保管されておらず調査に使えなかった点は、No.53 です。
続けて自工会・部工会は2026年7月27日、「AI性能の高度化を踏まえたサイバーセキュリティ対策強化のお願い」を出しました。高性能なAIによって脆弱性の発見も攻撃も速くなることを前提に、発見された脆弱性への早期対応と、経営層が主導して人と予算を確保することを求めています。VPN装置やWebサーバーなど、外部に公開しているシステムへのパッチ適用は最優先とされました。説明会資料も最後のお願いとして、脆弱性への早期対応、パッチ適用、バックアップ、多要素認証などの基本対策の徹底を挙げています。
迷ったときの相談先
自工会のサイトには、達成基準の解釈を補う解説書（V2.3）と、2026年9月1日から2027年1月15日まで使える問い合わせ用のチャットボットがあります。これまで開いていた「よろず相談会」は、2026年度はこのチャットボットに置き換わりました。Lv1の対応にも苦労している会社向けには、Lv1から優先項目を抜き出した解説資料と、2026年3月31日公開の中小企業向けの手引きがあります。自工会は自己評価の結果を個別に確かめないため、解釈は最終的に自社で決めます。
0点・1点の項目のうち、IDと端末に関わるものの進め方を無料でご相談いただけます。 デモ・個別相談を申し込む →
2028年度以降は、SCS評価制度の項目で自己点検する方向
自工会・部工会のFAQによると、2027年度までは今のガイドラインで自己評価します。2028年度以降は、SCS評価制度の項目で自己点検して結果を自工会・部工会に提出する方向で調整中です（2026年10月時点）。細部は未定です。提出の方法や時期は、決まりしだい自工会のサイトで案内されます。
SCS評価制度は、経済産業省が進める、企業のセキュリティ対策を★の段階で示す国の制度です。IPAによると、★3・★4は2027年3月頃に運用が始まる予定です。説明会資料では、自工会・部工会は業界の基準と国の基準が二重にならないよう、最終的に国の制度に一本化する考えを示しています。★3・★4の取得は必須とせず、各社が任意で目指すチャレンジ目標とする予定です。
点検の仕方には違いがあります。自工会のチェックシートは自己評価で、自工会は結果を個別に確かめません。SCS評価制度の★3は、所定の資格と研修を満たしたセキュリティ専門家の確認を経た自己評価、★4は評価機関による第三者評価と技術検証を求めます。筆者は、切り替えまでの2年間に積み上げる規程・仕組み・記録は、物差しが変わっても無駄にならないと考えます。どちらの物差しも、実際に入れた対策とその裏付けを問うからです。
IDと端末の達成条件は、LOCKEDの設定と記録で支える
LOCKEDが関わるのは、153の達成条件のうち、ID・認証・アクセス権・ログ・端末・持ち出しに関わる項目です。多くは、対策の一部を担うだけです。
LOCKED MSO は、クラウドサービスへのログインを1か所にまとめます。そこへ、パスキーや認証アプリによる二段階認証、パスワードの最小文字数や有効期限のルール、承認済みの端末やIPアドレスの範囲で絞るログインルールをかけます。認証に関わる No.115・116・120 などが対象です。管理画面の操作は監査ログとして期間を指定してCSVで書き出せ、ユーザーごとのアクセス履歴には日時・場所・リスクスコアが残ります。
LOCKED DAS は、人事の情報からアカウントを作成・停止し、権限の申請・多段の承認・棚卸し（アクセスレビュー）を画面で回します。アクセス権とIDに関わる No.51・52・117・118 などが対象です。誰が申請し、誰がいつ承認したかを残す申請履歴と、権限の付与・剥奪の実行結果を残すプロビジョニング履歴は、根拠記入欄に書く点検の記録になります。
LOCKED MDM は、会社の端末を一覧にしてOSのバージョンや入っているアプリとともにCSVで書き出し、パスコードのルールを配り、なくした端末を遠隔でロック・初期化します。端末に関わる No.60・61・102 などが対象です。No.99 のPCからの書き出しは、USBメモリなどへの書き出しを、Windowsは「読み取りのみ」か「接続禁止」、Mac（macOS 15以降）は「接続禁止」で止められます。メールやクラウドへの書き出しは対象外です。
VPNやサーバー、ネットワーク機器の管理者ID、方針や規程、教育、マルウェア対策、バックアップも、LOCKEDの対象外です。LOCKEDを入れればLv2を達成できる、というものではありません。規程を定めて周知すること、評価を付けることは会社が行います。
まとめ：点数より、根拠と計画を毎年積み上げる
目標レベルを決め、達成基準をすべて満たした項目だけを2点にし、根拠記入欄に規程名・システム・年か完了の予定を書く。自工会のチェックシートは、これを2026年12月31日までに1回出せば、共有先の取引先にも届きます。点数をよく見せるより、0点・1点を正直に付けて計画を書くほうが、翌年の自社と取引先の役に立ちます。2028年度以降に物差しがSCS評価制度へ移っても、対策と記録を積み上げる作業そのものは変わりません。
チェックシートの0点・1点の項目から、IDと端末の対策と記録の残し方を無料でご相談いただけます。 資料請求・デモ依頼はこちら →
参考資料
- 日本自動車工業会：自動車産業サイバーセキュリティガイドライン（V2.3・解説書・チェックシート）
- 自工会/部工会・サイバーセキュリティガイドライン 2.3版（2025年9月1日）
- 自工会/部工会・サイバーセキュリティガイドラインV2.3 解説書（2025年9月1日）
- チェックシート V2.3（Excel）
- 日本自動車工業会：自動車産業サプライチェーンへの推進活動
- 2026年度 自己評価の実施・展開及び経営層及び担当者向け説明会資料（2026年9月16日）
- 2026年度 自己評価提出方法（2026年9月1日）
- 自動車産業サプライチェーンへの推進活動 FAQ（2026年9月1日）
- 2025年度 集計データ最終結果公表（2026年3月31日）
- AI性能の高度化を踏まえたサイバーセキュリティ対策強化のお願い（2026年7月27日）
- 日本自動車部品工業会：サイバーセキュリティガイドライン 最新情報
- IPA：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）
- IPA：SCS評価制度 よくある質問