取引先から届く確認書には、アクセス制御、ログ、暗号化、バックアップ、退職者対応などの質問が並びます。回答欄を埋める前に、まず実際の設定がその内容と一致しているかを確認してください。書類の上でだけ整っていても、後で問われると説明に窮します。
最初に見るのは管理者権限の保有者です。何名いるか、全員が業務上必要か、多要素認証が必須になっているか。この3点が曖昧な環境は少なくありません。不要な権限は外し、残す人には利用目的を記録しておくと、回答の根拠になります。
次にログです。操作ログが有効かどうか、どこに何日間保存されているか、誰が見るのか。保存だけして誰も見ていない状態は、確認書の質問では「運用していない」と受け取られがちです。月に1度、不審な操作がないかを見る担当を決めましょう。
最後に、退職者や異動者の権限の外し方を手順として書き出します。口頭で運用していると、漏れが出ます。簡単なチェックリストでよいので、人事から連絡が来た当日に実施する流れを作っておくと、確認書への回答も自信を持って書けます。