SCS評価制度と企業のセキュリティ対応 第3回 / 全5回
SCS★3取得に向けて企業がまずやるべきこと――現状把握からギャップ分析まで
公開日
執筆：RobustEngine
制度情報：2026年9月時点
SCS★3の準備を任されたものの、どこから調べればよいか分からない。兼務で情報システムを担当していると、日々の問い合わせにも対応しながら、社内ルールやシステムの設定を調べることになります。
まず調べる範囲を決め、社内にある資料を集めます。そのうえで「まだ分からないこと」と「改善が必要なこと」を分けると、誰に何を頼むかを決めやすくなります。
対象の組織・システムを整理し、社内の資料を集める
申請は原則として法人または個人事業主の単位で行います。評価の対象となる組織やシステムの範囲を「適用範囲」と呼びます。事業部単位やグループ単位で設定する場合も、★3ではセキュリティ専門家がその範囲の妥当性を確認します。1
まず、対象にする組織や拠点、PCやサーバ、業務で使うクラウドサービスを一覧にします。外部とのデータ連携やアクセス権限も書き添えます。インターネット公開サーバは適用範囲に含める必要があります。クラウドや親会社と共用するシステムも、自社で設定・運用する作業と、提供者に確認する作業を分けて整理します。管理が難しいという理由だけで、対象から外さないようにしましょう。2
専任の情シス担当者がいない場合は、経理の契約・支払情報、部門の利用サービス一覧、端末台帳を持ち寄ります。同じサービスが別名で載っていたり、無料で使うサービスが契約一覧に出てこなかったりするため、実際に業務を行う人にも確認します。
資料には、保管している部署、更新する担当者、最後に確認した日を書き添えます。委託先が管理するシステムも、契約で任せた作業と、自社で行う作業を分けて確認しましょう。ここで整理した範囲は、専門家の確認を受けてから申請範囲として確定します。
10項目で準備状況を確認する
各項目に「説明と資料がそろっている」「実施しているが資料は要確認」「未実施」「不明」のいずれかを付けてみてください。選んだ理由と、確認する相手や資料も書き添えます。
表は横にスクロールできます。
| 確認項目 | 確認する資料・設定の例 |
|---|---|
| 1. 対象の組織・拠点・システム、外部とのデータ連携やアクセス権限を説明できるか | 対象範囲やデータ連携の構成図、対象から外す理由 |
| 2. PC・サーバ・ネットワーク・クラウドサービスの一覧と管理者が分かるか | 資産台帳、管理画面、契約一覧 |
| 3. 退職・異動時に不要なIDの停止や権限の変更を行い、結果を確認しているか | 退職・異動の連絡、申請承認、作業記録 |
| 4. 責任者・方針・情報の取扱いを従業員へ伝えているか | 体制図、方針、周知記録 |
| 5. 委託先と、情報の扱い方や事故時の分担を決めているか | 契約、役割分担、連絡先 |
| 6. 事故への対応について教育・訓練を行い、受講記録を残しているか | 実施日時・内容・方法・受講者の記録 |
| 7. バックアップの対象・頻度・保管先と期間・復元手順を説明できるか | 設定、取得状況、手順書 |
| 8. 基準の対象となるシステムで、多要素認証（MFA）・更新・PCや通信の保護を実施しているか | 対象一覧、設定、更新状況 |
| 9. 不審な通信や警告が出たとき、事故かどうかを判断する担当者が決まっているか | 検知設定、通知先、対応記録 |
| 10. 事故の報告、被害を抑える対応、復旧を誰が担当するか決まっているか | 対応手順、連絡先、復旧の準備 |
MFAは、パスワードと認証アプリなどを組み合わせて本人かどうかを確かめる仕組みです。この表は準備状況を整理するためのチェックで、公式の自己評価票や合否判定には使えません。★3の全要求事項を網羅していないため、正式な自己評価では最新の評価基準にある対象や条件を一つずつ確認します。3
回答に迷ったら「不明」と記入し、誰に何を確認するかを書き添えます。バックアップの取得状況が分からなければ、「運用を委託している会社に、設定と直近の取得記録を確認する」と具体的に書きます。
「未確認」と「未実施」を分けて、必要な作業を決める
ギャップ分析とは、求められる状態と現状の差を整理することです。「バックアップ設定をまだ見ていない」は未確認であり、「バックアップを取得していない」とは異なります。取得状況が分からないなら設定や記録を確認し、取得していないと分かったらバックアップの設定と運用を検討します。
担当者が「やっている」と答えた場合も、対象のシステム、設定、実施した日が分かる資料を確認します。記録がなければ、現在の設定を調べて結果を残し、今後どの作業を記録するかを決めます。
部門ごとにクラウドサービスを契約する会社で、退職者のIDを確認するとします。人事の退職者一覧と各サービスの利用者一覧を照合していない段階は「未確認」です。照合して不要なIDが見つかったら、IDを停止します。退職の連絡が管理者に届いていなかったなら、連絡先も直します。「記録の確認」と「設定や手順の改善」を分ければ、必要な作業と費用を見積もりやすくなります。
対象外と考えた項目も、その理由と確認する相手を記録します。根拠が分からないまま適合と判断せず、自己評価を終える前に確認します。
改善の担当者・期限・完了条件を決める
不足が分かったら、事業への影響、取引先と合意した期限、先に必要な作業を踏まえて順序を決めます。重要情報へのアクセスや外部公開システムに問題が見つかった場合は、全体調査の終了を待たずに対応します。取得までにすべての要求を満たすことを前提に、影響の大きいものから進めます。
部門のクラウドサービスに退職者のIDが残っていた場合は、IDを停止し、退職の連絡から停止結果の確認までの手順も見直します。改善表には、例えば次のように対象・担当者・期限・完了条件を記入します。
表は横にスクロールできます。
| 項目 | 記入例 |
|---|---|
| 要求事項No. | 4-1-1：ユーザIDの管理 |
| 不足 | 部門のクラウドサービスで不要なIDが残っている |
| 対処 | 利用者を照合して停止し、退職連絡の宛先を更新 |
| 担当 | 部門のサービス管理者。人事が通知先を確認 |
| 期限 | 不要IDの確認後、速やかに停止。翌営業日に結果確認 |
| 完了条件 | 対象サービスで停止を確認し、通知先の更新も完了 |
| 確認資料 | 対象一覧、停止・確認記録、改訂した連絡手順 |
IDの停止なら、本人が使っていた対象サービスで停止を確認し、記録を残すところまでを完了条件にします。経営者には、不足の件数に加え、どの業務に影響するか、担当者にどれだけ時間が必要か、追加予算など何を決めてほしいかを報告すると、改善計画を決めやすくなります。
「不明」「要確認」が残ったら、現状整理からご相談ください
セルフチェックで「不明」「要確認」が残ったら、資料や設定を確かめるところから始めましょう。RobustEngineでは、現状を確認してSCS要求事項に対する不足を整理し、限られた人員や予算で何から改善するかを一緒に考えます。
次回は、自己評価の根拠となる資料をそろえ、専門家の確認を受けるまでの準備を扱います。
本記事は2026年9月時点の公表資料に基づきます。準備・評価時には、最新の基準・ガイドの公表状況をご確認ください。4