SCS評価制度と企業のセキュリティ対応 第2回 / 全5回
SCS★3では何を求められる？ 要求事項を「経営・運用・技術」に分けて読み解く
公開日
執筆：RobustEngine
制度情報：2026年9月時点
「退職者のアカウントは止めています」。人事も情報システム部門もそう答えているのに、ある部門が契約したクラウドサービスにはIDが残っている。これは説明用の架空の例ですが、担当ごとの作業を確認するだけでは、見落としやすい問題です。
SCS★3への対応では、要求が社内のどの業務に対応していて、誰から誰へ業務が流れているのかまで考える必要があります。ということで今回は、要求事項を自社の役割と作業に置き換えて読み解きます。
要求事項の下にある「評価基準」まで読む
公表されている★3の要求事項は26件です。さらに、一つの要求事項の下に複数の評価基準があります。例えばID管理には、発行・変更・削除の申請と承認、不要になったIDへの対応など、確かめる事項が分かれています。1
公式資料は「ガバナンスの整備」「取引先管理」「攻撃等の防御」など7つの大分類で整理されています。本記事では、それぞれの要求に誰がどう対応するかを考えるため、経営・運用・技術の3つの観点から読み解きます。一つの要求に、複数の観点が関わることもあります。例えば、方針を決めるのは経営者でも、それを日々の業務で守るのは各部署の担当者です。2
一つの要求を読むときは「誰が決めるか」「どんな作業をするか」「どの設定が必要か」を書き出すと、必要な担当者と作業を整理できます。
経営者と担当者で、判断と作業の分担を決める
★3には、セキュリティを担当する部署や役員・従業員の責任を定めること、方針を策定して周知することが含まれます。専任者がいるかどうかにかかわらず、判断する人と実施する人を明らかにする必要があります。3
退職時のID停止なら、人事が退職を把握した時点で、誰へ、どの情報を渡すかを決めます。各部門は本人が使っていたサービスを確認し、情シスやサービスの管理者が承認に基づいてIDを停止します。完了の報告先まで決まっていれば、連絡を送った側も作業が終わったかを確かめられます。
兼務の場合も、必要な時間や、判断に迷ったときの相談先を用意することを勧めます。これは、制度の要求を実際に機能する業務にするための実務上の提案です。
同じ考え方は、クラウド上の業務サービス（SaaS）の追加や、委託先との契約終了にも使えます。機密情報の扱い方、データ連携、アクセス権限を誰が確認するかを決めます。事故が起きたときの連絡や、被害を抑えるための対応も分担しておきます。★3には取引先との責任分担や、インシデント発生時の教育・訓練も含まれるため、情報システム担当だけでなく、管理部門や業務部門も一緒に対応を考えます。4
技術対策は、導入後の設定と運用まで確認する
技術対策を考えるときは、「何を守るのか」「誰が、どのサービスや機器を使うのか」を先に整理します。そのうえで、今ある機能で対応できるか、設定の変更や追加の対策が必要かを判断します。
多要素認証（MFA）は、パスワードと認証アプリなど、種類の異なる方法を組み合わせて本人かどうかを確かめる仕組みです。★3では、重要な機密情報を扱うクラウドサービスで、利用者と管理者がMFAを使うことが求められます。対象のサービスと利用者を一覧にして、ログイン時にMFAを使う設定になっているかを確認します。管理者だけに設定していたり、部門で追加したサービスが抜けていたりしないかも確かめましょう。5
バックアップでは、「どのデータを、どの頻度で、いつまで保存するか」と「必要なときにどう戻すか」を決めます。重要な機密情報は離れた場所にも保管し、対象のデータごとに復元の手順を用意します。クラウドサービスの場合も、自社が必要とする時点のデータへ戻せるかを、契約や設定で確認してください。実際にデータを戻すテストも有用ですが、★4で求められる「決めた時間内に復元できることの確認」は、★3の一律の要件ではありません。6
PCやネットワークを守る対策では、ウイルスなどの検知や、不正な通信の遮断ができるかを確認します。EDRはPCなどの不審な動きを見つけ、対応を助ける仕組みですが、導入した製品がどこまで対応できるかを★3の基準と照らし合わせます。ソフトウェアの更新も、担当者・対象の機器・実施期限を決め、更新できたかまで確認します。7
日常の作業から、確認できる記録を残す
証跡とは、設定や作業の実施を確かめるための資料・記録です。退職時のID停止なら、たとえば次のように役割と記録を対応させたとします。
停止したID、作業者と作業日時、確認した人とその結果を記録します。退職の連絡や承認記録と一緒に残せば、後から作業内容を説明できます。普段使っている申請システムや台帳を活用しましょう。
新しいサービスを使い始めたら、管理者とIDの停止方法を台帳に追加します。担当者が変わるときは、記録の場所と残っている作業を引き継ぎます。★3の年次更新にも専門家の確認・助言を受けた自己評価の提出が必要なので、記録は日頃から最新にしておきましょう。8
まずはID管理について、「決める人・実施する人・確認する人・残す記録」を自社の部署名や資料名で書いてみてください。担当者が決まっていない作業や、記録が残っていない作業があれば、関係する部署と対応を決めます。
対策の対象や担当者を整理したい方へ
MFAやバックアップは利用していても、対象の漏れや担当者の役割が曖昧なままになっていないでしょうか。RobustEngineでは、SCS★3の要求事項を確認しながら、社内ルール、担当者の作業、システム設定のうち、何を見直すかを一緒に整理します。どこから改善するか迷っている場合もご相談ください。
次回は、10の確認項目で現状を把握し、改善の順序を決める方法を取り上げます。
本記事は2026年9月時点の公表資料に基づきます。準備・評価時には、最新の要求事項・評価基準とガイドの公表状況をご確認ください。9