【SCS評価制度★3徹底解説・第2回】「ガバナンスの整備」とは？体制・守秘義務・セキュリティ方針を実務目線で解説

情報セキュリティ

 

SCS評価制度の★3取得に向けて、企業は具体的にどのような対策を進めればよいのでしょうか。

連載第1回では、SCS評価制度の全体像、SECURITY ACTIONとの関係、★3の位置づけ、取得方法などを解説しました。

今回からは、経済産業省およびIPAが公表している★3の要求事項を、大分類ごとに詳しく見ていきます。

第2回で取り上げるのは、すべてのセキュリティ対策の土台となる**「ガバナンスの整備」**です。

セキュリティ対策というと、ファイアウォール、ウイルス対策ソフト、EDRなどの製品導入を思い浮かべる方が多いかもしれません。

しかし、担当者や責任者が決まっておらず、社内ルールも明文化されていない状態では、どれだけ製品を導入しても適切に運用することはできません。

SCS評価制度の★3では、最初に「誰が責任を持つのか」「どのような方針で取り組むのか」を明確にすることが求められています。

※SCS評価制度や★3の全体像を先に確認したい方は、連載第1回の記事もあわせてご覧ください。
SCS評価制度★3の評価項目とは？26項目の全体像をわかりやすく解説【連載第1回】

SCS評価制度★3における「ガバナンスの整備」とは

経済産業省およびIPAが公開している★3・★4要求事項・評価基準では、対策内容が次の7つの大分類に整理されています。

  1. ガバナンスの整備
  2. 取引先管理
  3. リスクの特定
  4. 攻撃等の防御
  5. 攻撃等の検知
  6. インシデントへの対応
  7. インシデントからの復旧

今回解説する「ガバナンスの整備」は、このうち最初に位置する大分類です。

★3では、ガバナンスの整備に関して、主に次の3つの要求事項が設定されています。

要求事項No. 要求事項名 求められる内容
1-2-1 セキュリティ推進活動部門 担当する部署・役員・従業員を決め、役割と責任を明確にする
1-2-3 守秘義務のルール 守秘義務に関するルールを定め、対象者に説明する
1-3-1 セキュリティ対応方針の策定 自社のセキュリティ対応方針を策定し、社内で参照できるようにする

これらは、経済産業省が公表した「★3・★4要求事項及び評価基準」と、IPAのSCS評価制度に関する公式情報を基に整理しています。

それぞれの項目を、企業が実際にどのように対応すればよいのかという視点から見ていきましょう。

1．セキュリティ推進活動部門を明確にする

求められていること

最初の要求事項は「セキュリティ推進活動部門」です。

公式の評価基準では、★3取得に向けて、次の対応が求められています。

  • セキュリティを統括する役員と担当部署の役割・責任を定める
  • 平時のセキュリティ推進活動に必要な連絡先リストを定める
  • 定めた体制について年1回以上点検する

ここで重要なのは、単に「情報システム担当者がセキュリティも担当している」という状態では不十分になり得るということです。

誰が最終的な責任を持ち、誰が日常的な対応を行い、問題が発生した際に誰へ報告するのかを、組織として明確にする必要があります。

専任のセキュリティ部門が必要なのか

中小企業では、専任のセキュリティ部門やCISOを設置することが難しい場合もあります。

実務上は、必ずしも新しい部署を設置することだけが対応方法ではありません。

例えば、次のような体制も考えられます。

  • 経営責任者：代表取締役または担当役員
  • 実務責任者：情報システム責任者または総務責任者
  • 実務担当者：情報システム担当者、総務担当者
  • 技術支援者：外部のセキュリティ専門家やIT事業者

重要なのは、組織の規模にかかわらず、役割、責任、報告先、連絡先が明確になっていることです。

「何かあれば情報システム担当者に任せる」という曖昧な状態ではなく、経営層を含めた体制として整理することが求められます。

作成しておきたい文書

この要求事項に対応するため、少なくとも次のような文書を準備しておくことが望ましいでしょう。

  • セキュリティ推進体制図
  • 役割・責任一覧表
  • 担当者および責任者の連絡先一覧
  • 年次点検記録
  • 担当者変更時の引継ぎ記録

大規模な規程を一から作る必要はありません。

まずは、誰が何を担当するのかをA4用紙1枚程度の表に整理するところからでも始められます。

よくある不備

この項目では、次のような状態に注意が必要です。

  • 担当者は決まっているが、文書に記載されていない
  • 担当者の役割と責任の範囲が明確でない
  • 経営層への報告ルートが決まっていない
  • 退職・異動した担当者が連絡先一覧に残っている
  • 体制を作った後、一度も見直していない
  • 担当者だけが内容を把握し、経営層が関与していない

SCS評価制度では、文書を作成するだけでなく、その内容が現在の実態と一致していることが重要です。

2．守秘義務のルールを策定する

求められていること

2つ目の要求事項は「守秘義務のルール」です。

★3では、主に次の対応が求められます。

  • 役員、従業員、派遣社員、受入出向者を対象とした守秘義務のルールを定める
  • 入社時または社外要員を受け入れる際に、守秘義務のルールを説明する

正社員だけでなく、派遣社員や受入出向者も対象に含まれている点に注意が必要です。

自社の情報を取り扱う可能性がある人については、雇用形態や所属先にかかわらず、守秘義務に関するルールを理解してもらう必要があります。

就業規則に書いてあれば十分なのか

就業規則や雇用契約書に守秘義務が記載されている企業は少なくありません。

しかし、規程のどこかに記載されているだけでは、対象者が内容を理解しているとは限りません。

少なくとも、次のような内容を明確にしておく必要があります。

  • 何が機密情報に該当するのか
  • 業務上知り得た情報を社外へ持ち出してはいけないこと
  • 個人のメールやクラウドストレージへ保存してはいけないこと
  • SNSや生成AIサービスへ入力してはいけない情報
  • 退職後も守秘義務が継続すること
  • 違反を発見した場合の報告先

特に、クラウドサービスや生成AIの利用が広がる中では、「第三者に話してはいけない」という従来型の守秘義務だけでは不十分です。

個人用クラウドへの保存、チャットへの貼り付け、生成AIへの入力なども、情報の外部提供につながる可能性があります。

入社時の説明を記録する

★3では、入社時や社外要員の受入れ時に守秘義務のルールを説明することが求められています。

そのため、説明を行った事実を確認できる記録も残しておくことが望ましいでしょう。

例えば、次のような方法があります。

  • 入社時研修の受講記録
  • 説明資料の配布記録
  • 入社時チェックリスト
  • eラーニングの受講履歴
  • 守秘義務ルール確認書

評価では「実施しているつもり」ではなく、実際に実施したことを説明できる状態が重要になります。

★3と★4の違い

★3では、守秘義務のルールを定め、入社時や受入れ時に説明することが中心です。

一方、★4では、機密情報を取り扱う役員・従業員から守秘義務の誓約書を取得することや、派遣元・出向元の会社と守秘義務を締結することなど、より具体的な証拠や契約関係の整備が求められます。

★3取得を目指す段階でも、将来的な★4取得を視野に入れる場合は、誓約書や契約書の管理方法まで整理しておくと、その後の対応が進めやすくなります。

3．セキュリティ対応方針を策定する

求められていること

3つ目は「セキュリティ対応方針の策定」です。

★3では、次の対応が求められます。

  • 自社のセキュリティ対応方針を定める
  • 役員や従業員などが最新の方針を常時参照できるようにする
  • 方針を改正した場合は、その内容を対象者へ周知する

セキュリティ対応方針とは、自社が情報やシステムをどのように守るのかという基本的な考え方を示すものです。

方針と手順書の違い

セキュリティ対応方針と、個別の手順書は役割が異なります。

セキュリティ対応方針では、例えば次のような基本的な考え方を定めます。

  • 経営課題としてセキュリティ対策に取り組む
  • 法令、業界基準、取引先との契約を遵守する
  • 情報資産を重要度に応じて適切に管理する
  • 必要な教育を継続して実施する
  • インシデント発生時には迅速に報告・対応する
  • セキュリティ対策を定期的に見直す

一方、手順書では、より具体的な行動を定めます。

  • アカウントを発行する手順
  • パスワードを初期化する手順
  • マルウェア感染時の初動手順
  • 退職者のアカウントを削除する手順
  • バックアップを復元する手順

方針は会社としての基本姿勢、手順書は現場が実際に行動するための方法と考えると分かりやすいでしょう。

公開しているだけでは不十分

キュリティ方針を自社のWebサイトに掲載している企業もあります。

しかし、Webサイトに掲載しているだけで、社内の従業員が内容を把握していなければ、実際の運用にはつながりません。

最新の方針を社内で参照できるよう、次のような場所にも保管しておくことが考えられます。

  • 社内ポータル
  • 共有フォルダ
  • グループウェア
  • 社内規程集
  • 従業員向けハンドブック

改正した場合は、メールや社内掲示、研修などを通じて変更内容を周知し、その記録を残しておくことも重要です。

よくある不備

セキュリティ対応方針では、次のような問題が起こりやすくなります。

  • 他社のひな形をほぼそのまま使用している
  • 自社に存在しない部署や役職が記載されている
  • 作成日や改定日が分からない
  • 最新版がどれか分からない
  • Webサイトには掲載されているが、従業員への説明がない
  • 方針と実際の運用が一致していない
  • 会社名や事業内容が古いままになっている

ひな形を利用すること自体に問題はありません。

ただし、自社の組織、事業内容、取り扱う情報、システム環境に合わせて内容を調整する必要があります。

なぜ「ガバナンスの整備」が最初に置かれているのか

なぜ「ガバナンスの整備」が最初に置かれているのか

セキュリティ対策は、製品を購入すれば完了するものではありません。

例えば、脆弱性情報を入手しても、誰が確認し、誰が更新作業を判断するのかが決まっていなければ、修正プログラムは適用されません。

不審な通信を検知しても、誰へ連絡し、誰が端末をネットワークから切り離すのかが決まっていなければ、対応が遅れます。

バックアップを取得していても、復元の責任者や判断者が決まっていなければ、復旧作業を速やかに開始できません。

技術対策を機能させるためには、次の要素が必要です。

  • 責任者
  • 担当者
  • 役割分担
  • 判断基準
  • 報告ルート
  • 社内ルール
  • 記録
  • 定期的な見直し

ガバナンスの整備は、これらの土台を作るための取り組みです。

SCS評価制度が「ガバナンスの整備」を最初の大分類としているのは、技術対策だけでは企業のセキュリティを維持できないためだと考えられます。

★3対応では「文書」と「実態」の両方が必要

SCS評価制度への対応を進める際、社内規程や手順書の作成に意識が集中しがちです。

しかし、文書を作成しただけでは十分ではありません。

例えば、セキュリティ推進体制図に担当者が記載されていても、その担当者が自分の役割を認識していなければ、実際に機能する体制とはいえません。

反対に、担当者が日常的に対応していても、役割や手順が文書化されていなければ、担当者の異動や退職によって運用が継続できなくなる可能性があります。

★3対応では、次の3つを一致させることが重要です。

  1. 社内規程や方針に書かれていること
  2. 担当者や従業員が理解していること
  3. 実際に社内で行われていること

この3つに食い違いがないかを確認することが、SCS評価制度への準備の第一歩になります。

ガバナンスの整備に関する簡易チェックリスト

自社の状況について、次の項目を確認してみてください。

セキュリティ推進体制

  • セキュリティを統括する役員または経営責任者が決まっている
  • セキュリティの実務担当部署・担当者が決まっている
  • 経営責任者と実務担当者の役割が文書化されている
  • 担当者の連絡先一覧が作成されている
  • 担当者の異動・退職時に情報を更新している
  • 体制を年1回以上点検している

守秘義務

  • 役員・従業員を対象とした守秘義務ルールがある
  • 派遣社員や受入出向者も対象に含まれている
  • 入社時・受入れ時にルールを説明している
  • 説明や研修の実施記録を残している
  • 個人クラウドや生成AIへの情報入力について定めている
  • 退職後の守秘義務について定めている

セキュリティ対応方針

  • 自社のセキュリティ対応方針が策定されている
  • 自社の組織や事業内容に合った内容になっている
  • 最新版を従業員がいつでも参照できる
  • 作成日、改定日、承認者が明確になっている
  • 方針を改定した際に従業員へ周知している
  • 周知した記録を残している

「実施している」と回答できても、その内容を説明する資料や記録がない場合は、今後の課題として整理しておく必要があります。

★3取得に向けて今から進めるべきこと

IPAのFAQでは、★3・★4は2027年3月頃の運用開始が予定されています。

また、★3・★4を取得するには、それぞれで定められたすべての要求事項・評価基準を満たす必要があるとされています。申請方法や取得ガイドなどは、2026年10月頃の公開が予定されています。

制度の詳細がすべて確定してから準備を始めると、体制の決定、規程の作成、従業員への周知、運用記録の蓄積が間に合わない可能性があります。

特に、年1回以上の点検や教育の実施記録などは、短期間で形だけ整えるのではなく、実際の運用として定着させる必要があります。

まずは次の順序で準備を進めるとよいでしょう。

  1. 公式の要求事項と自社の現状を照合する
  2. 責任者と担当者を決める
  3. 既存の規程やルールを確認する
  4. 不足している文書を作成する
  5. 従業員や関係者へ周知する
  6. 実施記録を残す
  7. 定期的に点検・見直しを行う

SCS評価制度への対応は、申請書を作成する作業ではありません。

自社のセキュリティ対策を継続的に実施できる状態へ整える取り組みです。

SCS評価制度★3への対応でお困りの企業様へ

株式会社クロイツでは、SCS評価制度★3の取得を見据えたセキュリティ体制の整備をご支援しています。

SCS評価制度への対応では、公式の要求事項を確認するだけでなく、自社で現在実施している対策を整理し、不足している体制・規程・運用を一つずつ補っていく必要があります。

株式会社クロイツでは、情報処理安全確保支援士・CISSP・ホワイトハッカーとしての知識と実務経験を生かし、攻撃者の視点も踏まえて、次のような支援を行います。

  • SCS評価制度★3要求事項に対する現状確認
  • 対応済み・一部対応・未対応項目の整理
  • セキュリティ推進体制と役割分担の整理
  • セキュリティ対応方針や社内ルールの作成支援
  • 資産管理、アカウント管理、バックアップ運用の見直し
  • インシデント対応手順や報告体制の整備
  • 従業員教育およびインシデント対応訓練
  • 継続的な点検・改善の支援

「自社が★3のどの項目まで対応できているのか分からない」

「規程はあるが、評価基準を満たしているか判断できない」

「情報システム担当者だけでは対応を進められない」

「取引先からセキュリティ対策について説明を求められている」

このような課題をお持ちの場合は、申請直前になって慌てて準備するのではなく、まず現在の対応状況を整理するところから始めることをおすすめします。

お問い合わせの際は、フォームの相談内容に**「SCS評価制度★3について相談したい」**とご記載ください。

自社の規模や体制、既存の対策状況を確認した上で、優先して取り組むべき項目をご案内します。

お問い合わせ

次回予告

連載第3回では、★3の大分類「取引先管理」を取り上げます。

SCS評価制度では、自社だけでなく、取引先とのシステム接続、機密情報の共有、インシデント発生時の責任分担なども確認する必要があります。

委託先や外部サービスをどのように把握し、どのようなルールを定めるべきなのかを、実務目線で詳しく解説します。

公式資料

IPA公式資料

IPAでは、SCS評価制度の要求事項・評価基準がExcel形式で公開されています。

また、IPAのページでは、★3・★4の要求事項・評価基準に関する解説書は2026年10月頃公開予定とされています。

経済産業省公式資料

経済産業省では、SCS評価制度の制度構築方針とあわせて、★3・★4の要求事項及び評価基準が公開されています。

なお、SCS評価制度は今後も解説書、取得ガイド、申請手続きなどの情報が追加・更新される可能性があります。

実際に★3取得を検討する際は、必ずIPAおよび経済産業省の最新情報を確認してください。

関連記事

SCS評価制度について詳しく知りたい方は、次の記事もあわせてご覧ください。