【SCS評価制度★3徹底解説 第4回】「リスクの特定」とは？IT資産・ネットワーク・外部サービス・機密情報管理を実務で解説

情報セキュリティ SCS評価制度★3徹底解説 第4回「リスクの特定」―IT資産・ネットワーク・外部サービス・機密情報の管理を解説

サイバーセキュリティ対策というと、ウイルス対策ソフトやEDR、UTM、多要素認証など、「何を導入するか」に意識が向きがちです。

しかし、どれだけ高性能なセキュリティ製品を導入していても、

「社内に何台のパソコンがあるのか分からない」

「どのサーバーで、どのOSが動いているのか把握できていない」

「各部署が利用しているクラウドサービスを情報システム部門が把握していない」

「どの情報が重要なのか決まっていない」

という状態では、適切なセキュリティ対策を行うことはできません。

守るべきものが分からなければ、守りようがないからです。

SCS評価制度★3では、この「自社が何を保有し、どのようなIT環境で事業を行っているのか」を把握するための分野として、「リスクの特定」が設けられています。

SCS評価制度は、NIST Cybersecurity Framework（CSF）の機能に対応した6つの分類に、取引先管理を加えた7つの大分類で構成されています。その中で「リスクの特定」は、自社のIT基盤や資産の現状を把握するための分野と位置付けられています。

今回は、SCS評価制度★3の「リスクの特定」で何が求められているのかを、実務でどのように対応すればよいのかという視点から詳しく解説します。

前回までの連載記事

公式資料

IPA公式資料

IPAでは、SCS評価制度の要求事項・評価基準がExcel形式で公開されています。

また、IPAのページでは、★3・★4の要求事項・評価基準に関する解説書は2026年10月頃公開予定とされています。

経済産業省公式資料

経済産業省では、SCS評価制度の制度構築方針とあわせて、★3・★4の要求事項及び評価基準が公開されています。

なお、SCS評価制度は今後も解説書、取得ガイド、申請手続きなどの情報が追加・更新される可能性があります。

実際に★3取得を検討する際は、必ずIPAおよび経済産業省の最新情報を確認してください。

SCS評価制度★3における「リスクの特定」とは

SCS評価制度★3の「リスクの特定」では、大きく次の4つの要求事項が設定されています。

要求事項No. 要求事項名 主な内容
3-1-1 情報機器、OS及びソフトウェアに関する情報の把握 PC、サーバー、OS、ソフトウェア等の把握と管理
3-1-2 ネットワークに関する情報の把握 ネットワークやネットワーク機器の把握
3-1-3 外部情報サービスの管理 クラウドサービス等の利用管理
3-1-4 機密区分に応じた情報の管理 情報の重要度を分類し、適切に管理

これら4つの要求事項について、★3では合計11項目の評価基準が設けられています。

IPAは2026年4月21日に★3・★4の正式な要求事項・評価基準を公開しており、★3取得には、定められたすべての要求事項・評価基準を満たす必要があるとしています。

ここで重要なのは、単に「一覧表を作成しているか」だけではありません。

SCS評価制度では、

把握する仕組みがあるか

管理するルールがあるか

定期的に確認しているか

という運用面まで確認されます。

つまり、一度だけ台帳を作成して終わりではなく、情報が継続的に更新される仕組みを作ることが重要になります。

1．情報機器、OS及びソフトウェアに関する情報を把握する

最初の要求事項は、

「情報機器、OS及びソフトウェアに関する情報の把握」

です。

企業のセキュリティ対策を考える上で、IT資産管理は最も基本的な対策の一つです。

しかし、実際の企業を見てみると、

「パソコンの購入台数は分かるが、現在誰が使用しているか分からない」

「退職者が使用していたパソコンがそのまま保管されている」

「サーバーは動いているが、導入した担当者がすでに退職している」

「業務上必要なソフトウェアを各部署が自由にインストールしている」

といった状況は珍しくありません。

SCS評価制度★3では、まず自社が保有するIT資産を把握するための仕組みを整えることが求められます。

パソコンとシンクライアントを把握する

★3では、パソコン及びシンクライアントについて、

  • 製造元
  • OS
  • 台数

を把握するための仕組みが求められます。

実務上は、これだけでは管理情報として不十分な場合が多いため、次のような項目も合わせて管理することをおすすめします。

管理項目 例
管理番号 PC-001
メーカー Dell、HP、Lenovoなど
機種名 Latitude 〇〇
OS Windows 11 Pro
使用者 氏名または部署
設置場所 本社、支店、在宅勤務など
導入日 2026年4月
保守期限 2029年3月
暗号化 BitLocker有効
セキュリティソフト 導入済み
管理状態 使用中、予備、廃棄予定

Excelによる管理でも構いません。

重要なのは、実態と台帳が一致していることです。

IT資産管理ツールを導入していても、ネットワークに接続されていない端末や長期間使用されていない端末を把握できていなければ、完全な管理とはいえません。

サーバーや仮想環境も対象になる

★3では、

  • サーバー
  • 仮想サーバー
  • ハイパーバイザー

についても、

  • 製造元
  • OS
  • 台数

を把握する仕組みが求められています。

ここで注意したいのは、物理サーバーだけを数えればよいわけではないという点です。

例えば、1台の物理サーバー上で複数の仮想サーバーが稼働している場合、それぞれの仮想サーバーについて、

「何のために使用しているのか」

「どのOSが動いているのか」

「誰が管理しているのか」

「どのシステムと通信しているのか」

を把握しておく必要があります。

特に長期間運用している環境では、

存在を忘れられたサーバー

が生まれることがあります。

しかし、攻撃者にとっては、管理者が忘れているサーバーも立派な攻撃対象です。

むしろ、長期間更新されていないシステムは脆弱性が残っている可能性があり、攻撃者にとって都合の良い侵入口になることがあります。

導入・接続・パッチ適用の管理ルールを定める

 

★3では、単に機器を一覧化するだけでなく、

  • 情報機器
  • OS
  • ソフトウェア

について、

  • 導入
  • 設置
  • ネットワーク接続
  • セキュリティパッチ適用

に関する管理ルールを定めることが求められます。

例えば、新しいパソコンを購入した場合、

  1. 管理台帳に登録する
  2. OSを最新状態にする
  3. 必要なセキュリティ設定を行う
  4. セキュリティソフトを導入する
  5. 管理者の確認後に社内ネットワークへ接続する

といった手順を決めておきます。

重要なのは、

誰でも自由に機器をネットワークへ接続できる状態にしないこと

です。

USB接続の無線LAN機器、個人所有のパソコン、検証用に購入した機器などが、管理部門の知らないところで社内ネットワークへ接続されると、管理されていない「シャドーIT」が生まれます。

SCS評価制度への対応を機に、

新しいIT機器を導入するときの手順

を明確にしておくことが重要です。

年1回以上、管理ルールの遵守状況を点検する

★3では、策定した管理ルールについて、年1回以上の頻度で遵守状況を点検することも求められます。

ここは非常に重要です。

「ルールがあります」

だけでは十分ではありません。

例えば、

  • 管理台帳と実際の端末台数を照合する
  • サーバー一覧と実際の稼働環境を確認する
  • 無許可のソフトウェアが導入されていないか確認する
  • パッチ適用ルールが守られているか確認する

といった点検を行い、その結果を記録しておくことが望まれます。

SCS評価制度では、今後の評価を考えても、

実施したことを説明できる証跡

を残すことが重要になります。

2．ネットワークに関する情報を把握する

2つ目は、

「ネットワークに関する情報の把握」

です。

現在の企業ネットワークは、以前よりも複雑になっています。

  • 本社
  • 支店
  • 工場
  • データセンター
  • クラウド
  • VPN
  • リモートアクセス
  • SaaS

など、社内システムが複数の環境に分散している企業も珍しくありません。

その一方で、

「ネットワークを構築した担当者しか構成を知らない」

という企業も少なくありません。

これは大きなリスクです。

ネットワークの所在地と用途を把握する

★3では、ネットワークを把握する仕組みを整備し、

  • 各ネットワークの所在地
  • 用途

を把握することが求められています。

例えば、

ネットワーク 所在地 用途
本社LAN 大阪本社 一般業務
サーバーセグメント 本社サーバールーム 業務サーバー
来客用Wi-Fi 大阪本社 来訪者用
拠点VPN 本社－支店 拠点間通信

といった形です。

重要なのは、

ネットワークが存在する理由を説明できること

です。

用途不明のネットワークが残っている場合、それ自体が管理上のリスクになります。

ネットワーク機器を把握する

★3では、ネットワーク機器について、

  • 製造元
  • モデル
  • 保守事業者

を把握する仕組みも求められます。

対象となる機器としては、

  • ルーター
  • ファイアウォール
  • UTM
  • VPN装置
  • スイッチ
  • 無線LANアクセスポイント

などが考えられます。

特に注意したいのが、インターネットとの境界に設置されている機器です。

VPN機器やファイアウォールなどは外部から直接アクセス可能な場合があり、脆弱性が公表された際には迅速な対応が必要になります。

しかし、

「どのメーカーの、どの機種を使っているのか分からない」

「保守会社に任せているため、自社では把握していない」

という状態では、脆弱性情報が公表されても、自社が影響を受けるのか判断できません。

外部業者へ管理を委託している場合でも、

自社が何を使用しているのかは自社で把握する

という考え方が重要です。

★3ではネットワーク図は必須ではない。しかし作成をおすすめする

ここはSCS評価制度★3と★4の違いとして注意したいポイントです。

正式な評価基準では、ネットワーク図の作成は★4の評価基準です。

そのため、★3取得だけを考える場合、ネットワーク図の作成自体は必須ではありません。

しかし、実務上はネットワーク図の作成をおすすめします。

ネットワーク図があれば、

  • どこにサーバーがあるのか
  • どこからインターネットへ接続しているのか
  • 拠点間がどのようにつながっているのか
  • どの機器が重要なのか

を視覚的に把握できます。

また、インシデント発生時にも、

「どこを遮断するべきか」

「どこまで影響が広がる可能性があるか」

を判断しやすくなります。

SCS評価制度★3の取得だけを目的とするのではなく、実際のセキュリティ運用を考えるのであれば、簡易的なものでも構わないため作成しておくことをおすすめします。

3．外部情報サービスを管理する

3つ目は、

「外部情報サービスの管理」

です。

ここでいう外部情報サービスには、一般的にクラウドサービスやSaaSなどが含まれます。

例えば、

  • Microsoft 365
  • Google Workspace
  • オンラインストレージ
  • チャットツール
  • Web会議サービス
  • 顧客管理システム
  • 勤怠管理サービス
  • ファイル共有サービス

などです。

現在の企業では、業務部門が独自にクラウドサービスを契約するケースも増えています。

しかし、その結果、

会社として利用しているサービスを把握できていない

という問題が発生します。

外部サービスを利用する際のセキュリティ要件を定める

★3では、外部情報サービスを利用する際のセキュリティ要件を定め、その要件を満たしているか確認することが求められます。

例えば、

  • 多要素認証を利用できるか
  • アクセス権限を管理できるか
  • データを暗号化できるか
  • ログを確認できるか
  • 契約終了時にデータを削除できるか
  • インシデント発生時の連絡体制があるか

といった項目です。

重要なのは、

便利だから導入する

だけで判断しないことです。

業務上重要な情報を保存するサービスであれば、そのサービスにどのようなセキュリティ機能があるのかを確認する必要があります。

機密情報の取扱いについて合意する

★3では、外部情報サービスの提供事業者と、機密情報の取扱いについて合意を取り交わすことも求められています。

実務上は、

  • 利用規約
  • 契約書
  • 秘密保持契約
  • 個人情報の取扱条件
  • データ保管条件

などを確認することになります。

「有名なサービスだから安全だろう」

という判断ではなく、

自社が預ける情報を、相手がどのように取り扱うのか

を確認することが重要です。

4．機密区分に応じて情報を管理する

4つ目は、

「機密区分に応じた情報の管理」

です。

企業が保有する情報は、すべて同じ重要度ではありません。

例えば、

  • 公開済みの会社案内
  • 社内会議資料
  • 顧客情報
  • 個人情報
  • 契約情報
  • 技術情報
  • パスワード
  • システム構成情報

では、漏えいした場合の影響が大きく異なります。

そのため、情報の重要度に応じて管理方法を変える必要があります。

まず「何が機密情報なのか」を決める

★3では、自社が保有する情報について、

  • 機密情報の特定
  • 機密区分のレベル判定と表示
  • 区分に応じた取扱方法
  • 取扱エリアの区分と制限

を含む管理ルールを定めることが求められます。

例えば、次のような分類が考えられます。

区分 例 取扱い
公開 Webサイト、パンフレット 外部公開可能
社内限定 社内資料、議事録 社外への無断提供禁止
機密 顧客情報、契約情報 アクセス制限
極秘 重要技術情報、認証情報 厳格なアクセス制限

分類は複雑にしすぎる必要はありません。

むしろ、現場が理解できないほど細かいルールを作ると、運用されなくなります。

重要なのは、

情報の重要度によって扱いを変える

という考え方を社内に定着させることです。

管理ルールは年1回以上点検する

機密情報の管理ルールについても、★3では年1回以上の点検が求められます。

例えば、

  • 現在の業務に合った分類になっているか
  • 新しいクラウドサービスの利用が反映されているか
  • 新たに扱うようになった情報がないか
  • 実際の業務でルールが守られているか

を確認します。

業務やIT環境は変化します。

そのため、数年前に作成した情報管理規程をそのまま保管しているだけでは、現在の業務実態と合わなくなっている可能性があります。

重要な機密情報について管理情報を把握する

★3では、重要な機密情報について、

  • 管理者名
  • 部署名
  • 保管場所
  • 保管期限
  • 開示先
  • 管理者の連絡先

を把握する仕組みも求められています。

これは非常に重要な項目です。

例えば、顧客情報が漏えいした可能性がある場合、

「その情報はどこに保管されているのか」

「誰が管理しているのか」

「誰に提供しているのか」

が分からなければ、迅速な対応ができません。

情報管理は、

データが存在していることを知るだけでは不十分

です。

その情報の責任者と所在を把握しておく必要があります。

「リスクの特定」で企業がつまずきやすいポイント

SCS評価制度★3への対応を進める際、「リスクの特定」ではいくつかの典型的な問題が発生します。

台帳はあるが更新されていない

最も多いのが、

IT資産管理台帳は存在するが、内容が古い

というケースです。

評価への対応だけを目的として一度だけ一覧を作成しても、その後更新されなければ意味がありません。

端末の購入、交換、廃棄など、日常業務の中で台帳が更新される仕組みを作る必要があります。

情報システム部門だけで対応しようとする

外部サービスや機密情報は、情報システム部門だけでは把握できません。

営業部門が独自にクラウドサービスを契約しているかもしれません。

総務部門だけが利用しているシステムがあるかもしれません。

各部署が独自に顧客情報を保管している可能性もあります。

そのため、

「リスクの特定」は全社的な棚卸し

として進める必要があります。

管理を外部業者へ任せきりにしている

「ネットワークは業者に任せています」

「サーバーは保守会社が管理しています」

という企業も多くあります。

もちろん、専門事業者へ管理を委託すること自体は問題ありません。

しかし、

委託していることと、自社が把握しなくてよいことは別です。

自社が利用している機器やシステムについて、最低限の情報は自社でも把握しておく必要があります。

ツールを導入すれば解決すると考える

IT資産管理ツールを導入すれば、端末情報を自動的に収集できます。

これは非常に有効です。

しかし、ツールを導入しただけでは、

  • 管理対象外の端末
  • クラウドサービス
  • ネットワークの用途
  • 機密情報
  • 紙媒体

まで自動的に管理できるわけではありません。

重要なのは、

ツールと運用を組み合わせること

です。

★3取得に向けて、まず何から始めればよいのか

「リスクの特定」に対応する場合、最初から完璧な資産管理システムを構築する必要はありません。

まずは、次の順番で進めることをおすすめします。

STEP1　現在使用しているIT資産を洗い出す

パソコン、サーバー、ネットワーク機器などを一覧化します。

STEP2　ネットワークを把握する

どの拠点に、どのようなネットワークが存在するのかを確認します。

STEP3　利用しているクラウドサービスを洗い出す

各部署へ確認し、会社として利用している外部サービスを一覧化します。

STEP4　重要な情報を洗い出す

「漏えいしたら会社に大きな影響が出る情報は何か」を考えます。

STEP5　管理ルールを決める

新しい機器やサービスを導入する場合の手続きを決めます。

STEP6　定期的に点検する

少なくとも年1回、台帳やルールが実態と合っているか確認します。

少なくとも年1回、台帳やルールが実態と合っているか確認します。

SCS評価制度への対応では、最初から高価なシステムを導入することよりも、

自社の現状を把握し、継続的に管理できる仕組みを作ること

の方が重要です。

「見えていないもの」は守れない

今回の「リスクの特定」は、SCS評価制度★3の中でも非常に重要な分野です。

企業のセキュリティ対策では、

「新しいセキュリティ製品を導入する」

ことが注目されがちです。

しかし、その前に確認しなければならないことがあります。

自社には何があるのか。

どこにあるのか。

誰が管理しているのか。

何が重要なのか。

これらが分からない状態では、適切なセキュリティ対策を選ぶこともできません。

攻撃者は、企業が把握しているシステムだけを攻撃するわけではありません。

管理から漏れている古いサーバーや、担当者しか存在を知らないクラウドサービス、更新されていないネットワーク機器も攻撃対象になります。

だからこそ、セキュリティ対策の第一歩は、

自社のIT環境と情報資産を正しく知ること

なのです。

SCS評価制度の「リスクの特定」は、その基本を企業に求めている項目だと考えると分かりやすいでしょう。

SCS評価制度★3への対応を支援しています

 

SCS評価制度★3への対応では、要求事項を読んでチェックを付けるだけでは十分ではありません。

実際には、

  • 現在のIT資産をどこまで把握できているのか
  • 管理台帳と実態が一致しているのか
  • 社内ルールが実際の業務に合っているのか
  • クラウドサービスを把握できているのか
  • 評価時に説明できる記録や証跡が残っているのか

といった点を確認する必要があります。

特に中小企業では、専任のセキュリティ担当者がいないケースも多く、

「何から確認すればよいのか分からない」

「要求事項の意味は分かるが、自社ではどのように対応すればよいのか分からない」

という問題が起こりやすくなります。

SCS評価制度★3は、取得希望組織による自己評価に対して、セキュリティ専門家が内容を確認し、必要に応じて助言を行う「専門家確認付き自己評価」の仕組みが予定されています。2026年7月時点では、★3・★4は2027年3月頃の運用開始が予定されています。

株式会社クロイツでは、情報処理安全確保支援士をはじめとするセキュリティの専門知識と、実際の企業・医療機関における支援経験をもとに、

  • SCS評価制度★3の要求事項に沿った現状確認
  • IT資産やネットワークの棚卸し
  • 現在の対策状況と不足項目の整理
  • 社内ルールや運用方法の整備
  • 評価に向けた記録・証跡の整理
  • 継続的なセキュリティ体制の構築

をご支援しています。

SCS評価制度への対応は、単に「星を取得するための作業」ではありません。

これまで曖昧になっていたIT資産や情報の管理方法を見直し、自社のセキュリティ対策を整理する良い機会でもあります。

「自社が現在どこまで対応できているのか確認したい」

「★3取得に向けて、何から始めればよいのか分からない」

という企業様は、ぜひ株式会社クロイツまでご相談ください。

お問い合わせの際は、相談内容に
「SCS評価制度★3について相談したい」
とご記載ください。

お問い合わせ

次回予告｜第5回「攻撃等の防御」

次回は、SCS評価制度★3の中でも最も多くの具体的なセキュリティ対策が関係する「攻撃等の防御」を取り上げます。

アカウント管理、認証、アクセス制御、パッチ適用、マルウェア対策など、日常のセキュリティ運用に直結する項目について、★3では何が求められているのかを詳しく解説します。