【SCS評価制度★3徹底解説 第9回】SCS評価制度★3対応は何から始める？26項目のギャップ分析と実施ロードマップ

情報セキュリティ SCS評価制度★3対応の始め方として、26項目のギャップ分析と実施ロードマップを解説する連載第9回のアイキャッチ画像

これまでの連載では、SCS評価制度★3で求められる評価項目について、分野ごとに解説してきました。

制度の全体像を理解し、それぞれの要求事項を確認していくと、次に多くの企業が直面するのが、

「内容は分かったが、実際には何から始めればよいのか」

という問題です。

SCS評価制度★3への対応を考えたとき、最初からすべての評価項目を完璧に満たしている企業は多くないでしょう。

一方で、

  • ウイルス対策ソフトは導入している
  • ファイアウォールは設置している
  • バックアップは取得している
  • 社内規程は一応ある
  • 情報セキュリティ教育も実施している

など、すでに何らかの対策を行っている企業も多いはずです。

問題は、

現在の対策が、SCS評価制度★3の要求事項に対して、どこまで対応できているのか分からない

ということです。

そのため、SCS評価制度★3への対応で最初に行うべきことは、新しいセキュリティ製品を購入することでも、大量の規程を作成することでもありません。

まず必要なのは、現在の自社の状態を把握し、SCS評価制度★3の要求事項との差を明確にすることです。

この作業を「ギャップ分析」と呼びます。

今回の連載第9回では、これまで解説してきたSCS評価制度★3の評価項目を実際の対策へつなげるために、

  • 何から確認すればよいのか
  • どのように現状を整理すればよいのか
  • 「対応済み」とはどのような状態なのか
  • 未対応項目にどのように優先順位を付けるのか
  • どのようなロードマップで改善を進めればよいのか

を実務的な視点から解説します。

SCS評価制度★3は、一般的なサイバー脅威に対処しうる水準として位置付けられており、取得にあたっては、要求事項・評価基準に基づく自己評価を行い、その内容について登録されたセキュリティ専門家による確認を受ける「専門家確認付き自己評価」が予定されています。

だからこそ、単に「対策をしているつもり」ではなく、自社が何を実施しており、それをどのように説明できるのかを整理しておくことが重要になります。

前回までの連載記事

公式資料

IPA公式資料

IPAでは、SCS評価制度の要求事項・評価基準がExcel形式で公開されています。

また、IPAのページでは、★3・★4の要求事項・評価基準に関する解説書は2026年10月頃公開予定とされています。

経済産業省公式資料

経済産業省では、SCS評価制度の制度構築方針とあわせて、★3・★4の要求事項及び評価基準が公開されています。

なお、SCS評価制度は今後も解説書、取得ガイド、申請手続きなどの情報が追加・更新される可能性があります。

実際に★3取得を検討する際は、必ずIPAおよび経済産業省の最新情報を確認してください。

この記事で分かること

この記事では、次の内容を解説します。

  • SCS評価制度★3対応で最初に行うべきこと
  • ギャップ分析とは何か
  • 26項目をどのように確認すればよいのか
  • 「対応済み・一部対応・未対応・不明」の分け方
  • 「対策・ルール・証跡」の3つの視点
  • 未対応項目の優先順位の付け方
  • ★3対応を進めるための実施ロードマップ
  • 自社だけで判断する場合に注意したいポイント

これまでの連載で評価項目の内容を確認した方は、今回から実際の対応へ進んでいきましょう。

SCS評価制度★3は、まず「現状把握」から始める

SCS評価制度★3への対応を始める際、最初から、

「この製品を導入しなければならない」
「この規程を作らなければならない」

と考える必要はありません。

最初に行うべきなのは、

現在、自社では何ができているのか

を確認することです。

2026年8月時点で、IPAは★3・★4の要求事項・評価基準を公開しています。一方、要求事項への適合・不適合を自社で判断するための解説書や取得ガイドは、2026年10月頃の公開予定とされています。★3・★4の制度運用開始は2027年3月頃の予定です。

したがって、現時点では、公開済みの要求事項・評価基準を基に、

  1. 自社の現状を確認する
  2. 不足している部分を整理する
  3. 改善が必要な項目を洗い出す
  4. 今後公開される公式解説書や取得ガイドも確認しながら調整する

という進め方が現実的です。

ここで重要なのは、制度開始直前になってから一気に対応しようとしないことです。

セキュリティ対策の中には、

  • 規程を作成する
  • 担当者を決める
  • 台帳を整備する
  • ログを確認する
  • 教育を実施する
  • 訓練を行う
  • 定期的に点検する

など、「今日決めて明日完成する」とは限らないものがあります。

特に、継続的な運用が求められる対策については、実際に運用を開始し、その記録を残していく必要があります。

そのため、早い段階でギャップを把握しておくことが重要です。

1．まず26項目を一覧にする

最初の作業は非常にシンプルです。

SCS評価制度★3で確認すべき項目を一覧にし、自社の対応状況を書き込めるようにします。

例えば、次のような管理表を作成します。(一例）

評価項目 現在の対応状況 担当者 課題 今後の対応
ガバナンス関連 一部対応 総務部 役割が不明確 体制図を整備
取引先管理 未対応 購買部 確認基準なし 確認項目を作成
IT資産管理 対応済み 情報システム 一部更新漏れ 定期更新
インシデント対応 一部対応 情報システム 手順が古い 手順書を見直す

最初から詳細な管理表を作る必要はありません。

まず重要なのは、

全体を一度見渡せる状態にすること

です。

SCS評価制度への対応でよくあるのが、個別の評価項目だけを見て、その都度対策を考えてしまうケースです。

しかし、この方法では、

  • 何項目対応できているのか
  • どこに大きな課題があるのか
  • 同じ対策で複数項目を改善できないか
  • どこから優先的に手を付けるべきか

が分かりにくくなります。

そのため、まずは全体を一覧化することが重要です。

2．「対応済み・一部対応・未対応・不明」に分ける

次に、それぞれの評価項目について現在の状態を分類します。

おすすめは、最初から○か×だけで判断しないことです。

例えば、次の4段階で整理します。

対応済み

要求されている対策を実施しており、その内容を説明できる状態です。

例えば、

  • 担当者が決まっている
  • ルールが明文化されている
  • 実際に運用している
  • 必要な記録が残っている

という状態です。

一部対応

対策は行っているものの、何かが不足している状態です。

例えば、

  • バックアップは取得しているが、復旧確認をしていない
  • セキュリティ教育は行っているが、実施記録がない
  • インシデント対応手順はあるが、長期間更新されていない
  • IT資産台帳はあるが、一部の機器が登録されていない
  • ウイルス対策ソフトは導入しているが、正常稼働状況を確認していない

といったケースです。

実際には、SCS評価制度への対応を始めた企業では、この「一部対応」が最も多くなる可能性があります。

未対応

必要な対策を実施していない状態です。

例えば、

  • インシデント対応手順がない
  • 取引先のセキュリティ確認を行っていない
  • 脆弱性情報を収集していない
  • ログの確認を行っていない

などです。

未対応だからといって、すぐに高額なシステム導入が必要とは限りません。

まず、

なぜ未対応なのか
どのような方法なら実施できるのか

を整理する必要があります。

不明

意外に重要なのが、この「不明」です。

例えば、

  • 保守会社が対応していると思う
  • 本社が管理しているはず
  • 前任者が何かしていた
  • ウイルス対策ソフトは入っていると思う
  • バックアップは取っていると聞いている

という状態です。

このような場合、「対応済み」とは判断できません。

実際の状況を確認する必要があります。

SCS評価制度への対応を進める際には、

分からないことを「たぶん大丈夫」で済ませない

ことが重要です。

「不明」という分類を設けることで、確認が必要な項目を明確にできます。

3．「対策・ルール・証跡」の3つに分けて確認する

ここが、SCS評価制度★3への対応を進めるうえで非常に重要なポイントです。

単に、

対策を実施しているか

だけで確認するのではなく、次の3つの視点に分けて確認します。

① 対策

実際に必要な対策を実施しているか。

② ルール

その対策を誰が、いつ、どのように行うのかが決まっているか。

③ 証跡

実際に対策を実施したことを確認できる記録があるか。

この3つを分けて考えると、自社の本当の課題が見えやすくなります。

例えば「セキュリティ教育」

従業員向けに年1回のセキュリティ研修を実施しているとします。

対策

研修を実施している。

→ ○

ルール

誰を対象に、どの頻度で、誰が実施するのかが決まっている。

→ △

証跡

参加者一覧、研修資料、実施日、受講記録が残っている。

→ ×

この場合、

「セキュリティ教育は実施している」

という説明だけを見ると対応済みに見えます。

しかし、実際にはルールと記録に課題があります。

例えば「バックアップ」

対策

バックアップを取得している。

→ ○

ルール

対象、保存期間、保存先、担当者が決まっている。

→ ○

証跡

バックアップの成功確認や復旧確認の記録が残っている。

→ ×

この場合も、バックアップという技術的な対策は実施されています。

しかし、

本当に復旧できるのか

を確認できていない可能性があります。

例えば「インシデント対応」

対策

問題が発生した場合は情報システム担当者が対応する。

→ △

ルール

連絡先、判断基準、初動手順、経営層への報告手順が定められている。

→ ×

証跡

訓練記録や過去の対応記録がある。

→ ×

この場合、

「何かあれば担当者が対応する」

という状態から、組織として対応できる状態へ改善する必要があります。

4．「やっている」と「対応できている」は違う

SCS評価制度への対応を考える際、この違いは非常に重要です。

企業へのヒアリングを行うと、

「それはやっています」

という回答が返ってくることがあります。

しかし、詳しく確認すると、

  • 誰が行っているか分からない
  • 実施頻度が決まっていない
  • 担当者が異動すると止まる
  • 記録が残っていない
  • ルールと実態が違う

ということがあります。

例えば、脆弱性情報の確認です。

担当者が個人的にセキュリティニュースを読んでいたとしても、

担当者が休職・異動・退職した場合でも継続できるか

という視点で見ると、組織としての仕組みになっていない可能性があります。

SCS評価制度への対応を考える際には、

担当者個人が頑張っている状態

から、

組織として継続できる状態

へ変えていくことが重要です。

5．ギャップ分析では「現場を見る」

規程や手順書だけを確認しても、実際のセキュリティ対策は分かりません。

例えば、規程には、

すべての情報機器を管理台帳に登録する

と書かれていたとします。

しかし、実際には、

  • 最近購入したパソコンが登録されていない
  • ネットワーク機器が管理対象になっていない
  • 廃棄した機器が台帳に残っている
  • 誰が台帳を更新するのか決まっていない

ということがあります。

逆のケースもあります。

規程には書かれていなくても、現場では非常に良い運用が行われていることがあります。

この場合は、現在の良い運用をルールとして整理することで対応できる可能性があります。

そのため、ギャップ分析では、

  • 規程
  • 手順書
  • 管理表
  • システム設定
  • 実際の運用
  • 担当者へのヒアリング

を組み合わせて確認することが重要です。

6．ベンダー任せの項目も確認する

中小企業では、IT環境のすべてを自社で管理しているとは限りません。

例えば、

  • サーバ管理
  • ファイアウォール管理
  • VPN管理
  • クラウドサービス
  • バックアップ
  • ウイルス対策
  • ネットワーク管理

などを外部事業者へ委託していることがあります。

外部委託そのものは問題ではありません。

しかし、

委託しているから自社では確認しなくてよい

ということではありません。

例えば、

  • どこまでが委託範囲なのか
  • 誰が脆弱性情報を確認するのか
  • アップデートは誰が行うのか
  • インシデント時に誰へ連絡するのか
  • ログは誰が確認するのか
  • バックアップの復旧確認は誰が行うのか

を明確にする必要があります。

ギャップ分析を行うと、

自社も委託先も、お互いに相手が対応していると思っていた

という空白領域が見つかることがあります。

これは非常に危険な状態です。

7．すべての未対応項目を同時に改善しようとしない

ギャップ分析を行うと、多くの課題が見つかる可能性があります。

例えば、

  • 規程が古い
  • IT資産台帳が不完全
  • 脆弱性管理の仕組みがない
  • ログを確認していない
  • インシデント対応手順がない
  • 訓練を行っていない
  • 取引先管理ができていない

などです。

ここで、

すべてをすぐに改善しなければならない

と考えると、対応が進まなくなることがあります。

特に、情報システム担当者が少ない企業では、通常業務を行いながらすべてを同時に進めることは現実的ではありません。

そのため、優先順位を付ける必要があります。

8．優先順位は「危険度」と「改善しやすさ」で考える

未対応項目の優先順位を決める際には、少なくとも次の視点で考えます。

① 現在のリスクが高いか

例えば、

  • インターネット公開機器に重大な脆弱性がある
  • バックアップが取得できていない
  • 退職者のアカウントが残っている
  • インシデント時の連絡先が決まっていない

といった問題は、早急な対応が必要です。

② 比較的すぐに改善できるか

例えば、

  • 担当者を明確にする
  • 連絡先一覧を作る
  • 既存の台帳を更新する
  • 定期確認日を決める
  • 不要なアカウントを削除する

などは、比較的短期間で改善できる可能性があります。

このような項目から着手することで、対応を前に進めやすくなります。

③ 他の項目にも影響するか

一つの改善によって、複数の評価項目への対応につながることがあります。

例えば、正確なIT資産台帳を整備すれば、

  • 資産管理
  • 脆弱性管理
  • アップデート管理
  • マルウェア対策
  • インシデント対応

などの基礎になります。

同様に、インシデント対応体制を整理すれば、

  • 連絡体制
  • 初動対応
  • 経営層への報告
  • 復旧
  • 訓練

などにもつながります。

このような「土台になる対策」は、優先的に取り組む価値があります。

9．おすすめの優先順位

企業ごとに状況は異なりますが、一般的には次のような順番で考えると進めやすいでしょう。

最優先：重大なリスクをなくす

  • 重大な脆弱性
  • 未管理の外部公開機器
  • 不要な管理者権限
  • 退職者アカウント
  • バックアップ未取得
  • インシデント時の連絡先不明

まずは、現在すでに大きな危険につながる問題を改善します。

次点：セキュリティ対策の土台を作る

  • 責任者・担当者の明確化
  • IT資産の把握
  • 利用サービスの把握
  • 取引先の把握
  • 基本的な規程・ルールの整理

管理対象が分からない状態では、その後の対策もうまく進みません。

その次に：日常運用を整える

  • 脆弱性情報の確認
  • アップデート管理
  • ログ確認
  • アカウント棚卸し
  • バックアップ確認
  • 教育

「一度実施して終わり」ではなく、定期的に行う仕組みを作ります。

最後に：対応力を確認する

  • インシデント対応手順の見直し
  • 連絡訓練
  • 机上訓練
  • 復旧確認
  • 改善点の反映

実際に問題が発生した場合に、本当に機能するかを確認します。

10．SCS評価制度★3対応の実施ロードマップ

ここまでの内容を、実際の進め方として整理してみましょう。

STEP1　対象範囲を整理する

まず、どの組織、事業、システムを対象として対応を進めるのか確認します。

対象範囲が曖昧なままでは、

  • どの端末を確認するのか
  • どの拠点を対象とするのか
  • どのクラウドサービスを確認するのか
  • どの取引先を確認するのか

が分かりません。

STEP2　26項目を一覧化する

SCS評価制度★3の評価項目を一覧にし、自社の対応状況を書き込める状態にします。

STEP3　現状を確認する

規程だけではなく、

  • ヒアリング
  • 管理台帳
  • システム設定
  • ログ
  • 実施記録
  • 委託契約や役割分担

などを確認します。

STEP4　対応状況を分類する

各項目を、

  • 対応済み
  • 一部対応
  • 未対応
  • 不明

に分類します。

STEP5　「対策・ルール・証跡」を確認する

単に対策があるかだけではなく、

  • 実際に対策しているか
  • 組織としてルールがあるか
  • 実施した記録があるか

を確認します。

STEP6　不足部分を一覧化する

例えば、

課題 優先度 対応内容 担当 期限
IT資産台帳が不完全 高 全端末を棚卸し 情報システム ○月
対応手順が古い 中 手順書を改定 総務・情シス ○月
教育記録がない 中 受講記録を保存 総務 次回研修
ログ確認がない 高 確認対象と頻度を決定 情報システム ○月

という改善管理表を作成します。

STEP7　優先順位を付けて改善する

危険度が高いもの、短期間で改善できるもの、他の項目の土台になるものから対応します。

STEP8　再確認する

改善後に、

本当に要求事項を満たせているのか

を改めて確認します。

SCS評価制度★3では、取得希望組織が要求事項・評価基準に基づいて自己評価を記入し、その内容をセキュリティ専門家が確認・助言したうえで、専門家の署名と経営層による自己適合宣誓を含む評価結果を事務局へ提出する仕組みが予定されています。

したがって、最終的には、

第三者に説明しても内容が伝わる状態

を目指すことが重要です。

11．ギャップ分析でありがちな失敗

失敗1　○×だけで終わる

「やっているから○」「やっていないから×」だけでは、本当の課題が分かりません。

一部だけ対応している場合や、証跡がない場合を見落とす可能性があります。

失敗2　規程だけを見る

規程に書いてあることと、実際の運用が一致しているとは限りません。

現場の確認が必要です。

失敗3　情報システム部門だけで進める

SCS評価制度の要求事項には、

  • 経営層
  • 総務
  • 人事
  • 購買
  • 法務
  • 各事業部門
  • 委託先

などが関係する項目があります。

情報システム担当者だけですべて対応しようとすると、途中で進まなくなる可能性があります。

失敗4　いきなり製品購入から始める

ギャップ分析をする前に製品を導入すると、

実はその製品では本当の課題を解決できなかった

ということがあります。

まず課題を把握し、その課題を解決するために本当に製品が必要なのかを判断するべきです。

失敗5　制度対応だけを目的にする

SCS評価制度への対応のためだけに、

  • 規程を作る
  • チェック表を作る
  • 一時的に記録する

という状態では、制度対応後に運用が止まってしまう可能性があります。

重要なのは、

普段の業務として継続できる仕組みにすること

です。

12．高価なセキュリティ製品より先に確認すべきことがある

セキュリティ対策というと、

  • EDR
  • SOC
  • SIEM
  • UTM
  • ASM
  • 脆弱性管理製品

など、新しい製品やサービスに目が向きがちです。

もちろん、企業の環境やリスクによっては、これらが必要になる場合もあります。

しかし、

  • 誰が責任者か分からない
  • IT資産が把握できていない
  • 不要なアカウントが残っている
  • パッチが適用されていない
  • バックアップから復旧できるか分からない
  • インシデント時の連絡先がない

という状態のまま、高価な製品だけを追加しても、組織全体のセキュリティが十分に強くなるとは限りません。

まずは基本的な対策を確実に実施し、それを継続できる状態にする。

そのうえで、不足する部分に必要な技術やサービスを追加する。

この順番が重要です。

13．攻撃者の目線で考えると「管理できていない部分」が狙われる

攻撃者は、必ずしも最先端の高度な攻撃だけを使うわけではありません。

むしろ、

  • 更新されていない機器
  • 放置されたアカウント
  • 管理されていない外部公開システム
  • 弱いパスワード
  • 適切に管理されていない委託先接続
  • 初動対応が遅い組織

など、攻撃しやすい部分を探します。

企業側から見ると小さな管理漏れでも、攻撃者から見れば侵入のきっかけになる可能性があります。

だからこそ、ギャップ分析の目的は、

「評価表を埋めること」

ではありません。

自社の中にある、

攻撃者にとって都合のよい弱点を見つけること

でもあります。

SCS評価制度★3への対応を、自社のセキュリティ対策を改めて見直す機会として活用することが重要です。

14．自社だけでギャップ分析する際の注意点

自社でギャップ分析を行うことは可能です。

しかし、注意したいのが、

自分たちの運用を、自分たちだけで客観的に評価する難しさ

です。

長年続けている運用ほど、

「これが普通だ」

と思い込んでいることがあります。

例えば、

  • 管理者アカウントを複数人で共有している
  • ベンダーのリモート接続が常時有効になっている
  • ログを取得しているが誰も確認していない
  • バックアップを取得しているが復旧したことがない
  • 退職者アカウントの削除確認をしていない

といった状態です。

内部では当たり前になっていても、外部の視点から見ると大きな課題であることがあります。

そのため、まず自社で確認し、その後、

本当にこの判断でよいのか

を専門家と確認する方法も有効です。

★3の正式な評価スキーム自体も、取得希望組織による自己評価だけで完結するのではなく、セキュリティ専門家による確認と助言を経る仕組みとして設計されています。

15．2026年8月時点では「今できる準備」を進める

2026年8月時点では、★3・★4の要求事項・評価基準は公開されていますが、詳細な解説書や取得ガイド、申請方法などは今後順次公開される予定です。IPAのFAQでは、解説書・取得ガイドと申請方法は2026年10月頃、セキュリティ専門家の公開は2027年1月以降、★3・★4の制度運用開始は2027年3月頃とされています。

そのため、現時点で無理に「取得申請の完成形」まで作る必要はありません。

今行うべきなのは、

  • 現在の要求事項を確認する
  • 自社の現状を整理する
  • 明らかな不足部分を改善する
  • 継続運用を始める
  • 記録を残す

ことです。

今後、公式の解説書や取得ガイドが公開された段階で、改めて適合状況を確認し、必要な調整を行えばよいでしょう。

また、IPAは「中小企業の情報セキュリティ対策ガイドライン第4.0版」にSCS評価制度の基本的な考え方を取り込み、付録の情報セキュリティ関連規程サンプルも★3・★4の要求事項・評価基準に対応する形で見直したとしています。自社の規程整備を進める際には、こうした公式資料も参考になります。

まず確認したいSCS評価制度★3ギャップ分析チェックリスト

最後に、対応を始める際の簡易チェックリストをまとめます。

全体把握

□ ★3の評価項目を一覧化している
□ 自社の対象範囲を整理している
□ 各項目の担当部署を確認している

現状確認

□ 「対応済み・一部対応・未対応・不明」に分類している
□ 規程だけでなく実際の運用を確認している
□ 委託先が対応している項目も確認している

対策・ルール・証跡

□ 実際に対策を実施している
□ 誰が、いつ、どのように実施するか決まっている
□ 実施したことを確認できる記録がある

改善計画

□ 不足している項目を一覧化している
□ 優先順位を付けている
□ 担当者を決めている
□ 対応期限を決めている
□ 改善後に再確認する予定がある

一つでも、

「分からない」

という項目があれば、まずそこから確認してみてください。

分からないことを明確にすることも、ギャップ分析の重要な成果です。

まとめ｜SCS評価制度★3対応の第一歩は「自社を知ること」

今回は、SCS評価制度★3への対応を実際に始めるためのギャップ分析と実施ロードマップについて解説しました。

重要なポイントをまとめると、次のようになります。

1．いきなり製品を導入しない

まず、現在の自社の状態を確認します。

2．評価項目を一覧化する

全体を見える状態にします。

3．4段階で分類する

「対応済み・一部対応・未対応・不明」に分けます。

4．3つの視点で確認する

「対策・ルール・証跡」に分けて確認します。

5．現場を確認する

規程だけではなく、実際の設定や運用を確認します。

6．すべてを同時に進めない

リスクと改善効果を考えて優先順位を付けます。

7．継続できる仕組みにする

制度対応のためだけではなく、日常業務として運用できるようにします。

SCS評価制度★3への対応は、

「26項目すべてを一から新しく作る」

ことではありません。

多くの企業には、すでに実施している対策があります。

まず、

現在できていること
一部だけできていること
できていないこと
そもそも分からないこと

を整理する。

そこから、不足している部分を一つずつ改善していく。

これが、SCS評価制度★3対応の現実的な始め方です。

そして、このギャップ分析を行うことで、SCS評価制度への対応だけでなく、自社のセキュリティ対策そのものの弱点も見えてきます。

SCS評価制度への対応を、

評価を取得するためだけの作業

ではなく、

自社のセキュリティ対策を見直し、実際の攻撃に強い組織を作る機会

として活用することが重要です。

SCS評価制度★3のギャップ分析でお困りではありませんか？

SCS評価制度★3への対応を始めようとしても、

  • どの項目から確認すればよいか分からない
  • 自社の対策が要求事項を満たしているのか判断できない
  • 規程はあるが、実際の運用と合っているか分からない
  • 何を証跡として残せばよいか分からない
  • ベンダーに任せている範囲を把握できていない
  • 未対応項目が多く、どこから改善すればよいか分からない

という課題が出てくることがあります。

株式会社クロイツでは、SCS評価制度★3の要求事項を単純に○×で確認するだけではなく、

現在、実際にどのような対策を行っているのか
その対策は組織として継続できるのか
実施状況を説明できる状態になっているのか

という視点から、現状確認とギャップ分析をご支援します。

支援できる内容

  • SCS評価制度★3の要求事項に対する現状確認
  • 26項目のギャップ分析
  • 対応済み・一部対応・未対応項目の整理
  • 現在の規程と実際の運用の確認
  • IT資産・アカウント・ネットワーク等の管理状況確認
  • 脆弱性管理やログ確認などの日常運用の整理
  • インシデント対応体制・手順の確認
  • 優先順位を付けた改善ロードマップの作成
  • 規程・手順・証跡整備に向けた支援

特に、

「何から始めればよいか分からない」

という段階であれば、まず現状を整理することから始めることをおすすめします。

新しいセキュリティ製品を導入する前に、現在の環境の中で、

何ができていて、何が不足しているのか

を明確にすることで、本当に必要な対策が見えてきます。

SCS評価制度★3への対応を検討されている企業様は、お気軽にご相談ください。

お問い合わせ