【SCS評価制度★3徹底解説・第10回】SCS評価制度★3では何を準備する？必要な規程・台帳・記録・証跡の整備方法

情報セキュリティ SCS評価制度★3で必要な規程・台帳・記録・証跡の整備方法を解説する連載第10回のアイキャッチ画像

SCS評価制度★3への対応を進める中で、多くの企業が次に悩むのが、

「具体的に、どのような文書を作ればよいのか」

「規程を作成するだけで評価に対応できるのか」

「セキュリティ対策を実施していることを、どのように証明すればよいのか」

という問題ではないでしょうか。

前回の第9回では、SCS評価制度★3の26項目について、自社の現状とのギャップを確認し、優先順位を付けて対応を進める方法を解説しました。

しかし、実際のSCS評価制度★3対応では、対策を実施するだけでは十分とはいえません。

「どのようなルールで運用しているのか」
「実際にそのルールに沿って運用されているのか」
「そのことを第三者が確認できる状態になっているのか」

まで整理する必要があります。

SCS評価制度★3は、取得希望組織が自己評価を行い、その内容について登録されたセキュリティ専門家が確認・助言を行う「専門家確認付き自己評価」です。IPAの公式情報でも、★3ではセキュリティ専門家が取得希望組織の作成した書類を確認する仕組みが示されています。

そのため、★3対応では単に「対策しています」と説明するのではなく、対策のルールと実施状況を確認できる資料を整備しておくことが重要になります。

今回は、SCS評価制度★3の26項目を実務で進めるうえで必要となる、

  • 規程・方針
  • 台帳・一覧
  • 手順書
  • 記録
  • システム設定やログなどの技術的証跡

について、具体的に解説します。

この記事でわかること

この記事では、主に次の内容について解説します。

  • SCS評価制度★3で文書や証跡が重要になる理由
  • 「規程」「手順書」「台帳」「記録」「技術的証跡」の違い
  • 26項目への対応で準備しておきたい文書の例
  • 既存の社内規程を活用する方法
  • 文書を作り過ぎないための考え方
  • 専門家確認を受ける前に確認しておきたいポイント

SCS評価制度★3の要求事項・評価基準は、IPAから公式のExcelファイルとして公開されています。2026年8月時点では、★3・★4の要求事項・評価基準が公開されており、詳細な解説書は2026年10月頃の公開予定とされています。

そのため、本記事では現在公開されている公式の要求事項・評価基準を基に、実際の企業で対応を進める際の考え方を整理します。

前回までの連載記事

公式資料

IPA公式資料

IPAでは、SCS評価制度の要求事項・評価基準がExcel形式で公開されています。

また、IPAのページでは、★3・★4の要求事項・評価基準に関する解説書は2026年10月頃公開予定とされています。

経済産業省公式資料

経済産業省では、SCS評価制度の制度構築方針とあわせて、★3・★4の要求事項及び評価基準が公開されています。

なお、SCS評価制度は今後も解説書、取得ガイド、申請手続きなどの情報が追加・更新される可能性があります。

実際に★3取得を検討する際は、必ずIPAおよび経済産業省の最新情報を確認してください。

1．SCS評価制度★3は「規程を作れば終わり」ではない

最初に理解しておきたいのは、

SCS評価制度★3は、規程を作成するだけの制度ではない

ということです。

例えば、

「ユーザIDの管理手続を定める」

という要求事項があったとします。

この場合、単に、

ユーザIDは適切に管理する。

と規程に書いてあるだけでは、実際の運用状況までは分かりません。

実務上は、

  • 誰がIDを申請するのか
  • 誰が承認するのか
  • 誰がアカウントを発行するのか
  • 異動時にどのように権限を変更するのか
  • 退職時にいつアカウントを削除するのか
  • 実際に削除したことをどのように確認するのか

といったところまで整理する必要があります。

つまり、SCS評価制度★3への対応では、大きく分けて次の3段階を考える必要があります。

① ルールがある

何をどのように行うのかが、規程や手順書として定められている。

② 実際に運用している

定めたルールに沿って、日常的な業務が行われている。

③ 実施したことを確認できる

申請書、台帳、ログ、議事録、教育記録などが残っている。

この3つがそろうことで、初めて第三者が、

「この会社では、この対策が実際に行われている」

と確認しやすくなります。

SCS評価制度★3では、取得希望組織が要求事項・評価基準に基づいて自己評価を行い、セキュリティ専門家がその内容を確認し、必要に応じて修正を含む助言を行います。最終的には経営層による自己適合宣誓を含めて申請する仕組みです。

したがって、

自己評価の根拠を説明できる状態にしておくこと

が重要になります。

2．まず理解したい「規程・手順・台帳・記録・証跡」の違い

SCS評価制度★3対応では、すべてを「規程」として作る必要はありません。

実務上は、次のように整理すると分かりやすくなります。

規程・方針

組織として守るべき基本的なルールです。

例えば、

  • 情報セキュリティ基本方針
  • 情報セキュリティ管理規程
  • アクセス管理規程
  • 情報資産管理規程
  • インシデント対応規程

などが考えられます。

「会社として何を守るのか」を定めるものです。

手順書

規程で定めたルールを、実際の業務でどのように実施するかを整理したものです。

例えば、

  • アカウント発行・変更・削除手順
  • セキュリティパッチ適用手順
  • インシデント初動対応手順
  • バックアップ・復旧手順

などです。

「実際に誰が、いつ、何をするのか」を明確にします。

台帳・一覧

管理対象を把握するための資料です。

例えば、

  • IT資産管理台帳
  • ソフトウェア一覧
  • クラウドサービス一覧
  • 取引先一覧
  • 管理者アカウント一覧
  • インシデント連絡先一覧

などです。

台帳は作成するだけではなく、定期的に更新されていることが重要です。

記録

実際に対応を行ったことを残すものです。

例えば、

  • セキュリティ教育の実施記録
  • インシデント対応訓練記録
  • アカウント棚卸し記録
  • バックアップ確認記録
  • パッチ適用記録
  • 規程の見直し記録

などです。

技術的な証跡

システム上で対策が実施されていることを確認するものです。

例えば、

  • ファイアウォール設定
  • 多要素認証の設定画面
  • パスワードポリシー
  • バックアップ設定
  • ウイルス対策ソフトの管理画面
  • ログ保存設定
  • ネットワーク構成図

などです。

SCS評価制度★3対応では、これらを組み合わせながら、

「ルール」と「実際の運用」が一致している状態

を作っていくことが重要です。

3．重要なのは「26項目＝26個の規程」ではない

SCS評価制度★3には26の要求事項があります。

しかし、

26項目それぞれについて、26個の規程を新しく作る必要があるわけではありません。

むしろ、そのような作り方をすると文書が増えすぎてしまい、将来的な維持管理が難しくなります。

例えば、

  • ユーザID管理
  • 管理者ID管理
  • パスワード設定
  • パスワード管理
  • アクセス権管理

は、一つの「アクセス管理規程」や「アカウント管理手順」にまとめることができます。

同様に、

  • IT機器
  • OS
  • ソフトウェア
  • ネットワーク
  • クラウドサービス

についても、「IT資産管理規程」と関連する台帳にまとめることが可能です。

大切なのは、

文書の数ではなく、要求されている内容が漏れなく定められていること

です。

4．ガバナンスの整備で準備したい文書・証跡

SCS評価制度★3の「ガバナンスの整備」では、主に、

  • セキュリティ推進体制
  • 守秘義務
  • セキュリティ対応方針

が対象となります。

準備しておきたいものの例

規程・方針

  • 情報セキュリティ基本方針
  • 情報セキュリティ管理規程
  • 守秘義務に関する規程

台帳・一覧

  • セキュリティ推進体制図
  • 担当者一覧
  • 緊急連絡先一覧

記録

  • 体制の見直し記録
  • 方針の周知記録
  • 入社時の守秘義務説明記録

ここで重要なのは、単に、

「情報システム担当者がセキュリティを担当している」

という状態ではなく、

誰が責任を持ち、誰が実務を担当するのかを明確にすること

です。

中小企業では、専任のセキュリティ部門が存在しないことも珍しくありません。

その場合でも、

  • 経営責任者
  • セキュリティ責任者
  • IT担当者
  • インシデント発生時の連絡先

を整理することは可能です。

重要なのは、組織の規模に合った現実的な体制を作ることです。

5．取引先管理で準備したい文書・証跡

SCS評価制度は、そもそもサプライチェーン全体のセキュリティ強化を目的とした制度です。

経済産業省は、発注企業が取引先に適切な対策段階を提示し、取引先がその対策を実施し、双方で実施状況を確認することを制度の想定として示しています。

そのため、取引先との関係を把握することは非常に重要です

準備しておきたいものの例

台帳・一覧

  • 重要取引先一覧
  • 業務委託先一覧
  • クラウドサービス一覧
  • 外部接続先一覧

契約・ルール

  • 秘密保持契約
  • 情報取扱いに関する契約条項
  • インシデント発生時の連絡方法
  • 責任分界点を整理した資料

記録

  • 取引先情報の定期確認記録
  • 委託先との協議記録
  • インシデント連絡体制の確認記録

特に注意したいのが、

「契約している会社」だけを取引先として考えないこと

です。

実際には、

  • クラウドサービス
  • 外部保守会社
  • システムベンダー
  • データセンター
  • 業務委託先

なども、自社のセキュリティに大きな影響を与える可能性があります。

第3回で解説したように、サプライチェーンリスクを考える際には、自社と外部組織との「つながり」を把握することが重要です。

6．リスクの特定で準備したい文書・証跡

リスクを特定するためには、まず、

自社が何を持っているのか

を把握しなければなりません。

準備しておきたいものの例

台帳

  • PC・サーバー等のIT資産台帳
  • OS一覧
  • ソフトウェア一覧
  • ネットワーク機器一覧
  • クラウドサービス一覧
  • 機密情報一覧

図面・構成資料

  • ネットワーク構成図
  • システム構成図
  • 外部接続関係図

ルール

  • 情報資産管理規程
  • 機密情報管理規程
  • クラウドサービス利用ルール

SCS評価制度★3対応を進める企業で、特に大きな課題になりやすいのがIT資産管理です。

例えば、

  • どのPCがWindows 11なのか分からない
  • 古いソフトウェアが残っている
  • 誰が利用しているPCか分からない
  • 部署が独自に契約したクラウドサービスを把握していない
  • ネットワーク構成図が数年前のまま

といった状態では、適切なセキュリティ対策を実施することが困難です。

第9回のギャップ分析でも触れたように、★3対応では最初から新しい製品を購入するのではなく、

まず現状を正確に把握すること

が重要です。

7．攻撃等の防御で準備したい文書・証跡

6項目の中でも、最も多くの要求事項が含まれるのが「攻撃等の防御」です。

ここでは、

  • ID管理
  • パスワード
  • アクセス権
  • インシデント訓練
  • バックアップ
  • 安全なシステム構成
  • パッチ管理
  • マルウェア対策
  • ネットワーク境界防護

などが対象となります。

① ID・アクセス権管理

規程・手順

  • アカウント管理規程
  • ID発行・変更・削除手順
  • 管理者アカウント管理手順
  • アクセス権管理ルール

記録

  • アカウント申請記録
  • 権限変更記録
  • 退職者アカウント削除記録
  • 定期棚卸し記録

ここでは、

「退職者のアカウントが残っていないか」

「必要以上の管理者権限が付与されていないか」

などを確認できる状態にしておくことが重要です。

② パスワード・認証

規程

  • パスワード設定ルール
  • パスワード管理ルール
  • 多要素認証の利用方針

技術的証跡

  • パスワードポリシー設定
  • 多要素認証設定
  • アカウントロック設定
  • 端末の自動画面ロック設定

ここで注意したいのは、

規程と実際の設定が一致しているか

です。

例えば規程では、

「一定時間操作がない場合は端末をロックする」

と書かれていても、実際のPCにその設定が入っていなければ、運用されているとは言いにくくなります。

③ バックアップ

手順

  • バックアップ手順
  • 復旧手順

台帳

  • バックアップ対象一覧
  • 保存先一覧

記録

  • バックアップ実施記録
  • 復旧確認記録
  • リストアテスト記録

バックアップは、

「バックアップを取っている」だけではなく、「必要なときに戻せるか」

が重要です。

特にランサムウェア対策では、本番環境と同時にバックアップまで被害を受けるケースも考慮しなければなりません。

そのため、

  • 何をバックアップしているか
  • どこに保存しているか
  • 誰が管理しているか
  • どの程度の期間保存しているか
  • 実際に復旧できるか

を整理しておく必要があります。

④ パッチ・アップデート管理

手順

  • 脆弱性情報の確認手順
  • パッチ適用判断手順
  • 緊急パッチ適用手順

台帳・記録

  • 対象システム一覧
  • パッチ適用記録
  • 未適用理由の記録

すべてのアップデートを即座に適用できるとは限りません。

業務システムによっては、ベンダーの動作確認が必要な場合もあります。

その場合には、

「未適用だから即座に不適合」

と考えるのではなく、

なぜ適用していないのか、どのような代替策を講じているのか

を説明できるようにすることが重要です。

⑤ マルウェア対策

技術的証跡

  • ウイルス対策ソフトの管理画面
  • 定義ファイル更新状況
  • 検知履歴
  • 対象端末の管理状況

ここでも重要なのは、

「ソフトを導入していること」

だけではありません。

  • 全端末に導入されているか
  • 正常に動作しているか
  • 更新されているか
  • 検知時に誰が確認するのか

まで整理する必要があります。

⑥ ネットワーク境界防護

資料

  • ネットワーク構成図
  • 外部接続一覧
  • ファイアウォール構成資料

技術的証跡

  • ファイアウォール設定
  • VPN設定
  • 不要な通信の遮断設定

SCS評価制度への対応は、特定のセキュリティ製品の購入を義務付けるものではありません。

経済産業省も、SCS評価制度は任意の制度であり、評価基準の達成に特定のセキュリティ対策製品の導入が必須ではないと注意喚起しています。

したがって、

「★3を取得するために、とにかく高価なセキュリティ製品を導入する」

という考え方は適切ではありません。

重要なのは、

自社の環境で必要な対策が実際に機能していること

です。

8．攻撃等の検知で準備したい文書・証跡

攻撃を完全に防ぐことは困難です。

そのため、

異常を早期に発見できる状態

も重要になります。

準備しておきたいものの例

ルール・手順

  • ログ管理方針
  • 異常検知時の確認手順
  • エスカレーション手順

技術的証跡

  • ファイアウォールログ
  • VPNログ
  • 認証ログ
  • セキュリティ製品の検知ログ
  • ログ保存設定

ただし、

ログを保存しているだけでは、必ずしも監視しているとはいえません。

重要なのは、

  • どのログを見るのか
  • 誰が確認するのか
  • どの程度の頻度で確認するのか
  • 異常があった場合にどう対応するのか

を決めることです。

高度なSOCや24時間365日の監視体制をすべての企業が構築できるわけではありません。

だからこそ、自社の規模やリスクに応じて、

現実的に継続できる監視方法を設計すること

が重要です。

9．インシデント対応で準備したい文書・証跡

セキュリティインシデントが発生した際、

「そのとき考える」

という状態では、対応が遅れてしまいます。

準備しておきたいものの例

文書

  • インシデント対応規程
  • インシデント対応フロー
  • 初動対応手順

一覧

  • 緊急連絡先
  • 経営層への報告ルート
  • システムベンダー連絡先
  • 外部専門家連絡先

記録

  • インシデント対応記録
  • 訓練実施記録
  • 訓練後の改善記録

特に重要なのが、

「最初に誰へ連絡するのか」

です。

実際のインシデントでは、

  • 端末の電源を切るべきか
  • ネットワークから切り離すべきか
  • 業務を停止するべきか
  • 経営層へいつ報告するか
  • 顧客や取引先への連絡が必要か

といった判断が必要になります。

平時に決めていなければ、発生時に混乱します。

10．インシデントからの復旧で準備したい文書・証跡

インシデント対応は、

「攻撃を止めたら終わり」

ではありません。

事業を継続するためには、システムや業務を復旧させる必要があります。

準備しておきたいものの例

文書

  • システム復旧手順
  • IT-BCP
  • サイバーインシデント対応BCP

一覧

  • 重要システム一覧
  • 復旧優先順位
  • 代替業務手順

記録

  • 復旧訓練記録
  • バックアップ復元テスト
  • BCP見直し記録

ここで重要なのは、

すべてのシステムを同時に復旧しようとしないこと

です。

例えば、

  1. 最優先で復旧するシステム
  2. 数時間以内に必要なシステム
  3. 翌日以降でも対応可能なシステム

のように優先順位を整理しておく必要があります。

SCS評価制度★3への対応をきっかけに、

「自社の事業を止めないために、本当に重要なシステムは何か」

を考えることは、非常に大きな意味があります。

11．実務では「証跡一覧」を作ると管理しやすい

SCS評価制度★3対応を進める際には、26項目それぞれについて、

  • 要求事項
  • 自社の対応状況
  • 関連する規程
  • 関連する手順書
  • 関連する台帳
  • 実施記録
  • 技術的証跡
  • 担当者
  • 不足事項

を一覧化することをおすすめします。

例えば、次のような形です。

要求事項

ユーザIDの管理手続

社内ルール

アカウント管理規程

手順

アカウント発行・変更・削除手順

記録

アカウント申請書、退職者アカウント削除記録

技術的証跡

Active Directoryやクラウドサービスのアカウント一覧

課題

定期的な棚卸しが未実施

このように整理すると、

「何ができていて、何が不足しているのか」

が非常に分かりやすくなります。

また、専門家による確認を受ける際にも、関連資料を探しやすくなります。

12．よくある失敗①　立派な規程を作りすぎる

SCS評価制度★3対応で起こりやすい失敗の一つが、

文書を作ること自体が目的になること

です。

例えば、数十ページの立派な情報セキュリティ規程を作成しても、

現場の従業員が存在を知らない。

担当者も内容を理解していない。

実際の運用は規程と異なっている。

という状態では意味がありません。

大切なのは、

実際に守れるルールを作ること

です。

10人の会社と1,000人の会社では、必要な管理方法は異なります。

自社の規模、業務、システム環境に合わせて、継続可能な仕組みを作ることが重要です。

13．よくある失敗②　既存の文書を使わず、すべて新しく作る

すでに、

  • ISMS関連規程
  • 個人情報保護規程
  • 就業規則
  • IT資産管理台帳
  • BCP
  • システム運用手順

などが存在する企業では、それらを活用できる可能性があります。

SCS評価制度★3対応のために、すべてを一から作り直す必要はありません。

まずは既存文書を確認し、

  • そのまま使える
  • 一部追記すれば使える
  • 新規作成が必要

に分類することをおすすめします。

前回の第9回で解説したギャップ分析と同じ考え方です。

「今あるものを確認してから不足を補う」

ことが、最も効率的です。

14．よくある失敗③　規程と実際の運用が違う

これは非常に注意が必要です。

例えば、規程には、

「アカウントは退職日に削除する」

と書かれている。

しかし実際には、退職後も数か月間アカウントが残っている。

あるいは、

「ログを定期的に確認する」

と書いている。

しかし、誰も確認していない。

このような状態では、

文書が存在することが、かえって運用上の問題を明確にする

ことになります。

そのため、規程を作成する際には、

「理想的なことを書く」

のではなく、

実際に継続できる運用を定める

ことが重要です。

15．よくある失敗④　証跡を後から作ろうとする

もう一つ多いのが、

「評価を受ける直前に資料をそろえればよい」

という考え方です。

しかし、

  • 半年間のログ確認記録
  • 教育実施記録
  • 定期点検記録
  • アカウント棚卸し記録

などは、後から本来の運用実態を正確に再現することが難しい場合があります。

そのため、SCS評価制度★3への対応を始める段階から、

日常業務の中で自然に証跡が残る仕組み

を作ることが重要です。

例えば、

  • チェックシートを残す
  • チケット管理システムに記録する
  • 会議議事録に残す
  • 管理画面から定期的に一覧を出力する

など、既存の業務フローに組み込む方法が考えられます。

16．文書管理では「最新版がどれか分かる状態」にする

規程や手順書を作成した後は、文書管理も重要になります。

最低限、

  • 文書名
  • 作成日
  • 改定日
  • 版数
  • 承認者
  • 保管場所

を整理しておくとよいでしょう。

例えば、

「情報セキュリティ管理規程_v3_最新版_最終版2」

のようなファイルが複数存在すると、どれが正式な文書なのか分からなくなります。

文書管理は高度なシステムを導入しなくても構いません。

共有フォルダやクラウドストレージを利用する場合でも、

正式版がどれかを誰でも確認できる状態

にしておくことが重要です。

17．専門家確認の前に確認しておきたい5つのポイント

SCS評価制度★3の専門家確認を受ける前には、少なくとも次の5点を確認しておくとよいでしょう。

① 要求事項に対する自己評価が整理されているか

「できている」「できていない」だけではなく、その判断根拠を整理します。

② 関連する文書を提示できるか

規程、手順書、台帳などがどこにあるかを整理します。

③ 実際の運用記録があるか

教育、点検、棚卸し、バックアップなどの実施記録を確認します。

④ 文書と実際の運用が一致しているか

規程だけが理想論になっていないかを確認します。

⑤ 不足している項目を把握しているか

すべてを完璧にしてから専門家へ相談する必要はありません。

むしろ、

「ここまではできている」
「この部分が分からない」
「この証跡で十分か判断できない」

という状態を整理しておくことで、より具体的な助言を受けやすくなります。

SCS評価制度★3では、セキュリティ専門家が自己評価結果の確認と助言を行い、最終的に提出内容を了承した場合に署名する仕組みが示されています。

そのため、専門家確認は単なる「最後の判定」ではなく、

自社の対応状況を客観的に確認し、不足を改善する機会

として考えることが重要です。

18．SCS評価制度★3対応で本当に重要なのは「説明できること」

SCS評価制度★3への対応を一言で表すなら、

自社のセキュリティ対策を説明できる状態にすること

だと考えています。

例えば、

「バックアップは取っていますか」

と聞かれたときに、

「たぶん取っています」

ではなく、

「このシステムを対象に、毎日この場所へバックアップしています。担当者は○○で、定期的に復旧確認を行っています」

と説明できる。

「退職者のアカウントはどうしていますか」

と聞かれたときに、

「担当者が気付いたときに消しています」

ではなく、

「退職手続と連動して削除申請を行い、システム担当者が削除し、その結果を記録しています」

と説明できる。

このような状態を作ることが重要です。

これは単にSCS評価制度のためだけではありません。

実際にサイバー攻撃や情報漏えいが発生した際にも、

自社が何を管理し、誰が何を行うのかが整理されている企業ほど、迅速に対応しやすくなります。

19．2026年8月時点では、今から準備を始める意味がある

SCS評価制度★3・★4は、2027年3月頃の運用開始が予定されています。

一方で、SCS評価制度の要求事項・評価基準はすでに公開されています。

つまり、

制度開始を待たなければ何もできないわけではありません。

むしろ、

  • 現状把握
  • ギャップ分析
  • 規程の見直し
  • 台帳整備
  • 運用開始
  • 記録の蓄積

には時間がかかります。

特に、教育、訓練、定期点検、棚卸しなどは、制度開始直前に慌てて対応するよりも、早い段階から実際の運用として定着させておく方が現実的です。

ただし、2026年8月時点では、IPAの★3・★4要求事項・評価基準の詳細な解説書は2026年10月頃の公開予定です。今後、追加情報や具体的な解釈が示される可能性があるため、最新の公式情報を確認しながら準備を進めることも重要です。

20．まとめ｜SCS評価制度★3対応は「文書作成」ではなく「運用を見える化すること」

今回は、SCS評価制度★3への対応で必要となる規程、台帳、記録、証跡について解説しました。

重要なポイントは、

26項目に対して26個の規程を作ることではありません。

必要なのは、

  1. ルールを定める
  2. 実際に運用する
  3. 実施したことを確認できるようにする

という3つをつなげることです。

SCS評価制度★3対応では、

  • 情報セキュリティ方針
  • 体制図
  • IT資産台帳
  • ネットワーク構成図
  • アカウント管理手順
  • バックアップ手順
  • パッチ管理手順
  • インシデント対応手順
  • 教育・訓練記録
  • ログやシステム設定

など、さまざまな資料が必要になります。

しかし、重要なのは資料の数ではありません。

自社がどのような考え方で対策を行い、それをどのように運用し、どのように確認しているのかを説明できること

です。

SCS評価制度★3への対応は、単なる「評価取得のための書類作り」ではありません。

自社のセキュリティ対策を整理し、

「何を守るのか」
「誰が守るのか」
「どのように守るのか」
「本当に実施できているのか」

を見える化する機会でもあります。

SCS評価制度★3への対応でお困りの企業様へ

株式会社クロイツでは、SCS評価制度★3への対応を検討されている企業様に対して、実務に即したセキュリティ対策の整理をご支援しています。

例えば、

  • SCS評価制度★3の26項目に対する現状確認
  • ギャップ分析
  • 対応優先順位の整理
  • 情報セキュリティ規程や手順書の整備
  • IT資産台帳等の管理資料の整備
  • アカウント管理やログ管理等の運用改善
  • インシデント対応手順の整備
  • 自己評価に向けた準備
  • 専門家確認を見据えた証跡の整理

などについて、企業ごとの規模や環境に合わせてご支援します。

SCS評価制度★3への対応で重要なのは、評価項目を形式的に埋めることではありません。

実際の企業環境を確認し、

現在できていることを活用しながら、本当に不足している部分を整備すること

が重要です。

「何から準備すればよいか分からない」

「現在の社内規程でどこまで対応できるのか確認したい」

「26項目と自社の運用を照らし合わせたい」

「専門家確認を見据えて、文書や証跡を整理したい」

といった場合は、お気軽にご相談ください。

お問い合わせ

次回予告

次回は、SCS評価制度★3の大きな特徴である「専門家確認付き自己評価」について解説します。

  • セキュリティ専門家は何を確認するのか
  • 企業はどこまで準備しておくべきか
  • 自己評価はどのように進めるのか
  • 専門家確認で慌てないために何をしておくべきか
  • 経営層による自己適合宣誓とは何か

など、★3の取得を実際に進める段階で重要となるポイントを整理します。

SCS評価制度★3の要求事項への対応が「対策を整える段階」だとすれば、次回は、その対策をどのように確認し、申請につなげていくのかを解説する実践編です。