SCS評価制度の準備チェックリスト｜担当・証跡・期限の整理

SCS評価制度への対応を始めるときは、まず「取引先から何を求められているか」「どの範囲を確認するか」「誰が記録を残すか」を揃えます。製品の購入や規程の作成から着手すると、対象外の作業に時間を使ったり、実施した対策の証拠が残らなかったりするためです。

この記事では、担当者・証跡・期限を整理する準備チェックリストと、教育・監視・ログ管理の実務例を紹介します。証跡とは、対策を実施したことを確認できる記録や設定情報です。

この記事と入力用CSVはヤグラ独自の準備資料です。公式の評価表全件を代替するものではなく、★取得の合否を判定するものでもありません。 記載内容は2026年9月12日に確認しました。

SCS対応準備台帳をダウンロード（CSV・登録不要）

最初に取引先への確認事項を整理する

SCS評価制度の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。任意制度で、★3・★4は2027年3月頃の運用開始が予定されています。制度の運用開始予定と、個別の取引先が希望する回答期限を分けて確認しましょう。制度の概要・対象・段階の違いはこちらで解説しています。

取引先から要請を受けた場合は、次の4点を記録します。

• 目的と段階： 何の取引について、★3・★4のどちらを求めているか。

• 範囲： 対象となる法人・拠点・業務・システムはどこか。

• 提出物： 現状の説明、改善計画、★の取得結果など、何を求めているか。

• 期限と相談先： 回答期限、対応期限、不明点や調整が必要な場合の窓口。

一律に最高段階を目指す前に、取引内容と自社の役割を整理します。これは取引条件を整理するための実務手順であり、公式の申請手順ではありません。経済産業省の制度説明、IPAのFAQ

準備チェックリスト：公式評価表と自社の作業をつなぐ

1. 対象範囲を一覧にする

法人・拠点・ネットワーク・端末・サーバー・クラウドサービスと、それぞれの管理者を整理します。委託先が管理するものは、自社が確認できる設定と、委託先に確認する事項を分けます。部署ごとの台帳に同じシステムが重複していれば名称を統一します。

制度はクラウドを含む企業等のIT基盤を対象とします。製造環境などのOTシステムや提供製品は直接の対象とはされていないため、ITとの接続関係と、別途適用される基準を確認します。経済産業省の対象範囲

2. 最新の公式評価表を基準にする

IPAの「要求事項・評価基準」から公式Excelを取得し、参照した資料の日付を記録します。★3・★4で必要となる評価基準を確認し、一つずつ自社の設定・手順・記録に対応付けます。

要求事項ID「4-2-2」と、その中の評価基準ID「4-2-2-1」は別です。作業を管理するときは評価基準IDまで記載すると、教育の実施と記録の保管を混同しにくくなります。短い独自チェックリストに○を付けるだけで全基準を満たしたことにはなりません。

3. 担当者と確認者、証跡を決める

「確認済み」は社内作業の状態です。制度の適合判定とは区別します。対象外と考えたものも勝手に行を消さず、理由と確認事項を残します。

4. 現物を確かめて不足を作業にする

設定画面がある場合も、対象全体に反映されているか、記録を取り出せるかまで確認します。「教育済み」であれば対象者と受講記録、「ログ保存済み」であれば検索できる期間と必要項目を照合します。不足は「対応する」ではなく、「未受講者を抽出し、受講期限を通知する」のように実行できる作業にします。

実務例1：教育・訓練の記録を揃える

要求事項 4-2-2 は「セキュリティインシデント発生時の教育・訓練」です。★3・★4で、新規受入れ時および年1回以上の教育・訓練、実施記録の保管、年1回以上の内容の点検が求められます。対象には役員、従業員、派遣社員、受入出向者が含まれます。資料の配布・掲示に加え、eラーニングまたは集合教育を行う点も確認します。公式Excelの4-2-2-1〜3

準備例として、人事が対象者一覧を出し、教育担当者が実施内容・方法・日付・受講状況を記録します。情報システム担当者は、教材内の報告先や初動手順が現状に合っているか確認します。入社時教育と年次教育を分け、未受講者への対応も残すと追跡しやすくなります。

証跡の例は、教材の版、実施記録、対象者と受講状況の一覧、内容を点検した記録です。受講率だけでは、何を教えたかまでは説明できません。

実務例2：監視から判断・通知まで確認する

要求事項 5-1-1 は「ネットワーク接続・データの監視」です。★3・★4で、境界または端末における双方向の不正通信のリアルタイム検知・遮断、ログやアラートの分析とインシデント該当性の判断、速やかなアラート発報と速報レポートの通知が求められます。公式Excelの5-1-1-1〜3

実務では、検知する機器、確認する担当者、判断結果を通知する相手を一本の流れで整理します。委託している場合も、サービスが扱う範囲、社内に残る判断、時間外の連絡方法を確認しましょう。

準備のための確認例は、承認された安全な方法で通知を試し、発報時刻・受信者・確認結果を残すことです。通知試験だけで検知能力を検証したことにはならないため、製品設定・対象範囲・検知や遮断の確認結果は別に記録します。特定のSOC製品の導入だけを合格条件に置き換えないことが大切です。

実務例3：ログの保存期間と確認作業を分ける

要求事項 4-4-3 は「ログの取得」で、★4の項目です。対象となるファイアウォール・プロキシ・認証サーバーのログは6カ月の取得・保管が求められます。クラウドも含み、構成の仕様上満たせない場合は、相当するログを他の機器や機能で取得・保管する条件があります。公式Excelの4-4-3-1

ログの種類ごとに取得項目を照合し、日時、接続元・接続先、ユーザー、成否など、該当する項目が揃っているか確認します。「サービスの保存設定は6カ月」でも、収集開始が先月なら過去6カ月分はありません。設定値と、実際に取り出せる最古の日付を分けて記録します。

また、インターネット経由でログの保存先へアクセスするときの多要素認証と、認証サーバーログの月1回以上のモニタリングも確認します。保存・アクセス保護・定期確認を別の作業として管理し、確認結果や不審な試行への対応を残します。公式Excelの4-4-3-2〜3

入力用CSVの使い方

CSVには、前提整理4行と上記9評価基準に沿った作業例を用意しています。自社の対象範囲・担当者・現状・証跡保管先・確認日・次の作業・期限を入力し、公式評価表との照合で必要な行を追加してください。実務例の欄は自社の構成に合わせて直します。Excelで読み込む際は、要求事項ID・評価基準IDの列を文字列として読み込み、日付に変換されないことを確認してください。

教育やログ管理だけで制度全体への対応が完了するわけではありません。全体の基準を確認したうえで、まず担当者と期限が決まっていない作業を洗い出しましょう。

ヤグラでは、セキュリティ教育とAI SOCによるセキュリティ運用に関するサービスを紹介しています。準備の中で教育記録や監視運用に課題が見つかった場合は、対象範囲と現状を整理してご相談ください。