SCS評価制度の準備チェックリスト｜担当・証跡・期限の整理

SCS評価制度への対応を始めるときは、まず「取引先から何を求められているか」「どの範囲を確認するか」「誰が記録を残すか」を揃えます。製品の購入や規程の作成から着手すると、対象外の作業に時間を使ったり、実施した対策の証拠が残らなかったりするためです。

この記事では、担当者・証跡・期限を整理する準備チェックリストと、教育・監視・ログ管理の実務例を紹介します。証跡とは、対策を実施したことを確認できる記録や設定情報です。

この記事と入力用CSVはヤグラ独自の準備資料です。公式の評価表全件を代替するものではなく、★取得の合否を判定するものでもありません。 2026年9月17日に公式資料を再確認し、公式Excelとの照合方法と準備台帳の記入例を追加しました。

SCS対応準備台帳をダウンロード（CSV・登録不要）

最初に取引先への確認事項を整理する

SCS評価制度の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。任意制度で、★3・★4は2027年3月頃の運用開始が予定されています。制度の運用開始予定と、個別の取引先が希望する回答期限を分けて確認しましょう。制度の概要・対象・段階の違いはこちらで解説しています。

取引先から要請を受けた場合は、次の4点を記録します。

• 目的と段階： 何の取引について、★3・★4のどちらを求めているか。

• 範囲： 対象となる法人・拠点・業務・システムはどこか。

• 提出物： 現状の説明、改善計画、★の取得結果など、何を求めているか。

• 期限と相談先： 回答期限、対応期限、不明点や調整が必要な場合の窓口。

一律に最高段階を目指す前に、取引内容と自社の役割を整理します。これは取引条件を整理するための実務手順であり、公式の申請手順ではありません。経済産業省の制度説明、IPAのFAQ

準備チェックリスト：公式評価表と自社の作業をつなぐ

1. 対象範囲を一覧にする

法人・拠点・ネットワーク・端末・サーバー・クラウドサービスと、それぞれの管理者を整理します。委託先が管理するものは、自社が確認できる設定と、委託先に確認する事項を分けます。部署ごとの台帳に同じシステムが重複していれば名称を統一します。

制度はクラウドを含む企業等のIT基盤を対象とします。製造環境などのOTシステムや提供製品は直接の対象とはされていないため、ITとの接続関係と、別途適用される基準を確認します。経済産業省の対象範囲

2. 最新の公式評価表を基準にする

IPAの「要求事項・評価基準」から公式Excelを取得し、参照した資料の日付を記録します。★3・★4で必要となる評価基準を確認し、一つずつ自社の設定・手順・記録に対応付けます。

要求事項ID「4-2-2」と、その中の評価基準ID「4-2-2-1」は別です。作業を管理するときは評価基準IDまで記載すると、教育の実施と記録の保管を混同しにくくなります。短い独自チェックリストに○を付けるだけで全基準を満たしたことにはなりません。

星3の26件・星4の43件と、81件・153件は何が違う？

2026年3月公表の公式Excelでは、星3は26の要求事項と81の評価基準、星4は43の要求事項と153の評価基準で構成されています。星4の件数には星3の内容を含みます。「要求事項」は対策のまとまりで、「評価基準」はその実施状況を確認する具体的な条件です。件数だけを見て、要求事項1件につき作業が1個で済むとは考えないようにします。出典：IPA公式Excel。

たとえば教育・訓練の4-2-2には、実施、実施記録の保管、内容の点検という別の評価基準があります。担当が同じでも行を分け、対象者、実施した日、記録の場所、次の点検日を確認します。Excelでは参照元の評価基準IDを残し、自社の作業を追加する列と公式の記載を分けておくと、後から資料が更新された際にも照合しやすくなります。

3. 担当者と確認者、証跡を決める

「確認済み」は社内作業の状態です。制度の適合判定とは区別します。対象外と考えたものも勝手に行を消さず、理由と確認事項を残します。

4. 現物を確かめて不足を作業にする

設定画面がある場合も、対象全体に反映されているか、記録を取り出せるかまで確認します。「教育済み」であれば対象者と受講記録、「ログ保存済み」であれば検索できる期間と必要項目を照合します。不足は「対応する」ではなく、「未受講者を抽出し、受講期限を通知する」のように実行できる作業にします。

台帳の記入例：担当・証跡・期限を一つの作業にする

以下は架空のA社を使った準備例です。公式の記入例や必須の証跡一覧ではありません。

• 対象と基準：東京拠点の役員・従業員・派遣社員・受入出向者に対する教育・訓練。評価基準4-2-2-1〜3のうち、実施記録を保管する作業を4-2-2-2の行で管理します。

• 現状と不足：教育は実施済みですが、派遣社員の受講記録の所在を確認できていません。状態は「確認待ち」とし、全対象者の記録が揃ったと断定しません。

• 担当・証跡：教育担当が対象者一覧と実施記録を照合し、記録の保管先と確認日を台帳に残します。派遣社員の管理担当に不足分の所在を確認します。

• 次の作業と期限：9月24日までに不足する記録を確認し、教育担当の責任者が対象者一覧との一致を再確認します。未受講者が判明した場合は、別の実施作業として担当と期限を決めます。

「教育を実施した」「記録を保管した」「内容を点検した」は、それぞれ確認する資料が異なります。社内で作業を完了したことと、制度の評価で適合と判断されることを分けて管理してください。

未確認・未対応・対象外と考える項目を混同しない

設定や記録をまだ調べていない場合は「未確認」、不足を確認した場合は「未対応」など、自社の状態を分けます。対象外と考えた項目は、該当する評価基準と、そう考える理由を記録し、公式資料や確認・評価を担当する専門家等と照合します。クラウドや委託先が管理する機能も、確認できないことを理由に行を削除しないようにします。

実務例1：教育・訓練の記録を揃える

要求事項 4-2-2 は「セキュリティインシデント発生時の教育・訓練」です。★3・★4で、新規受入れ時および年1回以上の教育・訓練、実施記録の保管、年1回以上の内容の点検が求められます。対象には役員、従業員、派遣社員、受入出向者が含まれます。資料の配布・掲示に加え、eラーニングまたは集合教育を行う点も確認します。公式Excelの4-2-2-1〜3

準備例として、人事が対象者一覧を出し、教育担当者が実施内容・方法・日付・受講状況を記録します。情報システム担当者は、教材内の報告先や初動手順が現状に合っているか確認します。入社時教育と年次教育を分け、未受講者への対応も残すと追跡しやすくなります。

証跡の例は、教材の版、実施記録、対象者と受講状況の一覧、内容を点検した記録です。受講率だけでは、何を教えたかまでは説明できません。

実務例2：監視から判断・通知まで確認する

要求事項 5-1-1 は「ネットワーク接続・データの監視」です。★3・★4で、境界または端末における双方向の不正通信のリアルタイム検知・遮断、ログやアラートの分析とインシデント該当性の判断、速やかなアラート発報と速報レポートの通知が求められます。公式Excelの5-1-1-1〜3

実務では、検知する機器、確認する担当者、判断結果を通知する相手を一本の流れで整理します。委託している場合も、サービスが扱う範囲、社内に残る判断、時間外の連絡方法を確認しましょう。

準備のための確認例は、承認された安全な方法で通知を試し、発報時刻・受信者・確認結果を残すことです。通知試験だけで検知能力を検証したことにはならないため、製品設定・対象範囲・検知や遮断の確認結果は別に記録します。特定のSOC製品の導入だけを合格条件に置き換えないことが大切です。

実務例3：ログの保存期間と確認作業を分ける

要求事項 4-4-3 は「ログの取得」で、★4の項目です。対象となるファイアウォール・プロキシ・認証サーバーのログは6カ月の取得・保管が求められます。クラウドも含み、構成の仕様上満たせない場合は、相当するログを他の機器や機能で取得・保管する条件があります。公式Excelの4-4-3-1

ログの種類ごとに取得項目を照合し、日時、接続元・接続先、ユーザー、成否など、該当する項目が揃っているか確認します。「サービスの保存設定は6カ月」でも、収集開始が先月なら過去6カ月分はありません。設定値と、実際に取り出せる最古の日付を分けて記録します。

また、インターネット経由でログの保存先へアクセスするときの多要素認証と、認証サーバーログの月1回以上のモニタリングも確認します。保存・アクセス保護・定期確認を別の作業として管理し、確認結果や不審な試行への対応を残します。公式Excelの4-4-3-2〜3

機器ごとの取得項目や保存先の保護まで詳しく点検する場合は、SCS評価制度のログ・監視要件を参照してください。星3から求められる検知・分析・通知と、星4のログ保管・定期確認を分けて説明しています。

星3・星4の取得後も、更新期限と年次確認を管理する

星3（★3）は有効期間1年、星4（★4）は3年です。星3は継続に必要な専門家の確認と自己評価更新を予定に入れます。星4は毎年の自己評価を評価機関へ提出し、3年ごとの第三者評価に備えます。出典：IPA基本規程 3.1.2・3.2.2。

準備台帳と併せて、登録完了通知の日付、有効期限、次回の自己評価・提出予定日、担当者、評価機関や専門家の連絡先を管理しましょう。これらはヤグラが提案する社内管理項目で、公式申請様式ではありません。配布中のCSVに更新管理欄は含まれていないため、自社の年間予定表などに追加してください。

特に星4では、適用範囲や基準達成に大きく影響する変更があると再評価が必要になります。拠点・システム・委託先を変える際は、定期更新とは別に評価機関へ確認します。星3・星4の要求事項・評価方法・有効期間の比較も参照してください。

入力用CSVの使い方

CSVには、前提整理4行と上記9評価基準に沿った作業例を用意しています。自社の対象範囲・担当者・現状・証跡保管先・確認日・次の作業・期限を入力し、公式評価表との照合で必要な行を追加してください。実務例の欄は自社の構成に合わせて直します。Excelで読み込む際は、要求事項ID・評価基準IDの列を文字列として読み込み、日付に変換されないことを確認してください。

教育やログ管理だけで制度全体への対応が完了するわけではありません。全体の基準を確認したうえで、まず担当者と期限が決まっていない作業を洗い出しましょう。

ヤグラでは、セキュリティ教育とAI SOCによるセキュリティ運用に関するサービスを紹介しています。準備の中で教育記録や監視運用に課題が見つかった場合は、対象範囲と現状を整理してご相談ください。