経産省 SCS対策制度★3、「対応済み」なのに証拠が無い——期限付き評価基準27件の落とし穴
ルールを作ったのに評価で証拠が足りない、はなぜ起きるのか。SCS★3の81チェック項目のうち期限付きの27個を、IT専門でない管理担当者向けに5つの型と図で整理します。
こんにちは。まだ暑さの残る9月ですが、上期の締めが見えてくると、社内の決まりごとや書類のことが気になり始める頃かもしれません。
SCS★3では、ルールや一覧表を作って「対応済み」にしても、それだけでは証拠になりません。81個のチェック項目のうち27個は、作った後も続けている記録を見せる必要があるからです。27個は「年1回」「入社や改正のたび」「決めた頻度で」「14日以内」という4つの期限の型に分かれ、これとは別に、ルールと設定が同じ見出しの下に混ざっている型が15個あります。
前回の「経産省 SCS対策制度★3、一部読みが招く落とし穴——81評価基準を取りこぼす理由」で全体像を見た方向けの続編です。番号の読み方（4-4-1 は「やること」、4-4-1-3 は「チェック項目」）は前回記事に書きました。なお、ここでの整理は企業の統計ではなく、制度の原文の構造から「作った後に残しやすい項目」を拾い出したものです。どれがいちばん落ちやすいか、という順位付けはしていません。
目次
- 「対応済み」と「証拠がある」は別物
- 型1：年1回の見直し記録が要る（9個）
- 型2：入社・改正・退職のたびに記録が要る（12個）
- 型3：決めた頻度でやった記録が要る（5個）
- 型4：14日以内にやった記録が要る（1個）
- 型5：ルールと設定が同じ見出しに混ざる（15個）
- 自社で確認する順番
- 参考リンク
- この記事を書いた人
「対応済み」と「証拠がある」は別物
SCS★3は、専門家が「記録・文書・設定画面」を見て確認する制度です。ルールの文書があるだけでは足りません。「いつ・誰が・何をしたか」が残っていないと、そのチェック項目は満たしていないと見なされます。
81個のチェック項目のうち、期限や頻度が原文に書かれているものが27個あります（META-MARKの整理で、IPAの公式分類ではありません）。内訳は、年1回が9個、出来事のたびが12個、決めた頻度が5個、14日以内が1個。残りの54個には期限がありません。
ですから、規程ファイルを一式そろえた日に「全部対応済み」とはいきません。27個は、その後の記録が積み上がって初めて証拠になります。担当者として迷うとしたら、たぶん「書類はそろっているのに、何が足りないのか」という点だと思います。足りないのは書類ではなく、時間の経過とともに増えていくはずの記録のほうです。
ルールを作った日ではなく、その後の記録の積み上がりが証拠になる
型1：年1回の見直し記録が要る（9個）
一つめは、「作った」だけでは足りず、前回から1年以内に「見直した」記録（日付・確認した人・次回の予定）が要る型です。
| チェック項目（押すとツールへ） | 何を見直すか |
|---|---|
| 1-2-1-3 | 責任者と連絡先の一覧 |
| 2-1-1-2 | 取引先とつながっているシステムの一覧 |
| 3-1-1-4 | パソコン・ソフトの管理ルールが守られているか |
| 3-1-4-2 | 機密情報の管理ルール |
| 4-1-7-1 | 誰がどこにアクセスできるかの棚卸 |
| 4-2-2-1 | 事故対応の教育・訓練（年1回＋入社時） |
| 4-2-2-3 | 教育・訓練の内容 |
| 6-1-1-4 | 事故時の体制と連絡先 |
| 6-1-1-6 | 事故の事例と対策の社内共有 |
体制図や一覧表のファイルがあるだけでは、見直しの証拠にはなりません。ファイルが「ある」ことと、1年以内に誰かが「見た」ことは別だからです。
残すもの：見直した日、確認した人、確認した結果、次回の予定日。
型2：入社・改正・退職のたびに記録が要る（12個）
二つめは、出来事が起きるたびに記録が発生する型です。入社、社外の人の受け入れ、取引の開始、ルールの改正、退職、大きな事故。こうした場面ごとに記録が要るので、年度末にまとめて作ると「誰に・いつ」の対応関係が消えてしまいます。
代表的なものを挙げます。
- 1-2-3-2（守秘義務のルール）：入社時・受け入れ時に説明した記録
- 1-3-1-3（セキュリティ方針）：方針を改正したときに社内に知らせた記録
- 2-1-2-1（機密情報の取り決め）：取引を始める前に交わした合意
- 4-1-1-3・4-1-1-4（IDとアクセス権）：退職などで不要になったIDや権限を止めた日付
- 4-1-2-7（管理者ID）・4-4-1-3（機器の設定変更）：申請と承認の記録
残すもの：出来事の日付、対象者、やった内容、やった人、承認した人。IDなら「最後に使った日」と「止めた日」、方針なら「改正版の番号」と「知らせた方法」。
型3：決めた頻度でやった記録が要る（5個）
三つめは、毎日バックアップ、週1回スキャンといった計画を決めるだけでは足りず、実際にやった記録の積み重ねが要る型です。
- 4-3-4-1（バックアップ）：対象・頻度・保管期間を決めて、実行した記録
- 4-4-5-2・4-4-5-3（ウイルス対策）：機器ごとのスキャンと、定義ファイル更新の記録
- 4-5-1-6（ルーター・ファイアウォール）：不要になった通信ルールを消した記録
- 5-1-1-2（不審な通信の監視）：警告を誰が見て、事故かどうか判断した記録
残すもの：対象、予定の頻度、実行日、結果、確認した人。
失敗した日があっても隠さないでください。再実行や判断の経緯まで残っているほうが、証拠としては強くなります。
型4：14日以内にやった記録が要る（1個）
四つめは4-4-4-2（アップデートの適用）の1個だけですが、期限が最も短い型です。
「重大」「高リスク」と説明される修正や、深刻度の点数（CVSS基本値）が7.0以上の修正は、公開から14日以内に適用します。対象は会社支給のパソコン（OS・ブラウザ・Officeソフト）、サーバー、会社支給のスマートフォン、インターネットとの境界にあるネットワーク機器です。
ここで引っかかりやすいのは、適用した日だけを記録してしまうことです。適用日だけでは「14日以内」を計算できません。
残すもの：修正が公開された日と、適用した日の両方。期限内にできない場合は、その機能を無効にする・回避策を取る・ネットワークから切り離す・通信を監視するのいずれかを行い、その記録も残します。
型5：ルールと設定が同じ見出しに混ざる（15個）
五つめは、期限とは別の軸の型です。26個の「やること」のうち15個は、同じ見出しの下に「ルールを作る」項目と「設定や記録を残す」項目が混ざっています。ルールを作った時点で見出しごと「対応済み」にすると、設定側の項目が取り残されます。
見出し1つに4つの欄。「規程あり」の1欄で済ませると残りの3欄が見えない
たとえば次のようなものです。
- 1-3-1（セキュリティ方針）：方針の文書 ＋ 最新版をいつでも見られる場所 ＋ 改正時に知らせた記録
- 4-1-1（社員のID）：申請・承認のルール ＋ 実際のID設定 ＋ 不要になったIDを止めた記録
- 4-3-4（バックアップ）：計画の文書 ＋ 実行の記録 ＋ 復元手順の確認
- 4-1-5・4-1-6（パスワード）：ルールの文書 ＋ 社員に知らせた記録
確認のコツは、やることごとに「文書」「設定・台帳」「実施記録」「点検記録」の4つの欄を分けて書くことです。「規程あり」の1欄で済ませると、残りの3欄が目に入らなくなります。
自社で確認する順番
最後に、手元で確かめる順番です。
- 自社チェックツールで、チェック項目に「年1回」「入社時」「改正時」「14日以内」といった期限の言葉があるか見る。 あれば型1〜4です。
- 期限がある項目は「最後にやった日」と「次にやる日」を1行で書き出す。 日付が書けない項目が、証拠の欠けている項目です。
- 残った項目は「文書・設定・実施・点検」の4欄に分けて、空欄を埋める順番を決める。
ツールの入力内容はお使いのパソコンの中だけに保存され、外部には送られません。IPAの公式ツールではなく、公式Excelをもとにした非公式の確認用ツールです。
参考リンク
- IPA「SCS評価制度 要求事項・評価基準」制度ページ（2026年9月11日確認）
- IPA公式Excel「★3・★4 要求事項・評価基準」（2026年4月21日公開）
- 前回記事：経産省 SCS対策制度★3、一部読みが招く落とし穴——81評価基準を取りこぼす理由
チェック項目の原文と件数はこの2点から機械的に取り込んでいます。5つの型と件数の分け方、「何を見直すか」「残すもの」はMETA-MARKの解釈です。
この記事を書いた人
HW系エンジニアとして20年以上、10,000件を超える顧客訪問と2,000件を超える単独ソリューション実績。AIツールを使った個人開発やIoT農園など、Raspberry Piを使ったオートメーション化なども実践中です！エンジニア専門結婚相談所も運営中、ClaudeCodeで解決できない心の課題も解決いたします！