チュートリアル2026年9月11日by K.hirano

SCS★3で「対応済み」なのに証拠が無い——期限付き評価基準27件の落とし穴

ルールを作ったのに評価で証拠が足りない、はなぜ起きるのか。SCS★3の81チェック項目のうち期限付きの27個を、IT専門でない管理担当者向けに5つの型と図で整理します。

#SCS#情報セキュリティ#中小企業#コンプライアンス

この記事を3行で

ルールや一覧表を作って「対応済み」にしても、SCS★3の評価では「その後も続けている記録」を見せる必要がある項目が27個あります。
27個は「年1回」「入社や改正のたび」「決めた頻度で」「14日以内」の4つの期限の型に分かれます。さらに、ルールと設定が同じ見出しの下に混ざる型が15個あります。
この記事は、企業の統計ではなく制度の原文の構造から「作った後に残しやすい項目」を整理したものです。順位付けはしません。

前回の「BlogSCS★3で一部読みが招く落とし穴——81評価基準を取りこぼす理由SCS★3の26要求事項を、IT専門でない管理担当者向けに「何をすればいいか」「何を残せばいいか」だけに絞って整理。番号の読み方と、文書だけで済む項目・設定変更が要る項目・製品導入が要る項目の違いを図で示します。→」で全体像を見た方向けの続編です。番号の読み方（4-4-1 は「やること」、4-4-1-3 は「チェック項目」）は前回記事にあります。

「対応済み」と「証拠がある」は別物
型1：年1回の見直し記録が要る（9個）
型2：入社・改正・退職のたびに記録が要る（12個）
型3：決めた頻度でやった記録が要る（5個）
型4：14日以内にやった記録が要る（1個）
型5：ルールと設定が同じ見出しに混ざる（15個）
自社で確認する順番
参考リンク
この記事を書いた人

「対応済み」と「証拠がある」は別物

SCS★3は、専門家が「記録・文書・設定画面」を見て確認する制度です。ルールの文書があるだけでは足りず、「いつ・誰が・何をしたか」が残っていないと、そのチェック項目は満たしていないと見なされます。

81個のチェック項目のうち、期限や頻度が原文に書かれているものが27個あります（META-MARKの整理。IPAの公式分類ではありません）。内訳は、年1回が9個、出来事のたびが12個、決めた頻度が5個、14日以内が1個です。残り54個には期限がありません。

つまり、規程ファイルを一式作った日に「全部対応済み」にはなりません。27個は、その後の記録が積み上がって初めて証拠になります。

時間の流れで見た「対応済み」と「証拠がある」の違い。左端でルールを作って対応済みにした後、右へ進む時間軸の上に「年1回の見直し」「入社・改正のたび」「決めた頻度」「14日以内」の記録が積み上がると証拠になる。記録が無い場合は空の棚のまま

ルールを作った日ではなく、その後の記録の積み上がりが証拠になる

型1：年1回の見直し記録が要る（9個）

「作った」だけでは足りず、前回から1年以内に「見直した」記録（日付・確認した人・次回の予定）が要る型です。

チェック項目（押すとツールへ）	何を見直すか
1-2-1-3	責任者と連絡先の一覧
2-1-1-2	取引先とつながっているシステムの一覧
3-1-1-4	パソコン・ソフトの管理ルールが守られているか
3-1-4-2	機密情報の管理ルール
4-1-7-1	誰がどこにアクセスできるかの棚卸
4-2-2-1	事故対応の教育・訓練（年1回＋入社時）
4-2-2-3	教育・訓練の内容
6-1-1-4	事故時の体制と連絡先
6-1-1-6	事故の事例と対策の社内共有

残すもの：見直した日、確認した人、確認した結果、次回の予定日。体制図や一覧表のファイルがあるだけでは、見直しの証拠にはなりません。

型2：入社・改正・退職のたびに記録が要る（12個）

入社、社外の人の受け入れ、取引の開始、ルールの改正、退職、大きな事故。こうした出来事が起きるたびに記録が発生する型です。年度末にまとめて作ると「誰に・いつ」の対応関係が消えます。

代表的なものは次のとおりです。

1-2-3-2（守秘義務のルール）：入社時・受け入れ時に説明した記録
1-3-1-3（セキュリティ方針）：方針を改正したときに社内に知らせた記録
2-1-2-1（機密情報の取り決め）：取引を始める前に交わした合意
4-1-1-3・4-1-1-4（IDとアクセス権）：退職などで不要になったIDや権限を止めた日付
4-1-2-7（管理者ID）・4-4-1-3（機器の設定変更）：申請と承認の記録

残すもの：出来事の日付、対象者、やった内容、やった人、承認した人。IDなら「最後に使った日」と「止めた日」、方針なら「改正版の番号」と「知らせた方法」。

型3：決めた頻度でやった記録が要る（5個）

計画（毎日バックアップ、週1回スキャンなど）を決めるだけでは足りず、実際にやった記録の積み重ねが要る型です。

4-3-4-1（バックアップ）：対象・頻度・保管期間を決めて、実行した記録
4-4-5-2・4-4-5-3（ウイルス対策）：機器ごとのスキャンと、定義ファイル更新の記録
4-5-1-6（ルーター・ファイアウォール）：不要になった通信ルールを消した記録
5-1-1-2（不審な通信の監視）：警告を誰が見て、事故かどうか判断した記録

残すもの：対象、予定の頻度、実行日、結果、確認した人。失敗した日があっても隠さず、再実行や判断の経緯まで残すほうが証拠として強くなります。

型4：14日以内にやった記録が要る（1個）

4-4-4-2（アップデートの適用）の1個だけですが、期限が最も短い型です。

「重大」「高リスク」と説明される修正や、深刻度の点数（CVSS基本値）が7.0以上の修正は、公開から14日以内に適用します。対象は会社支給のパソコン（OS・ブラウザ・Officeソフト）、サーバー、会社支給のスマートフォン、インターネットとの境界にあるネットワーク機器です。

残すもの：修正が公開された日と、適用した日の両方。適用日だけでは「14日以内」を計算できません。期限内にできない場合は、その機能を無効にする・回避策を取る・ネットワークから切り離す・通信を監視するのいずれかを行い、その記録も残します。

型5：ルールと設定が同じ見出しに混ざる（15個）

期限とは別の軸の型です。26個の「やること」のうち15個は、同じ見出しの下に「ルールを作る」項目と「設定や記録を残す」項目が混ざっています。ルールを作って見出しを「対応済み」にすると、設定側の項目が残ります。

1つの見出し「4-3-4 バックアップ」の下に、文書（計画）・設定（遠隔地保管）・実施記録（実行した記録）・点検（復元手順の確認）の4つの欄がある図。文書の欄だけ埋まり、残り3欄が空のまま「対応済み」と書かれている状態を示す

見出し1つに4つの欄。「規程あり」の1欄で済ませると残りの3欄が見えない

例をいくつか挙げます。

1-3-1（セキュリティ方針）：方針の文書＋最新版をいつでも見られる場所＋改正時に知らせた記録
4-1-1（社員のID）：申請・承認のルール＋実際のID設定＋不要になったIDを止めた記録
4-3-4（バックアップ）：計画の文書＋実行の記録＋復元手順の確認
4-1-5・4-1-6（パスワード）：ルールの文書＋社員に知らせた記録

確認のコツ：やることごとに「文書」「設定・台帳」「実施記録」「点検記録」の4つの欄を分けて書く。「規程あり」の1欄で済ませると、残りの3欄が見えなくなります。

自社で確認する順番

自社チェックツールで、チェック項目に「年1回」「入社時」「改正時」「14日以内」といった期限の言葉があるか見る。 あれば型1〜4です。
期限がある項目は「最後にやった日」と「次にやる日」を1行で書き出す。 日付が書けない項目が、証拠の欠けている項目です。
残った項目は「文書・設定・実施・点検」の4欄に分けて、空欄を埋める順番を決める。

ツールの入力内容はお使いのパソコンの中だけに保存され、外部には送られません。IPAの公式ツールではなく、公式Excelをもとにした非公式の確認用ツールです。

参考リンク

チェック項目の原文と件数はこの2点から機械的に取り込んでいます。5つの型と件数の分け方、「何を見直すか」「残すもの」はMETA-MARKの解釈です。

この記事を書いた人

HW系エンジニアとして20年以上、10,000件を超える顧客訪問と2,000件を超える単独ソリューション実績。AIツールを使った個人開発やIoT農園など、Raspberry Piを使ったオートメーション化なども実践中です！エンジニア専門結婚相談所も運営中、ClaudeCodeで解決できない心の課題も解決いたします！