SCS評価制度に向けて、何から手を付ければよいか分からない

社長から「SCSの準備を、今のうちに進めておいてほしい」と頼まれる。頼まれたのは総務の担当で、パソコンや通信のことも兼ねて見ている人である。IPAのページを開くと、要求事項と評価基準の表、自己評価等ガイド、解説書、自己評価の結果を書き込む様式が並んでいる。ガイドだけで百頁を超える。どれも読めば意味の通る日本語で書かれている。それなのに、明日の朝に何から始めればよいのかだけが見当たらない——この辞典が扱うのは、その場面である。

• 準備を任されたのは総務や経理と兼ねてITを見ている人で、制度の資料を読むのはこれが初めてである。
• IPAのページから資料をひととおり落としたが、どれから読むものかが分からない。
• 26項目の表を上から読み始めたら、「重要な機密情報」という言葉が出てきたところで止まった。自社で何がそれに当たるのか、まだ決めたことがない。
• 手を付けやすい所から、と考えて、パスワードの決まりを作るか、ソフトの更新を見直すかで迷っている。
• 「台帳」「一覧」「規程」という言葉が並び、書類を一から作る仕事に見えて、手が出ない。
• いつまでに何をすればよいかの目安を、資料の中に探している。

資料は揃っている。手元に無いのは、どこから読み始めるかの手がかりである。

手が止まったとき、出てくる考えはたいてい二つある。

一つは表の上から順に片づけていくことである。項目は26と決まっているので、一つずつ進めればいずれ終わる。並べたのはIPAなのだから、その順に従えば間違いが少ないようにも見える。

もう一つは手を付けやすい所から始めることである。パスワードの決まりを紙に書く、古いソフトを更新する、ウイルス対策のソフトの状態を見る。どれも表の中に関わる項目があって、やって損になることはない。止まっているより一つでも進めたほうがよい、という考えにも筋は通っている。

どちらも26項目の表を「やることの一覧」として読んでいる。だから、どちらの道でもしばらく進むと同じ所で止まる。表の中のいくつかの項目が、会社が先に決めてあるはずの何かを前提にして書かれているからである。

IPAが公開している★3・★4の自己評価等ガイドを開くと、章の並びがそのまま順番になっている。第1章「はじめに」の次に来るのが第2章「取得単位及び適用範囲の決定」である。自己評価の結果を書き込む様式（アセスメントシート）の扱いが第3章、確認の進め方が第4章と続き、評価基準ごとの適合基準はその後ろの別紙にまとめられている。

ガイドはこう書いている。「登録希望組織は、自己評価等に先立ち、取得単位及び適用範囲を自らの責任と判断においてあらかじめ定める必要がある。」解説書も自己評価に先立って、「重要なシステム」や「重要な機密情報を扱うシステム」などを、会社が「自らが設定する基準に基づいて設定し、把握しておかねばならない」としている。そのうえで★3を取りたい会社が、26件の要求事項について自己評価を行う。その結果を★3確認責任者（制度が定める専門家）が確かめ、経営層が適合を宣言して、IPAに登録を申請する流れである。

つまり、国の資料が最初に置いているのは、対策ではなく、会社が自分で決めることである。決めることは三つある。どの単位で取るか、どこまでを範囲にするか、何を「重要」とするか。

単位のほうは原則として法人又は個人事業主とされていて、多くの中小企業では会社そのものがそのまま単位になる。重いのは残りの二つである。

範囲について解説書は、会社のIT基盤（クラウドで動かしているものを含む）を入れる必要があるとしている。インターネットからの通信を受け付ける機器、インターネットを通じて外のサービスと通信する機器、その間の通信を制御する機器がこれに当たり、インターネットに公開しているサーバは必ず含める。外すものがあれば、外す物と外す理由を一覧などで整理する。ガイドは人事や営業といった特定の業務のシステムだけを範囲にすることはできない、と書いていて、範囲を確かめる場面では境界を示す概要図などを見ることが考えられる、ともしている。

「重要」については、解説書が言葉を定めている。重要なシステムは「侵害された場合のビジネスへの影響度が高いと登録希望組織が定めたシステム」で、重要な機密情報は、外に開示する予定の無い情報のうち、漏えいしたときの影響が大きいと「登録希望組織が定めたもの」である。何が当たるかを決めるのはどちらも会社の側である。そしてこの決めごとが26項目の中のいくつかの評価基準の前提になっている。機密の区分に応じた管理のルール、重要な機密情報を扱うクラウドでの多要素の認証、重要な機密情報の遠隔地へのバックアップ、事業継続上重要なシステムの復旧の準備。表を上から読んで止まりやすいのはこうした項目で、前提がまだ決まっていないからである。

では、範囲と「重要」を決めるには何が要るか。線を引くには、線の内側に入る物が分かっていなければならない。どのパソコンと、どの通信の機器と、どのクラウドのサービスを使っているかである。国の資料は資産を洗い出す作業を順番の第一歩としては書いていない。ただ、範囲を決める作業そのものが、その材料が手元にあることを前提にしている。

解説書には中小企業の設定の例も載っていて、製造の拠点を二つ持ち、従業員がおよそ100〜300名で、ITのセキュリティを総務課の情報システム係の2名が受け持つ会社が想定されている。ITを受け持つ係が社内にある会社の例である。

専任の担当がいない会社では、使っている物の情報が一か所に集まっていないことが多い。事務所の通信の機器のことは回線を引いた業者が知っていて、会計のクラウドのことは申し込んだ経理の人が知っている。各自のパソコンに何が入っているかを知っているのは使っている本人である。部分はそれぞれ誰かが知っているのに、全体を知っている人がいない。物はその都度の必要に応じて入ってきたので、全体を一枚にまとめる理由がこれまで無かった。

何から手を付ければよいか分からないのは、手を付ける順番を知らないからというより、最初の決めごとに使う材料が、社内のあちこちに分かれて置かれているからである。

問いを「26項目のどれから手を付けるか」から、「表を開く前に、社内で何を決めて、何を一か所に寄せるか」に移す。

決めることは先の三つである。単位と、範囲と、「重要」の基準。寄せるのはその三つを決めるための材料になる一覧である。

★3の評価基準には一覧を作ることを求めるものと、決めて書くことを求めるものが多く含まれている。番号つきで挙げると次のとおりになる。二つへの分け方はこの辞典によるもので、国の分類ではない。番号はIPAの評価基準の番号である。

一覧を作る

• 3-1-1-1：パソコンの製造元、OS、台数を把握する仕組み
• 3-1-1-2：サーバの製造元、OS、台数を把握する仕組み（自社で置いているサーバが無ければ対象外にできる）
• 3-1-2-1：ネットワークの所在地と用途
• 3-1-2-2：ネットワーク機器の製造元、モデル、保守の事業者
• 2-1-1-1：取引先やクラウドの事業者などが管理・提供していて、自社の機器がつながっているシステム
• 3-1-4-3：重要な機密情報と、情報ごとの管理者、保管場所、保管期限、開示先など
• 4-1-2-1：すべてのサーバとネットワーク機器の、システム管理者と責任者
• 1-2-1-2：平時の連絡先の一覧
• 6-1-1-2：インシデントが起きたときの社内外の連絡先と、報告・共有の経路（関係当局や所管の省庁を含む）

決めて書く

• 1-2-1-1：セキュリティを統括する役員と、担当部署の役割・責任
• 1-2-3-1：守秘義務のルール（就業規則や労働契約などで確かめる形）
• 1-3-1-1：自社のセキュリティ対応方針
• 3-1-1-3：機器やソフトの導入・設置・接続・パッチの適用を含む管理のルール
• 3-1-4-1：機密の区分と、区分ごとの扱い方のルール
• 4-1-5、4-1-6：パスワードの設定と管理のルール
• 4-1-7-1：アクセス権と、配慮の要る場所への入室の管理のルール
• 4-3-4-1、4-3-4-3：バックアップの対象・頻度・保管期間と、対象ごとの戻し方の手順書
• 6-1-1-1：インシデントへの対応の手順

二つを並べると、手を付ける順に一つの筋が見えてくる。範囲の線は一覧の上に引くことになり、「重要」の基準を当てる相手も、一覧に載った物と情報である。決めて書くほうにも、機密の区分やバックアップの対象のように、線と基準が決まってから中身が定まるものがある。国が定めた順番ではないものの、資料の作りからはそう読める。

一覧を作ると聞くと、表計算に一から打ち込む作業を思い浮かべやすい。ガイドは「文書」「台帳」「一覧」の範囲について、こう書いている。「情報システム上の設定、登録情報、ワークフローの記録、ログ、管理ツール及びそれらの画面表示や出力（スクリーンショット、CSV等）を含む。」クラウドのサービスの管理画面から書き出した利用者の一覧や、通信の機器の設定画面の画面写しも、台帳や一覧に当たりうるということである。載っている項目が評価基準に足りているかは、別に照らすことになる。それでも、最初の作業は新しい書類を書くことより、すでにある画面や書類を一か所に寄せることになる。

表を開く前の決めごとを、誰と、どこから進めるかで道が分かれる。社内に分かれた材料を寄せるところから始める道、外の専門家と一緒に始める道、確かめる人を先に決める道がある。

A案：契約書や管理画面の書き出しをAIに渡して一つの一覧に寄せ、範囲と「重要」を決めるための問いを並べさせる

寄せる材料は社内のあちこちにある。通信の業者や複合機の業者との契約書と、請求の明細。リースの契約書。使っているクラウドのサービスの管理画面から書き出せる利用者の一覧。事務所の通信の機器の設定画面の画面写し。各自に聞き取った、仕事に使っている端末のメモ。形も書き方もばらばらで、同じ機器が書類ごとに別の名前で載っていることもある。これを一枚の表に寄せる作業を、AIに任せる道がある。

表の欄は、解説書が機器の把握の項目で例に挙げているものに合わせられる。機器の名前と製造元、OSやソフトの名前と版、設置場所（事務所・クラウドなど）、使っている人、管理している人、サポートの窓口の連絡先である。そのうえで、こう頼む。

• 「渡した資料から、機器・ソフト・クラウドのサービスを一行ずつ拾い、上の欄に沿って一つの表にまとめて。同じ物が別の資料に別の名前で出ていると判断したら一行にまとめ、そう判断した理由を書いて。資料から読み取れない欄は『不明』と書いて」
• 「表の各行が、インターネットからの通信を受け付けるもの、インターネットを通じて外のサービスと通信するもの、その間の通信を制御するもの、のどれに当たりそうかを書いて。資料から判断できない行は、判断できないと書いて」
• 「表に載ったクラウドのサービスと、そこに置かれていそうな情報を並べて。当社が『重要な機密情報』を決めるときに答えておく必要のある問いを書き出して」
• 「『不明』が入った欄について、誰に何を聞けば埋まりそうかを並べて」

出てくる表は、たとえば次のような行になる。

• 「事務所の通信の機器：回線の契約書に機種名があります。管理している人の欄は不明です。聞く先の候補＝回線の契約先の業者」
• 「会計のクラウドのサービス：利用者の一覧から、使っている人は分かります。重要な機密情報を扱うかどうかは、当社の基準が決まっていないため判断できません」
• 「営業の担当が使うスマホ：聞き取りで、仕事のメールを見ているとの回答があります。会社の資料のどこにも載っていません」

こうして手元に残るのは、一覧の下書きと、「不明」や「判断できない」と書かれた欄である。「不明」の欄は社内や業者の誰に聞けば埋まるかの行き先になる。そして「判断できない」の欄は範囲と「重要」の基準を会社が決めないと埋まらない所で、表を開く前に決めることが、問いの形で一か所に並ぶ。

• 向く場面：使っている物の情報が、契約書・請求の明細・管理画面・各自の記憶に分かれていて、一か所に寄せる時間が取れない会社。ITを兼務の人が見ていて、書類の読み比べに手が回らない会社。
• 割に合わないこと：AIが拾えるのは渡した資料に書かれている物だけで、誰かが自分で買ってつないだ機器や、申し込みの記録が残っていないサービスは表のどこにも出てこない。同じ物かどうかの判断にも推測が混じるので、行をまとめた理由は人が読み直すことになる。欄が埋まっても、その一覧が評価基準を満たすかは別の話で、確かめて署名するのは★3確認責任者である。そのうえ、26項目は一覧と決めごとだけでは埋まらない。たとえばインシデントのときの教育・訓練の評価基準は、新しく人を受け入れるときと年1回以上、教育資料の配布・掲示に加えて、eラーニング又は集合教育による教育・訓練を行うことを求めている。もう一つ、この作業でAIに渡すのは、会社の機器とつながりを一枚にまとめた資料になる。使っている人の欄を名前でなく役割（営業・経理など）にしても、まとめる作業はできる。入力した内容をそのサービスがどう扱うかは、渡す前に確かめておくことになる。
• 始める前に要ること：契約書、請求の明細、管理画面の書き出しを、一つのフォルダに集めること。IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版には付録として資産管理台帳のサンプルがあり、解説書も機器の把握の項目の参考資料にこのガイドラインを挙げている。欄の並べ方の手がかりになる。

※AIにはいろいろな種類・サービスがある。ここでは「特定の製品を入れる」話ではなく、「ばらばらの書類や画面の書き出しを、一つの一覧に寄せる作業をAIに任せる」という考え方を指している。どれが合うかは、会社の状況によって変わる。

B案：IPAの支援者リストなどから外の専門家を探し、範囲と「重要」の決めごとを一緒に進める

社内に範囲の線を引ける人がいないなら、引ける人と一緒に始める道である。IPAは「中小企業向けサイバーセキュリティ対策支援者リスト」を公開している。国家資格の情報処理安全確保支援士のうち、中小企業向けの対策の支援ができる専門家の得意分野を載せたもので、支援の対象地域と得意な業界で絞り込める。IPAの「よくある質問」によると、規程の整備、情報管理・リスク分析、クラウドの安全な利用、インシデント対応、従業員の教育などの支援ができる人たちである。連絡はリストを見た会社が直接とって、相談や依頼をする形になる。

制度の読み方で分からない所が出てきたときは、IPAのSCS評価制度の問い合わせ先に聞く道もある。受け付けはメールだけで、電話での対応はしていない。問い合わせの内容は、経済産業省と内閣官房国家サイバー統括室に共有する場合がある、とされている。

外の人と組む形は、制度の上でも想定されている。解説書は、統括する役員と担当部署の役割について、実質的な作業を外に委託し、その委託先を管理することを通じて役割を果たす場合も含む、と書いている。統括する役員も、会社法上の役員であることまでは必ずしも求めない、としている。

• 向く場面：社内にITを受け持つ人がいないか、兼務で手が回らない会社。範囲の線をどこに引くか、何を重要とするかを、社内だけで決める見当がつかない会社。
• 割に合わないこと：範囲は、会社が「自らの責任と判断において」決めるものとされている。外の専門家が助けられるのは決め方までで、決めるのは会社の側に残る。専門家も、会社の機器や情報のことは会社から聞くしかないので、A案で寄せる材料はこの道でも要る。リストの掲載情報は専門家本人の申告に基づくもので、IPAはその内容に責任を負わない、とされている。費用や依頼の条件は、相手と直接決めることになる。また、リストの専門家と、★3の自己評価を確かめて署名する★3確認責任者とは要件が別で、同じ人が両方を務めるかどうかは人による。
• 始める前に要ること：何を頼みたいのか（範囲の決め方か、「重要」の基準か、ルールの文面か）を一行で書いておくこと。リストを支援の対象地域で絞り込むこと。

C案：★3確認責任者を誰に頼むかを先に決め、その人の確認に向けて準備をそろえる

順番の後ろから入る道である。★3の自己評価は、★3確認責任者の確認を受ける。確認を頼む相手は社内の人でも外の人でもよい、とガイドは書いている。確認責任者になれるのは、情報処理安全確保支援士や公認情報セキュリティ監査人などの資格を持ち、研修を受けて登録された人である（IPAの「よくある質問」による）。社内にそうした資格を持つ人がいれば、社内で確認する道も考えられる。

確認は書類の上で行われる。ガイドは、★3の確認は書かれた対策が実際に講じられているかまで確かめるものではなく、原則として様式に書かれた情報だけで妥当性を確かめるとしたうえで、「アセスメントシート等に記載された情報の真実性については、登録希望組織が責任を負う」と書いている。確認責任者は書かれた内容が妥当かを確かめ、必要に応じて助言を行う。すべての要求事項・評価基準を満たしていると判断すれば、様式に署名か記名をする。様式には適用範囲についての質問も入っていて、こちらも確認の対象になる。

確かめる人が先に決まると、準備の途中で、範囲の線の引き方や一覧の形が確認の目から見て足りているかを聞ける相手が一人できる。

• 向く場面：社内に該当する資格を持つ人がいる会社。★3を取ることを、すでに会社として決めている会社。
• 割に合わないこと：確かめる人が決まっても、一覧と決めごとを作るのは会社である。確認は書類の上で行われるので、書いた中身が本当かどうかの責任は会社に残る。登録申請の具体的な手続きを書いた「★3・★4 登録申請の手引」は2026年11月末頃に公表の予定で、申請の受付は2027年3月の予定とされている。いまの資料からは申請の画面や提出の細かな方法までは分からない。★3の有効期間は1年とされている。外の人に頼む場合の契約の条件は、相手との間で決めることになる。
• 始める前に要ること：社内に該当する資格を持つ人がいるかを確かめること。ガイドの第4章「★3における確認の実施」に目を通しておくこと。

A案は社内に分かれた材料を寄せ、B案は決め方を外の人と詰め、C案は確かめる人の側から準備の形を決める。どの道を通っても、範囲と「重要」を決めるのは会社で、その材料は社内にある。どれを先にするかは、社内に資格を持つ人がいるかと、ITを見ている人の手がどれだけ空くかで変わる。

★を取るかどうかを、まだ会社として決めていないこともある。IPAは、★3・★4の取得の準備段階として、SECURITY ACTION（中小企業がセキュリティ対策への取り組みを自己宣言する制度）から始めることを案内している。一つ星は「情報セキュリティ6か条」に取り組むことを宣言するもので、対策を始める前でも申し込める。2026年4月からは、申し込みにGビズIDプライムかメンバーのアカウントが要る。IPAの「中小企業の情報セキュリティ対策ガイドライン」も、第4.0版でSCS評価制度の基本的な考え方を取り込んだ、としている。

紙を一枚用意して、二つの列を作る。左に、会社が仕事でインターネットにつながるために使っている物の名前を書く。右に、それについていちばんよく知っている人の名前を書く。社内の人でも、業者でもかまわない。

• 事務所の通信の機器（回線の出入口に置いてある機器など）
• 社員が仕事に使っているパソコンとスマホ
• メール
• 会計や給与、顧客の管理などに使っているクラウドのサービス
• 外に公開しているサーバ（あれば）

右の列には、社内の人の名前と業者の名前が混ざって並ぶことがある。どうしても名前が書けない行が出てくることもある。右の列に並んだ名前が、範囲の線を引く材料を持っている人たちで、書けなかった行が、材料のありかがまだ分からない所になる。

この一枚で決まることはまだ何も無い。でも、範囲を決めるための材料が誰の手元にあるかは分かる。線をどこに引くか、何を「重要」とするかは、そのあとで会社が決めることになる。

「一覧の下書きはできたが、どこで範囲の線を引けばよいか決めきれない」「何を重要な機密情報とするかで、社内の意見が分かれる」「業者に聞いても、機器を管理しているのが誰なのかがはっきりしない」——ここから先は、会社の機器の数や仕事の中身によって答えが変わる。

そういうときは、OSAKA AI-Center の窓口に相談するという選択肢がある。何かを買う必要はなく、こちらから売り込むこともない。「うちの場合、どこまでを範囲に入れて、何を重要として決めておくものなのか」——その整理を一緒に考えるところまでが、この辞典の役割である。