SCS★3で何をすればいい？
26項目を、実務で進められる形に整理

SCS★3は26項目の最低限実装すべき対策

IPAの中小企業向け資料では、SCSの「★3 Basic」は最低限実装すべき対策26項目として整理されています。★3の水準は、一般的なサイバー脅威に対処しうること。評価は取得希望組織による自己評価に、登録されたセキュリティ専門家の確認を加える方式です。

重要なのは、IPAのFAQで定められたすべての要求事項・評価基準を満たす必要があると明記されている点です。得意な項目だけ対応して終わる制度ではありません。

1. ルール：会社として決めること

システム設定より先に、誰が責任を持つか、何を対象にするか、例外をどう扱うかを決めます。ルールがない状態でツールだけ導入すると、担当者ごとに設定や判断が変わります。

• セキュリティ責任者と役割
• 対象となる組織・システム・情報の範囲
• アカウント・権限・端末の管理方針
• 外部委託・クラウド利用時の確認方針
• インシデント時の報告・判断体制

2. IT設定：ルールを実際の環境へ反映する

規程に書いた内容が実際の環境で実現されているかを確認します。Microsoft 365を利用している企業なら、Entra ID、Intune、Defender、Exchange、Teams、SharePointなどが確認対象になり得ます。

• MFAや管理者権限などID保護
• OS更新、暗号化、マルウェア対策など端末保護
• メールのなりすまし・フィッシング対策
• 外部共有やアクセス権の制御
• 監査ログやセキュリティログの取得

ここで重要なのは「製品を導入しているか」ではなく、必要な管理要件を満たす状態になっているかです。

3. 運用：設定を維持する仕事を決める

セキュリティ設定は一度入れて終わりではありません。人の入退社、端末追加、権限変更、脆弱性、インシデントなど、日常業務の変化に合わせて維持します。

• 入社・異動・退職時のアカウント処理
• 管理者・共有フォルダ等の権限レビュー
• 端末の追加・交換・紛失時の処理
• 脆弱性やアップデート情報の確認
• 事故発生時の初動とエスカレーション
• 従業員への教育・注意喚起

4. 記録：やったことを後から説明できる状態にする

実際に対策していても、記録がなければ「いつ・誰が・何を確認したか」を後から説明できません。SCS準備では、普段の運用そのものが証跡として残る仕組みを作ることが重要です。

• アカウント・端末・権限の台帳
• 定期レビューの記録
• 教育・訓練の実施記録
• 設定変更や確認結果
• インシデント対応記録
• バックアップ・復旧確認の記録

現状診断では4つの状態に分ける

最初から「対応／未対応」の2択にすると、調査が止まりやすくなります。AZWorkでは要求事項ごとに、まず次の4状態へ分ける方法を推奨しています。

• 対応済み：ルール・実装・運用・記録が確認できる
• 一部対応：仕組みはあるが対象漏れや記録不足がある
• 未対応：必要な仕組みがまだない
• 要確認：担当者ヒアリングや設定調査が必要

この一覧ができると、経営者には「どこにリスクと費用があるか」、担当者には「次に何を直すか」を同じ資料で説明できます。

優先順位は「取得項目順」ではなくリスク順

最終的にはすべての要求事項・評価基準を満たす必要がありますが、改善作業の順序まで上から順にする必要はありません。アカウント乗っ取り、端末紛失、バックアップ不足など、事故影響の大きい未対応から着手した方が、準備期間中の実リスクも減らせます。

制度開始前の今やること

2026年9月時点では、★3・★4の要求事項・評価基準は公開済みで、解説書と申請方法は今後公開予定です。したがって今は、正式申請の書類作成よりも、要求事項とのギャップ確認と、時間のかかる改善を先に進めるのが合理的です。