SCS評価制度 ★3 実践ガイド｜対応プロセスの検討材料
このページについて
本ページは、「ガバナンスの整備」に関するSCS評価制度★3の要求事項および評価基準を、組織として実践するためのリファレンスです。
SCS評価制度では、各評価項目に対して要求事項および評価基準が定められていますが、それぞれを独立したチェック項目として捉えるものではありません。サプライチェーン全体のサイバーセキュリティを強化するためには、組織体制、役割と責任、経営方針、社内ルール、教育、監督および継続的な改善など、多くの要素を相互に関連付けながら運用することが求められます。そのため、評価基準を一つずつ満たすことだけではなく、組織全体としてどのような仕組みを構築し、どのように運用していくかという視点で理解することが重要です。
本ページでは、制度で定められている要求事項および評価基準に加え、実施主体となる組織、取締役会・代表者・管掌役員などの責任主体、整備が必要となる規程・文書、確認対象および実施事項を整理しています。これにより、制度の要求事項を単に読み解くだけではなく、「誰が」「何を」「どのようなルールに基づき」「何を確認し」「どのような活動を実施するのか」を俯瞰的に把握できるよう構成しています。
また、本ページは、「ガバナンスの整備」に関する全体像を整理したリファレンスとして位置付けています。制度を実務へ展開するための入口となるページであり、一覧を参照することで、評価項目相互の関係性や組織として実施すべき事項を体系的に確認することができます。
なお、本ページでは、各評価項目の詳細な解説までは行いません。制度の背景や目的、評価基準が求める組織的な対応、実務上の考え方、具体的な整備方法および運用上の留意点については、一覧中の各評価項目から参照できる個別の解説ページで詳しく説明しています。本ページと個別の解説ページをあわせて活用することで、「ガバナンスの整備」に必要な全体像を把握し、自社の実情に応じた体制整備および継続的な運用の検討に役立てていただくことを目的としています。
本リファレンスは、制度改定への対応はもちろん、実務で得られた知見や新たな参考情報などを反映しながら、継続的に内容の充実を図っていきます。
このページの見方
本ページでは、SCS評価制度で定められた評価基準をそのまま掲載するだけではなく、評価基準を組織として実践するために必要となる情報を追加し、一覧形式で整理しています。
SCS評価制度の評価基準では、「何を満たすべきか」は示されていますが、「誰が」「どのような体制で」「どのようなルールを整備し」「何を確認しながら運用するのか」といった実務上の進め方までは具体的に示されていません。そのため、本ページでは、制度の要求事項を日常業務へ展開しやすくすることを目的として、実務で必要となる観点を独自に整理しています。
一覧の左側には、SCS評価制度で定められている大分類、中分類、要求事項、評価基準など、制度本文の内容を掲載しています。制度文書との対応関係を確認しながら参照することで、評価項目全体の構成や位置付けを理解することができます。
一方、右側には、本実践ガイド独自の整理項目として、「取締役会」「代表者」「管掌役員」「対象組織」「組織の長」「ルール」「確認対象」「実施事項」を設けています。これらは、制度で求められる事項を実際の組織運営へ展開するための視点を整理したものです。
例えば、「取締役会」「代表者」「管掌役員」では、それぞれが担う意思決定、承認および管理の役割を整理しています。「対象組織」および「組織の長」では、実施主体となる部署や責任者を示し、組織体制の検討に役立てることができます。また、「ルール」は整備が必要となる規程や方針、「確認対象」は確認すべき文書や記録、「実施事項」は日常業務として実施すべき内容を整理しています。
これらの内容は、SCS評価制度に追加された評価基準ではありません。公開されている制度文書を基に、制度の要求事項を実務へ展開するための参考情報として整理したものです。企業の規模、業種、事業内容、組織体制および既存のマネジメントシステムによって、最適な運用方法は異なりますので、自社の実情に応じて読み替えながらご活用ください。
各評価基準の制度趣旨、考え方、実務上の対応方法および運用上の留意点については、一覧中の各評価項目から参照できる個別の解説ページで詳しく説明しています。本ページは、それらの個別解説へ進むためのリファレンスとしてご利用ください。
| 項目 | 内容 |
|---|---|
| 取締役会 | 取締役会が実施又は承認する事項 |
| 代表者 | 代表者が決定又は承認する事項 |
| 管掌役員 | 担当役員が実施又は管理する事項 |
| 対象組織 | 実施主体となる部署 |
| 組織の長 | 組織責任者が実施又は管理する事項 |
| ルール | 整備が必要となる規程、方針その他の文書 |
| 確認対象 | 確認すべき文書、記録又は証跡 |
| 実施事項 | 実務として実施する内容 |
注意事項
本ページは、公開されているSCS評価制度の制度文書を基に、その趣旨や考え方を整理し、制度を実務へ展開するための参考資料として作成したものです。制度運営主体による公式見解を示すものではなく、評価結果や認証取得を保証するものでもありません。
今後、SCS評価制度に関する公式ガイドライン、運用ガイド、Q&A、FAQ、解釈資料その他これらに準ずる文書が制度運営主体から公表された場合は、それらを優先して参照してください。本実践ガイドについても、公式文書との整合性を確認し、必要に応じて内容の見直しおよび更新を行います。
また、本実践ガイドに記載している実施主体、役割分担、規程類、確認対象および実施事項は、制度文書を基に実務上の観点から整理した参考例です。企業の規模、業種、事業内容、組織体制および既存のマネジメントシステムに応じて、適切な運用方法をご検討ください。
本実践ガイドは、制度改定への対応や実務で得られた知見などを反映しながら、継続的に内容の充実を図っていきます。制度の理解を深めるとともに、自社におけるサイバーセキュリティ体制の整備および継続的な改善に向けたリファレンスとしてご活用いただければ幸いです。
この版では、「読むための解説」から一歩進めて、「実務で活用するためのリファレンス」という位置付けが全体を通して一貫するように構成しています。また、第2章以降（取引先管理、資産管理、アクセス管理など）でも、「ガバナンスの整備」の部分だけを置き換えることで、同じテンプレートとして展開できるようにしています。
1 ガバナンスの整備
①★3の要求事項・評価基準
「ガバナンスの整備」に関する★3の要求事項と評価基準を示しています。制度として何が求められているのか、また、どのような状態や取組が評価の対象となるのかを確認します。まず要求事項と評価基準の内容を把握し、自社における対応を検討する際の起点とします。
②要求事項と対応事項の関係
★3の要求事項・評価基準と、自社で検討すべき対応事項との関係を整理しています。左側に制度上の要求事項、右側に対応する組織・役割・ルール・確認対象・実施事項を配置し、どの要求に対して、どのような社内対応が必要になるのかを俯瞰できるようにしています。
③要求事項への具体的な対応例
要求事項への対応について、取締役会、代表者、管掌役員、対象組織、組織の長などの役割と、必要となるルール、確認対象、実施事項の例を示しています。自社の組織体制や既存の規程、業務プロセスと照らし合わせながら、誰が、何を、どのように実施するのかを検討するための材料として活用します。
2 取引先管理
①★3の要求事項・評価基準
「取引先管理」に関する★3の要求事項と評価基準を示しています。取引先と自社のビジネスやシステムとの関係、機密情報の取扱い、取引先のセキュリティ対策状況、セキュリティインシデント発生時の役割、契約終了時の対応など、取引先との関係において何が求められているのかを確認します。
②要求事項と対応事項の関係
★3の要求事項・評価基準と、自社で検討すべき対応事項との関係を整理しています。制度上の要求事項に対して、関係する組織や役割、必要となるルール、確認対象、実施事項などを対応させることで、取引先管理のどの場面で、誰が、どのような対応に関与する必要があるのかを俯瞰できるようにしています。
③要求事項への具体的な対応例
取引先管理の要求事項について、関係する部門や責任者、必要となるルール、確認対象、実施事項の例を示しています。取引先との契約、機密情報の取扱い、セキュリティ対策の確認などは、取引内容や委託の有無、情報・システムへのアクセス範囲によって必要な対応が異なります。自社の取引形態や既存の管理プロセスを踏まえ、具体的な対応方法を検討します。
3 リスクの特定 > 3-1 資産管理
①★3の要求事項・評価基準
「資産管理」に関する★3の要求事項と評価基準を示しています。情報機器、OS・ソフトウェア、ネットワーク、外部情報サービスなどの利用状況を把握するとともに、取り扱う情報の機密性に応じた管理やリモートワークにおける情報管理など、サイバーセキュリティ上のリスクを特定する前提として、何を把握・管理することが求められているのかを確認します。
②要求事項と対応事項の関係
★3の要求事項・評価基準と、自社で検討すべき対応事項との関係を整理しています。制度上の要求事項に対して、関係する組織や役割、必要となるルール、確認対象、実施事項などを対応させることで、情報機器やネットワーク、外部サービス、機密情報などの管理について、誰がどのような対応に関与する必要があるのかを俯瞰できるようにしています。
③要求事項への具体的な対応例
資産管理の要求事項について、関係する部門や責任者、必要となるルール、確認対象、実施事項の例を示しています。台帳による情報機器等の管理、ネットワーク構成の把握、外部サービス利用時の確認、機密情報の管理など、対象ごとに必要となる対応を整理しています。自社が保有・利用する資産や情報、システム環境に合わせて、具体的な管理方法を検討します。
3 リスクの特定 > 3-2 リスクアセスメント
4 攻撃等の防御 > 4-1 アイデンティティ管理、認証、アクセス制御
準備中
4 攻撃等の防御 > 4-2 意識向上とトレーニング
準備中
4 攻撃等の防御 > 4-3 データセキュリティ
準備中
4 攻撃等の防御 > 4-4 プラットフォームセキュリティ
準備中
4 攻撃等の防御 > 4-5 技術インフラのレジリエンス
準備中
5 攻撃等の検知 > 5-1 継続的監視
準備中
5 攻撃等の検知 > 5-2 有害事象の分析
準備中
6 インシデントへの対応
準備中
7 インシデントからの復旧
準備中
初版：2026年6月29日