SCS評価制度★3の対応で、最初から新しい機器やサービスを買う必要はほとんどありません。26要求事項の多くは、すでに契約しているMicrosoft 365やWindowsの標準機能を設定することで満たせます。買い足しが避けられないのは、バックアップの分離保管、ログの長期保存、EDRが未導入といった限られた領域です。棚卸し→設定変更→文書化→残りだけ購入の順序を守れば、投資は最小限で済みます。
SCS評価制度の★取得について、現状アセスメントからギャップ分析、技術対策の実装、申請サポートまでをワンストップでご支援しています。
SCS評価制度 対応支援 を見る →SCS評価制度 総合ガイド「まず何か買う」から入ると必ず無駄が出る
取引先から★3を求められた企業からよく受ける相談が、「まず何を買えばいいですか」というものです。しかしこの入り方をすると、ほぼ確実に無駄な投資が発生します。すでに持っているライセンスの機能と重複した製品を契約してしまうためです。
正しい順序は次のとおりです。
| 順序 | やること | ここで消える要求事項 |
|---|---|---|
| 1. 棚卸し | 現在契約しているライセンス・機器・サービスと、その未使用機能を洗い出す | ― |
| 2. 設定変更 | すでに使える機能を有効化する（MFA、暗号化、パッチ管理など） | 技術要求の多く |
| 3. 文書化 | 運用しているが書いていないものを規程・手順書に落とす | 管理・体制の要求 |
| 4. 購入 | 1〜3で埋まらなかった不足だけを投資の対象にする | 残った技術要求 |
実務上、1と2だけで要求事項のかなりの部分が埋まります。自己評価から始める初動ロードマップでも、設定変更で解決する項目を先に片付ける進め方を採っています。
既存資産でカバーできる範囲
Microsoft 365を利用している場合、★3で問われる技術要求の多くは追加購入なしで対応できます。とくにBusiness Premiumは、Entra ID P1・Intune・Defender for Businessを含むため、単体で複数の要求領域をカバーします。
| 要求領域 | 既存で足りる例 | 追加購入 |
|---|---|---|
| 多要素認証（MFA） | Entra ID（Microsoft 365に付属） | ×（不要） |
| 端末管理・資産台帳 | Intune（Business Premium／E3以上） | ×（不要） |
| ディスク暗号化 | BitLocker（Windows Pro以上） | ×（不要） |
| パッチ管理 | Windows Update for Business／Intune の更新リング | ×（不要） |
| ウイルス対策・EDR | Defender for Business（Business Premium） | △（未導入なら必要） |
| 監査ログ | Unified Audit Log（保存期間に注意） | △（長期保存が必要なら追加） |
| バックアップ | 標準の保持機能では時点復元ができない | ○（必要） |
Google Workspaceを使っている場合も考え方は同じです。2段階認証プロセス、エンドポイント管理、Vaultによる保持といった標準機能で複数の要求を満たせます。まず契約しているエディションで何が使えるかを確認することが先です。
具体的な設定項目はMicrosoft 365でSCS★3に対応する設定チェックリストに整理しています。
買い足しが避けられない典型ケース
一方で、設定変更だけでは埋まらない領域もあります。次のいずれかに当てはまる場合は、投資の検討が必要です。
- バックアップの分離保管がない：同一サーバ・同一拠点にしか複製がない、世代が1つしかない。クラウドの標準保持機能は時点復元の代替になりません（詳細はSCS★3のバックアップ要件）
- ログの保存期間が足りない：標準の保持期間を超える保存を求められる場合、ストレージまたはログ基盤の追加が必要になります
- EDRが未導入：無償のウイルス対策のみで運用している場合、振る舞い検知と侵入後の調査ができません
- 機器が保守期限切れ：サポートが終了したサーバ・ネットワーク機器・OSが残っていると、パッチ管理の要求を構造的に満たせません
- ユーザー数が300を超える：Microsoft 365 Business系プランとDefender for Businessには300ユーザーの上限があります。これを超える場合はE3／E5を前提とした構成になります
このうち保守期限切れの機器は、SCS対応の文脈で初めて問題として浮上することが多い項目です。更改は金額が大きくなりがちなので、要求事項の確認と同時にライフサイクルを棚卸ししておくと、予算計画に載せやすくなります。
買うかどうかの判定軸
不足が見つかったとき、すぐ製品比較に入らず、次の4点を確認してください。
| 判定軸 | 確認する問い |
|---|---|
| 要求充足 | これを買わないと満たせない要求事項が具体的にどれか、番号で示せるか |
| 重複 | 既存ライセンスに同等の機能がないか。使っていないだけではないか |
| 運用 | 導入後に運用できる人がいるか。アラートに対応できるか |
| 継続費用 | 初期費用ではなく年額で比較しているか。更新時に上がらないか |
とくに3番目が重要です。EDRやSIEMは導入しただけでは意味がなく、アラートを見て判断する体制が要ります。運用できないまま入れると、「導入しているが運用されていない」という状態になり、評価の場でかえって不利になります。体制が確保できないなら、監視まで含めた外部サービスを選ぶほうが結果的に安く済みます。
よくある無駄な買い方
- 「SCS対応パッケージ」を要求事項と突き合わせずに契約する：自社に不足していない機能まで含まれていることがあります。必ず要求事項との対応表を出してもらってください
- ★3の段階でSIEMを導入する：ログの統合監視は★4以降で本格的に問われる領域です。★3の段階では、まず取得と保存を確実にするほうが優先されます（★2で強化する5領域も参照）
- 既存のBusiness Premiumを活かさず個別製品を重ねる：MFA、端末管理、EDRを別々に契約すると、付属機能と二重払いになります
- 初期費用だけで比較する：年額のライセンス費と運用工数を含めないと、3年で逆転することがあります
費用の全体像はSCS評価制度の対応費用ガイドにまとめていますが、技術対策の費用は対象システム数・拠点数・端末数と既存環境の流用可否で大きく変わります。一律の相場で判断せず、対象範囲を確定してから見積もることをおすすめします。
公的支援で負担を圧縮する
買い足しが必要になった場合も、公的支援を組み合わせれば負担を抑えられます。
| 制度 | 内容 |
|---|---|
| IT導入補助金（セキュリティ対策推進枠） | セキュリティ製品の導入費用を最大100万円まで補助。サービス利用料は最大2年分が対象 |
| サイバーセキュリティお助け隊サービス | EDR、SOC監視、インシデント対応支援がパッケージになった中小企業向けサービス。運用体制がない企業の選択肢になる |
お助け隊はSCS評価制度と連動した新類型の整備が進んでいます。詳細はお助け隊サービス（新類型）の解説を参照してください。監視まで含まれるため、EDRを買っても運用できないという前述の課題に対する現実的な答えになります。
よくある質問
SCS評価制度★3の対応に新しい製品を買う必要はありますか？
ほとんどの場合、最初から買う必要はありません。26要求事項の多くは、すでに契約しているMicrosoft 365やWindowsの標準機能を設定することで満たせます。棚卸し、設定変更、文書化を先に済ませ、それでも埋まらなかった不足だけを購入の検討対象にしてください。
Microsoft 365 Business Premium だけで★3に対応できますか？
技術要求の多くはカバーできます。Entra ID P1による多要素認証、Intuneによる端末管理と資産台帳、Defender for BusinessによるEDRが含まれるためです。ただしバックアップの時点復元は標準機能では対応できないため、この領域は別途手当てが必要です。
どんなときに買い足しが避けられませんか？
バックアップの分離保管がない場合、ログの保存期間が標準では足りない場合、EDRが未導入で無償のウイルス対策のみの場合、サポートが終了した機器やOSが残っている場合、そしてユーザー数が300を超えてBusiness系プランを使えない場合です。
EDRやSIEMは★3の段階で導入すべきですか？
EDRは要求領域に直結するため優先度が高い一方、SIEMによるログの統合監視は★4以降で本格的に問われる領域です。★3の段階では、まずログの取得と保存を確実にするほうが優先されます。運用できる体制がないまま導入すると、導入しているが運用されていない状態になり評価の場でかえって不利になります。
補助金は使えますか？
IT導入補助金のセキュリティ対策推進枠で、セキュリティ製品の導入費用を最大100万円まで補助を受けられます。サービス利用料は最大2年分が対象です。あわせて、EDRとSOC監視、インシデント対応支援がパッケージになったサイバーセキュリティお助け隊サービスも、運用体制がない企業の選択肢になります。
まとめ
SCS評価制度★3の対応は、製品を買うプロジェクトではなくすでに持っているものを使い切り、足りない部分だけを埋めるプロジェクトです。棚卸し、設定変更、文書化を先に済ませれば、購入対象として残るのは限られた領域になります。
買い足しが避けられないのは、バックアップの分離保管、ログの長期保存、EDR未導入、保守期限切れ機器の更改、そして300ユーザー上限を超える場合の構成変更です。いずれも判定軸に照らし、運用できるかまで含めて選んでください。
まず自社がどの要求事項で不足しているかを把握するところからです。SCS★3 セルフチェック（無料・登録不要） ↗で26要求事項・81評価基準への適合率を確認すると、購入判断に入る前に整理できます。