自己評価で最も多い誤りは、「導入している」と「運用している」を区別せずに対応済みと判断することです。製品を入れた、設定を有効にした、という事実だけでは足りません。決めていること・実施していること・記録が残っていることの3つが揃って初めて対応済みと言えます。どれか1つでも欠けていれば部分対応として扱うほうが安全です。
SCS評価制度の★取得について、現状アセスメントからギャップ分析、技術対策の実装、申請サポートまでをワンストップでご支援しています。
SCS評価制度 対応支援 を見る →SCS評価制度 総合ガイドなぜ誤認が起きるのか
SCS評価制度★3は自己評価が基本です。自社で判断する以上、判断がぶれます。ぶれの原因はほぼ次の3つに集約されます。
- 対象範囲を確認していない：一部の端末・一部のユーザーで実施しているものを、全体で実施していると判断する
- 記録を確認していない：実施しているが、実施したことを示すものがない
- 設定を確認していない：導入時に設定したはずという記憶で判断し、現在の設定を見ていない
いずれも悪意ではなく、確認の手間を省いた結果です。しかし取引先へ「対応済み」と回答した後で実態と異なることが判明すると、制度上の指摘より信頼の毀損のほうが大きな問題になります。
誤認しやすい10項目
| 項目 | ありがちな判断 | 実際に不足していること |
|---|---|---|
| 1. 多要素認証 | 有効にしているので対応済み | 一部ユーザーや特定アプリが除外されたまま。管理者アカウントが対象外 |
| 2. ウイルス対策 | 全端末に入れているので対応済み | 定義更新が止まっている端末がある。検知時の対応が決まっていない |
| 3. バックアップ | 毎日取得しているので対応済み | 復元を試したことがない。世代が1つしかない（詳細） |
| 4. ログ管理 | ログは出力されているので対応済み | 誰も見ていない。保存期間を決めていない（詳細） |
| 5. 資産管理 | 台帳があるので対応済み | 更新が止まっている。私物端末やSaaSが載っていない |
| 6. アカウント管理 | 退職時に削除しているので対応済み | 棚卸しをしていないため、放置アカウントを検知できない |
| 7. パッチ管理 | 自動更新なので対応済み | サーバーやネットワーク機器が対象外。適用状況を確認していない |
| 8. 従業員教育 | 毎年実施しているので対応済み | 受講記録がない。未受講者を把握していない（詳細） |
| 9. インシデント対応 | 何かあれば情シスが対応するので対応済み | 手順が文書化されていない。報告先と判断者が決まっていない |
| 10. 委託先管理 | 契約書にNDAがあるので対応済み | セキュリティ要件がない。実施状況を確認していない |
並べてみると共通点が見えます。1〜7は対象範囲の見落とし、8〜10は記録と文書化の不足です。技術面は「どこまでカバーしているか」、管理面は「書いてあるか」を疑ってください。
「対応済み」と言える3条件
迷ったときは、次の3つが揃っているかで判断してください。
| 条件 | 確認する問い |
|---|---|
| 決めている | やり方・対象範囲・責任者が文書になっているか |
| 実施している | 決めたとおりに、対象の全体で実施されているか |
| 記録がある | 実施したことを後から示せるか |
3つのうち記録が最も後から作れません。決めることと実施することは今日からできますが、過去に実施した記録は遡って作れません。だからこそ、記録の有無が判断の分かれ目になります。
なお、すべてを対応済みにする必要はありません。部分対応と正直に記録し、いつまでに何を実施するかの計画を添えるほうが、無理に対応済みとするより評価されます。
見つかったときの直し方
誤認が見つかったら、次の順で処理してください。
- 対象範囲を確定する：どこまでカバーできていて、どこが漏れているかを数字で出す
- 今日からできることを実施する：除外設定の解除、更新が止まった端末の是正など
- 記録の仕組みを先に作る：これから実施する分は、記録が残る形で始める
- 過去分は書き起こす：分かる範囲で「いつ・誰が・何を」を再構成し、不明な点は不明と書く
4番目で無理に辻褄を合わせないでください。不明な期間があること自体は問題になりません。問題になるのは、実態と異なる記録を作ることです。
棚卸しの進め方は自己評価から始める初動ロードマップを、要求事項ごとの確認は★3の26項目チェックリストを参照してください。
なお、個々の評価基準の文言はIPAが公開する★3の評価基準（81基準）に定義されています。本記事はその文言の解説ではなく、要求を満たすために実務でどう設計するかを整理したものです。申請前には必ず公開されている最新の基準を参照してください。
よくある質問
自己評価で誤認するとどうなりますか？
SCS評価制度★3は専門家の確認を受けたうえで申請する仕組みのため、確認の段階で差し戻される可能性があります。より問題になるのは、取引先へ「対応済み」と回答した後で実態と異なることが判明した場合です。信頼の毀損は制度上の指摘より影響が大きくなります。
誤認が起きる最大の理由は何ですか？
「導入している」と「運用している」を区別せずに判断してしまうことです。製品を導入した、設定を有効にした、という事実だけで対応済みとしてしまい、対象範囲が全体をカバーしているか、記録が残っているかまで確認していないケースが大半です。
何をもって「対応済み」と言えますか？
決めていること、実施していること、記録が残っていることの3つが揃っている状態です。どれか1つでも欠けていれば、部分対応として扱うほうが安全です。とくに記録は後から作れないため、判断の分かれ目になります。
多要素認証を有効にしていれば対応済みですか？
対象範囲によります。全ユーザーで有効になっているか、管理者アカウントを含んでいるか、除外設定が残っていないかを確認してください。一部のユーザーや特定のアプリが除外されたままになっている構成は珍しくありません。
部分対応と判断した項目はどうすればよいですか？
正直に部分対応として記録し、いつまでに何を実施するかの計画を添えてください。すべてを対応済みにする必要はありません。把握して計画を持っていることのほうが、管理されている証拠として意味を持ちます。
まとめ
自己評価での誤認は、ほぼ「導入している」と「運用している」の混同から生じます。技術面では対象範囲の見落とし、管理面では記録と文書化の不足が典型です。
判断に迷ったら、決めている・実施している・記録があるの3条件で確認してください。3つが揃わないものは部分対応として記録し、計画を添えます。すべてを対応済みにする必要はなく、把握して計画を持っていることのほうが管理されている証拠として意味を持ちます。
自社の現在地を項目単位で確認したい場合は、SCS★3 セルフチェック（無料・登録不要） ↗で26要求事項・81評価基準への適合率を測れます。