IT資産台帳クラウド

セキュリティ対策評価制度★3のチェックリスト｜要求事項と残す記録

更新日：

ご利用の前に

本サービスと本サイトの解説は、SCS評価制度の★の取得を保証するものではありません。取得には、要求事項・評価基準のすべてを満たす必要があります。

★3の申請には、制度に登録されたセキュリティの専門家による確認が別途必要です。本サービスは、専門家による確認・評価機関による評価に代わるものではありません。

制度の開始時期・要求事項などは、IPA・経済産業省の公表資料をもとにしており、変わることがあります。個別の状況についての助言はしていません。

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の★3は、IPAの説明では「一般的なサイバー脅威に対処しうること」を水準とした段階です。IPAの「中小企業の情報セキュリティ対策ガイドライン」の説明資料では、★3は「最低限実装すべき対策（26項目）」と整理されています。★3・★4の要求事項・評価基準は、IPAの制度のページでExcelの表として公開されています。

経済産業省のよくある質問では、★の取得のほかに、要求事項・評価基準を共通のチェックリストとして、必要なセキュリティ基準を満たしているかを確認するといった使い方も想定されていると説明されています。この記事では、公開されている表から★3の項目を抜き出し、それぞれの評価基準に出てくる文書・一覧・記録を並べました。

チェックリストを使う前に知っておきたいこと

  • ★3を取得するには、★3で定められたすべての要求事項・評価基準を満たしている必要があります（IPAのよくある質問）。
  • ★3は、取得を希望する組織が自己評価を記入し、制度に登録されたセキュリティ専門家の確認と署名を経て提出する「専門家確認付き自己評価」です。社内の担当者が確認するだけでは足りません。
  • 下の表は、各要求事項の評価基準に書かれている「定めること」「把握する仕組み」「記録」を短くまとめたものです。評価基準の原文には、対象者や頻度などの細かな条件が書かれています。判断するときは、必ず原文の表を確かめてください。

★3の26項目と、評価基準に出てくる文書・記録

分類要求事項評価基準に出てくる主な文書・一覧・記録
ガバナンスの整備セキュリティ推進活動部門統括する役員と担当部署の役割・責任、連絡先リスト、体制の定期的な点検
ガバナンスの整備守秘義務のルール守秘義務のルール、入社時の説明、誓約書
ガバナンスの整備セキュリティ対応方針の策定セキュリティ対応方針、周知、定期的な点検
取引先管理取引先とのビジネス又はシステム上の関係自社の資産が接続している他社のシステムの把握、機密情報を共有する取引先ごとのやり取りの手段と情報資産
取引先管理機密情報の取扱い機密情報の定義・利用制限・返還又は廃棄についての取り決め
取引先管理セキュリティインシデント発生時の役割・責任取引先との間のインシデント発生時の役割・責任の取り決め
リスクの特定情報機器、OS及びソフトウェアに関する情報の把握パソコン・サーバ・スマートデバイスの製造元・OS・台数の把握、機器とソフトの管理ルール、重要なシステムの機器の設定情報、定期的な点検
リスクの特定ネットワークに関する情報の把握ネットワークの所在地と用途、ネットワーク機器の製造元・モデル・保守事業者、ネットワーク図、定期的な点検
リスクの特定外部情報サービスの管理外部情報サービスを使うときのセキュリティ要件と確認、提供事業者との機密情報の取扱いの合意
リスクの特定機密区分に応じた情報の管理機密区分の管理ルール、重要な機密情報ごとの管理者・保管場所・保管期限などの把握、退職時の回収、廃棄時の抹消処理の記録
攻撃等の防御ユーザIDの管理手続ユーザIDの付与・変更・削除の申請・承認、不要になったIDの削除
攻撃等の防御管理者IDの管理手続サーバとネットワーク機器ごとのシステム管理者・責任者、管理者IDを持つ人の把握、申請・承認
攻撃等の防御認証の強度・実装方法の決定重要な機密情報を扱うクラウドサービスなどでの多要素認証
攻撃等の防御アカウントロック制御パソコンとスマートデバイスのロックの設定
攻撃等の防御パスワード設定ルールパスワードの設定に関する社内ルールと周知
攻撃等の防御パスワード管理ルールパスワードの保管と、漏えい時の変更の手順、周知
攻撃等の防御アクセス権の管理ルールアクセス権と入室の管理ルール、申請書又は台帳、アクセス権の棚卸
攻撃等の防御セキュリティインシデント発生時の教育・訓練教育・訓練の実施内容・方法・時期・受講状況の記録
攻撃等の防御適切なバックアップバックアップの対象・頻度・保管期間、遠隔地バックアップ、リストア手順書
攻撃等の防御情報機器、OS及びソフトウェアの安全な構成利用を許可するソフトウェアの管理、設定変更の申請・承認、標準構成・設定ルール
攻撃等の防御セキュリティパッチ・アップデートの手続ライセンスとサポートのある状態の維持、アップデートの期限を決めた適用
攻撃等の防御マルウェア感染からの保護マルウェア対策ソフトの導入、スキャンの範囲と頻度、不正なWebサイトへのアクセス制限
攻撃等の防御ネットワーク境界防護ファイアウォールとルータの管理パスワードの変更手順、ファイアウォール・ルール
攻撃等の検知ネットワーク接続・データの監視不正な通信を検知・遮断する仕組み、異常時の通知
インシデントへの対応インシデント対応手順対応手順、社内外の連絡先と報告のルート、報告フォーマット、事例の共有
インシデントからの復旧事業継続要件に沿った復旧準備重要なシステムの目標復旧レベル、バックアップからの復元の確認

表から分かる、続けて記録を残すべきもの

表を見ると、評価基準の多くは「ルールを定める」だけでなく、「把握するための仕組みを整備する」「定期的に点検する」「記録を保管する」ことまで求めています。とくに次のものは、一度作れば終わりではなく、変化のたびに直していく必要があります。

機器・ソフト・ネットワークの台帳

パソコンやスマートデバイスの台数、ネットワーク機器の保守事業者、ネットワーク図などは、機器の購入・入れ替え・廃棄のたびに変わります。台帳と現物がずれていると、点検のときに説明ができません。

IDとアクセス権の一覧

入社・異動・退職のたびに、ユーザIDやアクセス権の付与・削除が起きます。誰が管理者IDを持っているか、アクセス権の棚卸をいつ行ったかを、記録として残しておきます。

教育・点検・抹消処理の記録

教育・訓練の受講状況や、機器を廃棄したときのデータの抹消処理の記録は、「やった」だけでは足りず、後から見せられる形で保管しておくことが求められます。

チェックリストの使い方

  1. IPAの制度のページから★3・★4の要求事項・評価基準の表を入手し、★3の行だけを抜き出す。
  2. 上の表の項目ごとに、自社にある文書・一覧・記録を書き出し、「ある」「一部ある」「ない」に分ける。
  3. 「ない」「一部ある」ものについて、担当者と期限を決めて整える。
  4. 整えた文書・一覧は保管場所を決め、点検した日と結果を記録する。
  5. IPAから解説書や取得ガイドが公開されたら、表と照らし合わせて見直し、セキュリティ専門家への確認の依頼を検討する。

このチェックリストは、準備の進み具合を自社で確かめるためのものです。★3の取得の可否を判定するものではありません。最終的な確認は、制度に登録されたセキュリティ専門家が行います。

よくある質問

★3の要求事項は何項目ですか？

IPAの「中小企業の情報セキュリティ対策ガイドライン」の説明資料では、★3は「最低限実装すべき対策（26項目）」と整理されています。要求事項・評価基準の表は、IPAの制度のページでExcelで公開されています。

要求事項の一部だけを満たしている場合、★3はどうなりますか？

IPAのよくある質問では、★3を取得するには、★3で定められたすべての要求事項・評価基準を満たしている必要があるとされています。

社内の担当者がチェックすれば足りますか？

足りません。★3は、取得を希望する組織が自己評価を記入し、制度に登録されたセキュリティ専門家の確認と署名を経て提出する「専門家確認付き自己評価」です。

このチェックリストで★3の取得の可否が分かりますか？

できません。このチェックリストは準備の進み具合を自社で確かめるためのもので、最終的な確認は制度に登録されたセキュリティ専門家が行います。判断するときは、必ず評価基準の原文の表を確かめてください。

出典

出典の確認日：2026年10月13日

この記事は、公開日時点の公的資料をもとにした一般的な情報で、★の取得を保証するものではありません。制度の内容や予定は変わることがあります。自社の対策が要求事項を満たすかどうかは、IPA・経済産業省の最新の資料をご確認のうえ、セキュリティの専門家にご確認ください。

ほかの解説