「SCS評価制度の★3が必要になる可能性はわかった。でも、結局、自社では何をすればいいのだろう？」

「調べてみると25項目、26項目、81項目、83項目といろいろな数字が出てきて、何が最新なのかわからない」

前回の記事では、制度の概要や★3・★4の違い、中堅・中小企業にとって★3への対応が重要になる理由を解説しました。

制度の全体像を理解した後、情報システム担当者が次に気になるのは、やはり「実際に何をチェックされるのか」ではないでしょうか。

SCS評価制度の★3には、IPAが2026年4月に公開した正式な要求事項・評価基準があります。現在の★3は、26の要求事項・81の評価基準で構成されており、これらは7つの分野に整理されています。*1

「81項目もある」と身構えなくて大丈夫です。ポイントは、一つひとつを別々の課題として見るのではなく、組織として決めるルールと、IT環境で実装・運用する対策に分けて考えることです。

本記事では、この7分野に沿って、特に中堅・中小企業が対応につまずきやすいポイントを実務目線で解説します。さらに、Microsoft 365 Business Premiumを活用することで、どのような技術的対策をまとめて管理しやすくなるのかも紹介します。

*1 出典：独立行政法人情報処理推進機構（IPA）｜ ★3・★4　要求事項・評価基準

■アイエスエフネットは、現状の可視化からMicrosoft 365導入・ガバナンス整備までワンストップで伴走！
＞SCS評価制度★3取得支援パッケージ for Microsoft 365の詳細はこちら

SCS評価制度について検索すると、「★3は25項目」「26の要求事項」「83の評価基準」といった異なる数字を目にすることがあります。

これは、制度の検討・策定過程で要求事項や評価基準が見直されてきたためです。

2025年末までに公開された資料や、それをもとに作成された記事では、★3について「83の評価基準」と説明しているケースがあります。その後、パブリックコメントなどを経て、制度構築方針が正式に示され、現在IPAが公開している「★3・★4 要求事項・評価基準」では、★3は26の要求事項・81の評価基準として整理されています。*1

ここで理解しておきたいのが、「要求事項」と「評価基準」の違いです。

要求事項は、「企業として何を実現すべきか」という対策のまとまりです。例えば「ユーザーIDの管理手続きを定める」「適切なバックアップを行う」といった単位です。

一方の評価基準は、その要求事項を満たしているか確認するための、より具体的なチェックポイントです。

つまり、「26個のチェックに答えれば終わり」という制度ではありません。26の要求事項をさらに細かく分解した81の評価基準に沿って、自社のルールや設定、運用状況を確認していく必要があります。

これから★3への準備を進めるのであれば、古い「25項目」「83項目」という数字ではなく、IPAが現在公開している「26の要求事項・81の評価基準」を基準に準備を進めましょう。

なお、IPAでは要求事項・評価基準の解説書を2026年10月頃に公開予定としているため、実際の対応時には最新版も確認しましょう。

81の評価基準を上から順番に読むだけでは、何から着手すればいいのかわからなくなりがちです。

そこで、まず7つの分野で全体像を捉えましょう。

SCS評価制度の要求事項・評価基準は、NIST Cybersecurity Framework（NIST CSF）の「統治・識別・防御・検知・対応・復旧」という考え方を踏まえており、同制度においても、サプライチェーン対策の要となる「取引先管理」を加えた7つの分野に整理されています。

公式基準に基づく★3の内訳は、以下のとおりです。

注目すべきなのは、26の要求事項のうち半数にあたる13件が「攻撃等の防御」に集中していることです。

★3は、規程の整備やセキュリティ製品の導入だけで対応が完了するものではありません。実際には、ID管理、認証、端末管理、アップデート、マルウェア対策、バックアップなど、日々のIT運用を適切に行い、その実施状況を確認できる状態にしておくことが求められます。

逆にいえば、この技術領域を個別製品の寄せ集めで運用するのか、ある程度統合された基盤で管理するのかによって、担当者の負担は大きく変わります。

1．ガバナンスの整備｜「誰がやるのか」を曖昧にしない

最初の分野は、ガバナンスです。
★3では、セキュリティを担当する部署・役員・従業員を決めて責任と権限を割り当てること、守秘義務のルールを定めること、自社のセキュリティ対応方針を策定・周知することなどが求められます。

ポイントは、立派な規程を作ること自体がゴールではないことです。
例えば、セキュリティ担当者は実質的には総務部のAさんなのに、規程には退職済みの担当者が記載されている。セキュリティ方針は作成したものの、従業員がどこで最新版を確認できるかわからない。このような状態では、ルールと実態が一致しているとはいえません。
公式の評価基準には、担当者の役割・責任だけでなく連絡先も定め、平時の体制を年1回以上点検することも盛り込まれています。

つまり★3では、「規程があること」から一歩進んで、誰が責任者なのか、どこにルールがあり、現在も運用されているかが問われます。

2．取引先管理｜自社だけ守れば終わりではない

SCS評価制度らしさが表れているのが「取引先管理」です。

★3では、自社と取引先とのビジネス上・システム上の関係を把握すること、自社の機密情報を共有する場合の取り扱いを明確にすること、インシデント発生時の双方の役割・責任を決めることなどが求められています。

例えば、外部の業務委託先に自社の機密情報を共有しているにもかかわらず、その取り扱い方法が明確になっていない。あるいは、その委託先でセキュリティインシデントが発生した際に、自社と委託先のどちらが何を担うのか決まっていない。このような状態は見直す必要があります。

「委託先にチェックシートを送る」だけではなく、自社と外部組織の接点そのものを把握することが出発点です。

3．リスクの特定｜「何を守るか」がわからなければ守れない

次に必要なのが、資産の把握です。

★3では、PC、サーバー、OS、ソフトウェア、ネットワーク、さらに自社の機密情報を扱う外部情報サービスなどを管理することが求められます。
ここで問題になりやすいのが、いわゆる「シャドーIT」です。

各部署が独自に契約したSaaS、担当者しか存在を知らないWebサービス、廃棄したはずなのに管理台帳に残っているPCなどがあると、セキュリティ対策の対象範囲そのものが曖昧になります。

最初から完璧な台帳を作ろうとするよりも、まずは「端末」「サーバー」「ソフトウェア」「クラウドサービス」「ネットワーク」の所在と管理者を整理することから始めましょう。
Microsoft 365環境であれば、Intuneなどを活用することで、管理対象デバイスの情報を継続的に把握する仕組みづくりにつなげられます。Microsoft 365 Business PremiumにはMicrosoft Intuneが含まれています。*2

2 出典：Microsoft Learn｜ Microsoft 365 Business Premiumセキュリティ - よく寄せられる質問

4．攻撃等の防御｜★3対応で最も項目数が多い

7分野の中で最も項目数が多いのが「攻撃等の防御」です。

ここには、ユーザーID・管理者IDの管理、認証、端末のロック、パスワード、アクセス権、教育、バックアップ、安全なシステム構成、セキュリティアップデート、マルウェア対策、ネットワーク境界防護などが含まれています。

特に確認しておきたいのがID管理です。
★3では、ユーザーIDの発行・変更・削除を申請・承認制にすることや、退職などで不要になったIDを速やかに削除または無効化することが求められます。

また、重要な機密情報を扱うクラウドサービスでは、ユーザーと管理者のアクセスに、多要素認証を適用することが評価基準に含まれています。

Microsoft 365 Business PremiumにはMicrosoft Entra ID P1が含まれており、条件付きアクセスなどを利用できます。そのため、「誰が」「どの条件で」「どのサービスに」アクセスできるのかを統合的に設計しやすくなります。*2

もう一つ見逃せないのがアップデートです。
正式な評価基準では、一定以上の重大度の脆弱性を修正するアップデートについて、原則としてリリース後14日以内に適用することが示されています。適用できない場合には、対象機能の無効化やネットワーク分離など、代替的にリスクを下げる対策が必要です。*3

つまり「Windows Updateは各社員に任せています」という状態ではなく、適用状況を把握し、遅れている端末を管理できる運用が必要になります。

*3 出典：経済産業省｜サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針
「別添 ★3★4要求事項及び評価基準」

5．攻撃等の検知｜「導入した」だけでなく「気づける」こと

防御していても、サイバー攻撃を100％防ぎ切れるとは限りません。そのため★3では、不審な通信や挙動を検知する仕組みも求められます。

評価基準では、ネットワーク境界または端末で不正アクセスをリアルタイムで検知・遮断する仕組みを設けることに加え、ログやアラートを分析し、不審な事象がインシデントに該当するか判断できることが求められています。

押さえておきたいのは、製品を導入するだけでは終わらないことです。
「アラートが出たら誰が見るのか」「夜間に検知されたらどうするのか」「インシデントと判断したら誰へ連絡するのか」まで含めて運用を設計する必要があります。

Microsoft Defender for Businessは、中小企業向けのエンドポイントセキュリティ製品で、EDRなどの機能を備えています。Microsoft 365 Business Premiumにも含まれているため、端末の防御・検知をMicrosoft環境へ集約する選択肢になります。

6．インシデントへの対応｜事故が起きてから連絡先を探さない

★3では、セキュリティインシデントが発生した際の手順・体制の整備も求められています。
具体的には「発見報告→初動→調査・対応→復旧→最終報告」という一連の手順、社内外の連絡先や情報共有ルート、担当部署・役員の役割と責任などを定めます。

さらに、インシデント発生時の体制について年1回以上点検することも評価基準に含まれています。

ランサムウェア感染が発覚してから「まず誰に電話すればいいのか」を相談していては、初動が遅れます。

少なくとも、誰が、誰へ、何を、どの順番で報告するのかを文書化し、関係者がすぐ確認できる状態にしておく必要があります。

7．インシデントからの復旧｜バックアップだけではなく事業継続を考える

最後は「復旧」です。
ここで考えるべきなのは、バックアップデータが存在するかではありません。

★3では、「どのシステムをどの水準まで復旧させる必要があるのか」を事業継続の観点から考え、必要な準備を行うことが求められています。

また「攻撃等の防御」のバックアップ要求では、取得対象・頻度・保管期間を定めてバックアップを取得すること、重要な機密情報について遠隔地バックアップを行うこと、バックアップ対象ごとのリストア手順書を整備することなどが評価基準になっています。

なお、実際に目標復旧時間内でバックアップを復元できることを確認する基準は★4側です。★3だから「復元できなくてもよい」という意味ではありませんが、★3と★4の要求を混同しないよう注意しましょう。

★3は自己申告だけで完結する制度ではありません。

取得希望企業が自己評価を行った後、事務局に登録されたセキュリティ専門家が自己評価内容や関連書類を確認し、必要に応じて助言を行います。そのうえで、事務局への提出内容を了承したうえで署名します。その後、経営層による自己適合宣誓などを経て事務局へ登録申請する仕組みです。*4

ここで求められるのが、「ルールを作った」「ツールを買った」で終わらせない運用です。

例えば、

• 担当者と責任者が現在の組織体制と一致している
• 管理対象のPCやサーバーを一覧で確認できる
• 不要になったアカウントを適切に無効化している
• MFAなどの認証設定が実際に適用されている
• アップデート状況を確認できる
• セキュリティアラートへの対応方法が決まっている
• 規程や体制を定期的に点検した記録がある

といったように、ルール・設定・運用がつながっている状態を作ることが求められます。

「申請直前になってから81項目分の根拠資料を集める」のではなく、普段の業務そのものが記録として残る仕組みを作っておけば、担当者の負担を大きく減らせます。なお、必要となる証跡はシステムログだけではなく、規程、承認記録、教育記録、点検記録なども含まれるため、要求事項ごとに何を根拠資料とするか整理しておく必要があります。

Microsoft 365では、ユーザーや管理者の操作についてMicrosoft Purview Auditで監査ログを検索できます。多くのMicrosoft 365組織では監査が既定で有効になっており、現在のAudit (Standard)では、一定期間の監査データが保持されます。必要なログの種類・保持期間は評価対象や運用方針によって異なるため、SCS対応では「何を証跡として残すか」をあらかじめ設計しておく必要があります。*5

4 出典：独立行政法人情報処理推進機構（IPA）｜ SCS評価制度の詳細情報
5 出典：Microsoft Learn｜Get started with auditing solutions

ここまでの内容を踏まえると、

「ID管理はこの製品、端末管理は別製品、マルウェア対策は別の会社、ログ確認はさらに別のシステム……すべて管理するのは無理では？」

と感じる方もいるでしょう。

特に情報システム担当者が1名しかいない企業や、総務部門がITを兼務している企業では、ツールを増やすほど管理画面、アカウント、契約、アラート確認、更新作業も増えていきます。

そこで選択肢の一つになるのが、Microsoft 365 Business Premiumです。

Microsoft 365 Business Premiumには、Microsoft Entra ID P1、Microsoft Intune、Microsoft Defender for Businessなどが含まれています。*2

例えば、

• ID・認証

Microsoft Entra ID P1を活用して、MFAや条件付きアクセスを設計する。

• 端末管理

Microsoft Intuneを使って、会社で管理する端末やポリシーを把握する。

• マルウェア対策・検知

Microsoft Defender for Businessを利用して、エンドポイントを保護し、不審な挙動を検知する。

• 監査ログ

Microsoft Purviewの監査機能などを利用し、ユーザー・管理者操作の記録を確認する。

このように、★3で必要になる複数の技術的対策をMicrosoftのクラウド基盤上で連携させることで、製品ごとにバラバラに管理する場合と比べて、運用を整理しやすくなります。

ただし、注意したい点があります。

Microsoft 365 Business Premiumを契約すれば★3が取得できるわけではありません。

SCS評価制度は特定製品の導入を必須としておらず、経済産業省もその点を明記しています。

ガバナンス、取引先管理、インシデント対応手順、社内規程、教育などは、Microsoft 365を購入しただけでは完成しません。また、企業の構成や対象システムによっては、Microsoft 365以外の製品やネットワーク対策が必要になります。

したがって、考え方としては「Microsoft 365で81項目をクリアする」のではなく、26の要求事項を組織対策と技術対策に分け、そのうちMicrosoft 365で効率化できる部分を見極め、適切に統合していくことがポイントです。

SCS評価制度★3では、7分野・26の要求事項・81の評価基準への対応が求められます。

数字だけを見ると非常に多く感じますが、全体像を整理すると、

「体制・ルールを決める」
「取引先との関係を整理する」
「守るべきIT資産を把握する」
「ID・端末・システムを防御する」
「異常を検知する」
「事故に対応する」
「事業を復旧できるよう準備する」

という一連のセキュリティ運用であることがわかります。

大切なのは、いきなり新しい製品を買うことではありません。

まず現在使っているPC、Microsoft 365、サーバー、ネットワーク、セキュリティ製品、社内規程、運用体制を棚卸しし、81の評価基準に対して「できている」「不足している」「確認が必要」を切り分けることです。

そのうえで、Microsoft 365 Business Premiumで統合できる部分、既存製品を継続利用する部分、規程や運用ルールとして整備する部分を分ければ、やるべきことが明確になります。

簡易アセスメントによる現状の可視化から、Microsoft 365環境の設計・設定、ガバナンス整備まで、★3取得に向けた準備を一気通貫で支援します。

「81項目のどこまで対応できているのかわからない」
「Microsoft 365は導入済みだが、★3を意識した設定になっているかわからない」
「少人数の情報システム体制では、規程とシステムの両方を整備する余裕がない」

このようなお悩みがある場合は、まず自社の現在地を整理するところから始めてみてください。

■アイエスエフネットは、現状の可視化からMicrosoft 365導入・ガバナンス整備までワンストップで伴走！
＞SCS評価制度★3取得支援パッケージ for Microsoft 365の詳細はこちら