SCS評価制度の★3に向けて何を確認する？Microsoft 365で始める現状把握

「SCS評価制度の概要は分かったものの、自社が★3を目指すには何を確認すればよいのか分からない」「Microsoft 365を導入していれば、どこまで対応できるのだろう」

このような疑問を持つ中小企業のIT担当者も多いのではないでしょうか。

SCS評価制度の★3に向けた準備では、セキュリティ製品を追加する前に、現在の設定・運用ルール・社内体制を棚卸しすることが重要です。
Microsoft 365は多要素認証や端末管理、監査などに活用できますが、規程や教育、取引先との取り決めまで、すべてをMicrosoft 365だけで補えるわけではありません。

この記事では、★3に向けた自社の現在地を確認し、取り組む順番を決める方法を解説します。

なお、SCS評価制度の基本や★3・★4の違いについては、こちらで解説しています。
制度の概要から確認したい方は、あわせてご覧ください。

※本記事は2026年9月15日時点の公表情報をもとに作成しています。
SCS評価制度は詳細化が進められているため、申請前にはIPAの公式サイトで最新情報をご確認ください。

この記事のポイント：

SCS評価制度の★3は、一般的なサイバー脅威に対処できる水準として設けられています。取得希望企業が自己評価を行い、その内容を所定の要件を満たすセキュリティ専門家が確認する仕組みです。

準備を進めるときは、対策を次の3つに分けると整理しやすくなります。

• 技術的な対策：多要素認証、端末管理、マルウェア対策、アクセス制御
• 運用上の対策：アカウント管理、更新管理、バックアップ、事故発生時の手順
• 組織・体制の対策：責任者の決定、社内規程、従業員教育、取引先との取り決め

例えば、多要素認証を有効にしていても、退職者のアカウントを誰がいつ削除するのか決まっていなければ、運用面には課題が残ります。

単に機能を有効化するだけでなく、継続して運用できるルールと体制を整えることが大切です。

自社の対策を確認するときは、SCS評価制度の要求事項を次の3段階に仕分けてみましょう。

仕分け	対象になる対策	主に使う機能・必要なもの
Microsoft 365で対応しやすい	多要素認証／端末の登録・管理／操作記録の保存／脅威対策	Microsoft Entra ID、Microsoft Intune、Microsoft Purview、Microsoft Defender製品
Microsoft 365と運用ルールを組み合わせる	入社・異動・退職時のアカウント管理／管理者権限の付与・見直し／社外共有やゲストユーザーの管理／インシデント時の確認・連絡手順	上記の機能＋社内で定めた手順・承認ルール
Microsoft 365だけでは対応できない	セキュリティ責任者や推進体制の決定／従業員への教育／取引先との契約や役割分担／入退室管理やBCP	社内規程、教育計画、契約書、物理・組織面の対策

SCS評価制度では、特定のセキュリティ製品の導入が必須とされているわけではありません。

そのため、「Microsoft 365を導入すれば★3を取得できる」と考えるのではなく、★3対策の一部を支える基盤として活用するという捉え方が適切です。

どこから点検すればよいか迷ったときは、Microsoft セキュア スコアが現状確認の入口になります。

Microsoft セキュア スコアは、組織のセキュリティ体制を数値で示し、Microsoft 365のID、アプリ、デバイスなどに関する推奨アクションを確認できる指標です。スコアが高いほど、推奨される対策を多く実施していることを示します。

確認する際は、次の観点で整理しましょう。

• 多要素認証の対象から外れているユーザーはいないか
• 不要な管理者権限や未使用アカウントが残っていないか
• 利用中の端末と更新状況を把握できているか
• 社外共有やゲスト利用の設定が適切か
• 推奨アクションを実施しない場合、その理由を説明できるか

ただし、Microsoft セキュア スコアとSCS評価制度の★は別の指標です。
セキュア スコアはセキュリティ侵害を防ぐ絶対的な保証ではなく、すべての推奨事項が各社の環境に適するわけでもありません。★の取得可否を判断する材料ではなく、Microsoft 365環境の改善点を洗い出すための材料として活用しましょう。

★3の準備では、対策を実施するだけでなく、第三者へ説明できる状態にすることも重要です。
証跡として整理したいものには、次のような例があります。

• Microsoft 365の設定内容
• ユーザー、管理者、端末の一覧
• アカウント管理や情報共有の社内規程
• 月次・四半期ごとの点検記録
• 従業員向けセキュリティ教育の実施記録
• インシデント対応訓練の記録

Microsoft 365導入支援の現場では、「設定は済んでいるが、誰がいつ変更したか分からない」「担当者の頭の中にしか手順がない」といったケースがあります。
証跡ごとに保存先・担当者・確認頻度を決めておけば、自己評価や専門家への説明を進めやすくなります。

残しておきたい証跡	保存先の例	担当部門の例	確認頻度の目安
Microsoft 365の設定内容	SharePoint／管理者用フォルダー	情報システム	変更時・四半期ごと
ユーザー・管理者・端末の一覧	SharePoint／Excel台帳	情報システム	月次
アカウント管理や情報共有の社内規程	社内規程フォルダー	総務・法務	年次（改定時）
月次・四半期ごとの点検記録	SharePoint／Teams	情報システム	月次・四半期
従業員向けセキュリティ教育の実施記録	人事管理システム／SharePoint	人事	年次
インシデント対応訓練の記録	SharePoint	情報システム・総務	年次

未対応の項目が多くても、一度にすべてを整える必要はありません。
次の順番で進めると、社内でも説明しやすくなります。

1. ★3の対象にする拠点・部門・システムを整理する
2. 要求事項と自社の設定・規程・体制を照らし合わせる
3. 未対応項目を「技術・運用・体制」に分類する
4. 情報漏えいや業務停止につながる項目を優先する
5. 実施内容と判断理由を証跡として残す

特に、多要素認証、管理者権限、未使用アカウント、端末の更新状況は、現在のMicrosoft 365環境を確認するきっかけにしやすい項目です。

新しい機能を社内に浸透させる過程で、操作に関する問い合わせ対応や独自の運用ルールの乱立にお悩みの管理者様は少なくありません。本資料では、Microsoft 365の導入や運用定着、セキュリティ基盤の構築における実践的な事例集をご用意しました。

・従業員規模別（300名以下・301名以上）の厳選した7つの成功事例をご紹介
・運用ルールの体系化や、社内SNS活用による組織活性化のヒントを収録

Microsoft 365担当者様の負担軽減と、貴社のスムーズな運用定着を実現する一助としてぜひご活用ください。

▼【Microsoft 365導入事例】をダウンロードする

SCS評価制度への準備は、製品を追加することから始めるのではなく、現在のMicrosoft 365をどこまで活用できているかを把握することが第一歩です。

私たちは、数あるクラウドツールの中でもMicrosoft 365に特化して支援を行ってきました。
だからこそ、導入前の検討・設計から、移行、運用、社内への定着まで、企業が「つまずきやすいポイント」を熟知しています。

【例えば、こんなご相談をよくいただきます】

13年以上・350社以上の導入実績をもとに、貴社の課題に寄り添った最適な運用をご提案します。
「まずは現状のモヤモヤを聞いてほしい」といった些細なご相談でも構いません。ぜひお気軽にお声がけください。

本記事の作成にあたり、以下の経済産業省、IPA、Microsoftの公式情報を参考にしています。

• 「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）を公表しました
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）
• Microsoft セキュア スコアの概要
• Microsoft セキュア スコアを使用してセキュリティ体制を評価する
• Microsoft セキュア スコアの履歴を追跡し、目標を達成する
• Microsoft セキュリティ スコアを確認する