総合準備度が低いと★3を目指せないのでしょうか？

点数は、現在の準備状況を整理するための目安です。低い結果でも、未対応分野を確認し、優先順位を付けて改善を進めるために活用できます。

「わからない」は「いいえ」と同じ扱いですか？

準備度の計算では「いいえ」と同じ0点ですが、「わからない」の数は別に表示されます。意味も異なり、「わからない」は別部署や保守会社が対応している可能性もあるため、まず事実確認を行いましょう。

提出には使用できません。本シートは、公開情報をもとに当社が作成した簡易チェックであり、正式な対応状況はIPAが公表する要求事項・評価基準や今後の案内で確認する必要があります。

「SCS評価制度の★3に向けて準備したいけれど、自社がどこまで対応できているのか分からない」

Microsoft 365の設定を確認していても、社内規程や取引先との取り決めまで含めると、何ができていて、何が不足しているのかを一人で判断するのは簡単ではありません。

SCS評価制度★3の準備では、すぐに新しい製品を導入するのではなく、まず自社の対応状況を整理することが重要です。そこで今回は、28問に答えることで、★3に向けた準備状況を簡易的に確認できるセルフチェックシートをご用意しました。

本チェックシートは、IPAが公表している★3の要求事項・評価基準をもとに、当社独自の分類で確認項目を整理したものです。

IPAの公式なチェックシートや自己評価様式ではありませんが、自社の準備状況を把握し、次に確認・改善すべき項目を整理するために活用できます。

資料請求

この記事のポイント：

SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を、共通の基準で評価・可視化する制度です。
SCS評価制度の目的や★3・★4の概要から確認したい方は、関連記事をご覧ください。

★3では、専門家の確認を経た自己評価が想定されています。特定のセキュリティ製品を導入するだけで取得できる制度ではありません。

まず必要なのは、次の状態を整理することです。

特にチェックシートで「わからない」と回答する項目は、単なる未回答ではありません。設定状況や担当部署を社内で把握できていない可能性があるため、優先して確認したい項目です。

今回のセルフチェックシートでは、28の質問に「はい」「一部できている」「いいえ」「わからない」の4択で回答します。所要時間の目安は約5分です。回答後は、7分野と対策タイプ別の準備状況を確認できます。

チェックシートはこちらのページから無料でダウンロードできます。

確認する7分野は次のとおりです。

例えば、「多要素認証を設定している」に「はい」と回答できても、退職者アカウントの削除手順や、事故発生時の連絡先が不明な場合があります。チェックシートを使うことで、技術面だけでは見えにくい運用・体制面の不足にも気付きやすくなります。

★3で確認される26の要求事項と81の評価基準について詳しく知りたい方は、関連記事もご覧ください。

セルフチェックの結果は、次の3つの対策タイプで確認できます。

例えば、Microsoft 365の多要素認証や端末管理は技術面の対策に役立ちます。一方、責任者の決定、取引先との機密情報の取扱い、教育や点検の記録は、Microsoft 365の設定だけでは完結しません。

このように分類すると、「ライセンスや設定を見直す項目」と「社内でルールを整える項目」を切り分けて検討できます。

★3の評価基準に対して、Microsoft 365がどこまで技術的に関与できるかは、関連記事で詳しく紹介しています。