2026.10.20 セキュリティ

SCS評価制度のチェックリスト：★3の81評価基準を6分類で自社点検する手順

SCS評価制度（セキュリティ対策評価制度）の★3で使うチェックリストは、IPAが公開している「★3・★4 要求事項・評価基準」のExcelそのものです。★3の対象は26の要求事項と、その下にぶら下がる81の評価基準で、取得にはすべての評価基準を満たす必要があります。この記事では、Excelの81項目を数え直し、「文書を作る」「台帳を作る」「機器を設定する」といった作業の種類で6つに分けました。中小企業や委託先が不足しやすい技術対策の判定条件、社内での点検の進め方、外部の診断で補う範囲まで、2026年10月20日時点の一次情報で整理します。

まとめ：★3チェックリストで自社点検するときの結論と今月から着手する順番

★3の81項目のうち、規程や手順書を書けば満たせるものは26項目です。残りは台帳の整備、申請・承認の記録、年1回以上の点検、そして機器やクラウドの設定で、設定に関わる項目が28と最多を占めます。書類をそろえるだけでは★3に届きません。

着手の順番は、まず資産台帳とネットワーク構成の把握、次に設定28項目の現状確認、最後に文書と年次点検です。台帳がないと、パッチを当てるべき機器もファイアウォールの対象も決まらないためです。設定のうち、パッチ適用・サポート切れ機器・境界ファイアウォール・クラウドの多要素認証は外部の診断で現状を測れます。公開サーバやVPN装置を持つ企業は診断を先に入れ、SaaSだけで業務を回す企業は管理画面の確認から始めてください。

SCS評価制度★3の公式チェックリストの所在と26要求事項・81評価基準の構成

IPAの要求事項・評価基準Excelで★3の81行だけを抜き出す4つの操作

入手先はIPAの要求事項・評価基準ページです。掲載されている★3・★4 要求事項・評価基準のExcel（52KB）は、★3と★4の評価基準153行を1枚のシートにまとめた作りです。★3の点検表に変えるには次の順に操作します。

G列「★3」にオートフィルタをかけ、「○」の行だけを表示する（81行になる）
L列「評価基準No.」とM列「評価基準」を残し、H列「★4」とK列「★3/★4」は非表示にする
右側に「判定」「根拠資料の保存場所」「担当部署」「是正期限」の4列を足す
F列「要求事項No.」でグループ化し、26の要求事項ごとに折りたためるようにする

K列は、その評価基準が★3で初めて求められるか、★4で追加されるかを示します。数えると★3が81行、★4が72行でした。★4を目指す企業は、フィルタを外した153行がそのまま点検表になります。

大分類7つの評価基準の件数内訳｜攻撃等の防御が48項目で全体の約6割

★3の81項目を大分類ごとに数えた結果です。要求事項の件数とあわせて示します。

大分類	要求事項	評価基準	NIST CSFの機能
1 ガバナンスの整備	3件	8項目	統治
2 取引先管理	3件	4項目	統治
3 リスクの特定	4件	11項目	識別
4 攻撃等の防御	13件	48項目	防御
5 攻撃等の検知	1件	3項目	検知
6 インシデントへの対応	1件	6項目	対応
7 インシデントからの復旧	1件	1項目	復旧

攻撃等の防御だけで48項目、全体の59%を占めます。中身はID管理・認証・パスワード・バックアップ・パッチ・マルウェア対策・ファイアウォールで、情報システムの担当者が手を動かす領域です。各行に振られたNIST CSFの機能名は、海外拠点や取引先とCSFの言葉で会話するときの対応表として使えます。CSFの6機能の構成はNIST CSF 2.0の6機能・22カテゴリの構成で解説しています。

「チェックリスト」という名の公式文書がない現状と解説書・取得ガイドの公開予定

2026年10月20日時点で、IPAも経済産業省も「チェックリスト」という名前の文書は出していません。IPAのよくある質問のQ3-2は、★3・★4の取得にはすべての要求事項・評価基準を満たす必要があると答えており、点検の基準はこのExcelに一本化されています。

判定の迷いを減らす資料は、まだ出そろっていません。同じFAQのQ3-1とQ3-3では、申請方法と、評価基準の解説書・適合を自分で判断するための取得ガイドが「2026年10月頃」に公開予定とされています。10月20日時点の制度トップの新着は9月18日の料金設定が最新で、両資料は未掲載でした。いま作る点検表は、取得ガイドの公開後に判定欄を見直す前提で作ってください。

★3の81評価基準を作業の種類で6分類した自社点検チェックリスト

6分類の件数一覧｜文書26・台帳7・運用記録7・周知5・年次点検8・設定28

評価基準の文言を「何をすれば満たせるか」で読み分け、本記事で6つに分類しました。担当者の割り振りにそのまま使えます。

分類	件数	主な担当	代表的な評価基準No.
規程・手順・取り決めを文書で定める	26項目	総務・情シス	1-3-1-1 方針、4-1-5-3 パスワード
台帳・把握の仕組みを作る	7項目	情シス	3-1-1-1 PC台帳、3-1-2-2 機器台帳
申請・承認や削除の運用記録を残す	7項目	情シス・人事	4-1-1-3 不要IDの削除
周知・説明する	5項目	総務	1-2-3-2 入社時の守秘義務説明
年1回以上点検・実施する	8項目	各担当	4-2-2-1 インシデント対応訓練
機器・サービスを設定する	28項目	情シス・委託先	4-4-4-2 14日以内の更新

規程を書く26項目は、記録の蓄積を待たずに書き上げられます。時間がかかるのは設定の28項目と、記録が1年分たまって初めて示せる年次点検の8項目です。

台帳7項目と運用記録7項目｜PC・サーバ・ネットワーク機器と取引先接続の把握

台帳の7項目は、パソコンとシンクライアント（3-1-1-1）、サーバ・仮想サーバ・ハイパーバイザ（3-1-1-2）、ネットワークの所在地と用途（3-1-2-1）、ネットワーク機器の製造元・モデル・保守事業者（3-1-2-2）、重要な機密情報の管理者と保管場所（3-1-4-3）、管理者IDの保有者（4-1-2-5）、取引先が提供して自社が接続しているシステム（2-1-1-1）です。最後の項目には顧客や子会社のほかクラウドサービス提供者も含まれます。

運用記録の7項目は、ユーザIDと管理者IDの付与・変更・削除の申請・承認制（4-1-1-1、4-1-2-7）、不要になったIDや権限の速やかな削除（4-1-1-3、4-1-1-4、4-1-2-6）、サーバとネットワーク機器の設定変更の申請・承認制（4-4-1-3）、教育の受講記録（4-2-2-2）です。どれも「ルールがある」だけでは足りず、実際に申請書や削除の記録が残っているかが問われます。台帳の作り方とツールの選び方はIT資産管理の目的とツール機能の選び方が参考になります。

年1回以上の点検8項目｜体制・取引先接続・管理ルール・訓練の見直し記録

評価基準に「年1回以上」と書かれた項目は8つあります。平時の体制（1-2-1-3）、取引先システムとの接続情報（2-1-1-2）、機器・OS・ソフトウェアの管理ルールの遵守状況（3-1-1-4）、情報の機密区分ルール（3-1-4-2）、インシデント対応の教育・訓練の実施（4-2-2-1）とその内容の点検（4-2-2-3）、インシデント発生時の体制（6-1-1-4）、事例と対応策の社内共有（6-1-1-6）です。

★3の有効期間は1年なので、更新のたびにこの8項目の実施記録を示すことになります。初回の点検日を決め、議事メモや点検表の保存場所を最初から固定しておくと、2年目の更新作業が軽くなります。

中小企業・委託先が不足しやすい技術対策｜パッチ・ID・境界防護・監視の判定基準

14日以内のアップデート（4-4-4-2）｜CVSS7.0以上と対象になる4種類の機器

技術要件で最も負荷が高いのが4-4-4-2です。ベンダーが「重大」「高リスク」と説明する脆弱性、CVSSの基本値が7.0以上の脆弱性、深刻度が公表されていない脆弱性を直す更新は、リリースから14日以内に適用しなければなりません。対象は会社支給PCのOS・ブラウザ・Office、サーバのOSとミドルウェア、会社支給スマートデバイスのOSとアプリ、インターネットとの境界にあるネットワーク機器のOSとファームウェアの4種類です。

動作検証が間に合わない場合の逃げ道も定められています。該当機能の無効化、ベンダー推奨の回避策、ネットワークからの分離、不正通信を遮断する機器の導入のいずれかです。見落としやすいのは境界のルータやVPN装置です。PCのように自動更新が効かないため、ファームウェアの更新担当を決めていないと14日を過ぎます。サポートが終わった機器は削除するか、インターネットとの通信をすべて遮断しなければなりません（4-4-4-1）。

管理者IDの共有と開発環境の権限（4-1-2-2・4-1-2-4）｜委託先の権限管理不足

システム開発や保守を請け負う委託先で不足しやすいのが、管理者IDの扱いです。4-1-2-2は管理者IDを共有しないこと、共有がやむを得ない場合は誰が使ったかを特定できるようにすることを求めます。サーバの「admin」を保守チーム全員で使い回している状態は、このままでは不適合です。

4-1-2-4は、開発環境を使う人が開発環境の管理者権限で本番環境を操作できないようにする項目です。開発と本番で同じクラウドアカウントや同じ管理者ロールを使っている構成は、ここで引っかかります。退職者や異動者のIDを速やかに無効化する4-1-1-3・4-1-1-4とあわせて、ID管理の仕組みを見直すことが必要です。方式の比較はMFA・SSO・IDaaSの違いと選定で整理しています。

多要素認証とパスワードの条件分岐｜8文字・10回ロック・10文字の読み分け

パスワードの要件は、多要素認証の有無で分かれます。4-1-5-3では、多要素認証を使うか10回以上の失敗でアカウントをロックするなら8文字以上、どちらもできない場合は英大文字・小文字・数字を含めた10文字以上です。PCのログオンとスマートデバイスのロック解除は別枠で、6文字以上のパスワードかPIN（4-1-4-2）と、10回以上の失敗でのロックなどの制御（4-1-4-1）を求めています。

多要素認証が必須になるのは、重要な機密情報を扱うクラウドサービスです（4-1-3-2）。メールやスマートフォンに届くワンタイムパスワード、スマートフォンへの認証要求も所有情報として認められています。すべての業務システムに多要素認証を入れなくても★3は満たせますが、機密情報を置くクラウドを台帳で特定していないと、どこに入れるべきか判断できません。

境界防護とログ監視（4-5-1・5-1-1）｜インバウンド遮断と不正通信の即時検知

ファイアウォールの要求事項4-5-1には7つの評価基準があります。初期の管理パスワードの変更かリモート管理の無効化（4-5-1-1）、認証されていないインバウンド通信の遮断（4-5-1-4）、不要になったルールの削除（4-5-1-6）、インターネット経由でルールを変えるときの多要素認証かIPアドレス制限（4-5-1-7）などです。たとえば閉鎖した拠点向けの転送設定がルータに残っていれば、4-5-1-6の不適合になります。機器の種類はファイアウォールの種類とWAF・UTMとの違いで整理しています。

検知の3項目は、社内外の通信の不正をリアルタイムで検知・遮断する仕組み（5-1-1-1）、ログとアラートを担当者が見てインシデントかを判断すること（5-1-1-2）、異常時にアラートと速報レポートが届く仕組み（5-1-1-3）です。機器を置くだけでは5-1-1-2を満たせません。アラートを誰が見るかを決めるところまでが★3の範囲です。

外部診断で補う項目と自社で埋める項目の判断｜受託開発会社の立場からの結論

外部診断で現状を測れる7項目｜パッチ・サポート切れ・境界FW・クラウドMFA

設定28項目のうち、外部の診断で現状を数値と証拠で示せるのは次の7項目です。サポート切れの製品の有無（4-4-4-1）、深刻度の高い未適用の更新の有無（4-4-4-2）、ファイアウォールとルータの初期パスワードとリモート管理（4-5-1-1）、インバウンド通信の遮断（4-5-1-4）、不要ルールの残存（4-5-1-6）、ルール変更経路の保護（4-5-1-7）、機密情報を扱うクラウドの多要素認証（4-1-3-2）です。

この7項目は社内の点検だけだと「設定したつもり」で○を付けがちで、設定を確かめた記録も残りにくい領域です。一創の脆弱性診断・セキュリティ診断では、Webアプリケーション・ネットワーク機器・クラウド設定を診断し、危険度順の報告書に直し方を添えてお渡しし、修正後の再診断にも対応します。診断の種類と費用の目安は脆弱性診断の種類・費用相場と外注時の判断基準にまとめています。

外部診断を先に入れるべき企業と社内の設定確認で足りる企業の判断条件

外部診断を先に入れるべきなのは、インターネットに公開したWebサーバやVPN装置を持ち、その設定を外部の業者に任せている企業です。境界機器の設定は社内に記録がなく、自社だけでは○か×かを判定できないことが多いためです。取引先の社内システムにリモートで入る委託先も同じで、★3を求められる前に一度測っておく価値があります。

逆に、公開サーバもVPN装置も持たず、業務をSaaSだけで回している企業は、外部診断から始めるのは過剰です。SaaSの管理画面で多要素認証の設定、管理者アカウントの人数、退職者アカウントの残存を確かめれば、関係する評価基準の大半を自社で判定できます。診断費用は、点検で×が並んだ項目の是正に回したほうが★3に近づきます。

文書・記録・訓練は自社で埋める｜外注しても判定が通らない3つの領域

規程の26項目、周知の5項目、年次点検の8項目は、外部に任せても自社の実態と合わなければ意味がありません。ひな形の流用で特に崩れやすいのは3つです。機密情報の区分と取扱エリア（3-1-4-1）は、自社の情報の種類を知らないと書けません。インシデント時の社外連絡先と報告ルート（6-1-1-2）は、所管省庁や取引先の窓口を自分で調べる必要があります。目標復旧レベル（7-1-1-1）は、どの業務を何時間で戻すかという経営判断です。

復旧レベルの決め方はサーバーのBCP対策とRTO・RPOの決め方が参考になります。外部の支援を使うなら、文書は作成代行ではなくレビューを頼むのが向いています。

★3チェックリストで自社点検を進める5工程と判定を記録するときの注意点

Excelの入手から是正計画までの5工程｜担当割り振りと根拠資料の置き場所

社内で点検を回すときは、次の順に進めます。

IPAのExcelから★3の81行を抜き出し、判定・根拠資料・担当・期限の列を足す
点検の対象にするIT基盤を決め、台帳7項目を先に埋める
6分類に沿って総務・人事・情シス・委託先へ項目を割り振る
各項目を判定し、規程・設定画面の写し・申請記録などの保存場所を書き込む
×と△の項目に是正期限を付け、設定項目は診断や機器更新の予算と結び付ける

工程2を飛ばすと、工程4で「どの機器まで見るか」が担当者ごとにずれます。★3の評価対象はインターネットにつながる自社のIT基盤で、工場の制御システムや納入製品は対象外です。対象の線引きと制度の全体像はセキュリティ対策評価制度（SCS評価制度）とはで解説しています。

判定を○×の2択にしない｜「規程あり・記録なし」を△で分けて残す理由

判定欄は○と×だけにせず、△を設けて「規程はあるが運用の記録がない」「設定はしたが確認画面を保存していない」を区別してください。81項目のうち運用記録と年次点検だけで15項目あり、ここが△になりやすい領域です。○と×の2択にすると、書類があるだけで○を付けてしまい、セキュリティ専門家の確認で評価結果の修正を求められる原因になります。

民間の無料診断ツールやチェックシートを併用するときは、項目数が★3の81と一致しているか、2026年3月27日公表の確定版に基づいているかを確かめてください。制度構築方針（案）の段階の要件で作られた資料が、いまも検索結果に残っています。経済産業省のSCS評価制度のページで公表日と版を照合してから使うのが確実です。

SCS評価制度のチェックリストと★3の自己点検に関するよくある質問

★3のチェックリストを使った点検について、検索でよく調べられている質問に答えます。

SCS評価制度の公式チェックリストはありますか？

「チェックリスト」という名前の公式文書はありません。点検の基準になるのは、IPAの要求事項・評価基準ページで公開されている「★3・★4 要求事項・評価基準」のExcelです。G列の「★3」に○が付いた81行が★3の評価基準で、これを点検表に作り替えて使います。適合・不適合を自分で判断するための取得ガイドは2026年10月頃の公開予定とされており、10月20日時点では未掲載です。

★3のチェックリストは何項目ですか？

要求事項が26件、評価基準が81項目です。大分類で見ると、攻撃等の防御が48項目で最も多く、リスクの特定11項目、ガバナンスの整備8項目、インシデントへの対応6項目、取引先管理4項目、攻撃等の検知3項目、インシデントからの復旧1項目と続きます。資料によって項目数が違うときは、Excelの★3列で数え直すと確実です。

中小企業でも★3の81項目をすべて満たす必要がありますか？

はい、企業規模による免除はありません。IPAのFAQは、★3・★4の取得には定められたすべての要求事項・評価基準を満たす必要があると答えています。ただしパスワードやID共有などの評価基準は「いずれかを適用すること」と選択肢を示しており、多要素認証ができなければ10文字以上のパスワードにするなど、規模に合わせた満たし方を選ぶことが可能です。中小企業向けには、サイバーセキュリティお助け隊サービスの新類型による取得支援の実証も進められています。

チェックリストの点検は誰が行えばよいですか？

点検そのものは自社で行い、その結果を登録されたセキュリティ専門家に確かめてもらうのが★3の仕組みです。社内では、規程と周知は総務、ID管理は人事と情シス、機器の設定は情シスか保守の委託先、と6分類ごとに担当を分けると進めやすくなります。専門家の名簿は2027年1月以降に公表される予定なので、それまでに自己点検と是正を終えておくと、確認の依頼がスムーズです。

★4のチェックリストは★3と何が違いますか？

★4では、★3の81項目にK列が「★4」の72項目が加わり、合計153項目になります。要求事項は26件から43件に増え、ログの取得、データの暗号化、脆弱性の管理体制、挙動監視などが追加の評価対象です。評価も自己評価ではなく、評価機関による第三者評価と技術検証に変わります。★4を目指す場合は、最初からExcelの153行全体を点検表にしたほうが二度手間になりません。