作成日: 2026-06-16
はじめに
「技術的な話が難しくてついていけない」「何から準備すればいいか整理できない」
SCS対応を任されたとき、そう感じる方は多いのではないでしょうか。
今回から、SCS★3で求められる要求事項を大分類ごとに順番に確認していきます。最初は1つ目の大分類「ガバナンスの整備」です。
この回を読んでわかることを先にお伝えすると、「ガバナンスの整備」は8つの評価基準がありますが、技術的な知識はほぼ必要ありません。 「誰がセキュリティに責任を持つか」「どうルールを定めて周知するか」という組織運営の話です。今回の記事を読めば、ガバナンス領域で自社の現状と何が足りないかの見通しが立てやすくなると思います。
まず、要求事項と評価基準の「構成」を整理する
今回から本格的に要求事項を見ていくので、最初に「用語の整理」をしておきます。
以前の記事でSCS★3には「81項目」と書きましたが、正確にはこうなっています。
- 要求事項： 26項目（何をすべきかを定めたもの）
- 評価基準： 81項目（要求事項を具体的にどう満たすかを定めたもの）
4階層の番号体系になっており、「大分類 → 中分類 → 要求事項 → 評価基準」の順です。
評価を受ける際には、要求事項の確認だけでは見落としが出る可能性があります。評価基準の粒度まで確認しておくことが重要です。今回からは、評価基準を網羅的に見ていきます。
なお、第3回の記事では「ガバナンスの整備」の評価基準を1つだけ試しに見てみました。今回はその続きとして、残り7つも含めた8つ全体を確認します。
「ガバナンスの整備」で求められていること：全体像
まず、ガバナンスの整備で求められている評価基準を一覧で把握しておきます。
| NO | 要求事項 | 評価基準の数 | 一言まとめ |
|---|---|---|---|
| 1-2-1 | セキュリティ推進活動部門 | 3つ | 役割・責任・連絡先を決め、年1回見直す |
| 1-2-3 | 守秘義務のルール | 2つ | 社内外のルールを定め、入社時に説明する |
| 1-3-1 | セキュリティ対応方針の策定 | 3つ | 方針を作り、周知し、更新する |
※一覧はSCS番号順に掲載しています。本文の解説は第3回との関連から1-3-1の順に進めています。
技術的な話はほとんどありません。「ルールや体制を整えているか」「それを記録として残せているか」が問われる領域です。
1. 1-3-1 セキュリティ対応方針の策定（評価基準3つ）
第3回の記事で試しに確認した「1-3-1-1」の内容から振り返ります。
1-3-1-1：自社のセキュリティ対応方針を定めること
方針を「作る」だけでOKかというと、そうではありません。残り2つの評価基準があります。
1-3-1-2：定常的に役員・従業員・派遣社員・受入出向者がセキュリティ対応方針を参照できるようにすること
作った方針を、必要な人がいつでも見られる状態にしておく必要があります。社内イントラに掲載する、共有フォルダに置くといった形が考えられます。「作ったけど誰も見ていない」では不十分ということです。
1-3-1-3：セキュリティ対応方針の改正時に、改正内容を役員・従業員・派遣社員・受入出向者に周知すること
方針は作って終わりではなく、更新のたびに関係者に伝える必要があります。評価の際には「周知したプロセスの記録」も確認される可能性があります。メールや会議の議事録など、周知した証跡を残しておくことが大切です。
この3つをまとめると、「方針を作る → 参照できる状態にする → 更新したら周知する」というサイクルが求められているわけです。
なお、方針の雛形はIPAが公開している中小企業向けのガイドラインに含まれています。これから作る会社は一から作るよりも、雛形をベースに自社に合わせてカスタマイズする方が現実的だと思います。
→ IPA 中小企業の情報セキュリティ対策ガイドライン https://www.ipa.go.jp/security/guide/sme/about.html
2. 1-2-1 セキュリティ推進活動部門（評価基準3つ）
1-2-1-1：セキュリティを統括する役員（例：CISO）及びセキュリティ担当部署の役割・責任を定めること
「CISO」という言葉が出てくると大企業向けの話に聞こえますが、要点は「誰がセキュリティに責任を持つか」を明文化することです。CISO相当のポジションがなくても、「セキュリティに責任を持つのは△△部門の□□さん」、「インシデント対応時の連絡を受けてハンドリングするのは△△部門の□□さん」という形で役割と責任が定義されていれば、実態として要件を満たせると思います。必要となる役割についても分からない方もいると思いますので、次の章に参考になるドキュメントのリンクを載せました。当然、形だけでは意味がなく、実際のセキュリティ活動における意思決定や承認を担う立場として機能することが大切です。
1-2-1-2：平時のセキュリティ推進活動に必要な役員・セキュリティ担当部署の連絡先リストを定めること
インシデントが起きたとき、誰に連絡すればいいかわからない、という状況は避けたいところです。このリストは平時の推進活動にも必要ですが、有事の際にもそのまま使えるようにしておくと実用的です。
1-2-1-3：年1回以上の頻度で1-2-1-1・1-2-1-2で定めた平時の体制について点検すること
担当者の異動、組織変更、連絡先の変更などで、定めた内容が実態と合わなくなることがあります。年1回以上の点検で、常に実態に合った状態を保つことが求められています。
CSIRTを立ち上げたとき、一番困ったこと
私がCSIRTを立ち上げた時に一番苦労したのが、「セキュリティ体制のあるべき姿がわからない」という点でした。役割や責任をゼロから考えようとすると、どこから手をつけていいか途方に暮れます。
そのとき助かったのが、業界団体が公開しているドキュメント類でした。主に参考にしたのは以下の3つです。
- 日本シーサート協議会（NCA）： CSIRT設立・運用のためのドキュメントを複数公開
- JPCERT/CC： CSIRTの構築・運用に関するガイドを公開
- ISOG-J： SOC/CSIRT向けのテキストブックを公開
→ NCA CSIRTの設立・運用に向けたドキュメント https://www.nca.gr.jp/activity/pub_doc/wtda.html
→ JPCERT/CC CSIRTマテリアル https://www.jpcert.or.jp/csirt_material/
→ ISOG-J セキュリティ対応組織の教科書 https://isog-j.org/activities/result.html
この中で、CSIRTを初めて立ち上げる担当者には、NCAの採用・人材育成に関するドキュメントが一番イメージをつかみやすいと感じています。役割・スキルの整理が視覚的にわかりやすく、上司や経営層への説明にも使いやすいと思います。
→ NCA セキュリティ担当者の役割整理資料（PDF）
出典：日本コンピュータセキュリティインシデント対応チーム協議会（NCA）「CSIRTの採用・育成のための人材ロールマップ」より引用 https://www.nca.gr.jp/activity/PDF/recruit-hr20201211.pdf
一方、以下のドキュメントも内容はしっかりしていますが、セキュリティがある程度わかっている人向けの言葉遣いなので、初めての方には少し難しいかもしれません。
→ ISOG-J SOC/CSIRTのためのテキストブック（PDF） https://isog-j.org/output/2017/Textbook_soc-csirt_v2.1.pdf
このようなドキュメントはどんどん更新されるので、「どれが最新か」「自社のレベルに合っているか」を確認しながら使う必要があります。そういったところでも、お役に立てることがあるかもしれません。
「共創」という考え方
セキュリティは各社が独自に頑張るだけでは限界があるため、「競争ではなく共創する領域」だと言われています。日本シーサート協議会もその考えをもとに生まれており、各社が知見や経験を共有する場を提供しています。
加盟には登録組織からの推薦が必要なのですが、このブログの活動は私個人で行っているため推薦はできないのが残念です。それでも、非加盟でも参加できるイベントが開催されることがあります。取引先に加盟している会社があれば聞いてみるのも一つの手だと思います。
→ NCA 会員企業一覧 https://www.nca.jp/M10/corporate_list
3. 1-2-3 守秘義務のルール（評価基準2つ）
1-2-3-1：役員・従業員・派遣社員・受入出向者を対象に、自社の守秘義務のルールを定めること
雇用形態によって情報の扱いがバラバラにならないよう、社内外の人員をまとめてカバーするルールが必要です。特に派遣社員や受け入れ出向者まで対象になっている点が特徴的で、「社員だけルールを作っておけばいい」とはならないことに注意が必要です。
1-2-3-2：入社時または社外要員の受入れ時に守秘義務のルールを説明すること
ルールを定めるだけでなく、入社・受け入れのタイミングで必ず説明することが求められています。評価の際には、「説明した記録が残っているか」も確認されると思います。誓約書の取得や説明会の実施記録など、証跡の残し方を事前に整理しておくと安心です。
まとめ：ガバナンスの整備で求められていること
今回確認した8つの評価基準です。
ガバナンスの整備は技術的な話はほぼなく、「体制とドキュメントが整っているか」が問われる領域でだと思います。すでに社内規程の整備や担当者の定義がある程度進んでいる会社なら、確認・補完の作業が中心になるかもしれません。
一方で、「担当者はいるけど役割と責任が文書化されていない」「ルールはあるけど周知の記録がない」という状態は意外と多いのではないでしょうか。評価は「ドキュメント」だけでなく「プロセス」も見られるかもしれないという点を意識しておくといいかもしれません。
また、こうした体制整備や日々の運用を進めるうえで、できれば1人でも専任（あるいは兼任であっても主担当）のセキュリティ担当者がいると、対策は格段に推進されやすいと感じています。兼任の担当者だけで回している会社では、どうしても本業が優先されてセキュリティ対応が後回しになりがちです。「体制を整える」というガバナンスの要求事項は、まさにここから始まるのだと思います。
このブログが目指していること
私はグローバルな製造業グループのCSIRTリーダーとして働いており、セキュリティ製品を売る立場ではありません。自動車部品メーカーに勤めているため、取引先にセキュリティ要件を「求める側」であり、完成車メーカーから要件を「求められる側」でもあります。
その立場から、「このブログを読んだ担当者が、経営者を動かすための言葉と資料を手に入れられる」ことを目指して書いています。
「要求される側の現場目線」を込めようとしています。難しい言葉をわかりやすく言い換えるだけでなく、「現場では実際にどう判断するか」という視点を大事にします。
次回の予告
次回は2つ目の大分類「取引先管理」を確認します。
実は私自身、日々の業務では「サイバーセキュリティ」と「情報セキュリティ」を分けて担当しており、取引先管理は得意な領域とは言い切れません。ただ、★3で求められていることは難しい内容ではないと思っています。現場目線でできる限り整理してお伝えします。
相談してみませんか？
「ちょっと聞いてみたい」という段階でも構いません。私の経歴・支援内容の詳細は「このブログについて」をご覧ください。
なお、SCSへの関心が高まる中、制度に便乗した不審な勧誘も出てきています。私のことも含め、見知らぬ相手を安易に信用しすぎないようご注意ください。経産省も注意喚起を出しています。
→ サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に係る不適切な勧誘に御注意ください https://www.meti.go.jp/policy/netsecurity/20260427_scs.html
CISSP・情報処理安全確保支援士 ｜ けい
コメント