作成日: 2026-06-24
はじめに
「うちの会社で、こんなクラウドサービス使ってたの？」
情報システム部門の方なら、社内でいつの間にか使われている外部サービスを見つけて困惑したことがあるかもしれません。便利なクラウドサービスやSaaSが増えたことで、システム開発が必要だった頃と比べて簡単にサービスを使い始められるようになりました。便利にはなったのですが、「自社の機密情報をどのサービスに預けているか」を正確に把握するのは、難しくなっていると感じます。
前回は「リスクの特定」前半として、ハードウェア・OS・ソフトウェア・ネットワークの把握（3-1-1・3-1-2）を確認しました。今回は後半として、外部情報サービスの管理（3-1-3） と 機密区分に応じた情報の管理（3-1-4） の5つの評価基準を確認します。
「リスクの特定」後半の全体像
今回確認するのは、4つの要求事項のうち残り2つです。
| NO | 要求事項 | 評価基準の数 | 前回/今回 |
|---|---|---|---|
| 3-1-1 | ハードウェア、OS及びソフトウェアの把握 | 4つ | 前回 |
| 3-1-2 | ネットワークの一覧作成 | 2つ | 前回 |
| 3-1-3 | 外部情報サービスの管理 | 2つ | 今回 |
| 3-1-4 | 機密区分に応じた情報の管理 | 3つ | 今回 |
| 合計 | 4つの要求事項 | 11つ |
1. 3-1-3 外部情報サービスの管理（評価基準2つ）
3-1-3-1：以下の内容を含む外部情報サービスの利用ルールを定めること。（セキュリティ要件の策定・確認・承認）
外部情報サービスを利用する際に、セキュリティ要件を定めたうえで、実際に利用するときにその要件を満たしているかサービスの内容を確認し、役員または従業員が承認すること、という3段構成の評価基準です。
「セキュリティ要件を確認する」という作業を現実的に進めるには、チェックシートを使うのが一般的な方法だと思います。IPAが公開している中小企業向けのチェックシートは、項目がコンパクトにまとまっていて使いやすいです。
→ IPA クラウドサービス安全利用チェックシート https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_7.pdf
100項目を超えるようなチェックシートを提供しているようなセキュリティ会社も存在しますが、正直に言うと、そのボリュームでは日常的な運用は難しいと思っています。まず「このくらいから始める」という基準を設けて、現場で回せる状態にすることの方が重要ではないでしょうか。
ただ、正直ヒアリングシートだけで外部サービスの実態を把握するのは困難で、外部評価サービスを活用するとより安全ですが、セキュリティ対策はトータルで優先順位を考える必要があります。この項目に投資する前に、他に手を打つべきことがないかを確認したうえで検討するのが良いと思います。
また、日本政府がお墨付きを与えた信頼できるクラウドサービスのリストとして、ISMAP（政府情報システムのためのセキュリティ評価制度） があります。よくわからないサービスを利用せず、お墨付きがあるサービスを選定するというのも選択肢だと思います。登録されているサービス数は限られていますが、利用を検討しているサービスが掲載されているかを確認する参考にはなります。
→ ISMAP クラウドサービスリスト https://www.ismap.go.jp/csm?id=cloud_service_list
3-1-3-2：外部情報サービスの接続先と機密情報の取扱いについて取り交わすこと
自社の機密情報を扱う外部サービス事業者との間で、機密情報の取扱いについて合意を取り交わすことが求められています。
第7回で確認した「取引先管理」の2-1-2（機密情報の取扱い）と構造が似ていますね。取引先に求めることと同じように、自分たちが利用する外部サービスを提供する会社にも要求するということですね。
→ ▪️第7回：取引先管理を読み解く
ここで一点、見落としがちな観点を加えておきたいと思います。
外部サービスは提供会社のセキュリティ対策ばかりに目が向きがちですが、自分たちがサービスをどう使うかの部分も同じくらい重要です。アカウント管理の不備や設定ミスがセキュリティ事故につながるケースは珍しくありません。外部サービスのチェックシートを整備する際は、「サービス側への要求事項」だけでなく「自分たちが運用で守るべき項目」も合わせて盛り込むと、より実用的な内容になると思います。
アカウント管理については、次の大分類「攻撃等の防御」の中で詳しく触れる予定です。
2. 3-1-4 機密区分に応じた情報の管理（評価基準3つ）
前回・今回と「資産の把握」という観点で進めてきましたが、ここで扱う「情報」も重要な資産の一つです。ハードウェアやネットワークと同様に、情報も機密の度合いに応じて管理することが求められています。
3-1-4-1：自社の保有する情報を対象に、以下の内容を含む管理ルールを定めること
評価基準に定められている内容は以下の4つです。
- 機密の特定： どの情報が機密にあたるかを定める
- 機密区分のレベル判定及び表示： 機密レベルをどう判定し、どう表示するかを決める
- 区分に応じた取扱方法： レベルごとに扱い方を定める
- 取扱エリアの区分及び制限： どの場所で扱えるかを定める
機密区分の考え方についてはパーソルさんの説明がわかりやすかったので、参考として紹介します。
→ パーソル：機密情報とは何か https://staff.persol-xtech.co.jp/hatalabo/it_engineer/549.html
機密区分は「極秘・秘・社外秘・一般」のような4段階で設定している企業が多い印象ですが、SCS★3としては区分の数よりも「ルールが定まっていること」と「それに基づいて実際に管理されていること」が問われます。完璧な体系を作ることより、まず自社で運用できるルールを定めることが第一歩だと思います。
3-1-4-2：年1回以上の頻度でNo.3-1-4-1で定めた管理ルールの内容について点検すること
ガバナンスの整備・取引先管理・リスクの特定（前半）でも繰り返し出てきた「定める＋点検する」のパターンが、ここでも登場します。SCS★3では「ルールを作って終わり」ではなく、継続して維持する仕組みを求めているということが、回を重ねるごとに感じられると思います。
3-1-4-3：機密区分のうち、高い機密区分の情報並びに当該情報ごとの管理者名、部署名、保管場所、保管期限、開示先及び管理者の連絡先を把握するための仕組みを整備すること
全情報を一律に管理するのではなく、特に重要度の高い情報に絞って、管理者・場所・期限・開示先まで把握できる仕組みを作ることが求められています。
これはいわゆる「情報資産台帳」に相当するものです。情報セキュリティの観点から古くから言われている取り組みで、すでに整備されている企業も多いかもしれません。ただし、「作ったきり更新されていない」台帳では意味がありません。3-1-4-2の年1回の点検とセットで、常に実態と台帳が一致している状態を維持することが大切です。
まとめ：今回確認した5つの評価基準
第8回・第9回で「リスクの特定」の全11評価基準を確認しました。ハードウェアから始まり、ネットワーク・外部サービス・情報と、資産の種類ごとに「把握する仕組みを整える」という構造が一貫しています。
資産の把握は、後に続くすべてのセキュリティ対策の判断材料になります。何が重要で、どこに弱点があるかがわからなければ、どんな対策を打つかを決められません。地味に見えますが、ここが固まっているかどうかで、後続の対策の精度が大きく変わると感じています。
このブログが目指していること
私はグローバルな製造業グループのCSIRTリーダーとして働いており、セキュリティ製品を売る立場ではありません。自動車部品メーカーに勤めているため、取引先にセキュリティ要件を「求める側」であり、完成車メーカーから要件を「求められる側」でもあります。
その立場から、「このブログを読んだ担当者が、経営者を動かすための言葉と資料を手に入れられる」ことを目指して書いています。
「要求される側の現場目線」を込めようとしています。難しい言葉をわかりやすく言い換えるだけでなく、「現場では実際にどう判断するか」という視点を大事にします。
次回の予告
次回からは「攻撃等の防御」に入ります。13個の要求事項、49個の評価基準があり、全体の半分以上を占めます。何回に分けてどう整理するか、正直まだ迷っています。
相談してみませんか？
「ちょっと聞いてみたい」という段階でも構いません。私の経歴・支援内容の詳細は「このブログについて」をご覧ください。
なお、SCSへの関心が高まる中、制度に便乗した不審な勧誘も出てきています。私のことも含め、見知らぬ相手を安易に信用しすぎないようご注意ください。経産省も注意喚起を出しています。
→ サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に係る不適切な勧誘に御注意ください https://www.meti.go.jp/policy/netsecurity/20260427_scs.html
CISSP・情報処理安全確保支援士 ｜ けい
コメント