サプライチェーン強化セキュリティ対策評価制度 (SCS) ★3 簡易自己診断

経済産業省が策定した「SCS評価制度」の★3（基礎レベル：26要求事項）に基づき、自社の対策充足度をセルフチェックできます。

※ 本ツールは社内評価用のセルフチェックツールです。正式な★3の取得には、情報処理安全確保支援士（登録セキスペ）等の専門家による確認手順が必要です。
1. ガバナンスの整備
1-2-1セキュリティ統括責任者の設置
経営層または役員クラスのセキュリティ統括責任者が任命されているか。
1-2-3セキュリティ基本規程等の策定・周知
社内セキュリティ規程が整備され、全従業員に周知されているか。
1-3-1定期的な見直しと体制維持
セキュリティ方針や体制が年1回以上見直されているか。
2. 取引先管理
2-1-1委託先セキュリティ評価の実施
業務委託先のセキュリティ管理状況を定期的に評価・把握しているか。
2-1-2契約条項での要件明記
委託先との契約にセキュリティ対策遵守の条項を明記しているか。
2-1-4委託先の再委託状況の把握
委託先から先の再委託先に関する管理状況を把握しているか。
3. リスクの特定
3-1-1重要情報資産の台帳管理
保護すべき情報資産（顧客情報、機密データ等）が台帳で識別・管理されているか。
3-1-2IT資産（端末・サーバー）の台帳管理
社内で使用するPC、サーバー、ネットワーク機器等が台帳管理されているか。
3-1-3脅威・脆弱性の評価
定期的にシステムや運用の脆弱性・リスクを洗い出し、評価しているか。
3-1-4法規制・業界ガイドラインの把握
適用される個人情報保護法や各種業界ガイドラインを特定・遵守しているか。
4. 攻撃等の防御
4-1-1ID・アカウントの適切なライフサイクル管理
退職者や異動者のアカウントが即座に無効化されているか。
4-1-2管理者権限の厳格な分離と最小化
特権アカウントの利用者が限定され、日常業務のアカウントと分離されているか。
4-1-3適切なパスワード強度または多要素認証
十分な長さのパスワードポリシー、またはMFAが導入されているか。
4-1-4アクセス権の最小化原則の徹底
情報資産へのアクセス権限が必要最小限のユーザーのみに付与されているか。
4-1-5OS・ソフトウェアの脆弱性パッチ適用
OSや導入アプリのセキュリティ更新プログラムが速やかに適用されているか。
4-1-6アンチウイルス・EDRソフトウェアの導入
すべての端末にウイルス対策ソフトが導入され、定義ファイルが最新化されているか。
4-1-7安全なネットワーク境界・ファイアウォール設定
外部ネットワークとの境界にFWが設置され、不要ポートが遮断されているか。
4-2-2重要データの暗号化および安全な通信経路
通信経路（SSL/TLS等）および保管データの暗号化が実施されているか。
4-3-4定期的なデータバックアップの取得
重要データが定期的にバックアップされ、オフライン等で隔離保護されているか。
4-4-1従業員向け定期セキュリティ教育
年1回以上、標的型攻撃メール等の脅威に関する全社教育が実施されているか。
4-4-4私用端末・外部メディアの利用制限
私用PC/スマホの無許可利用（シャドーIT）やUSB等の利用制限があるか。
4-4-5物理的セキュリティ（執務室・機器保管）
施錠管理や入退室制限など、物理的な不正アクセス対策が講じられているか。
4-5-1システム開発・導入時のセキュリティ考慮
新規システム導入時にセキュリティ評価や設定確認が行われているか。
5. 攻撃等の検知
5-1-1アクセスログ・操作ログの取得と保管
主要システムやサーバーのログが取得され、一定期間安全に保存されているか。
6. インシデントへの対応
6-1-1事故発生時の連絡・対応手順の策定
インシデント発生時の連絡体制・エスカレーションフローが整備されているか。
7. インシデントからの復旧
7-1-1復旧手順の整備とバックアップ訓練
データバックアップからの復旧手順が確認され、訓練または検証が行われているか。
SCS評価制度 ★3 簡易自己診断結果レポート
発行元: RISS Consulting | 実施日:

診断結果サマリー

7大分類別 達成度レーダーチャート

分類別 適合詳細

大分類対象適合充足率判定
※本レポートは自己診断ツールによる簡易判定結果であり、公的なSCS評価制度★3の認証・適合を保証するものではありません。正式な★3の取得には情報処理安全確保支援士等の専門家確認が必要です。（発行: RISS Consulting）

登録セキスペによる専門家確認・★3取得支援

未達項目の規程策定、運用見直し、SCS評価制度★3に求められる専門家確認業務を承ります。

専門家に相談する（無料相談受付中）