本記事は株式会社BTNコンサルティングのブログ記事「SCS評価制度「ガバナンスの整備」の要件｜★3の3項目と★4の追加事項」を再構成したものです。最新版は初出記事をご覧ください。
https://www.btncon.com/blog/scs-governance

SCS評価制度の大分類1「ガバナンスの整備」は、技術対策の前提となる組織側の土台を問う分類です。NIST CSFの統治（GV）に対応します。要求事項は全6件で、★3の対象は3件・評価基準8件です。

★3で求められる要求事項

セキュリティ推進活動を担当する部署、役員及び従業員を決定し、責任及び権限を割り当てることが求められます。評価基準は次の3件です。

中小企業ではCISOを置かないのが一般的ですが、「セキュリティを統括する役員」を誰にするかは明確に決める必要があります。担当部署が総務や情シス兼任でも構いません。

就業規則や雇用契約書に守秘義務条項がある企業は多いですが、派遣社員・受入出向者まで対象に含まれているか、受入れ時の説明が記録として残っているかを確認してください。

社内ポータルやイントラネットに掲載しておくと、1-3-1-2の証跡として示しやすくなります。

★4で追加されるもの

★4では、次の3つの要求事項が追加されます。

1-1-1 社内ルール：自社に関連する法令、所管省庁・関係団体の基準、取引先の要求事項を把握したうえで社内ルールを定め、年1回以上点検し、周知する
1-2-2 サイバー攻撃の監視・分析体制：脆弱性・攻撃に関する情報を活用する体制と、ログの相関分析等によりインシデントの予兆や発生を検知できる体制を整備する
1-4-1 セキュリティ対策推進計画：年1回以上、点検結果を踏まえた対策の実態と推進計画を統括役員に報告し承認を得て、社内に共有する。役員からの指示は記録し計画に反映する

加えて、★3と共通の要求事項にも評価基準が上乗せされます。経営層が参加する情報セキュリティ委員会等の設置（1-2-1-4）、機密情報を扱う役員・従業員からの守秘義務誓約書の取得（1-2-3-3）、派遣元・出向元との守秘義務の締結（1-2-3-4）、方針の年1回以上の点検（1-3-1-4）です。

★3の申請では、経営層が自己適合宣言を行ったうえで登録を申請します。要求事項上も統括役員の役割定義が求められるため、情シス部門だけで完結させようとすると申請直前に詰まります。

IPA「★3・★4 要求事項・評価基準」（2026年3月27日版Excel）https://www.ipa.go.jp/security/scs/requirements-criteria.html ／大分類1（1-1-1〜1-4-1）
IPA「SCS-100 基本規程」（2026年8月28日施行）https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-100.pdf 3.1

本記事は2026年9月20日時点の公表資料に基づきます。
制度の運用開始前であり、解説書・自己評価等ガイド等の公開により内容が変わる可能性があります。