本記事は株式会社BTNコンサルティングのブログ記事「SCS評価制度「インシデントからの復旧」の要件｜目標復旧レベルとバックアップ」を再構成したものです。最新版は初出記事をご覧ください。
https://www.btncon.com/blog/scs-recover
大分類7「インシデントからの復旧」の要求事項は7-1-1の1件で、★3の評価基準は1件、★4で1件が追加されます。件数は少ないものの、事業継続の考え方を問う重い項目です。
★3：7-1-1-1 目標復旧レベルと復旧のための対策
事業継続上重要なシステムについて、サイバー攻撃を念頭に業務の目標復旧レベルを定め、そのレベルまで業務を回復するために必要な対策を整備することが求められます。
対策の例として、次の2つが挙げられています。
- システムによる業務継続：予備機やクラウド環境などで待機系を整備する
- 人手による業務継続：電話やFAXでの連絡・業務実施に備え、影響のある取引先の連絡先と複数の連絡手段を整備する
注目すべきは2つ目です。システムを冗長化できない中小企業でも、「システムが止まったら電話とFAXで受発注を続ける」という代替手段を定め、そのための取引先連絡先を整備していれば対策として示せます。
関連する★3の要求事項：適切なバックアップ（4-3-4）
バックアップは大分類4「攻撃等の防御」に属しますが、復旧の前提になります。
- 4-3-4-1：取得対象、取得頻度、保管期間を定めてバックアップを取得する
- 4-3-4-2：重要な機密情報は遠隔地バックアップも実施する
- 4-3-4-3：バックアップ対象ごとにリストア手順書を整備する
本番環境と同じ認証基盤やネットワークから到達できるバックアップは、ランサムウェアの被害を同時に受けるおそれがあります。遠隔地バックアップを設計する際は、保管先への攻撃耐性（アクセス経路の分離、書き換え防止など）も考慮することを推奨します。
★4：7-1-1-2 復元できることの確認
★4では、事業継続上重要なシステムについて次の対策が追加されます。
- 目標復旧時点に戻せるよう、4-3-4で取得したバックアップを保管する
- リストア手順書どおりに、目標復旧時間内でバックアップを復元できることを確認する
つまり★4では、目標復旧時間（RTO）と目標復旧時点（RPO）を定め、実際の復元テストで達成できることを示す必要があります。実地審査でも、事業継続要件に沿った復旧準備は確認すべき事項の例として挙げられています。
★3では復元テストは評価基準に含まれていませんが、リストア手順書が機能するかを確かめる意味で、★3の段階から実施しておくことを推奨します。
必要になる証跡
- 重要システムの一覧と、それぞれの目標復旧レベル
- 復旧のための対策（待機系の構成、または人手による業務継続の手順）
- 影響のある取引先の連絡先と連絡手段
- バックアップ運用ルール（対象・頻度・保管期間）と取得記録
- 遠隔地バックアップの設定内容
- リストア手順書
- （★4）目標復旧時間内の復元テスト記録
参考資料
- IPA「★3・★4 要求事項・評価基準」（2026年3月27日版Excel）https://www.ipa.go.jp/security/scs/requirements-criteria.html ／7-1-1、4-3-4
- IPA「SCS評価制度の詳細情報」https://www.ipa.go.jp/security/scs/details.html
本記事は2026年9月20日時点の公表資料に基づきます。
制度の運用開始前であり、解説書・自己評価等ガイド等の公開により内容が変わる可能性があります。
関連リンク
- ★3の対応状況を項目単位で確認できるセルフチェック（登録不要・無料）：https://www.josis365.com/scs/check/