本記事は株式会社BTNコンサルティングのブログ記事「SCS評価制度「インシデントへの対応」の要件｜★3で必要な6つの評価基準」を再構成したものです。最新版は初出記事をご覧ください。
https://www.btncon.com/blog/scs-respond
大分類6「インシデントへの対応」の要求事項は6-1-1の1件のみで、★3・★4共通です。評価基準は6件あり、手順書と体制表を中心とした文書群で対応します。
6-1-1 インシデント対応手順の評価基準
6-1-1-1 対応手順
次の5段階を含むインシデント対応手順を定めること。
- 発見報告
- 初動
- 調査・対応
- 復旧
- 最終報告
6-1-1-2 連絡先と報告ルート
インシデント発生時の社内外組織の連絡先と、報告・情報共有ルートを定めること。社外には関係当局と所管省庁を含みます。取引先、保守事業者、保険会社なども併せて整理しておくと実務で役立ちます。
6-1-1-3 役割・責任
インシデント発生時の統括役員とセキュリティ担当部署の役割・責任を定めること。平時の体制（1-2-1）とは別に、有事の体制として定義します。
6-1-1-4 体制の点検
6-1-1-2と6-1-1-3で定めた有事の体制を年1回以上点検すること。連絡先の人事異動・退職の反映が主な作業です。
6-1-1-5 報告フォーマット
インシデントの報告フォーマットを整備すること。発生日時、発見者、事象、影響範囲、対応状況などを記入できる様式を用意します。
6-1-1-6 事例の共有
年1回以上、および社内外で重大なインシデントが発生した際に、インシデント事例と対応策を社内部署へ共有すること。自社でインシデントが発生していない年は、他社の公表事例を題材にできます。その場合も、事例を紹介するだけでなく、自社で同じことが起きた場合の影響と対応策を検討し、その内容を共有してください。
関連する★3の要求事項：教育・訓練（4-2-2）
大分類4に属しますが、インシデント対応と一体で準備すべき要求事項です。
- 4-2-2-1：新規受入れ時と年1回以上、インシデント発生時の対応について、資料の配布・掲示に加えてeラーニングまたは集合教育による教育・訓練を実施する
- 4-2-2-2：実施内容、方法、時期、受講状況を記録・保管する
- 4-2-2-3：教育・訓練の内容を年1回以上点検する
手順書を作ったら、その内容を題材に教育・訓練を実施する流れにすると、2つの要求事項を効率よく満たせます。IPAが公開しているインシデント対応の机上演習教材も活用できます。
取引先との役割分担（2-1-4）
機密情報を共有する取引先との間で、インシデント発生時の役割と責任を定めることも★3で求められています（取引先管理 2-1-4-1）。自社の手順書の連絡先に、取引先の窓口を含めておいてください。
★4で追加されるもの
インシデントのレベルと対象範囲の定義（5-2-1）が★4で追加されます。検知したアラートがどのレベルのインシデントに該当するかを判断する基準です。★3の段階で手順書にレベル定義を入れておくと、★4への移行が楽になります。
必要になる証跡
- インシデント対応手順書（5段階を含むもの、承認日・改訂履歴付き）
- 社内外の連絡先・報告ルート図
- 有事の体制表と年1回の点検記録
- 報告フォーマット
- 事例共有の実施記録
- 教育・訓練の実施記録と受講状況
参考資料
- IPA「★3・★4 要求事項・評価基準」（2026年3月27日版Excel）https://www.ipa.go.jp/security/scs/requirements-criteria.html ／6-1-1、4-2-2、2-1-4、5-2-1
本記事は2026年9月20日時点の公表資料に基づきます。
制度の運用開始前であり、解説書・自己評価等ガイド等の公開により内容が変わる可能性があります。
関連リンク
- ★3の対応状況を項目単位で確認できるセルフチェック（登録不要・無料）：https://www.josis365.com/scs/check/