本記事は株式会社BTNコンサルティングのブログ記事「SCS評価制度「インシデントへの対応」の要件｜★3で必要な6つの評価基準」を再構成したものです。最新版は初出記事をご覧ください。
https://www.btncon.com/blog/scs-respond

大分類6「インシデントへの対応」の要求事項は6-1-1の1件のみで、★3・★4共通です。評価基準は6件あり、手順書と体制表を中心とした文書群で対応します。

6-1-1 インシデント対応手順の評価基準

6-1-1-1 対応手順
次の5段階を含むインシデント対応手順を定めること。

発見報告
初動
調査・対応
復旧
最終報告

6-1-1-2 連絡先と報告ルート
インシデント発生時の社内外組織の連絡先と、報告・情報共有ルートを定めること。社外には関係当局と所管省庁を含みます。取引先、保守事業者、保険会社なども併せて整理しておくと実務で役立ちます。

6-1-1-3 役割・責任
インシデント発生時の統括役員とセキュリティ担当部署の役割・責任を定めること。平時の体制（1-2-1）とは別に、有事の体制として定義します。

6-1-1-4 体制の点検
6-1-1-2と6-1-1-3で定めた有事の体制を年1回以上点検すること。連絡先の人事異動・退職の反映が主な作業です。

6-1-1-5 報告フォーマット
インシデントの報告フォーマットを整備すること。発生日時、発見者、事象、影響範囲、対応状況などを記入できる様式を用意します。

6-1-1-6 事例の共有
年1回以上、および社内外で重大なインシデントが発生した際に、インシデント事例と対応策を社内部署へ共有すること。自社でインシデントが発生していない年は、他社の公表事例を題材にできます。その場合も、事例を紹介するだけでなく、自社で同じことが起きた場合の影響と対応策を検討し、その内容を共有してください。

関連する★3の要求事項：教育・訓練（4-2-2）

大分類4に属しますが、インシデント対応と一体で準備すべき要求事項です。

4-2-2-1：新規受入れ時と年1回以上、インシデント発生時の対応について、資料の配布・掲示に加えてeラーニングまたは集合教育による教育・訓練を実施する
4-2-2-2：実施内容、方法、時期、受講状況を記録・保管する
4-2-2-3：教育・訓練の内容を年1回以上点検する

手順書を作ったら、その内容を題材に教育・訓練を実施する流れにすると、2つの要求事項を効率よく満たせます。IPAが公開しているインシデント対応の机上演習教材も活用できます。

取引先との役割分担（2-1-4）

機密情報を共有する取引先との間で、インシデント発生時の役割と責任を定めることも★3で求められています（取引先管理 2-1-4-1）。自社の手順書の連絡先に、取引先の窓口を含めておいてください。

★4で追加されるもの

インシデントのレベルと対象範囲の定義（5-2-1）が★4で追加されます。検知したアラートがどのレベルのインシデントに該当するかを判断する基準です。★3の段階で手順書にレベル定義を入れておくと、★4への移行が楽になります。

必要になる証跡

インシデント対応手順書（5段階を含むもの、承認日・改訂履歴付き）
社内外の連絡先・報告ルート図
有事の体制表と年1回の点検記録
報告フォーマット
事例共有の実施記録
教育・訓練の実施記録と受講状況

参考資料

IPA「★3・★4 要求事項・評価基準」（2026年3月27日版Excel）https://www.ipa.go.jp/security/scs/requirements-criteria.html ／6-1-1、4-2-2、2-1-4、5-2-1

本記事は2026年9月20日時点の公表資料に基づきます。
制度の運用開始前であり、解説書・自己評価等ガイド等の公開により内容が変わる可能性があります。

関連リンク

★3の対応状況を項目単位で確認できるセルフチェック（登録不要・無料）：https://www.josis365.com/scs/check/