SCS評価制度「攻撃等の検知」の要件｜★3で必要なリアルタイム検知・遮断

Posted at 2026-10-03

本記事は株式会社BTNコンサルティングのブログ記事「SCS評価制度「攻撃等の検知」の要件｜★3で必要なリアルタイム検知・遮断」を再構成したものです。最新版は初出記事をご覧ください。
https://www.btncon.com/blog/scs-detect

大分類5「攻撃等の検知」は、NIST CSFの検知（DE）に対応します。★3の要求事項は1件だけですが、中小企業では製品導入が必要になる可能性が高い項目です。

★3の要求事項：5-1-1 ネットワーク接続・データの監視

ネットワーク上の適切な場所でネットワーク接続およびデータ転送を監視することが求められます。評価基準は3件です。

5-1-1-1 リアルタイム検知・遮断の仕組み
社内外ネットワークの境界または端末において、次の双方について不正アクセスをリアルタイムに検知・遮断する仕組みを導入すること。

「検知」だけでなく「遮断」まで、また外から内だけでなく内から外（C&Cサーバへの通信など）も対象である点が重要です。

5-1-1-2 不審な事象の判断
ネットワーク機器のログやアラートを分析し、担当者または管理者が不審な事象を発見した場合に、インシデントに該当するかを判断すること。

5-1-1-3 異常時の通知
5-1-1-1の機器・サービスについて、アラートが速やかに発報され、インシデントの速報レポートが作成・通知される仕組みを導入すること。

境界で満たすならUTMや次世代ファイアウォールのIPS・URLフィルタリング機能、端末で満たすならEDRやネットワーク保護機能を持つエンドポイント製品が候補になります。オフィスを持たずクラウド中心で業務をしている企業では、端末側での対応が現実的です。

いずれの場合も、「アラートが誰に届き、誰が判断するか」まで決めておく必要があります。製品を入れてもアラートの通知先が退職者のままでは、5-1-1-2と5-1-1-3を満たしません。自社でアラートを見る体制がない場合は、監視を外部委託する選択肢もあります。

具体的にどの構成で要件を満たせるかは、自己評価の段階でセキュリティ専門家に確認することを推奨します。

5-1-2 情報機器及びソフトウェアの挙動監視：会社支給PCで利用を許可するソフトウェア一覧の作成、インストール状況の年1回点検、外部から受け取ったファイルのリアルタイムスキャンまたは仮想環境での安全性確認
5-2-1 セキュリティインシデントのレベルごとの対象範囲：インシデントのレベルと対象範囲を定めて周知し、不審な認証試行やアラートを受けた際にどのレベルに該当するかを判断する

また、大分類4に属する「ログの取得」（4-4-3）も★4からの要求事項です。ファイアウォール、プロキシサーバ、認証サーバのログを6か月保管し、認証サーバのログは月1回以上モニタリングして不審な認証試行を検知することが求められます。クラウドサービスの利用も対象です。

★3の段階ではログの6か月保管は求められていませんが、★4を視野に入れるなら早めに保管期間を確認しておくと手戻りを防げます。

IPA「★3・★4 要求事項・評価基準」（2026年3月27日版Excel）https://www.ipa.go.jp/security/scs/requirements-criteria.html ／5-1-1、5-1-2、5-2-1、4-4-3

本記事は2026年9月20日時点の公表資料に基づきます。
制度の運用開始前であり、解説書・自己評価等ガイド等の公開により内容が変わる可能性があります。