基礎的な組織対策とシステム防御を中心に確認します。
登録されたSCSセキュリティ専門家による確認が必要です。
委託元・委託先間で対策状況を確認しやすくする制度です。
SCS★3取得準備・セキュリティ改善支援
その対策、説明できますか？
SCS★3の基準と今の対策を照らし合わせ、見直す手順と残すべき記録を整理します。
このサービスについて相談する 対策の記録例を見る本サービスはSCS★3の取得・登録を保証するものではありません。正式な専門家確認・申請は制度の最新ルールに従います。
WHAT IS SCS?
SCS★3は、
何か一つの商品を
導入すれば終わる制度ではありません
SCS評価制度は、企業のセキュリティ対策状況を共通の基準で確認し、サプライチェーンの取引先などに示しやすくするための制度です。
★3では、取得希望組織が要求事項・評価基準に基づいて自己評価し、その内容をSCSセキュリティ専門家が確認します。規程だけ、製品だけ、設定だけではなく、実際の運用や記録まで一体で整える必要があります。
- 任意の制度です法律で全企業に取得を義務付ける制度ではありません。
- ただし取引条件になる可能性があります取引契約等で発注側から必要な段階の取得を求められることが想定されています。
- すべての要求事項・評価基準への適合が必要ですIPAのFAQでは★3取得に定められた全項目を満たす必要があると示されています。
WHO SHOULD PREPARE?
こんな状況なら、
早めに現在地を確認
取得を決めていなくても、取引先からの要求や現在の環境を整理しておく価値があります。
- 取引先からセキュリティチェックを求められる回答のたびに資料や設定を探している。
- 大企業・官公庁・重要なサプライチェーンと取引がある今後、共通基準での説明を求められる可能性がある。
- 個人情報や重要情報を扱う漏えい・不正アクセス時の影響が大きい。
- Microsoft 365等を使っているが設定が正しいか分からない契約はしているが管理者権限・端末・メール等を見直していない。
- 規程はあるが実際の運用と一致していない文書と現場に差がある。
FOUR THINGS TO ALIGN
準備するのは、
4つをつなげること
どれか一つではなく、ルール・設定・運用・記録が同じ方針で動いている状態を目指します。
01 / RULE
ルール
責任者、対象範囲、社内規程、判断基準を決めます。
「会社としてどうするか」02 / CONFIG
設定
ID、端末、メール、ネットワーク、ログ等の実設定を確認します。
「システムが実際に守る」03 / OPERATION
運用
入退社、権限変更、教育、事故時対応を手順にします。
「日々続けられる」04 / EVIDENCE
記録・証跡
台帳、レビュー履歴、ログ、教育記録等を残します。
「実施したと説明できる」WHAT AZWORK DOES
診断して終わらず、
実際の改善まで
AZWorkは要求事項を読むだけではなく、現在の環境を確認し、必要な設定や運用へ落とし込みます。
- 01
現状確認
対象範囲、現在の規程、システム、日々の運用を確認します。
- 02
不足整理
要求事項・評価基準と照らし、できていることと不足を分けます。
- 03
改善方針
リスクと事業影響を見ながら、優先順位と進め方を決めます。
- 04
設定改善
Microsoft 365等の対象環境は、必要に応じて実際の設定変更まで支援します。
- 05
規程・手順
規程、入退社、権限、事故対応などを現場で使える形へ整理します。
- 06
証跡整理
台帳、レビュー、ログ等、実施を確認できる記録を整えます。
- 07
評価準備
専門家確認付き自己評価へ進む前の準備状態を確認します。
MICROSOFT 365
Microsoft 365なら、
実際の設定まで確認
製品名だけではなく、「何のリスクを減らす設定なのか」を説明しながら進めます。
アカウント・権限
- Entra ID
- 多要素認証
- 管理者権限
- 入退社・権限管理
端末・メール
- Intune
- Defender
- 端末管理
- メールセキュリティ
ログ・事故対応
- 監査ログ
- ログ確認
- バックアップ方針
- インシデント対応
EVIDENCE FILE / 記入例
退職時のアカウントを
どう確認したか。
退職者のアカウント管理を例に、確認に使う資料と記録の残し方を示します。
- 社内ルール
- 人事担当が退職日を共有し、管理者が対象アカウントを確認する。
- 設定・運用
- 退職日にサインインをブロックし、付与済みの権限を確認する。
- 残す記録
- 対象ID、作業日時、実施者、確認結果を台帳に記入する。
架空の記入例です。実際の対象と手順は各社の環境に合わせて整理します。
PLANS & PRICE
必要な段階から、
始められます
対象人数、拠点数、利用システム、確認範囲により最終見積を行います。
現状診断
30万円〜（税別）
まず、できていることと不足を知りたい企業へ。
- 対象範囲の整理
- SCS★3要求事項との照合
- 規程・運用・設定の確認
- 優先課題と改善ロードマップ
取得準備・改善支援
150万円〜（税別）
診断結果をもとに実際の改善まで進めたい企業へ。
- 改善方針・設定設計
- Microsoft 365等の改善
- 規程・運用手順・台帳整備
- 設定結果・証跡整理
継続セキュリティ支援
30万円〜／月（税別）
改善後のレビューや専門的な継続支援が必要な企業へ。
- 月次セキュリティレビュー
- 権限・アカウント確認
- 事故・チェックシート対応相談
- 改善計画の継続管理
上記は参考価格です。SCSセキュリティ専門家による正式な確認、制度上の申請・登録費、追加ライセンス・製品費等は別途となる場合があります。制度側の申請・登録費は現時点で今後公表予定です。
WHY AZWORK
文書だけでなく、
システムの中まで見られる
規程と実際の設定を分離せず、設計・構築・運用の経験から一緒に確認します。
官公庁LANシステム
数百名から数万人規模の環境で、要件整理、設計、構築、試験、移行、運用引継ぎまで経験。
Windows・Linux・ネットワーク
メール、仮想基盤、DNS、プロキシ等、システムを支える中核機能を幅広く経験。
Microsoft 365
クラウドの設定・運用を、既存環境や実際の運用を踏まえて整理します。
SCS★3とは何ですか？
サプライチェーンを構成する企業等のセキュリティ対策状況を共通の基準で評価・可視化するSCS評価制度の段階の一つです。★3は一般的なサイバー脅威に対処しうる水準として位置づけられています。
SCS★3は必ず取得する必要がありますか？
制度自体は任意です。ただし、取引契約等で委託元から取得を求められる可能性があります。
★3の登録申請はいつからできますか？
IPAは2027年3月に★3・★4の登録申請の受付を始める予定です。自己評価等ガイドは2026年10月に公表されています。申請手順と受付状況はIPAの公式情報をご確認ください。
★3はどのように評価されますか？
取得希望組織による自己評価をSCSセキュリティ専門家が確認する「専門家確認付き自己評価」です。SCSセキュリティ専門家は制度運営機関への登録が必要です。IPAは専門家の一覧を2027年1月以降に公開する予定です。
Microsoft 365を使っていなくても相談できますか？
相談できます。SCS対応全般を支援し、特にMicrosoft 365環境では実際の設定確認・改善まで対応できることがAZWorkの強みです。
AZWorkに依頼すればSCS★3を取得できますか？
取得を保証するものではありません。AZWorkは現状診断、改善、規程・運用・証跡整備を支援します。正式な専門家確認・申請は制度のルールに従います。
何も準備していなくても相談できますか？
問題ありません。取得の必要性や対象範囲がまだ決まっていない段階から現在地を整理できます。
会社のシステム顧問との違いは何ですか？
会社のシステム顧問は日常的な相談を月額で継続するサービスです。SCS★3支援は制度対応とセキュリティ改善を目的に、要求事項に沿って進める専門プロジェクトです。
07 / CONTACT