制度情報について（最終確認日：2026年7月31日）
本記事は、IPAおよび経済産業省が公開している資料を基に作成しています。SCS評価制度の詳細（要求事項・評価基準・費用・開始時期等）は今後変更・詳細化される可能性があるため、最新情報はIPA公式ページ・経済産業省をご確認ください。なお、他フレームワークとの対応づけや、多要素認証・FIDO2・特権ID管理（PAM）等の個別技術は、制度が求める要求事項を満たすための実装・整理手段としてNet Peaceが推奨するものであり、特定の製品・技術・対応関係を制度上の規定として断定するものではありません（「制度上の要求事項」と「当社の推奨・整理」を分けて記載しています）。
アクセス権の棚卸しがSCSで重視される理由
SCS評価制度のアクセス管理分野では、「最小権限の原則」と、その状態を維持するためのアクセス権の定期的なレビュー（棚卸し）が重要になります。人事異動・退職・プロジェクト終了などで権限は絶えず変化し、放置すると「必要のない権限が残る」状態が積み上がります。これは内部不正やアカウント乗っ取り時の被害拡大につながるため、棚卸しの実施と記録が求められます。本記事では、実務での進め方・頻度・証跡を解説します。
アクセス権の棚卸しとは
アクセス権の棚卸し（アクセスレビュー）とは、「誰が・どのシステムに・どの権限を持っているか」を定期的に確認し、不要な権限を削除・是正する運用です。単なる一覧の出力ではなく、各権限が現在も業務上必要かを確認し、承認者が結果を承認するところまでを含みます。
棚卸しの進め方（5ステップ）
- 対象の特定：棚卸し対象のシステム・アカウント・権限を洗い出す。重要システムから優先。
- 現状の抽出：各システムから権限一覧を出力し、利用者・所属・権限を突き合わせる。
- 要否の確認：各権限が現在も必要か、業務・所属長に確認する（継続／変更／削除）。
- 是正：不要な権限を削除・変更し、対応内容と完了日を記録する。
- 承認・記録：レビュー結果を責任者が承認し、実施日・実施者・承認者を証跡として残す。
記録の様式は証跡テンプレ集のアクセス権レビュー記録をそのまま利用できます。
実施頻度の目安
頻度は制度で一律に定められているわけではありませんが、実務では次のような組み合わせが一般的です（自社のリスクに応じて設定してください）。
| 対象 | 頻度の目安 |
|---|---|
| 特権アカウント・重要システム | 四半期に1回以上 |
| 一般アカウント | 定期的（例：年1回以上） |
| 人事異動・退職時 | 都度（イベント連動） |
特権アカウントの管理は負荷が高いため、特権アクセス管理（PAM）の観点もあわせて検討すると効果的です。
残すべき証跡
- レビュー実施日・実施者・対象システム
- 確認結果（継続承認／変更／削除）と件数
- 是正対応の内容と完了日
- 承認者・承認日
手作業のExcel運用でも証跡にはなりますが、対象アカウントが多いと更新漏れや後付けの疑いが生じやすくなります。可能な範囲でシステムから自動的に一覧を抽出し、承認記録を電子的に残すと、証跡の正確性と取り出しやすさが向上します。
棚卸しを効率化する
アクセス権の棚卸しは、対象が増えるほど手作業では回らなくなります。IDライフサイクル管理（IGA）やアクセスレビュー機能を備えた基盤を使うと、権限一覧の自動抽出・レビュー依頼・承認記録の保存を仕組み化できます。Net PeaceのKeyperは、アカウントの発行・変更・削除の一元管理とアクセス権レビューの効率化を支援するIDガバナンス基盤で、棚卸しの実施記録・承認記録を証跡として残すことができます。ただし、棚卸しは運用のルール（誰が・いつ・どう承認するか）とセットで初めて機能します。ツールはあくまで実装手段の一つです。
まとめ
アクセス権の棚卸しは、最小権限を「維持」するための継続的な運用です。①対象を決め、②現状を抽出し、③要否を確認し、④是正し、⑤承認・記録する——この5ステップを、頻度を決めて回すことが要点です。まず自己診断チェックで現状を確認し、証跡テンプレ集の様式で記録を整えましょう。運用の効率化は無料診断でもご相談いただけます。