制度情報について（最終確認日：2026年7月31日）
本記事の様式は、IPAおよび経済産業省が公開している資料を基に、実務で証跡を整えやすいようNet Peaceが作成した参考様式であり、IPA・経済産業省が公式に配布する所定様式ではありません。評価で提出が必要な正式様式・記載項目は、必ずIPA公式ページで最新の指定をご確認ください。制度の詳細（要求事項・評価基準・費用・開始時期等）は今後変更・詳細化される可能性があります。
使い方と注意点
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の評価では、「対策を実施していること」を客観的に示す証跡（エビデンス）が求められます。本ページでは、各分野で証跡として整えておきたい台帳・記録・調査票の列構成（項目）をまとめました。「コピー」ボタンで項目行をコピーし、エクセルやスプレッドシートに貼り付けてご利用ください。
どの分野に何の証跡が必要かの全体像はSCS対応マトリクス、保管方法・改ざん防止の考え方は証跡管理実践ガイドで解説しています。まず現状把握には自己診断チェックが便利です。
証跡づくりの3原則
① 後付けにしない：実施の都度、日付・実施者を記録する（後からまとめて作ると信頼性が下がります）。
② 承認を残す：棚卸しや削除など重要な運用は、承認者のサイン・承認記録をセットで残す。
③ 自動化できるものは自動で：認証・アクセス・特権操作のログは、システムから自動取得して改ざんされにくくする。
① アカウント管理台帳
対象分野：ID管理。全アカウントの棚卸しと、入退社に伴う発行・削除を統制するための基本台帳です。
アカウント管理台帳（列）
No. ／ アカウントID ／ 利用者氏名 ／ 所属部門 ／ 付与ロール・権限 ／ 対象システム ／ 発行日 ／ 発行承認者 ／ 最終棚卸し日 ／ 状態（有効／無効／削除）／ 削除日 ／ 削除承認者 ／ 備考
関連記事：ID管理・特権アクセス管理（PAM）
② アクセス権レビュー（棚卸し）記録
対象分野：アクセス管理。最小権限の維持のため、定期的なアクセス権レビューの実施と承認を記録します。
アクセス権レビュー記録（列）
レビュー実施日 ／ 実施者 ／ 対象システム ／ 対象アカウント数 ／ 確認結果（継続承認／変更／削除）／ 変更・削除件数 ／ 是正対応の内容 ／ 是正完了日 ／ 承認者 ／ 承認日
推奨頻度：定期的（例：四半期または年1回以上）。関連記事：ID管理・PAM
③ 退職者アカウント削除チェック
対象分野：ID管理。退職・異動時にアカウントが速やかに無効化されたことを示す記録です。放置アカウントは重大なリスクとなります。
退職者アカウント削除チェック（列）
対象者氏名 ／ 所属部門 ／ 退職・異動日 ／ 対象アカウント・権限一覧 ／ 無効化日 ／ 削除日 ／ 貸与端末・鍵の回収 ／ 実施者 ／ 承認者 ／ 確認日
運用のコツ：人事の退職手続きと連動させ、抜け漏れを防ぎます。
④ IT資産管理台帳
対象分野：資産管理。「守るものを把握する」ための土台。ハード・ソフト・情報資産を一元管理します。
IT資産管理台帳（列）
資産No. ／ 資産種別（HW／SW／情報）／ 資産名 ／ 管理部門 ／ 利用者・設置場所 ／ 重要度（高／中／低）／ 導入日 ／ OS・バージョン ／ 保守・サポート期限 ／ 最終棚卸し日 ／ 廃棄日 ／ 備考
関連記事：IT資産管理要件
⑤ 脆弱性・パッチ適用管理表
対象分野：脆弱性管理。脆弱性情報の把握から対応完了までを追跡します。
脆弱性・パッチ適用管理表（列）
No. ／ 公表日 ／ 脆弱性ID（CVE／JVN）／ 対象資産・製品 ／ 深刻度（CVSS）／ 影響範囲 ／ 対応方針（適用／緩和／受容）／ 対応期限 ／ 対応完了日 ／ 実施者 ／ 確認者 ／ 備考
関連記事：脆弱性管理要件
⑥ バックアップ／リストア試験記録
対象分野：バックアップ・BCP。取得だけでなく「戻せること」を試験で確認した記録が重要です。
バックアップ／リストア試験記録（列）
実施日 ／ 対象システム・データ ／ 取得方式（フル／差分）／ 保管先（オフライン／イミュータブル等）／ 世代数 ／ リストア試験実施日 ／ 試験結果（成功／課題）／ 復旧所要時間 ／ 実施者 ／ 承認者
推奨：3-2-1ルール。関連記事：バックアップ・BCP要件
⑦ インシデント対応記録
対象分野：インシデント対応。発生から復旧・再発防止までの一連の対応を時系列で残します（演習でも同様の記録を残せます）。
インシデント対応記録（列）
管理No. ／ 区分（実事象／演習）／ 検知日時 ／ 検知経路 ／ 概要 ／ 影響範囲 ／ 初動対応内容 ／ 報告先・報告日時 ／ 復旧日時 ／ 原因 ／ 再発防止策 ／ 対応責任者 ／ クローズ日
関連記事：インシデント対応要件
⑧ 委託先セキュリティ調査票（骨子）
対象分野：委託先・取引先管理。委託先のセキュリティ状況を確認するための調査票の設問骨子です。
委託先セキュリティ調査票（設問骨子）
ヘッダ：会社名／回答者／回答日 1. 情報セキュリティ方針を策定し、経営層が承認しているか 2. 情報資産・アカウントの管理台帳を整備しているか 3. 重要システムに多要素認証（MFA）を適用しているか 4. 退職者アカウントを速やかに無効化する運用があるか 5. 脆弱性情報の収集とパッチ適用の運用があるか 6. 重要ログを取得・保管しているか 7. バックアップを取得しリストア試験を実施しているか 8. インシデント発生時の連絡・報告体制があるか 9. 従業員へのセキュリティ教育を定期的に実施しているか 10. 再委託先にも同等の管理を求めているか
各設問に「はい／いいえ／一部」＋証跡有無＋補足の回答欄を設けます。関連記事：取引先・委託先管理
⑨ 教育・訓練実施記録
対象分野：教育・訓練。実施内容・対象者・受講状況・理解度を記録します。
教育・訓練実施記録（列）
実施日 ／ 種別（研修／フィッシング訓練）／ テーマ ／ 対象部門・人数 ／ 受講完了人数 ／ 受講率 ／ 理解度・訓練結果 ／ 未受講者フォロー ／ 実施者 ／ 承認者
関連記事：教育・訓練要件
次のアクション
- 自己診断チェックで、12分野の対応状況を可視化する。
- 対応マトリクスで、着手分野の担当部門と必要な証跡を確認する。
- 本ページの様式をコピーして、台帳・記録・調査票を整備する。
- 証跡管理実践ガイドで、保管方法・改ざん防止を整える。
証跡の整備（特にID・認証・アクセスまわりの自動的な証跡取得）でお困りの場合は、お問い合わせから無料診断をご利用ください。認証ログ・アクセス権レビュー記録などを自動的に残す仕組みづくりについてもご相談いただけます。