制度情報について（最終確認日：2026年7月31日）
本記事は、IPAおよび経済産業省が公開している資料を基に作成しています。SCS評価制度の詳細（要求事項・評価基準・費用・開始時期等）は今後変更・詳細化される可能性があるため、最新情報はIPA公式ページ・経済産業省をご確認ください。本マトリクスの「担当部門」「関連規程」「実装手段」「証跡」は、制度の要求事項を実務に落とし込む際のNet Peaceによる整理・推奨例であり、特定の部門構成・製品・技術を必須とする制度上の規定ではありません（「制度上の要求事項」と「当社の推奨」を分けて記載しています）。
このマトリクスの使い方
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省（METI）主導・IPA運用のもと、2026年3月27日に制度構築方針が公表され、2026年度末ごろの制度開始が予定されています。★3（基本・26要求事項・有効期間1年）と★4（標準・43要求事項・有効期間3年）の評価レベルがあり、SCS評価制度とは？で全体像を解説しています。
評価対応を始めると、多くの企業が「どの要求事項を、誰が担当し、どの規程で定め、何を証跡として残せばよいのか」でつまずきます。要求事項は情報システム部門だけで完結せず、経営・人事・調達・現場を巻き込む必要があるためです。本ページの対応マトリクスは、SCS評価制度の要求事項を実務で扱いやすい12分野に整理し、分野ごとに「主な要求事項・担当部門・関連規程・実装手段・残すべき証跡・出典（関連記事）」を一覧化したものです。
3ステップの使い方
① まず自己診断チェックで現状の対応状況を12分野で可視化します。
② 本マトリクスで、着手すべき分野の「担当部門・規程・証跡」を確認し、社内の役割分担を決めます。
③ 証跡テンプレ集の様式を使って、規程・台帳・記録を整備します。
12分野 対応マトリクス（全体一覧）
「Keyper対応」欄は、Net PeaceのIDガバナンス基盤 Keyper がその分野の要求事項に対して果たせる役割の目安です（◎＝中核的な実装手段になり得る／○＝一部を支援できる／—＝対象外・別の対策が必要）。あくまで実装手段の一例であり、Keyper単体でSCS評価制度全体に対応できるものではありません（詳細は後述）。
| 分野 | 制度が求める主な事項（例） | 主担当部門 | 関連規程 | 実装手段（例） | 残すべき主な証跡 | Keyper対応 |
|---|---|---|---|---|---|---|
| ①ガバナンス （経営体制） |
セキュリティ方針の策定、経営層の関与、責任者・体制の明確化、リスク評価 | 経営層・管理部門 | 情報セキュリティ基本方針、体制規程 | 方針文書化、体制図、リスクアセスメント実施 | 基本方針、体制図、経営会議議事録、リスク評価記録 | — |
| ②資産管理 （IT資産） |
ハードウェア・ソフトウェア・情報資産の把握と管理台帳の整備 | 情シス・IT部門 | 情報資産管理規程 | IT資産管理ツール、構成管理DB（CMDB） | 資産台帳、棚卸し記録、廃棄記録 | — |
| ③ID管理 （アカウント） |
アカウントの発行・変更・削除の統制、退職者アカウントの速やかな無効化 | 情シス・IT部門 | アカウント管理規程 | IDライフサイクル管理（IGA）、AD/Entra ID連携 | アカウント台帳、入退社に伴う発行・削除ログ、棚卸し記録 | ◎ |
| ④アクセス管理 | 最小権限の原則、アクセス権の定期的なレビュー（棚卸し） | 情シス・各部門長 | アクセス制御規程 | ロールベースアクセス制御（RBAC）、アクセスレビュー機能 | 権限一覧、アクセス権レビュー記録、承認記録 | ◎ |
| ⑤多要素認証 （MFA） |
重要システムへのMFA適用（★4はフィッシング耐性MFAが望ましい） | 情シス・IT部門 | 認証・パスワード規程 | FIDO2/パスキー、認証基盤 | MFA適用範囲一覧、認証設定のスクリーンショット、認証ログ | ◎ |
| ⑥特権ID管理 （PAM） |
管理者権限の限定・分離、特権操作の記録 | 情シス・IT部門 | 特権ID管理規程 | 特権アクセス管理（PAM）、権限昇格の承認フロー | 特権ID一覧、貸出・承認記録、特権操作ログ | ○ |
| ⑦脆弱性管理 | 脆弱性情報の収集、パッチ適用、定期的な脆弱性診断 | 情シス・IT部門 | 脆弱性管理規程 | 脆弱性スキャナ、パッチ管理、JVN/NVD購読 | パッチ適用記録、脆弱性診断結果、対応管理表 | — |
| ⑧ログ管理 （監視） |
重要ログの取得・保管・監視、改ざん防止 | 情シス・IT部門 | ログ管理規程 | SIEM、ログ集約基盤、時刻同期（NTP） | ログ取得対象一覧、保管ポリシー、監視・検知記録 | ○ |
| ⑨バックアップ （BCP） |
定期バックアップ、リストア試験、事業継続計画 | 情シス・管理部門 | バックアップ規程、BCP | 3-2-1ルール、イミュータブル/オフラインバックアップ | バックアップ取得記録、リストア試験記録、BCP文書 | — |
| ⑩インシデント 対応 |
検知・報告・対応の体制、対応手順、演習 | CSIRT・全社横断 | インシデント対応規程 | CSIRT体制、連絡フロー、対応演習 | 対応手順書、演習記録、インシデント対応記録 | — |
| ⑪委託先管理 （取引先） |
委託先・取引先のセキュリティ状況の確認、契約での要求 | 調達・購買・法務 | 委託先管理規程 | セキュリティ調査票、契約書のセキュリティ条項 | 委託先一覧、調査票回収記録、契約書 | — |
| ⑫教育・訓練 | 従業員へのセキュリティ教育、標的型攻撃訓練 | 人事・総務・情シス | 教育・訓練規程 | eラーニング、フィッシング訓練 | 教育実施記録、受講者名簿、訓練結果 | — |
※ 分野の区切り・担当部門・規程名は、実務で扱いやすいようにNet Peaceが整理した例です。制度の要求事項そのものの正式な区分・文言はIPA公式資料をご確認ください。「制度が求める主な事項」は要求事項の趣旨を要約したもので、正式な条文ではありません。
部門別の役割分担
SCS評価制度対応を情報システム部門だけに任せると、規程整備・教育・委託先管理・経営関与といった非技術的な要求事項が抜け落ちがちです。分野を部門横断で割り当てることが、抜け漏れのない対応の第一歩になります。
- 経営層： ①ガバナンス。方針承認、体制・予算の決定、リスク評価の最終責任。
- 情シス・IT部門： ②資産管理／③ID管理／④アクセス管理／⑤MFA／⑥PAM／⑦脆弱性管理／⑧ログ管理／⑨バックアップの技術的中核。
- CSIRT・横断チーム： ⑩インシデント対応の体制・演習。平時は情シス、有事は全社横断。
- 調達・購買・法務： ⑪委託先管理。契約条項とセキュリティ調査票の運用。
- 人事・総務： ⑫教育・訓練。入社時・定期の教育、受講記録の管理。
分野ごとの詳細な対策は、資産管理・ID管理・PAM・ネットワークセキュリティ・ログ管理・脆弱性管理・バックアップ・BCP・インシデント対応・委託先管理・教育・訓練の各記事で解説しています。
証跡（エビデンス）の4分類
評価では「対策を実施していること」を客観的に示す証跡が求められます。証跡は次の4種類に整理すると、何を残すべきかが明確になります。
| 種類 | 内容 | 例 |
|---|---|---|
| 規程・手順 | ルールを定めた文書 | アカウント管理規程、脆弱性管理規程、BCP |
| 台帳・管理表 | 対象を一覧化した管理資料 | 資産台帳、アカウント台帳、委託先一覧 |
| 運用記録 | 実施したことを示す記録 | 棚卸し記録、教育実施記録、リストア試験記録 |
| システムログ | システムが自動出力する証跡 | 認証ログ、アクセスログ、特権操作ログ |
証跡の具体的な様式はSCS証跡テンプレ集に、保管方法・改ざん防止は証跡管理実践ガイドにまとめています。証跡は、評価の有効期間（★3：1年／★4：3年）以上の期間、取り出しやすい形で保管することが望まれます。
認証・ID管理基盤でカバーできる範囲と、できない範囲
前掲マトリクスのとおり、SCS評価制度の12分野のうち、認証・ID管理基盤（Net PeaceのKeyperなど）が中核的に支援できるのは③ID管理・④アクセス管理・⑤MFA、および⑥PAM・⑧ログ管理の一部です。これは制度全体から見れば一部分であり、残りの分野は別の対策・ツール・運用で補う必要があります。誤解を避けるため、範囲を明示します。
認証・ID管理基盤が支援できる範囲（実装手段の一例）
- ③ID管理： アカウントの発行・変更・削除の一元管理、退職者アカウントの自動無効化、アカウント台帳・操作ログの出力。
- ④アクセス管理： ロールベースの権限付与、アクセス権レビュー（棚卸し）の効率化と承認記録の保存。
- ⑤MFA： FIDO2/パスキーによるフィッシング耐性の高い多要素認証の適用。
- ⑥PAM（一部）： 特権アカウントの棚卸し・権限管理の支援（専用PAM製品と組み合わせる場合あり）。
- ⑧ログ管理（一部）： 認証・アクセスに関する証跡ログの取得。SIEMへの連携は別途構成が必要。
認証・ID管理基盤だけでは対応できない範囲（別途対策が必要）
- ①ガバナンス： 方針策定・経営関与・リスク評価は組織の意思決定であり、ツールでは代替できません。
- ②資産管理： IT資産の把握はIT資産管理ツール・CMDBの領域です。
- ⑦脆弱性管理： パッチ適用・脆弱性診断は別のプロセス・ツールが必要です。
- ⑨バックアップ・BCP： バックアップ設計・リストア試験・事業継続計画は別領域です。
- ⑩インシデント対応： 体制・手順・演習という組織的対応が中心です。
- ⑪委託先管理： 契約・調査票の運用は調達・法務のプロセスです。
- ⑫教育・訓練： 教育コンテンツ・訓練の実施と記録が必要です。
つまり、認証・ID管理基盤は「ID・認証・アクセスまわりの要求事項を効率よく満たし、証跡を自動的に残す」ための有力な実装手段ですが、SCS評価制度への対応は組織全体の取り組みです。まずは全分野を俯瞰し、優先度の高い分野から着手してください。ID・認証・アクセス分野の負担を軽減したい場合の実装手段の一つとして、KeyperのようなIDガバナンス基盤の活用が選択肢になります。
次のアクション
- 自己診断チェックで、12分野の現状を可視化する。
- 本マトリクスで、着手分野の担当部門・規程・証跡を確定し、社内で役割分担する。
- 証跡テンプレ集で、規程・台帳・記録の様式を整える。
- ギャップ分析で不足を洗い出し、優先順位をつけて改善する。
ID・認証・アクセス管理分野の対応や証跡整備でお困りの場合は、お問い合わせから無料診断をご利用いただけます。貴社の現状を12分野で整理し、優先対策をご提案します。