セキュリティ対策の記入ガイド

概要

このガイドでは、評価基準ごとに「自社の取り組み状況」を入力・確認し、証跡添付、バーチャル審査、確定、タスク化を進める流れを確認できます。取り組み内容は、手入力、評価基準ごとの「AIで生成」、または「AIでまとめて生成」のいずれかで作成できます。

入力またはAI生成した内容をそのまま完成扱いにするのではなく、次の3点を確認します。

1. 自社で実施している内容か
2. 証跡や運用記録で説明できるか
3. 不足している対策をタスクや社内調整につなげられるか

各機能の詳細な仕様や操作方法は、このマニュアルの各ページを参照してください。

前提

このガイドは、導入ガイドの手順7「下書きを確認し、不足を改善・確定する」の詳しい進め方です。始める前に、次の内容を確認します。

• 社内ルールを「新しく作る」「新しい文書へまとめ直す」「既存の文書を更新する」のどの方法で整備するか決まっていること
• 目指す★（★3・★4）が設定されていること
• 既存の社内ルールを利用する場合は、現在使用している社内規程がアップロードされていること。社内ルールがまだない場合は、アップロードは不要です。
• 利用中のセキュリティサービスがある場合は、分かる範囲で「利用中のセキュリティサービス」に登録されていること。登録は任意です。

「AIでまとめて生成」は事前に実行していなくても問題ありません。このガイドの手順2で、評価基準ごとに「AIで生成」を実行するか、「自社の取り組み状況」を手入力して進められます。

選んだ社内ルールの整備方法とのつながり

このガイドでバーチャル審査やタスク管理を進めた後の作業は、導入ガイドで選んだ社内ルールの整備方法によって異なります。

選んだ進め方	このガイドで行うこと	確定後に行うこと
社内ルールを新しく作る	不足している対策を実施し、内容と証跡を確認する	確定済みの内容をWord出力し、新しいルールのたたき台として確認・承認する
既存の社内ルールを新しい文書へまとめ直す	既存ルールと評価基準の差分を確認し、不足している対策を実施する	確定済みの内容をWord出力し、新しい文書のたたき台として確認・承認する
既存の社内ルールを更新して使い続ける	既存ルールと評価基準の差分を確認し、不足している対策を実施する	対応内容を既存の社内規程へ反映して承認・版管理を行う。Word出力は必要に応じて利用する

全体の流れ

順番	作業	目的
1	評価基準を開く	要求事項、解説、回答例を確認する
2	取り組み内容を入力・確認する	手入力またはAI生成を行い、実態と違う内容や未実施の内容を直す
3	運用の記録を添付する	必要に応じて、文章で参照する証跡を用意する
4	バーチャル審査の結果を確認する	保存済みの取り組み内容と運用の記録をABCで判定する
5	確定またはタスク登録を行う	対応済みとして管理するか、未対応・要調整の作業を残す
6	セキュリティ施策・改善を実施する	足りない対策を実施し、内容と証跡を更新する

対応が不足している場合は、手順6で実際の改善を行った後、手順2〜5へ戻ります。取り組み内容と証跡を更新するとバーチャル審査が自動で再実行されるため、結果を確認してから「確定」します。

1. 評価基準を開く

左メニューの「セキュリティ対策」からカテゴリを選び、対象の評価基準を開きます。最初に「要求事項」と「解説」を読み、何を満たす必要があるかを確認してから取り組み内容の修正に入ります。

2. 自社の取り組み状況を入力・確認する

「自社の取り組み状況」が空欄の場合は、内容を手入力するか「AIで生成」で下書きを作ります。「AIでまとめて生成」を実行済みの場合は、保存されている内容を確認します。

AIで生成する場合は、登録した利用中のセキュリティサービスのうち、対象の評価基準に関連するものも下書き作成の参考として利用されます。登録情報だけから具体的な設定内容や運用状況までは判断されないため、生成後に自社の実態と一致しているかを確認します。

入力方法にかかわらず、内容が自社の実態と合っているかを確認します。実施していない内容や実態と異なる内容がある場合は、実態に合わせて修正します。

本文では「何をしているか」を簡潔に書き、詳細は運用の記録として添付します。

活用のヒント！

運用の記録を添付しただけではバーチャル審査に活きません。本文の中で「どの記録に記載しているか」を参照する書き方にすると、AIが取り組み内容を正しく読み取ります。

3. 運用の記録を添付する

取り組み内容を文章だけで説明しきれない場合は、規程・台帳・記録・手順書・画面証跡などの証跡ファイルを添付します。「実施している」と書く場合は、それを示せる記録があるか確認します。

証跡がない場合は無理に実施済みとせず、タスク化します。

詳細は、セキュリティ対策 - 運用の記録 を参照してください。

4. バーチャル審査の結果を確認する

「下書き保存」したとき、または運用の記録を追加・削除したときに、バーチャル審査が自動で実行されます。「確定」するとバーチャル審査は実行されなくなるため、審査結果の確認と必要な修正を終えてから確定します。

バーチャル審査の結果は、A（すべて満たす）・B（一部のみ）・C（大きく不足）の3段階で判定されます。B・Cの場合は、AIの指摘が「記載不足」なのか「実際の対応不足」なのかを確認します。

• 実施済みの内容について説明が不足している場合は、取り組み内容を修正し、必要な証跡を添付します。
• 実際の対応が不足している場合は、文章だけを修正せず、タスクとして登録して必要な対策やルールの改定を行います。対応後に取り組み内容と証跡を更新すると、バーチャル審査が自動で再実行されます。

未実施の内容を実施済みのように記載して、A判定を目指さないでください。

バーチャル審査の結果は最終判断ではなく、修正の参考です。詳細は、セキュリティ対策 - バーチャル審査 を参照してください。

5. 確定またはタスク登録を行う

バーチャル審査の結果が「A」になり、内容と証跡がそろったら「確定」します。対応が不足している場合はタスクとして残します。

• 記載内容と証跡を確認し、実態と合っている状態になったら「確定」します。
• 審査前に、すべての評価基準を「確定」にしておくことをお勧めします。
• 「確定」すると編集や「バーチャル審査」ができなくなりますが、いつでも解除できます。

詳細は、セキュリティ対策 - 自社の取り組みの状況の「下書き保存」と「確定」 と セキュリティ対策 - タスク を参照してください。

6. セキュリティ施策・改善を実施する

確認の結果、足りない対策が見つかった場合は、StarQuest上の記載修正だけで終わらせず、実際の改善に進めます。

改善テーマ	実施すること
社内調整	関係部門との合意、運用開始日の決定
システム導入	必要なセキュリティサービスの検討・導入
体制構築	役割、責任者、承認者、報告先の明確化
ドキュメント作成	規程、台帳、手順書、チェックリストの作成
点検・テスト	決めたことが実施できるかの確認
証跡整備	実施記録、スクリーンショット、議事録の保存

次の作業は時間がかかりやすいため、早めにタスク化します。

• 社内規程の新規作成・既存規程の改定
• アクセス権台帳や委託先台帳の棚卸し
• インシデント対応体制の整備
• バックアップ復旧テスト
• ログ監視や検知体制の整備
• 取引先への確認や追加資料の回収
• 全社員向け周知や教育

活用のヒント！

不足している対策の進め方や、証跡として何を残すべきか迷った場合は、AIと取り組む で相談できます。AIの回答を参考にしつつ、最終的な対応方針は社内の実態や関係者との合意に基づいて決めてください。

進め方の単位

1. 1カテゴリを選ぶ
2. 評価基準を1件開く
3. 自社の取り組み状況を手入力またはAI生成し、実態に合わせて確認・修正する
4. 必要に応じて運用の記録を添付する
5. バーチャル審査の判定を見る
6. 未対応ならタスク化する
7. 問題なければ確定する
8. 次の評価基準に進む

活用のヒント！

最初から全項目を完了させようとする必要はありません。まずは1項目だけでも「取り組み内容の入力・確認、運用の記録の添付、バーチャル審査、確定」の流れを体験することが大切です。

その後は、カテゴリ単位、または担当部門単位で区切って進めると、未確認の内容が混ざりにくくなります。

このフェーズの完了イメージ

各評価基準について、次の状態になっていることが目標です。

• 取り組み内容が自社の実態と一致している
• 必要な運用記録が添付されている
• 未対応の内容がタスク化されている
• 対応済みの項目が確定されている
• 導入ガイドで選んだ社内ルールの整備方法に応じて、Word出力または既存規程の改定へ進める

活用のヒント！

StarQuest上の入力は、審査対応のためだけでなく、自社のセキュリティ運用を整えるための作業として扱います。

社内ルールを新しく作る場合や新しい文書へまとめ直す場合は、確定済みの取り組み内容を導入ガイド - 選んだ方法で社内ルールの整備を完了するの手順でWord文書にまとめ、社内確認用のたたき台として利用します。

既存の社内ルールを更新して使い続ける場合は、対応内容を既存の社内規程へ反映し、必要な承認、版管理、適用範囲の確認、従業員への周知を行います。Word出力は、改定内容の確認資料が必要な場合に利用します。