導入ガイド¶

概要¶

この導入ガイドでは、初回ログインから初期設定、AIを使った下書き作成、自社に合った方法で社内ルールを整備するまでの流れを確認できます。

StarQuestは、最初からすべてを手入力するためのツールではありません。SCS評価制度の評価基準、既存の社内規程、登録した利用中のセキュリティサービスを材料にしてAIで下書きを作り、人が確認しながら整える、という進め方が基本です。

StarQuestの目的やSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の概要、★3／★4・申請・運用の流れについては、StarQuest とは？を参照してください。

各機能の詳細な仕様や操作方法は、このマニュアルの各ページを参照してください。

全体の流れ¶

導入時は、まずStarQuestを利用するための初期設定を行います。目指す★を決めた後、現在の社内ルールの整備状況を確認し、自社に合う方法で作業を進めます。

順番	やること	目的
1	ユーザーを招待する	作業メンバーがログインできる状態にする
2	必要ならSSOを設定する	自社の認証ルールに合わせる
3	目指す★を決める	★3または★4のどちらを目指すか決める
4	社内ルールの整備方法を決める	既存ルールの有無と、今後どの文書を正式なルールとして管理するかを確認する
5	AIが参照する自社情報を登録する	社内規程や利用中のセキュリティサービスを登録する
6	必要ならAIでまとめて生成する	複数の未入力項目へまとめて回答下書きを作る
7	下書きを確認し、不足を改善・確定する	実態や証跡との整合を確認し、足りない対策を実施する
8	選んだ方法で社内ルールの整備を完了する	Word文書の作成、または改定した既存規程の管理を行う

1. ユーザーを招待する¶

StarQuestで作業するメンバーを招待します。アカウント開設直後は管理者のみが登録されている状態のため、必要なメンバーを追加します。

ロール（管理者・一般）の詳細は、ユーザー（管理者向け）を参照してください。

2. 必要ならSSOを設定する¶

SSOは必須ではありません。まずメールリンクで利用を開始し、社内ルールとしてSSOが必要な場合だけ設定します。

設定手順の詳細は、ログイン設定（管理者向け）を参照してください。

3. 目指す★を決める¶

設定 - セキュリティ対策の星（★3・★4設定）で、目指す★を選びます。選んだ★によって、表示されるセキュリティ対策項目が変わります。

審査や取引先から★4が求められている場合は、最初から★4を選びます。
要件がまだ明確でない場合は、関係者と確認してから決めるのが無難です。

4. 社内ルールの整備方法を決める¶

StarQuestの初期設定と目指す★の設定が終わったら、社内の情報セキュリティ担当者や規程の管理者と、次の2点を確認します。

現在使用している情報セキュリティの社内規程やルールがあるか
既存のルールがある場合、その文書を今後も正式なルールとして使い続けるか、SCS評価制度に沿った新しい文書へまとめ直すか

この確認が必要なのは、自社の状況によって、次の手順で社内規程のアップロードが必要か、最後にWord出力と既存規程の改定のどちらを行うかが変わるためです。次の表から、自社に当てはまる進め方を選びます。

自社の現在の状況	選ぶ進め方	社内規程のアップロード	社内ルールのダウンロード
社内ルールがない	1. 新しく作る	省略する	新しいルールのたたき台を作るために使用する
社内ルールがあり、SCS評価制度に沿った文書へまとめ直したい	2. 新しい文書へまとめ直す	既存ルールを登録する	SCS評価制度に沿った文書のたたき台を作るために使用する
社内ルールがあり、現在の文書を使い続けたい	3. 既存の文書を更新する	既存ルールを登録する	改定内容の確認資料として必要に応じて使用する

1. 社内ルールを新しく作る¶

社内ルールがまだない場合は、次の順番で進めます。

手順5の社内規程のアップロードは省略します。利用中のセキュリティサービスがある場合は、その情報を登録します。
複数の評価基準へまとめて下書きを作りたい場合は、手順6の「AIでまとめて生成」を使います。1件ずつ進める場合は、手順7で個別に「AIで生成」を実行するか、内容を手入力します。
手順7で下書きと自社の実態を照らし合わせ、不足している対応をタスクとして管理します。
必要な対応を実施し、内容と証跡を確認できた項目を「確定」します。
手順8で社内ルールをダウンロードし、新しいルールのたたき台として利用します。

2. 既存の社内ルールを新しい文書へまとめ直す¶

既存の社内ルールを、SCS評価制度に沿った新しい文書へまとめ直したい場合は、次の順番で進めます。

手順5で、現在使用している社内規程と、利用中のセキュリティサービスを登録します。
複数の評価基準へまとめて下書きを作りたい場合は、手順6の「AIでまとめて生成」を使います。1件ずつ進める場合は、手順7で個別に「AIで生成」を実行するか、内容を手入力します。
手順7のバーチャル審査で評価基準との差分を確認し、不足している対応をタスクとして管理します。
必要な対応を実施し、内容と証跡を確認できた項目を「確定」します。
手順8で社内ルールをダウンロードし、SCS評価制度に沿った新しい文書のたたき台として利用します。

3. 既存の社内ルールを更新して使い続ける¶

ISMSに基づく規程など、すでに整備した文書を正式な社内ルールとして使い続けたい場合は、次の順番で進めます。

手順5で、現在使用している社内規程と、利用中のセキュリティサービスを登録します。
必要に応じて手順6で下書きをまとめて生成し、手順7で既存ルールと評価基準との差分を確認します。一括生成を使わず、手順7で1件ずつ進めることもできます。
不足している対応をタスクとして管理し、必要な対策を実施します。
対応内容を既存の社内規程へ反映し、社内で定めている承認や版管理を行います。
内容と証跡を確認できた項目を「確定」します。Word出力は必須ではなく、改定内容の確認資料が必要な場合に利用します。

AIの下書きやWord出力だけでは対応完了になりません

AIで作成した下書きは、実際に対策やルールが整備されていることを保証するものではありません。対応が終わっていない項目は「確定」せず、タスクとして管理してください。

また、社内規程のアップロードと社内ルールのダウンロードによって、元の文書と出力文書が自動的に統合されるわけではありません。正式な社内ルールとして利用する場合は、内容の確認に加えて、社内での承認、版管理、適用範囲の確認、従業員への周知が必要です。

5. AIが参照する自社情報を登録する¶

AIで「自社の取り組み状況」の下書きを作る前に、社内規程や利用中のセキュリティサービスなど、AIが参照する自社情報を登録します。

既存の社内規程があればアップロードする¶

既存の社内規程がある場合は、AIで「自社の取り組み状況」の下書きを作る前に、設定 - 社内規程のアップロードで社内規程をアップロードします。ここで登録した文書は、AIが「自社ではどのようなルールや運用をしているか」を判断するための材料になります。社内規程がまだない場合は、この手順を省略して、手順6または手順7へ進みます。

自社が日頃どのようなルールで、どのようなセキュリティ対策に取り組んでいるかが分かる文書を添付します。たとえば次のような資料です。

情報セキュリティ基本方針
情報セキュリティ管理規程
PC・デバイス利用規程
委託先・外部サービス管理規程
従業員向けのセキュリティ教育・研修資料

社内での呼び方が違っても、内容が近いものであれば問題ありません。

注意

古い版、ドラフト、実態と違う規程、関係の薄い文書を混ぜると、AIの生成内容もずれてしまいます。最初は「現在使っている正式な規程」に絞って登録してください。

利用中のセキュリティサービスを登録する¶

自社で利用しているセキュリティサービスがある場合は、左メニューの「利用中のセキュリティサービス」から登録します。セキュリティサービス名が分かる場合は名称も登録し、分からない場合は該当するカテゴリを「利用中」にするだけでも登録できます。

登録した情報のうち、対象の評価基準に関連するものは、「AIで生成」や「AIでまとめて生成」で下書きを作る際の参考情報として利用されます。利用中のセキュリティサービスがない場合や、登録する情報が分からない場合は、この手順を省略できます。

6. 必要ならAIでまとめて生成する¶

設定 - AIでまとめて生成は、複数の未入力の評価基準について、「自社の取り組み状況」の下書きをまとめて作る機能です。評価基準、解説、回答例、アップロード済みの社内規程、対象の評価基準に関連する利用中のセキュリティサービスなどを材料にAIが下書きを作ります。

この機能は必須ではありません。評価基準を1件ずつ確認したい場合は、この手順を省略して手順7へ進み、各評価基準の画面で「AIで生成」を実行するか、「自社の取り組み状況」を手入力します。すべてを自動で完了させる機能ではありません。

活用のヒント！

AIの下書きは、あくまで確認用のたたき台です。内容が社内規程や実際の運用と合っているかを、人が確認してから保存します。

7. 下書きを確認し、不足を改善・確定する¶

セキュリティ対策からカテゴリごとの項目を開き、要求事項と解説を確認します。「AIでまとめて生成」を使った場合は保存されている下書きを確認し、使っていない場合は各評価基準の「AIで生成」で個別に下書きを作るか、「自社の取り組み状況」を手入力します。

AIで作成した下書きは、自社の実態と合っているかを確認します。バーチャル審査の結果がよくても、それだけで完了とは考えません。最終的には、自社の実態として説明できるか、証跡を示せるかを人が確認します。

内容と証跡を確認し、実態と一致している項目は「確定」します。対応が不足している項目は無理に確定せず、タスクとして残します。詳しい進め方は、セキュリティ対策の記入ガイドを参照してください。

8. 選んだ方法で社内ルールの整備を完了する¶

手順4で選んだ方法に応じて、Word文書を作成するか、改定した既存の社内規程を正式なルールとして管理します。

社内ルールを新しく作る・新しい文書へまとめ直す場合¶

確認・修正を終えて「確定」した取り組み内容は、社内ルール形式のWord文書（.docx）としてダウンロードできます。

設定 - 社内ルールのダウンロードを開き、「ダウンロード」をクリックします。

出力されるのは、次の条件をすべて満たす評価基準です。

設定している★（★3・★4）に該当している
「自社の取り組み状況」が入力されている
取り組みの状況が「確定済み」になっている

下書き状態や未入力の評価基準は出力されません。確定済みの項目が一部だけの場合は、その項目だけを含む社内ルールが生成されます。

ダウンロード後に内容を確認してください

この機能は、StarQuestで確認・確定した取り組み内容を社内ルールの形式にまとめるものです。文書を出力したことだけで、評価基準が求める社内ルールの整備・点検・周知を満たすものではありません。また、未入力の対策を自動的に追加したり、正式な社内規程として承認したりするものでもありません。

ダウンロードした文書はたたき台として利用し、社内の責任者や関係部門で内容を確認してください。正式な社内ルールとして利用する場合は、必要な承認、版管理、適用範囲の確認、従業員への周知などを行います。

確定済みの項目で試してみましょう

すでに社内で実施しており、内容と証跡を確認して「確定」した評価基準がある場合は、まずその項目を含む文書をダウンロードすると、入力内容がどのような文書になるか確認できます。

ダウンロードを試すためだけに、対応が終わっていない項目を「確定」しないでください。確定済みの項目が増えた後に再度ダウンロードすると、その時点の内容をまとめた社内ルールを作成できます。

既存の社内ルールを更新して使い続ける場合¶

手順7までに、バーチャル審査やタスク管理で見つかった不足内容を既存の社内規程へ反映します。改定した文書について、社内で定めている承認、版管理、適用範囲の確認、従業員への周知が完了していることを確認し、その文書を正式な社内ルールとして引き続き管理します。

社内ルールのダウンロードは必須ではありません。改定内容の確認資料や、既存規程を見直す際のたたき台が必要な場合に利用します。

困ったときは「AIと取り組む」で相談する¶

AIと取り組むは、チャット形式で相談できる画面です。「どこから進めればよいか」「この規程で足りないものは何か」「証跡として何を用意すべきか」などを相談したいときに使います。

導入時に必ず使う必要はありません。社内ルールの整備方法、評価基準への対応、証跡の準備などで迷ったタイミングに利用してください。

詳しい進め方¶

AIで生成した下書きの確認・修正、運用の記録の添付、バーチャル審査、確定を繰り返す詳しい進め方は、セキュリティ対策の記入ガイドを参照してください。