セキュリティ対策¶
概要¶
★を取得するために必要なセキュリティ対策が記載されています。各対策（各評価基準）ごとに、自社の取り組み状況を記入していくことで、取り組みを完了させることができます。
★3/★4の違い¶
取得する星の数に応じて、表示されるセキュリティ対策が異なります。★3の場合は26項目、★4の場合は43項目の要求事項が表示され、各要求事項をクリックすると、詳細な評価基準を確認できます。
★3/★4の切り替えは、設定 - セキュリティ対策の星（★3・★4設定）から変更できます。また、★3の場合は、表示されている要求事項や評価基準の番号が歯抜けになっていますが、制度上のものであり、特に気にする必要はありません。
評価基準の詳細画面¶
左メニューの「セキュリティ対策」からカテゴリを選び、対象の評価基準を開きます。
評価基準の詳細画面では、以下の情報を確認できます。
| 項目 | 内容 |
|---|---|
| 要求事項 | 何を満たす必要があるか |
| 解説 | どのような対応が期待されているか |
| 回答例 | どの粒度・書き方で説明すればよいか |
| 参考資料 | 関連するドキュメントのサンプル（項目によってはないものもあります） |
| 推奨セキュリティサービス | 取り組みを効率化・支援するためのサービスの提案（項目によってはないものもあります） |
| 自社の取り組み状況 | 自社の取り組み内容を入力・編集する |
| 運用の記録 | 証跡ファイルを添付・管理する |
| バーチャル審査 | AIによる適合度判定とフィードバックを確認する |
| タスク | 未対応・要調整の作業を管理する |
自社の取り組み状況¶
自社の取り組み状況は、各評価基準に対する自社の取り組みを記載する入力欄です。
AIで生成¶
「AIで生成」を押すと、AIが回答の下書きを作成し、「自社の取り組み状況」の入力欄に反映されます。
生成内容は確認用の下書きです。自社の実態と合っているかを確認し、必要に応じて修正してください。社内規程を参照した場合は、具体的にどの部分を参照したのかが分かるようになっています。
AIは、評価基準、解説、回答例、アップロード済みの社内規程に加え、「利用中のセキュリティサービス」に登録した情報のうち、対象の評価基準に関連するものを下書き作成の参考にします。セキュリティサービス名を登録している場合は、その名称が生成内容に反映されることがあります。
登録したすべてのセキュリティサービスが、すべての評価基準で使用されるわけではありません。また、登録情報だけから具体的な設定内容、対象範囲、監視方法、実施頻度などは判断されません。生成後は、自社の実態と一致しているかを確認してください。
生成時に参照する情報は、テキスト生成時に一時的にAIモデルに渡されますが、モデルの学習データに利用されるものではありません。
下書き保存¶
入力した内容は「下書き保存」で保存できます。下書き保存は達成率に影響しませんが、ホームと大分類のページでは「下書き」として件数が表示されます。
- 「下書き保存」は「自社の取り組み状況」に変更があった場合のみクリックできます
- 「AIで生成」の結果が同じ場合はクリックできません
AIで生成を再実行する場合の注意¶
「AIで生成」は、現在入力されている内容を考慮せず上書きする可能性があります。
すでに人が追記・修正した内容がある場合は、再生成前に次のどれかを行ってください。
- 必要な内容を別途控える
- 社内ルールや運用の記録に反映する
- 下書き保存や証跡添付の状態を確認する
- 再生成が必要な理由を明確にする
修正の観点¶
AI生成された内容には、自社でまだ実施していないことや、実施予定のないことが含まれる場合があります。以下の観点で修正します。
| 観点 | 確認すること | 修正例 |
|---|---|---|
| 実施有無 | 実際に行っているか | 未実施の内容は削除またはタスク化する |
| 対象範囲 | 全社なのか、一部部門なのか | 対象部門や対象システムを明記する |
| 頻度 | 定期的に行っているか | 年1回、四半期ごと、随時などを明記する |
| 責任者 | 誰が責任を持つか | 情報システム部、管理部、委員会などを明記する |
| 証跡 | 説明を裏付ける記録があるか | 台帳、議事録、スクリーンショットを添付する |
| 表現 | 断定しすぎていないか | 実施中、整備予定、検討中を分ける |
内容の考え方¶
取り組み内容には、詳細をすべて詰め込む必要はありません。
本文では「何をしているか」を簡潔に書き、詳細は運用の記録として添付します。ただし、運用の記録を添付しただけでは「バーチャル審査」で期待どおりに評価へ反映されにくいため、本文の中で「どの記録に記載しているか」を参照する書き方にします。
例:
情報セキュリティ管理規程に基づき、年1回、関連法令及び取引先要求事項の確認を行っています。確認結果と改定要否は、点検・推進・是正管理表（運用の記録に添付）に記録しています。
このように、本文で取り組みを記載した上で、その証拠として運用の記録を添付し、本文から参照するのが基本的な使い方です。
運用の記録¶
Word/Excelなどを使ってセキュリティ対策に取り組んでいる場合、取り組んだ内容をアップロードして管理できます。
活用のヒント！
「自社の取り組み状況」には、自社のセキュリティの整備状況を記載することができますが、実際の運用状況を記載することはできません。例えば「〇〇台帳を使って管理する」とは書けますが、実際の「〇〇台帳」を管理することはできません。
そのような場合に、運用の記録機能を使うことで、実際の「〇〇台帳」をアップロードし、整備状況・運用状況の双方をStarQuestで管理できます。
添付できるファイル¶
| 項目 | 仕様 |
|---|---|
| 対応形式 | PDF、Word（.docx）、Excel（.xlsx）、PowerPoint（.pptx）、画像（PNG/JPG/JPEG/GIF/WEBP） |
| 件数上限 | 1評価基準あたり最大10件 |
| サイズ上限 | 1ファイルあたり4MB |
添付するとよいもの¶
| 種類 | 例 |
|---|---|
| 規程 | 情報セキュリティ管理規程、アクセス権管理規程 |
| 台帳 | アクセス権台帳、委託先管理台帳、リスク管理表 |
| 記録 | 点検記録、教育受講記録、議事録、レビュー記録 |
| 手順書 | バックアップ手順、インシデント対応手順 |
| 画面証跡 | システム設定画面、ログ取得画面、権限設定画面のスクリーンショット |
添付の考え方¶
- 取り組み内容に長く書きすぎるより、証跡ファイルを添付したほうが分かりやすい場合があります
- 「実施している」と書く場合は、それを示せる記録があるか確認します
- 証跡がない場合は、無理に実施済みとせず、タスク化します
「バーチャル審査」に活かすには¶
運用の記録を添付しただけでは、バーチャル審査で期待どおりに評価へ反映されにくい場合があります。バーチャル審査で運用の記録を評価に反映させるには、「自社の取り組み状況」の本文で、該当するファイルを参照してください。
良い例:
アクセス権の棚卸しは半年ごとに実施しており、その結果は『アクセス権棚卸し台帳』（運用の記録に添付）に記録しています。
このように、文章で取り組みを記載した上で、その証拠として運用の記録を添付・参照するのが基本的な使い方です。運用の記録を添付していないからといって適合度が下がることはないため、まずは「自社の取り組み状況」に取り組み内容を記載してください。
バーチャル審査¶
「バーチャル審査」は、審査に向けてAIのフィードバックを得るための機能です。「自社の取り組み状況」を保存したとき、または運用の記録を追加・削除したときに自動で実行されます。
フィードバックの内容¶
バーチャル審査を実行すると、次の内容が表示されます。
- 適合度: 評価基準に対する適合度の目安（A／B／C）
- 良い点: 評価基準に対して、できている点
- 改善点: 評価基準に対して、足りない点
- 今後のアクション: 改善点を踏まえ、審査に向けて実施するとよいこと
確認対象¶
AIは、当該評価基準に書かれている事項を、自社の取り組みがどの程度満たしているかを確認します。
- 主な確認対象は「自社の取り組み状況」に入力された内容です
- 「運用の記録」に添付された内容は、「自社の取り組み状況」の本文から参照されている場合に確認対象に含めます
- 他の評価基準で書いた内容は、当該評価基準の「自社の取り組み状況」に直接記述されていない限り、判定の根拠になりません
適合度¶
| 判定 | 読み方 | 状態 |
|---|---|---|
| A | 全て満たす | 評価基準に記載された事項を、自社の取り組みで網羅的に記述している状態 |
| B | 一部のみ満たす | 評価基準の一部について記述があるが、まだカバーしきれていない状態 |
| C | 大きく不足している | 評価基準に記載された事項に対して、自社の取り組みがほぼ触れられていない状態 |
B/Cになる主な理由¶
| 理由 | 例 | 対応 |
|---|---|---|
| 評価基準の一部しか説明していない | ルール策定には触れているが、周知や点検に触れていない | 不足している要求事項を本文に追記する |
| 実施内容が抽象的すぎる | 適切に管理しています、定期的に確認しています、だけで具体性がない | 対象、担当者、頻度、記録方法を明記する |
| 証跡とのつながりが弱い | 添付ファイルはあるが、本文で何を見ればよいか分からない | どの規程・台帳・記録に記載しているかを本文で明示する |
| 未実施の内容が残っている | 実際には未導入の仕組みを実施済みとして書いている | 実態に合わせて修正し、必要ならタスク化する |
| 他項目の記載に依存している | 別の評価基準には書いているが、この評価基準には書いていない | 必要な内容を該当する評価基準にも記述する |
適合度を上げるヒント¶
- 他の評価基準で書いた内容は、当該評価基準の「自社の取り組み状況」に直接記述されていない限り、判定の根拠になりにくいです。必要な内容は、該当する評価基準ごとに記述します。
- 運用の記録も同様で、添付しただけでは判定に活きません。本文から「どの記録に記載しているか」を参照することで、AIがその内容を評価に含めやすくなります。
- 「情報セキュリティ管理規程に記載しています」「アクセス権台帳で管理しています」のように明示的に参照している場合は、参照先の内容も確認しやすくなります。
- 添付ファイルの有無だけで適合度が上がるわけではありません。「自社の取り組み状況」のテキスト内容を中心に、添付した運用の記録とつながる形で説明します。
- Aを目指すために、実施していない内容を無理に書く必要はありません。未実施の場合は、現状を正しく書き、必要な対応をタスク化します。
実行のタイミング¶
バーチャル審査は、次のタイミングで自動的に実行されます。そのため、基本的には手動でボタンを押す必要はありません。
- 「自社の取り組み状況」を「下書き保存」したとき
- 「運用の記録」を追加・削除したとき
「自社の取り組み状況」が未入力の場合は、審査する取り組み内容がないため実行されません。まだ一度も実行していない評価基準では、「まだバーチャル審査を実施していません。」と表示されます。
確定済みの評価基準¶
確定済みの評価基準では、バーチャル審査は自動・手動のいずれでも実行されません。「運用の記録」の追加・削除もできなくなります。修正が必要な場合は、一度「確定」を解除してから行ってください。
留意事項¶
注意
SCS評価制度の評価用ガイドは、2026年10月に公開予定です。制度の詳細公開や変更に伴い、AIのフィードバック内容は変わる可能性があります。
バーチャル審査の結果は現時点の補助情報として扱い、最終的には自社の実態、証跡、制度公開後の要件に照らして確認してください。
確定¶
「確定」は、評価基準に対する取り組みが完了した状態にする機能です。
いつ確定するか¶
- 一通り記載内容を確認し、実態と合っている状態になったら「確定」します
- 社内で承認フローがある場合は、承認者が「確定」を押すことで、変更・承認の記録を残せます
- 審査前に、すべての評価基準を「確定」にしておくことをお勧めします
確定するとどうなるか¶
「確定」すると、その評価基準の対応が完了した状態になり、ホームの達成率が上がります。確定時に未保存の変更がある場合は、自動的に保存されてから確定されます。
確定後は、その評価基準の「自社の取り組み状況」が編集できなくなり（読み取り専用）、「AIで生成」「下書き保存」「バーチャル審査」も実行できなくなります。「運用の記録」の追加・削除もできなくなります。また、確定操作は操作ログ（管理者向け）に記録され、誰が確定したかの記録が残ります。
確定の解除¶
「確定」はいつでも解除できます。解除すると再び編集や「バーチャル審査」ができるようになります。
タスク¶
各評価基準に紐づく形で、タスクを管理できます。評価基準では、定期的な実施（例：年に1回など）を求めているものも多くあります。タスク機能を活用することで、漏れなく実施するように管理できます。
作成したタスクは、タスク管理でまとめて確認・絞り込みができます。
タスク登録時に入れるとよい項目¶
| 項目 | 書き方 |
|---|---|
| タイトル | 何を完了すればよいかを短く書く |
| 期限 | 審査日や社内締切から逆算する |
| 担当者 | 実際に動ける人を指定する |
| ステータス | 未着手、進行中、完了などで管理する |
| 詳細 | 背景、必要な作業、完了条件を書く |