セキュリティ対策¶

概要¶

★を取得するために必要なセキュリティ対策が記載されています。各対策（各評価基準）ごとに、自社の取り組み状況を記入していくことで、取り組みを完了させることができます。

★3/★4の違い¶

取得する星の数に応じて、表示されるセキュリティ対策が異なります。★3の場合は26項目、★4の場合は43項目の要求事項が表示され、各要求事項をクリックすると、詳細な評価基準を確認できます。

★3/★4の切り替えは、設定 - セキュリティ対策の星（★3・★4設定）から変更できます。また、★3の場合は、表示されている要求事項や評価基準の番号が歯抜けになっていますが、制度上のものであり、特に気にする必要はありません。

評価基準の詳細画面¶

左メニューの「セキュリティ対策」からカテゴリを選び、対象の評価基準を開きます。

評価基準の詳細画面では、以下の情報を確認できます。

項目	内容
要求事項	何を満たす必要があるか
解説	どのような対応が期待されているか
回答例	どの粒度・書き方で説明すればよいか
参考資料	関連するドキュメントのサンプル（項目によってはないものもあります）
推奨セキュリティサービス	取り組みを効率化・支援するためのサービスの提案（項目によってはないものもあります）
自社の取り組み状況	自社の取り組み内容を入力・編集する
運用の記録	証跡ファイルを添付・管理する
バーチャル審査	AIによる適合度判定とフィードバックを確認する
タスク	未対応・要調整の作業を管理する

自社の取り組み状況¶

自社の取り組み状況は、各評価基準に対する自社の取り組みを記載する入力欄です。

AIで生成¶

「AIで生成」を押すと、AIが回答の下書きを作成し、「自社の取り組み状況」の入力欄に反映されます。

生成内容は確認用の下書きです。自社の実態と合っているかを確認し、必要に応じて修正してください。社内規程を参照した場合は、具体的にどの部分を参照したのかが分かるようになっています。

AIは、評価基準、解説、回答例、アップロード済みの社内規程に加え、「利用中のセキュリティサービス」に登録した情報のうち、対象の評価基準に関連するものを下書き作成の参考にします。セキュリティサービス名を登録している場合は、その名称が生成内容に反映されることがあります。

登録したすべてのセキュリティサービスが、すべての評価基準で使用されるわけではありません。また、登録情報だけから具体的な設定内容、対象範囲、監視方法、実施頻度などは判断されません。生成後は、自社の実態と一致しているかを確認してください。

生成時に参照する情報は、テキスト生成時に一時的にAIモデルに渡されますが、モデルの学習データに利用されるものではありません。

仮の内容を確認・修正する¶

登録された情報だけでは内容を確認できなかった場合、AI生成結果に 【仮置き】 または 【いずれか一方を残す】 が含まれます。該当箇所は黄色で強調され、画面に種類ごとの件数と対応方法が表示されます。この表示は、評価基準の詳細画面とアセスメントシートの両方で確認できます。

表示	対応方法
`【仮置き】`	直後の [ ] 内にある修正指示を確認し、仮の文章を自社の実態に合う内容へ書き換えます。マーカーだけを削除せず、仮の文章自体が正しいかを確認してください。
`【いずれか一方を残す】`	マーカーの後にある候補から、自社に該当する内容だけを残します。

修正途中の内容は「下書き保存」できます。仮置きや選択箇所を残したまま「確定」を押すと、確認画面が表示されます。「戻って修正する」を選ぶと入力画面へ戻ります。内容を確認した上で残す場合のみ、「このまま確定する」を選んでください。

下書き保存¶

入力した内容は「下書き保存」で保存できます。下書き保存は達成率に影響しませんが、ホームと大分類のページでは「下書き」として件数が表示されます。

「下書き保存」は「自社の取り組み状況」に変更があった場合のみクリックできます
「AIで生成」の結果が同じ場合はクリックできません

AIで生成を再実行する場合の注意¶

「AIで生成」は、現在入力されている内容を考慮せず上書きする可能性があります。

すでに人が追記・修正した内容がある場合は、再生成前に次のどれかを行ってください。

必要な内容を別途控える
社内ルールや運用の記録に反映する
下書き保存や証跡添付の状態を確認する
再生成が必要な理由を明確にする

修正の観点¶

AI生成された内容には、自社でまだ実施していないことや、実施予定のないことが含まれる場合があります。以下の観点で修正します。

観点	確認すること	修正例
実施有無	実際に行っているか	未実施の内容は削除またはタスク化する
対象範囲	全社なのか、一部部門なのか	対象部門や対象システムを明記する
頻度	定期的に行っているか	年1回、四半期ごと、随時などを明記する
責任者	誰が責任を持つか	情報システム部、管理部、委員会などを明記する
証跡	説明を裏付ける記録があるか	台帳、議事録、スクリーンショットを添付する
表現	断定しすぎていないか	実施中、整備予定、検討中を分ける

内容の考え方¶

取り組み内容には、詳細をすべて詰め込む必要はありません。

本文では「何をしているか」を簡潔に書き、詳細は運用の記録として添付します。ただし、運用の記録を添付しただけでは「バーチャル審査」で期待どおりに評価へ反映されにくいため、本文の中で「どの記録に記載しているか」を参照する書き方にします。

例:

情報セキュリティ管理規程に基づき、年1回、関連法令及び取引先要求事項の確認を行っています。確認結果と改定要否は、点検・推進・是正管理表（運用の記録に添付）に記録しています。

このように、本文で取り組みを記載した上で、その証拠として運用の記録を添付し、本文から参照するのが基本的な使い方です。

運用の記録¶

Word/Excelなどを使ってセキュリティ対策に取り組んでいる場合、取り組んだ内容をアップロードして管理できます。

活用のヒント！

「自社の取り組み状況」には、自社のセキュリティの整備状況を記載することができますが、実際の運用状況を記載することはできません。例えば「〇〇台帳を使って管理する」とは書けますが、実際の「〇〇台帳」を管理することはできません。

そのような場合に、運用の記録機能を使うことで、実際の「〇〇台帳」をアップロードし、整備状況・運用状況の双方をStarQuestで管理できます。

添付できるファイル¶

項目	仕様
対応形式	PDF、Word（.docx）、Excel（.xlsx）、PowerPoint（.pptx）、画像（PNG/JPG/JPEG/GIF/WEBP）
件数上限	1評価基準あたり最大10件
サイズ上限	1ファイルあたり4MB

添付するとよいもの¶

種類	例
規程	情報セキュリティ管理規程、アクセス権管理規程
台帳	アクセス権台帳、委託先管理台帳、リスク管理表
記録	点検記録、教育受講記録、議事録、レビュー記録
手順書	バックアップ手順、インシデント対応手順
画面証跡	システム設定画面、ログ取得画面、権限設定画面のスクリーンショット

添付の考え方¶

取り組み内容に長く書きすぎるより、証跡ファイルを添付したほうが分かりやすい場合があります
「実施している」と書く場合は、それを示せる記録があるか確認します
証跡がない場合は、無理に実施済みとせず、タスク化します

「バーチャル審査」に活かすには¶

運用の記録を添付しただけでは、バーチャル審査で期待どおりに評価へ反映されにくい場合があります。バーチャル審査で運用の記録を評価に反映させるには、「自社の取り組み状況」の本文で、該当するファイルを参照してください。

良い例:

アクセス権の棚卸しは半年ごとに実施しており、その結果は『アクセス権棚卸し台帳』（運用の記録に添付）に記録しています。

このように、文章で取り組みを記載した上で、その証拠として運用の記録を添付・参照するのが基本的な使い方です。運用の記録を添付していないからといって適合度が下がることはないため、まずは「自社の取り組み状況」に取り組み内容を記載してください。

バーチャル審査¶

「バーチャル審査」は、審査に向けてAIのフィードバックを得るための機能です。「自社の取り組み状況」を保存したとき、または運用の記録を追加・削除したときに自動で実行されます。

結果の見方¶

バーチャル審査を実行すると、次の内容が表示されます。

適合度: チェック項目の判定をまとめた結果（A／B／C）
チェック項目の件数: 「満たしている」「不足」「追加確認」「対象外」ごとの件数
チェック項目ごとの判定: 確認内容、判定理由または根拠となる記載、必要に応じた次のアクション

チェック項目は判定ごとにまとめて表示されます。各判定を開き、どのチェック項目に対応が必要なのかを確認してください。

確認対象¶

AIは、当該評価基準に書かれている事項を、自社の取り組みがどの程度満たしているかを確認します。

主な確認対象は「自社の取り組み状況」に入力された内容です
「運用の記録」に添付された内容は、「自社の取り組み状況」の本文から参照されている場合に確認対象に含めます
他の評価基準で書いた内容は、「評価基準1-1-1-1に記載しています」のように、当該評価基準の「自社の取り組み状況」へ参照先を明示すると確認対象に含まれます

適合度¶

判定	読み方	状態
A	充足	対象となるチェック項目をすべて満たしている、またはすべて対象外である状態
B	一部充足	対象となるチェック項目の一部を満たしている状態
C	未充足	対象となるチェック項目を一つも満たしていない状態

チェック項目ごとの判定¶

判定	状態	確認すること
満たしている	チェック項目で求められる内容を実施していることが確認できた	「判定理由」に表示される根拠の記載が、自社の実態と一致しているか確認する
不足	チェック項目の「確認内容」で求められている内容を実施していない、または取り組み内容に記載されていない	判定理由と「次のアクション」を確認し、必要な対策を実施する。実施済みで記載だけが足りない場合は、事実を確認して追記する
追加確認	仮置きの記載などがあり、実施しているか判断できない	実態を確認し、仮置きのままにせず正しい内容へ修正する
対象外	チェック項目の対象外条件に該当する	対象外とする前提が、自社の実態と一致しているか確認する

適合度の判定について

方法・頻度・担当・対象範囲・実績などは、チェック項目の「確認内容」に記載されている場合に判定対象になります。「確認内容」で求められていない具体性や、運用の記録を添付していないことだけを理由に、適合度が下がることはありません。

結果を確認した後の対応¶

「不足」または「追加確認」の項目を開き、判定理由と次のアクションを確認します。実際の対応が不足している場合は、文章だけを修正せず、必要な対策を実施してから実態に合わせて更新します。
運用の記録も同様で、添付しただけでは判定に活きません。本文から「どの記録に記載しているか」を参照することで、AIがその内容を評価に含めやすくなります。
「情報セキュリティ管理規程に記載しています」「アクセス権台帳で管理しています」のように明示的に参照している場合は、参照先の内容も確認しやすくなります。
添付ファイルの有無だけで適合度が上がるわけではありません。「自社の取り組み状況」のテキスト内容を中心に、添付した運用の記録とつながる形で説明します。
Aを目指すために、実施していない内容を無理に書く必要はありません。未実施の場合は、現状を正しく書き、必要な対応をタスク化します。

実行のタイミング¶

バーチャル審査は、次のタイミングで自動的に実行されます。そのため、基本的には手動でボタンを押す必要はありません。

「自社の取り組み状況」を「下書き保存」したとき
「運用の記録」を追加・削除したとき

「自社の取り組み状況」が未入力の場合は、審査する取り組み内容がないため実行されません。まだ一度も実行していない評価基準では、「まだバーチャル審査を実施していません。」と表示されます。

確定済みの評価基準¶

確定済みの評価基準では、バーチャル審査は自動・手動のいずれでも実行されません。「運用の記録」の追加・削除もできなくなります。修正が必要な場合は、一度「確定」を解除してから行ってください。

留意事項¶

注意

SCS評価制度の評価用ガイドは、2026年10月に公開予定です。制度の詳細公開や変更に伴い、AIのフィードバック内容は変わる可能性があります。

バーチャル審査の結果は現時点の補助情報として扱い、最終的には自社の実態、証跡、制度公開後の要件に照らして確認してください。

確定¶

「確定」は、評価基準に対する取り組みが完了した状態にする機能です。

いつ確定するか¶

一通り記載内容を確認し、実態と合っている状態になったら「確定」します
社内で承認フローがある場合は、承認者が「確定」を押すことで、変更・承認の記録を残せます
審査前に、すべての評価基準を「確定」にしておくことをお勧めします

確定するとどうなるか¶

「確定」すると、その評価基準の対応が完了した状態になり、ホームの達成率が上がります。確定時に未保存の変更がある場合は、自動的に保存されてから確定されます。

確定後は、その評価基準の「自社の取り組み状況」が編集できなくなり（読み取り専用）、「AIで生成」「下書き保存」「バーチャル審査」も実行できなくなります。「運用の記録」の追加・削除もできなくなります。また、確定操作は操作ログ（管理者向け）に記録され、誰が確定したかの記録が残ります。

確定の解除¶

「確定」はいつでも解除できます。解除すると再び編集や「バーチャル審査」ができるようになります。

タスク¶

各評価基準に紐づく形で、タスクを管理できます。評価基準では、定期的な実施（例：年に1回など）を求めているものも多くあります。タスク機能を活用することで、漏れなく実施するように管理できます。

作成したタスクは、タスク管理でまとめて確認・絞り込みができます。

タスク登録時に入れるとよい項目¶

項目	書き方
タイトル	何を完了すればよいかを短く書く
期限	審査日や社内締切から逆算する
担当者	実際に動ける人を指定する
ステータス	未着手、進行中、完了などで管理する
詳細	背景、必要な作業、完了条件を書く