SCS評価制度の別紙の読み方｜適合基準・自己評価方法・解説を1件で重ねる

連載「SCS専門家の資料を全部読む」の第9回です。第1部の最後の回になります。

前回までで、シートの形と確認の読み方がそろいました。次回からは、★3の評価基準81件を別紙で読んでいきます。その前に、別紙の読み方を決めておきたいと思います。

題材は、パスワードの漏えいが分かったときの手順を定める4-1-6-2です。身近な1件を全部の資料で通して読むと、部品ごとに言い方の強さが違い、適合基準の文も3通り見つかりました。気になったので、資料どうしが「同一である」と書いている部分を153件すべて突き合わせています。その結果も載せました。

---

別紙は、1つの評価基準を7つの部品に分けて書いている

先に結論です。SCSの評価基準は、1つの資料だけでは読み切れません。部品が7つあり、載っている資料が分かれています。すべての行に7つとも中身があるわけではなく、質問事項のない行もあります。

別紙の冒頭は、ガイド・解説書・第三者評価ガイドのそれぞれにあります。そこに書かれた役割を、部品ごとに並べました。

部品	示すもの	言い方の強さ（「」は原文）
評価基準	要求事項を満たしていると判断するための基準	「〜すること」
対象外となるための条件	その評価基準を対象外にできる条件	申告が確認責任者又は評価機関に妥当と認められた場合に「限り」。「該当なし」は「原則として」対象外にできない
適合基準	どのようなことがなされていれば適合と判断できるか	複数あれば「原則として全ての基準を満たす必要がある」（「やむを得ず」に該当する場合は除く）
自己評価方法	適合基準への適合性を確かめる方法	「あくまで例示」。参考に実施することが「望ましい」
質問事項（シート）	確認や第三者評価のために回答を準備する問い	回答は確認の「基礎的な材料」（ガイド3.2）
【解説】（解説書）	実施方法や解釈に迷うと考えられる箇所の解説	解説書の別紙で「新たに記述した項目」。強さは文ごとに違う
評価手法（第三者評価ガイド）	★4の評価で何を質問・閲覧・観察するか	「原則として確保すべき最低限の評価方法」

出典：自己評価等ガイド SCS-410 別紙の冒頭（p.16-17）・3.2、解説書 SCS-620 別紙の冒頭（p.27）、第三者評価ガイド SCS-420 別紙の冒頭（p.17-18）をもとに筆者が要約。

判定に直接かかるのは適合基準です。第1回の「判定はガイド、考え方は解説書」を、1件の粒度に下ろすとこうなります。適合基準が線を引き、自己評価方法はその線の確かめ方の例を示し、【解説】は線の周りを説明する。筆者はこの関係で読んでいます。

自己評価方法は「例示」。ただし軽くは読めない

別紙の冒頭は、自己評価方法を「あくまで例示」と書いています。例と違う確かめ方をしたからといって、直ちに不適合とは読めません。

一方で、ガイド3.2は少し違う言い方をしていました。登録を希望する組織は、別紙で提示される自己評価方法を「満たす記述がなされていることを確かめたうえで」確認を依頼する、という文です。例示なのに「満たす」。この2つの重ね方は書かれていません。

筆者は、例と同じ方法でなければならない、という意味ではないと読みました。ただ、3.2は「満たす記述」を確かめるよう書いています。別の方法で確かめたなら、どう確かめたかを説明できるようにしておくと、3.2との関係も示しやすそうです。

対象外の条件の文は、シートに載っていない

配布シートで見ると、対象外の欄にあるのは、○を付ける列と、理由を書く列だけです。条件の文そのものは載っていません。ガイド3.1.2も、条件は別紙を参照するよう書いています。

★3の81件のうち、ガイドの別紙に条件が書かれているのは、筆者が数えたところ14件でした。残りの67件は「該当なし」で、原則として対象外にできません。例外は1つです。確認責任者がIT基盤の状況等に鑑みて妥当と判断した場合は、その理由を記録した上で認められます。

別紙の冒頭には、全件にかかる文がある

冒頭には、全件にかかる読み替えも書かれています。第1回で読んだガイド1.2の定義と同じ向きの文で、自己評価方法の読み方が変わります。

• 「文書」「記録」「設定画面等」には、管理コンソールの表示、システムが自動で生成する記録、ログ、製品の仕様書なども含む
• 紙の文書に限らず、ワークフローの文書一覧や設定画面のスクリーンショットでも確認できる
• 製品の仕様書で確認するときは、その製品が実際に導入され、対象に適用されていることも、資料で併せて確認する
• 「周知」「教育・研修」は、掲示板、メール、eラーニングなど、規模や環境に応じて伝わる手段を選ぶ。複数の手段の組み合わせを必ずしも求めていない

意外と見落としそうなのは3つ目です。仕様書を読んだだけでは、ガイドの確かめ方に足りません。

1件を読む順番を決める

部品が分かれているなら、読む順番も決めておきたいところです。筆者は次の順で読むことにしました。制度が示した順番ではありません。第1回の順番は食い違いを見つけたときのもので、こちらはふだんの1件を読むときのものです。

順	部品	見ること
1	評価基準	動詞を見る。「定める」のか「実施する」のか「点検する」のか
2	対象外の条件	対象外にできる基準か。条件の文をそのまま読む
3	適合基準	判定の線。①②のどれかが欠ければ、原則として足りない
4	自己評価方法	線の確かめ方の例。適合基準にない言葉が出てきたら印を付ける
5	【解説】	「求めるものではない」「考えられる」「望ましい」などの語尾を書き写す。線の内側の話か外側の話かを分ける
6	シートの質問事項	確認者の手元に何が届くか。質問がない行ではないか
7	評価手法	★4ならどこまで見るか。★3の確認で見ないものの輪郭が分かる

7は、★3の確認に直接かかるものではありません。★4の評価機関向けの資料です。それでも読むのは、第三者評価ガイドの別紙に★3の81件も載っているからです。★3の81件について筆者が数えると、質問は全件、閲覧は41件、観察は9件で指定があり、残りは「原則として実施しない」でした。

4-1-6-2を全部の資料で読む

題材の4-1-6-2は、★3連載の第4回で「パスワードのルール」としてまとめて触れた基準です。部品を順に重ねます。

部品	書かれていること（「」は原文）
評価基準	「パスワードの漏えいが判明した場合、又はその疑いがある場合に速やかにパスワードを変更するための手順を定めること。」
対象外の条件	「ユーザ認証にパスワードを利用しない場合」
適合基準①	「パスワードの漏えいが判明した場合又はその疑いがある場合に該当する状況（例：利用しているサービスの提供者からの通知、取引先からの連絡）を定めていること。」
適合基準②	「①の場合に、速やかにパスワードを変更する手順を定めていること。」
自己評価方法①	認証・パスワード管理規程等を確認し、「漏えいが判明した場合又はその疑いがある場合となる要件及び漏えい又は漏えいの疑いを検知する方法を定めていること」と、そのルールの文書名を確認する
自己評価方法②	同じ規程等で、①の場合に速やかに変更する手順を定めていることと、そのルールの文書名を確認する
【解説】	「漏えいを能動的に検知する仕組みを設けることまでを求めるものではない」。漏えいは、サービスの提供者からの通知、取引先からの連絡、報道等で判明する場合が多い。より早期に把握する方法の例として、パスワード管理アプリの漏えいチェック機能と、Have I been Pwned などの検索サイトでの定期的な確認
シートの質問事項（配布Excelで確認）	①の行は質問なし。②の行は、手順の文書名
評価手法（★4）	質問は手順の文書名。閲覧は手順が実在することの確認。観察は「原則として実施しない」

出典：ガイド別紙 p.63、解説書 別紙 p.71、第三者評価ガイド別紙 p.75-76、アセスメントシート SCS-410AP（★3用）。

動詞は「定める」なので、求めているのは文書です。訓練や実施の記録までは、この基準の文には出てきません。読み比べて引っかかった点が、4つありました。

「検知する方法」は、どこまで要るのか

いちばん引っかかったのは、自己評価方法①です。適合基準①が求めているのは「状況」の定めでした。ところが自己評価方法①は、「要件」と「検知する方法」を確かめると書いています。どちらも適合基準にない言葉です。

文字どおりに読むと、漏えいを検知する仕組みが要るように見えます。ここで効くのが【解説】でした。能動的に検知する仕組みを設けることまでは求めていない、と書いています。チェック機能や検索サイトは「より早期に把握するための方法」の例として出てくるだけです。

3つを重ねた筆者の読みは、次のとおりです。

線	中身	根拠
要る	どんな状況を漏えい又はその疑いとして扱うかの定め。そのときの変更手順	適合基準①②
確かめ方の例	「検知する方法」。通知や連絡を、漏えい又はその疑いとして扱う状況に定めるのは、適合基準①の例や【解説】に沿った読み方に見える。ただし、それだけで常に足りるとは書かれていない	自己評価方法①（例示）
求められていない	能動的に検知する仕組み	【解説】
あれば早い	漏えいチェック機能、検索サイトでの定期的な確認	【解説】の例

たとえば規程に「パスワードが漏えいしたら速やかに変更する」の1文しか書かれていない場合を考えます。ほかの規程や手順書にも定めがなければ、②には近いものの、①の状況が書かれていないことになります。逆に、チェック機能を入れていなくても、それだけで足りないとは読めません。どちらも筆者の読みで、資料が示した例ではない点には注意してください。

なお、個人向けの話になりますが、この検索サイトの偽サイトの確かめ方は別の記事にまとめています。社内の手順に載せるなら、URLまで書いておくと迷いにくいはずです。

適合基準①の文が、資料によって3通りある

次に、★4用シートを開いて手が止まりました。適合基準①の文が違ったからです。

資料	適合基準①の文
ガイド別紙、★3用シート	…に該当する状況（例：利用しているサービスの提供者からの通知、取引先からの連絡）を定めていること。
第三者評価ガイド別紙	…に該当する状況（例：利用しているサービスの提供者からの通知、取引先からの連絡、報道等）を定めていること。
★4用シート	…となる要件及び漏洩又は漏洩の疑いを検知する方法を定めていること。

出典：ガイド別紙 p.63、第三者評価ガイド別紙 p.75、アセスメントシート SCS-410AP（★3用・★4用。筆者が配布Excelで確認）。

★4用シートの文は、自己評価方法①の言葉とそろっています。もともとこの形だった適合基準が「状況」に書き直され、自己評価方法と★4用シートに元の言葉が残った、と見ることもできます。ただ、これは筆者の推測です。経緯を書いた資料は見つけていません。

確認者の手元に届くのは、手順の文書名だけ

シートの①の行には質問がありません。前回読んだ「質問がない19行」の1つです。②の行の質問も、手順の文書名だけでした。

確認者が読めるのは、①の「適合」の一語と、②の文書名です。状況を定めているかどうかは、シートからは読めません。前述の1文だけの規程でも、シートの見た目は同じになります。

★4では閲覧で手順の実在を確かめます。ただ、評価手法の文は「手順が実在することを確認」までです。①の状況の定めまで読むかは、この文には書かれていません。

4-1-6-2の該当箇所に書かれていないこと

4-1-6-2の該当箇所を全部の資料で重ねても、書かれていないことが2つ残りました。

• 「速やかに」の長さ。日数や時間は書かれていません
• 「ユーザ認証にパスワードを利用しない場合」の範囲。適用範囲のすべてで使わない場合なのか、一部でも当たるのかは、該当箇所に書かれていません。同じ文が4-1-5-2〜4-1-5-5と4-1-6-1〜4-1-6-3の7件に並びます

「同一である」を153件で突き合わせた

4-1-6-2の差を見て、ほかにもあるのかが気になりました。別紙の冒頭とシートの列見出しは、部品ごとに「同一」と書いています。

部品	同一とされている資料
対象外の条件	ガイド別紙、第三者評価ガイド別紙
適合基準	ガイド別紙、シート、第三者評価ガイド別紙
自己評価方法	ガイド別紙、シート

ガイド3.1.2にも、適合基準と自己評価方法はシートに「そのまま記載している」とあります。

そこで、2026年10月29日の版で153件を突き合わせました。PDFから抜き出した文字と、配布Excelのセルを機械で比べ、差が出た箇所を1件ずつ原文で読んでいます。漏えいと漏洩、全てとすべて、サーバとサーバーのような表記の違いは除きました。どこまでを表記の違いと見るかは、筆者の判断です。

残ったのは13件でした。★3が5件、★4だけの基準が8件です。

部品	評価基準	ガイド別紙	シート	第三者評価ガイド別紙
対象外の条件	7-1-1-1（★3）、7-1-1-2（★4）	該当なし	（条件の列なし）	事業継続上重要なシステムが存在しない場合
対象外の条件	3-1-5-2、3-1-5-3（★4）	該当なし	（条件の列なし）	リモートワークを行う役員、従業員、派遣社員及び受入出向者が存在しない場合
対象外の条件	4-1-8-1〜4-1-8-4（★4）	該当なし	（条件の列なし）	自社オンプレミスサーバを開発、保有していない場合
適合基準	3-1-3-2（★3）	合意を取り交わすことが困難な場合は、公開情報又は説明書等で機密情報の取扱いを確認する、の一文がある	ある	ない
適合基準	4-1-3-3（★3）	IPアドレスは信頼できるネットワークからのアクセスの補助手段に限る、の注意がある	ない（自己評価方法の欄も）	ある
適合基準	4-1-6-2（★3）	状況	★3用は状況。★4用は要件と検知する方法	状況。例に「報道等」が加わる
適合基準	4-4-4-1（★3）	リスクを低減する対策	リスクを低減する対策	「No.4-4-4-2 の適合基準で求める」リスクを低減する対策
自己評価方法	5-1-2-1（★4）	注記なし	一覧は個別の列挙に限らず合理的な単位で作成できる、の注記がある	（部品なし）

出典：自己評価等ガイド SCS-410・第三者評価ガイド SCS-420 の別紙、アセスメントシート SCS-410AP（いずれも2026年10月29日の軽微な修正版）を、筆者が突き合わせたもの。シートの列は配布Excelで確認しました。3-1-5-1は、ガイドの別紙にも同じ条件があります。

効き方は、件によって違いました。

対象外の条件は、第三者評価ガイドのほうが広くなっています。ガイドの「該当なし」でも、妥当と判断されれば理由を記録して対象外にできるので、結論は近づくかもしれません。ただ、道が違います。条件に合致する申告で済むのか、例外の判断と理由の記録が要るのか。★3で当たるのは7-1-1-1です。第6回では、分類を使う★3の4件のうち、対象外の条件があるのは4-1-3-2だけと書きました。これはガイドの別紙に沿った話で、第三者評価ガイドでは7-1-1-1にも条件があります。★4の7-1-1-2も同じです。

4-1-3-3は、シートだけでは足りない例です。シートの文では、IPアドレスに限定が付きません。解説書にも同じ趣旨の注意があるので、ガイドと解説書を読めば気づけます。

3-1-3-2は、利用規約で使うクラウドの話でした。第三者評価ガイドの文だけを読むと、合意を取り交わす一本道に見えます。ただ、解説書には、個々に合意文書を取り交わせない場合は開示された要件や利用規約に沿ってリスクを確認することが考えられる、とありました。

差を見つけたら、どう読むか

ガイドと第三者評価ガイドのどちらの文が優先するかを決めた規定は、確かめた範囲では見当たりません。第2回で読んだ評価機関指定基準の優先関係の条文（1.4）にも、自己評価等ガイドは挙がっていませんでした。筆者は当面、次のように読みます。これも筆者の読み方です。

場面	読み方
★3の確認	ガイド別紙を本体として読む。シートはガイド附属の「参考様式」なので、シートに注意書きがなくても、ガイドの文を落とさない
★4を目指す組織	両方の文を確認し、違いが残る箇所は評価機関に事前に確かめる。説明と根拠の資料も整理しておく
差そのもの	版と箇所を書いて保留する。修正で揃う可能性がある

たとえば4-1-3-3なら、シートに注意書きがなくても、IPアドレスは補助手段として読みます。3-1-3-2で★4を目指すなら、合意を取り交わせる相手とは取り交わし、難しい相手は公開情報で確かめた記録を残しておくと、説明しやすそうです。記録は筆者の勧めで、資料が定めた義務ではありません。

★3の確認は、ガイドの第4章と別紙で進みます。第三者評価ガイドの文を持ち出す必要は、基本的になさそうです。ただ、2つの資料が同じ基準に別の文を持っていると知っていれば、助言の言葉は選びやすくなると考えています。

筆者の立場から：ISOの「管理策と手引」と並べて読む

ISMS連載で附属書Aを読んだとき（第15回）にも、似た分かれ方に出会いました。附属書Aは管理策の一覧で、ISO/IEC 27002は管理策の内容と実施の手引を示す規格です。

SCSに当てはめると、評価基準が管理策の文、自己評価方法と【解説】が手引に近い位置に見えます。

違うのは、適合基準の段があることでした。連載で読んだ範囲では、ISMSの管理策ごとに「これがなされていれば適合」と書いた文には出会っていません。SCSは基準ごとに線の文を置いています。★3は自己評価が土台の段階なので、多くの組織が同じ線を読めるように書いた、と筆者は受け取りました。

裏返すと、線の文は複数の資料に写されます。写す先が増えれば、そろえる手間も増える。今回の13件も、そういう性質のものではないかと考えています。もちろん、これは推測です。

筆者には、監査を受けた経験も、した経験もありません。ここに書いたのは、2つの制度の資料を読み比べた感想です。

注意点

13件は、筆者の突き合わせの結果

比べたのは本文の文字で、解説書に転記された評価基準は対象にしていません。表記の違いとして除いた中にも、意味の差と読める箇所があるかもしれません。どちらかが誤りだと言うものではなく、2026年10月29日の版での結果です。修正で変わる可能性があります。

【解説】は、語尾で重さが変わる

4-1-6-2の【解説】は、求める範囲を絞る文でした。反対に、第1回で読んだ4-4-4-2の【解説】には「しなければならない」がありました。解説の文書だから参考に読めばよい、とは片づけられません。語尾を書き写すのは、そのためです。

「やむを得ず」は、広い例外ではない

適合基準の「原則として全て」の例外は、「やむを得ず」に該当する場合です。★3の適合基準でこの言葉があるのは、4-1-1-2、4-1-2-2、4-4-4-1、4-4-4-2の4件でした。どれも基準の文の中に、やむを得ない場合の扱いが書かれています。事情があれば適合基準を外してよい、という読み方は難しそうです。

まとめ

• 1つの評価基準は、評価基準・対象外の条件・適合基準・自己評価方法・質問事項・【解説】・評価手法の7つの部品を重ねて読む
• 適合基準が判定の線、自己評価方法は「あくまで例示」、【解説】は線の周りの説明。ただしガイド3.2は「自己評価方法を満たす記述」と書いている
• 対象外の条件の文はシートに載っていない。★3でガイドに条件があるのは、筆者が数えたところ14件
• 読む順番は、評価基準、対象外の条件、適合基準、自己評価方法、【解説】、質問事項、評価手法（筆者の読み方）
• 4-1-6-2の【解説】は、能動的に検知する仕組みまでは求めていない。通知や連絡を状況として定めるのは適合基準①の例に沿った読み方に見えるが、それだけで常に足りるとは書かれていない
• 4-1-6-2の適合基準①は資料によって3通りあり、シートの①の行に質問はない
• 「同一である」と書かれた部分を筆者が153件で突き合わせると、表記の違いを除いて13件に差が残った（2026年10月29日の版）
• 差を見つけたら、★3はガイド別紙を本体として読み、版と箇所を書いて保留する。これは筆者の読み方で、公式の優先順位ではない。ガイドと第三者評価ガイドのどちらが優先するかの規定は、確かめた範囲では見当たらない

次回から第2部です。★3の評価基準を、統治・取引先の12件から、この順番で読みます。

引っかかった点

• 自己評価方法は「あくまで例示」なのに、ガイド3.2が「満たす記述」と書いていること
• 4-1-6-2の自己評価方法①が、適合基準①と違う言葉で書かれていること
• 「同一である」と書かれた資料に、意味に関わる差があること
• 7-1-1-1を対象外にする道が、ガイドと第三者評価ガイドで違うこと
• 「ユーザ認証にパスワードを利用しない場合」が、どの範囲を指すのか

参考にした一次資料

• IPA「★3・★4 要求事項・評価基準」（要求事項・評価基準 SCS-400 Ver.1.1、自己評価等ガイド SCS-410 v1.0 の3.1.2・3.2・別紙、アセスメントシート SCS-410AP、★4 第三者評価ガイド SCS-420 v1.0 の別紙。どれも2026年10月29日の軽微な修正版）
• 同じページの解説書 SCS-620 v1.0（2026年10月28日）の第1章・別紙の冒頭・別紙3-1-3・4-1-3・4-1-6
• IPA「SCS評価制度 制度規程・委員会」（評価機関指定基準 SCS-310 の1.3・1.4）

この記事は2026年11月7日時点で確認した内容です。IPAのページの最終更新日は2026年10月29日でした。制度は詳細化が進んでいる段階で、資料が修正される可能性があります。判断の前に、必ず一次資料で最新の状態を確認してください。