SCS評価制度の★3と★4は、2027年3月ごろに始まる予定です。申請方法や費用はまだ公表されていませんが、社内のIT資産や基本的な対策については、制度開始前から確認できます。
IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」には、情報資産の管理や社内規程に使えるひな形が用意されています。これらはSCS取得を保証するものではありませんが、自社の現状を把握する際の参考になります。
責任者と対象範囲の確認
セキュリティ製品や支援サービスを選ぶ前に、経営判断を行う責任者と実務担当者を決めてください。担当が明確でないまま対策を導入すると、更新や点検が続かなくなることがあります。
退職者のアカウント削除、機器の更新、バックアップの確認、事故発生時の連絡など、日常の作業を誰が担当するのかも明記してください。専任担当者を置けない場合は、委託先への連絡を誰が行うのかまで決めておくと、対応が止まりにくくなります。
制度開始前に確認できる6項目
- 経営責任者、実務担当者、緊急時の連絡先の確認
- 端末、クラウド、アカウント、外部公開資産の一覧化
- IPA「5分でできる情報セキュリティ自社診断」による現状確認
- 基本方針、資産管理台帳、従業員向け手順の見直し
- バックアップ、アクセス権、ログ、更新、教育の運用
- 取得ガイド公表後のSCS要求事項との比較
一度にすべて進める必要はありません。管理している機器やサービスの一覧がない場合は、まず現状を把握するところから始めてください。その後、自社診断の結果を参考に、影響が大きい項目から担当者と対応時期を決めてください。
ひな形は自社の運用に合わせる
ガイドライン第4.0版は、個人事業主や小規模事業者も対象としています。従来の「情報セキュリティ5か条」にはバックアップが加わり、「情報セキュリティ6か条」となりました。不要な外部通信の遮断や、Webサイトの安全な運用に関する項目も自社診断へ反映されています。
公開されている規程や台帳のひな形をそのまま保存するだけでは、実際の運用にはつながりません。利用しているサービス、社内の承認方法、事故時の連絡先に合わせて内容を調整してください。
ガイドラインに沿って対策を行っても、★3や★4の取得が保証されるわけではありません。正式な取得ガイドが公表された時点で、SCSの要求事項と自社の対策に違いがないか、改めて確認してください。