評価基準 No.1-2-2-1
サイバー攻撃の監視・分析体制

段階 ★4
NIST CSF の機能 統治(GV)
対象版 SCS-400 Ver.1.1（2026-10-28）
版を固定した URL

原文要求事項と評価基準

要求事項 No.1-2-2 サイバー攻撃の監視・分析体制

サイバー攻撃及び予兆を監視・分析をする体制を整備すること。

評価基準 No.1-2-2-1（★4）

・サイバー攻撃及び脆弱性に関する公開情報又は非公開情報を活用する体制を整備すること。

出典

出典：SCS-400 ★3・★4 要求事項・評価基準（Ver.1.1、2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、シート「★3・★4要求事項・評価基準」10 行目、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-400-criteria-v1.1.xlsx。2026-11-03 取得

原文対象外となるための条件・適合基準

対象外となるための条件

該当なし

適合基準

①サイバー攻撃及び脆弱性に関する公開情報又は非公開情報を収集していること。

②①で収集した情報を活用するための体制（情報収集後の手順等）を整備していること。

出典

出典：SCS-410 ★3・★4 自己評価等ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.1-2-2-1、22 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-410-self-assess-guide-v1.0.pdf#page=22。2026-11-03 取得

原文自己評価方法（SCS-410）

①サイバー攻撃及び脆弱性に関する情報を入手する情報源としてどのようなものを利用しているかを確認する。

②サイバー攻撃及び脆弱性に関する公開情報又は非公開情報を収集した後のプロセス等を確認し、これらの情報を活用するための体制（情報収集後の手順等）を整備していることを確認する。

出典

原文第三者評価の評価手法（SCS-420）

▶質問

①サイバー攻撃及び脆弱性に関する公開情報又は非公開情報の情報収集源を質問する。

②上記で収集した情報を活用するための体制（情報収集後の手順等）を質問する。

▶閲覧

原則として実施しない。

▶観察

原則として実施しない。

出典

出典：SCS-420 ★4 第三者評価ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.1-2-2-1、24 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-420-3rdparty-assess-guide-v1.0.pdf#page=24。2026-11-03 取得

公式解説SCS-620 の解説

脆弱性情報やサイバー攻撃動向の把握にあたり、どのような公開情報の活用が考えられるか？

・脆弱性情報やサイバー攻撃動向の把握に当たっては様々な情報源の活用が考えられるが、例えば、以下のような国内外の公的機関やセキュリティベンダー等が公開する情報を参照することが考えられる。

-IPA：重要なセキュリティ情報（https://www.ipa.go.jp/security/security-alert/）

-IPA：サイバーセキュリティ注意喚起サービス「icat for JSON」（https://www.ipa.go.jp/security/vuln/icat.html）

-JVN：Japan Vulnerability Notes（https://jvn.jp/）

-JVN iPedia：脆弱性対策情報データベース（https://jvndb.jvn.jp/）

-JPCERT/CC：注意喚起（https://www.jpcert.or.jp/at/2026.html）

-CISA：KEV Catalog（https://www.cisa.gov/known-exploited-vulnerabilities-catalog）

-NIST：NVD（https://nvd.nist.gov/）

出典

出典：SCS-620 ★3・★4 要求事項・評価基準解説書（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.1-2-2 【解説】、33 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf#page=33。2026-11-03 取得

公開情報以外に、どのような手段でサイバー攻撃や脆弱性に関する情報を収集することが考えられるか？

・公開情報以外では、例えば、利用している製品・サービスのベンダーから契約者・利用者等に限定して通知される脆弱性情報やサイバー攻撃に関する情報、業界団体等において会員等に限定して共有される情報、政府機関等から共有される情報を利用することが考えられる。

出典

入手した情報を自組織で活用するために、どのような方法が考えられるか？

・入手した脆弱性情報等が自社に影響するかどうかを判断するため、No.3-1-1 及びNo.3-1-2 で把握した自社の情報機器、ソフトウェア、ネットワーク機器等の情報と照合し、影響の有無を確認することが考えられる。なお、インターネット上に公開されている自社の IT 資産を把握する方法については、No.3-1-2-2 関連の解説も参照されたい。

・脆弱性対策情報共有フレームワーク（MyJVN）を活用し、脆弱性対策情報を効率的に収集することができる（脆弱性対策情報収集ツール（mjcheck）、MyJVN API）。

-JVN iPedia：脆弱性対策情報共有フレームワーク（MyJVN）（https://jvndb.jvn.jp/apis/myjvn/）

出典

改訂

この評価基準に関わる公式の改訂の記録はありません。

評価基準 No.1-2-2-1サイバー攻撃の監視・分析体制