評価基準 No.3-2-1-3
脆弱性の管理体制
原文要求事項と評価基準
要求事項 No.3-2-1 脆弱性の管理体制
脆弱性の管理体制、管理プロセスを定め、それに基づく管理を行うこと。
評価基準 No.3-2-1-3（★4）
・収集した脆弱性情報/脅威情報の対応要否判断基準・対応手順を定めること。
出典
出典：SCS-400 ★3・★4 要求事項・評価基準（Ver.1.1、2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、シート「★3・★4要求事項・評価基準」55 行目、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-400-criteria-v1.1.xlsx。2026-11-03 取得
原文対象外となるための条件・適合基準
対象外となるための条件
該当なし
適合基準
①収集した脆弱性情報/脅威情報の対応要否判断基準及び対応手順を定めていること。
出典
出典：SCS-410 ★3・★4 自己評価等ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.3-2-1-3、47〜48 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-410-self-assess-guide-v1.0.pdf#page=47。2026-11-03 取得
原文自己評価方法（SCS-410）
①脆弱性管理規程等を確認し、収集した脆弱性情報/脅威情報の対応要否判断基準及び対応手順を定めていることを確認するとともに、その基準及び手順の文書名を確認する。
出典
出典：SCS-410 ★3・★4 自己評価等ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.3-2-1-3、47〜48 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-410-self-assess-guide-v1.0.pdf#page=47。2026-11-03 取得
原文第三者評価の評価手法（SCS-420）
▶質問
収集した脆弱性情報/脅威情報の対応要否判断基準及び対応手順を定めた文書の文書名を質問する。
▶閲覧
収集した脆弱性情報/脅威情報の対応要否判断基準及び対応手順を定めた文書が実在することを確認する。
▶観察
原則として実施しない。
出典
出典：SCS-420 ★4 第三者評価ガイド（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.3-2-1-3、56 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-420-3rdparty-assess-guide-v1.0.pdf#page=56。2026-11-03 取得
公式解説SCS-620 の解説
どのような文書に記載することが考えられるか？
・脆弱性情報対応マニュアル等に記載することが考えられる。
出典
出典：SCS-620 ★3・★4 要求事項・評価基準 解説書（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.3-2-1 【解説】、58 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf#page=58。2026-11-03 取得
どのような観点で「対応要否判断基準」を定めることが考えられるか？
・対象となる情報資産の以下のような特性を考慮して判断することが考えられる。
-インターネット接続の有無
-重要情報の取扱いの有無
-システム停止の許容範囲
出典
出典：SCS-620 ★3・★4 要求事項・評価基準 解説書（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.3-2-1 【解説】、58 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf#page=58。2026-11-03 取得
どのような観点で「対応手順」を定めることが考えられるか？
・情報システムの変更管理プロセス及び手順を考慮して定義することが考えられる。
・対応手順は、4-4-4-2 及び 4-4-4-3 も踏まえたものとしなければならない。
出典
出典：SCS-620 ★3・★4 要求事項・評価基準 解説書（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.3-2-1 【解説】、58 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf#page=58。2026-11-03 取得
参考となる資料はあるか？
・以下の資料が参考となる。
-脆弱性対策の効果的な進め方（実践編）第 2 版（IPA）(https://www.ipa.go.jp/security/reports/technicalwatch/hjuojm0000006nd2-att/000071660.pdf)
出典
出典：SCS-620 ★3・★4 要求事項・評価基準 解説書（2026-10-28 公表）、独立行政法人情報処理推進機構（IPA）、別紙 No.3-2-1 【解説】、58 ページ、https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf#page=58。2026-11-03 取得
関連
改訂
この評価基準に関わる公式の改訂の記録はありません。