SCS-410 ★3・★4 自己評価等ガイド

第1章 はじめに

1.1 本ガイドの位置づけ

本ガイドは、「サプライチェーン強化に向けたセキュリティ対策評価制度」（以下「SCS 評価制度」又は「本制度」という。）における★3 又は★4 の登録希望組織又は登録組織が行う取得単位及び適用範囲の決定、同組織が行う自己評価、並びに★3 確認責任者等が行う確認に関する手続きを示すものである。

1.2 用語定義

本ガイドで使用する用語は、特段の定めがない限り、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS 評価制度）基本規程」（以下「基本規程」という。）において使用する用語による。

なお、本ガイドにおいて、「文書」「記録」「台帳」「一覧」「申請・承認」には、情報システム上の設定、登録情報、ワークフローの記録、ログ、管理ツール及びそれらの画面表示や出力（スクリーンショット、CSV 等）を含む。

第2章 取得単位及び適用範囲の決定

2.1 取得単位及び適用範囲の決定に係る実施プロセス

登録希望組織は、自己評価等に先立ち、取得単位及び適用範囲を自らの責任と判断においてあらかじめ定める必要がある。取得単位及び適用範囲の考え方、設定事例については、「★3・★4 要求事項・評価基準 解説書」の第 3 章を参照されたい。

2.2 に示す通り、原則として、取得単位は法人又は個人事業主単位とする。事業部単位、企業グループ単位など取得単位を法人単位としない場合は、取得単位について、★3 確認責任者又は評価機関による妥当性の確認を受ける必要がある。また、登録希望組織は、取得単位に基づき設定した適用範囲について、★3 の登録に際しては★3 確認責任者、★4 の登録に際しては評価機関による妥当性の確認を受ける必要がある。

登録希望組織は、取得単位及び適用範囲について、★3 の登録に際しては★3 確認責任者、★4 の登録に際しては評価機関との間で合意した場合、文書確認等の後続の段階へ進むことができる。

2.2 ★3 確認責任者又は評価機関による妥当性の確認を要する事項

登録希望組織が定めた取得単位及び適用範囲の妥当性を確かめるために、★3 確認責任者又は評価機関は以下の事項について登録希望組織から適宜必要な情報の提供を受けつつ確認を行わなければならない。

（取得単位に関して確認を要する事項）

◼取得単位を法人又は個人事業主単位としていることを確認する。

◼事業部単位等、法人の一部を取得単位とする場合、以下を確認することで取得単位を事業部単位とすることに合理性があるかを確認する。

•事業部、事業所や部署等の組織区分及び当該組織区分におけるサイバーセキュリティ対策の責任者が明確になっているか

登録希望組織は、アセスメントシート等の「適用範囲に係る質問事項」において、取得単位とする組織区分及び当該組織区分におけるサイバーセキュリティ対策の責任者の設置状況を回答する。

★3 確認責任者又は評価機関は、登録希望組織から提供を受けたアセスメントシート等の記入内容を確認し、サイバーセキュリティ対策の責任者が明記され、当該責任者が取得単位の組織区分に所属する者であることを確認する。

•対象の事業部等は存立期間の定めのない（時限的なものではない）組織であるか★3 確認責任者又は評価機関は、登録希望組織から提供を受けたアセスメントシート等の記入内容を確認し、登録希望組織が取得単位とする組織区分がプロジェクト等の時限的なものでないことを確認する。

◼企業グループ単位等、取得単位に複数の法人を含む場合、以下を確認することで取得単位を企業グループ単位とすることに合理性があるかを確認する。

•取得単位に含まれる法人全てで共通の IT 基盤を利用しているか

登録希望組織は、アセスメントシート等の「適用範囲に係る質問事項」において、取得単位に含まれる法人全てにおいて共通の IT 基盤を利用しているかを回答する。

その際、当該 IT 基盤に加え、法人ごとに独自のシステム等を使用することを妨げるものではない。

★3 確認責任者又は評価機関は、登録希望組織から提供を受けたアセスメントシート等の記入内容を確認し、取得単位に含まれる法人全てにおいて共通の IT 基盤を利用している点が記載され、「★3・★4 要求事項・評価基準 解説書」の 3.3 で例示するような取得単位、適用範囲及び適用範囲外との境界を示す概要図や組織体制図等に当該 IT 基盤が明記されていることを確認する。

•共通のセキュリティ対応方針等が適用されているか

登録希望組織は、アセスメントシート等の「適用範囲に係る質問事項」において、取得単位に含まれる法人全てにおいて共通のセキュリティ対応方針が適用されているかを回答する。その際、当該方針に加え、法人ごとの事情に応じて独自の個別規程を定めることを妨げるものではない。

★3 確認責任者又は評価機関は、登録希望組織から提供を受けたアセスメントシート等の記入内容を確認し、共通のセキュリティ対応方針が適用されている点が記載されているかを確認する。

（適用範囲に関して確認を要する事項）

1.取得単位を踏まえた適用範囲の確認

適用範囲が、取得単位となる組織が利用する IT 基盤を含み、かつ当該組織が管理する資産のうち適用範囲から除外されているものとの境界を明示しつつ記載されているかを確認する。適用範囲となる IT 基盤に含み得るもの及び含まないものの解説については、「★3・★4 要求事項・評価基準 解説書」の 3.2 を参照されたい。

なお、「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（経済産業省・国家サイバー統括室、令和 8 年 3 月）2.2.2 制度の対象範囲に記載の「特定の業務領域によらず全体の業務に共通する IT 基盤」とは、人事管理システムや営業管理システムといった特定の業務のためのシステムだけを適用範囲とすることはできないという意味である。

本確認の実施に際しては、登録希望組織から「★3・★4 要求事項・評価基準 解説書」の 3.3 で例示するような取得単位、適用範囲及び適用範囲外との境界を示す概要図や組織体制図等の提供を受け、登録希望組織が利用する IT 基盤が適用範囲に含まれていること、当該組織が利用する資産のうち適用範囲に含めないこととしたものとの境界が明確に記述されているかを確かめることが考えられる。

図 1 取得単位及び適用範囲の概要図（例）
図は当サイトに載せていません。原本 PDF の 6 ページを見てください。

2.インターネット公開サーバ（Web サーバ、メールサーバ等）の取扱いに関する確認取得単位の組織が管理するインターネット公開サーバが全て適用範囲に含まれているかという点について確認を行う。

★3 登録にあたっては、図 1 に示す概要図又はネットワーク図等においてインターネット公開サーバが全て適用範囲に含まれていることを確認するほか登録希望組織の担当者へ質問を行うこと等が考えられる。

他方、★4 登録にあたっては、評価基準 No.3-1-2-3 で求められるネットワーク図においてインターネット公開サーバが全て適用範囲に含まれていることを確認しつつ、登録希望組織の担当者へ質問を行うこと等が考えられる。

3.適用範囲の境界を構成する機器等における保護施策の実施状況の確認

ネットワーク図等の閲覧又は登録希望組織の担当者への質問等により、適用範囲の境界を構成する機器等¹に対して、「★3・★4 要求事項・評価基準 解説書」3.3.3 に示す保護施策が講じられているかを確認する。

4.適用範囲から除外したものの妥当性の確認

登録希望組織が自組織の IT 基盤とみなし得るもののうち適用範囲から除外したものについて、「★3・★4 要求事項・評価基準 解説書」3.3.3 で示される考え方に基づき適用範囲との境界において保護施策が講じられているかを確認する。あわせて、除外した対象が具体的に記述されているかを確認する。

なお、適用範囲の確認について、第 3 章にて概要を示すアセスメントシートにおいて、「適用範囲に係る質問事項」を設定している。当該質問事項は上述の「適用範囲に関して確認を要する事項」に対応したものであり、登録希望組織は、自己評価の実施に際してそれらの質問事項についても回答を作成する必要がある。

★3 確認責任者又は評価機関による妥当性確認の結果、登録希望組織が設定した取得単位又は適用範囲に変更が必要と判断された場合、登録希望組織は必要な修正を行った上で改めて★3 確認責任者又は評価機関の確認を受ける。

第3章 アセスメントシート等の取扱い

3.1 アセスメントシートの位置づけ及び見方

3.1.1 アセスメントシートの位置づけ

登録希望組織は、要求事項・評価基準に対する遵守状況の自己評価を行い、★3 の登録にあたっては★3 確認責任者による内容の確認を、★4 の登録にあたっては評価機関による内容の確認を受ける必要がある。

自己評価の実施にあたって、登録希望組織は、本ガイド別紙「自己評価における適合基準等」に示す【自己評価方法】を参照し、要求事項・評価基準の遵守状況を確かめる必要がある。アセスメントシートとは、当該自己評価等の実施において、登録希望組織が作成する自己評価結果を記入する様式である。自己評価等における本シートの利用は任意とするが、自己評価等の実施にあたって準備すべき証跡やその他必要な情報等を事前に網羅的に把握するため、利用を推奨するものとする²。登録希望組織は、IPA の SCS 評価制度公式サイト（https://www.ipa.go.jp/security/scs/index.html）より後述する事項があらかじめ記載されたアセスメントシートのテンプレートをダウンロードすることができる。

★3 の取得にあたって、登録希望組織は、自組織内又は外部の★3 確認責任者に記入したアセスメントシート等³の確認を依頼する。依頼を受けた★3 確認責任者は受領したアセスメントシート等に必要事項がもれなく記載されているか及びその内容が妥当であるかを確認し、必要に応じて助言を行う。確認の結果、適用される全ての★3 要求事項・評価基準を満たしていると判断した場合は、★3 確認責任者は、受領したアセスメントシートに対して所定の確認を行った証として署名又は記名を行う。

★4 の取得にあたっては、アセスメントシート等の確認を評価機関に依頼する必要がある。

依頼を受けた評価機関は、アセスメントシート等に必要事項がもれなく記載され、かつ記載内容が妥当であるかを確認することにより、「文書確認」を行う。

なお、制度運営機関が提供するアセスメントシートを使用せず、独自の様式を用いて自己評価等を実施することも妨げないが、その際、当該様式は、アセスメントシートに含まれる各項目（以下に示すとおり）を含むものでなければならない。

①要求事項・評価基準

②各評価基準の内容が適用対象外となるかどうか及び適用対象外とする場合の理由を記入する欄

③各評価基準への自己評価結果（適合/不適合）を記入する欄

④アセスメントシートに記載されたものと同一の質問事項（「適用範囲に係る質問事項」を含む。）及び質問事項への回答欄

アセスメントシート等として独自の様式を用いる場合、★3 においては★3 確認責任者が確認の実施前に、★4 においては評価機関が第三者評価の着手前に、当該様式が①から④を含むことを確認するものとする。含まない場合は、登録希望組織に修正を求める。

3.1.2 アセスメントシートの見方

本ガイドにおいて様式として定めるアセスメントシートは、登録を希望する段階ごとに★3用と★4 用の 2 種類に分かれている。

アセスメントシートの構成は、★3・★4 で同一であり、大きく分けて以下 5 つの部分に分かれる。

①要求事項・評価基準

IPA の SCS 評価制度公式サイトで公表される★3・★4 要求事項・評価基準⁴を示す。

②評価基準に対する対象外

①における評価基準を対象外とする場合に、その旨及び対象外とした理由を記入する。

各評価基準が対象外となるための条件は、本ガイド別紙を参照されたい。

③適合基準・自己評価方法

本ガイド別紙に記述する適合基準及び自己評価方法をそのまま記載している。

④自己評価結果

③における適合基準のそれぞれについて、適合しているかどうかを記入する欄である。

⑤質問事項・回答欄

確認（★3）又は第三者評価（★4）の実施に際して回答を準備すべき質問事項を示すものであり、当該質問事項に対して登録希望組織は、「質問事項に対する回答欄」へ記入するものとする。

表 1 アセスメントシートの構成
この表は画像のため当サイトに載せていません。原本 PDF の 10 ページを見てください。

また、アセスメントシートには、「適用範囲に係る質問事項」が含まれており、登録希望組織は、自己評価結果等とあわせてこれらに対する回答についても、★3 確認責任者又は評価機関による確認を受ける必要がある。

なお、★3 確認責任者や評価機関にあっては、各設問に対する適合・不適合等の判定結果などを記入すべく、適宜列を追加することも可能である。

3.2 アセスメントシートの使用方法

登録に際して、登録希望組織は、取得を目指す段階で求められる評価基準の全てについて、本ガイドの別紙で提示される自己評価方法を満たす記述がなされていることを確かめたうえで、★3 においては★3 確認責任者、★4 においては評価機関に記入済みのアセスメントシートについて文書確認を依頼する。アセスメントシートの質問事項への回答内容は、★3 確認責任者の確認、★4 における評価機関の第三者評価における基礎的な材料となる。

策定されている規程を尋ねる質問事項に対しては遵守を示す証跡に該当する具体的な規程の名称を記入する。

評価基準に対応する具体的な取り組みの回答を求める質問事項に対しては具体的な対策の取り組みを記入する。

以上により、★3 登録希望組織と★3 確認責任者、又は★4 登録希望組織と評価機関との間のコミュニケーションコストを低減することができる。また、要求事項・評価基準で求められる対策水準を自組織が満たしていることを首尾よく示すため、登録希望組織においては、自己評価実施の際、自組織における対策の状況について、「★3・★4 要求事項・評価基準解説書」及び本ガイド等を参照しておくことが望ましい。アセスメントシートにおける質問事項への回答の記入例を以下に示す。

表 2 アセスメントシートの記入例
この表は画像のため当サイトに載せていません。原本 PDF の 11 ページを見てください。

3.3 アセスメントシート記入後のエビデンス保持

★3 又は★4 の登録の有効期間中は、制度運営機関による調査の際に登録申請時点のアセスメントシートがその後変更されていないことを確認できるよう、登録組織や評価機関は、当該アセスメントシート及びそのハッシュ値⁵を保管する必要がある。これは制度運営機関による調査の際に、登録申請時点のアセスメントシートのハッシュ値と、保管しているアセスメントシートのハッシュ値を照合することで、登録後にアセスメントシートの内容が改変されていないことを確認し、登録内容の信頼性及び公平性を確保するためである。ハッシュ値はアセスメントシートの内容を復元するものではないため、照合にはアセスメントシート本体とハッシュ値の双方が必要となる。

具体的には、★3 では、★3 確認責任者によって適合であると判断され、自己適合宣言に係る署名又は記名が行われたアセスメントシート全体を PDF 化し、当該 PDF ファイルについてハッシュ関数（SHA-256）によりハッシュ値を算出し⁶、当該 PDF ファイル及びハッシュ値を証跡として保管しなければならない。なお、アセスメントシート及びハッシュ値は、登録組織において適切に管理・保管するとともに、ハッシュ値については、制度運営機関へ提出する。

★4 では、評価機関によって適合であると判断され、自己適合宣言に係る署名又は記名が行われたアセスメントシート全体を PDF 化し、評価機関へ提出しなければならない。評価機関は、当該 PDF ファイルについてハッシュ関数（SHA-256）によりハッシュ値を算出し、登録希望組織及び制度運営機関へ提出するとともに、当該 PDF ファイル及びハッシュ値を証跡として保管する。PDF 化したアセスメントシート及びハッシュ値は、登録組織及び評価機関において適切に管理・保管する。また、登録組織は、アセスメントシートの内容に対して、1 年に 1 回以上の頻度で、内容を最新化する必要がある。更新を行ったアセスメントシートについては、自己適合宣言に係る署名又は記名が行われたアセスメントシート全体をPDF 化し、評価機関へ提出しなければならない。評価機関は、当該 PDF ファイルのハッシュ値を算出し、登録組織及び制度運営機関へ提出する。

「★3・★4 登録申請の手引」3.2.4 及び 4.2.5 に示す通り、登録組織は、登録期間中に、適用範囲の変更又は要求事項・評価基準の達成に顕著な影響を及ぼす変更があるかを把握する必要がある。該当する変更がある場合は、速やかに★3 確認責任者による再確認又は評価機関による再評価を受けなければならない。⁷

要求事項・評価基準の達成に顕著な影響を及ぼす変更の例を以下に掲げる。

•要求事項・評価基準に関連する社内規程・手順書等の大幅な変更

•要求事項・評価基準の達成方法や運用方法の大幅な変更（IT 基盤を構成する端末やサーバ等の大規模なリプレイス、クラウド基盤への大規模な移行、ネットワーク構成の顕著な変更等）

★3 の更新時に行う★3 確認責任者による確認又は★4 の有効期間中に毎年行う評価機関への自己評価結果の提出は、最新のアセスメントシート等に基づいて行う。確認又は評価の完了後、登録組織は、当該アセスメントシート等に対する★3 確認責任者又は評価機関の署名又は記名の確認をしなければならない⁸。

また、★4 の有効期間中に毎年行う評価機関への自己評価結果の提出が、登録日から 1 年を経過した日及び 2 年を経過した日を基準として、それぞれ少なくとも前後 3 か月以内の範囲内に行われない場合、登録が取り消される場合がある点に留意する必要がある。

なお、詳細は、「★3・★4 登録申請の手引」を参照のこと。

第4章 ★3 における確認の実施

4.1 ★3 における確認の位置づけ及び実施内容

★3 の登録取得にあたって、登録希望組織は、自組織内又は外部の★3 確認責任者に記入したアセスメントシート等の確認を依頼する。依頼を受けた★3 確認責任者は受領したアセスメントシート等に必要事項がもれなく記載されているかを確認し、必要に応じて助言を行う。★3 確認責任者は、最終的に★3 要求事項・評価基準を全て満たしていると判断した場合、アセスメントシートに含まれる★3 確認責任者署名・記名欄に署名又は記名を行う。他方、助言を行ってもなお妥当性を確認できない事項がある場合は、署名又は記名を行わない。登録希望組織は、前記の場合において、必要に応じて別の★3 確認責任者に確認を依頼することができる。

★3 確認責任者又は★3 確認従事者⁹による確認は、セキュリティ対策について一定の力量を有する者の見地からアセスメントシート等の記載内容の妥当性を確かめることにより、登録希望組織による本制度の趣旨に合った形での対策実施をより確からしいものとしつつ、結果としてサプライチェーン全体のセキュリティ水準の底上げに資することを目的とする。

その際、★3 確認責任者又は★3 確認従事者は、表 3 に例示する観点を踏まえつつ、登録希望組織から提供を受けたアセスメントシート等の回答内容に関して、確認を行うことが望ましい。

「★4 第三者評価ガイド」別紙等で述べる★4 における「評価」とは異なり、★3 における「確認」はアセスメントシート等に回答された対策等が実際に講じられているかを確かめることまでを求めるものではなく、原則として、アセスメントシート等に記載された情報のみをもって要求事項・評価基準に対する妥当性を確かめるものである¹⁰。アセスメントシート等に記載された情報の真実性については、登録希望組織が責任を負う。★3 確認責任者及び★3 確認従事者¹¹は、表 3 に例示する観点を踏まえて所定の確認を行ったこと及びその結果について責任を負うものであり、記載された情報が事実と異なっていたことをもって責任を負うものではない。

一般に、セキュリティ対策等について十分な知見・スキルを有さない法人等を中心として、自己評価結果としてアセスメントシート等に記入する事項に、アセスメントシート等の質問内容に鑑みて妥当性を十分に有しているとは言えない回答内容が含まれる場合も考えられる。★3 確認責任者又は★3 確認従事者は、確認の実施を通じて、登録希望組織による本制度の趣旨に合った形での対策実施をより確からしいものとしつつ、結果としてサプライチェーン全体のセキュリティ水準の底上げに資するよう業務に努めることが望ましい。

4.2 ★3 確認責任者が自己評価結果の確認を行う場合の留意点

★3 確認責任者及び★3 確認従事者は、「基本規程」6.1 に定められる通り、登録希望組織から受領したアセスメントシート等の秘密情報を本制度の目的の範囲内でのみ取り扱い、正当な権限を有しない者に開示し、又は漏えいしてはならない。また、秘密情報を本制度の目的外に使用し、複製し、又は不適切に保管してはならない。秘密保持義務は、当該者の本制度への関与が終了した後も継続する点にも留意する必要がある。

また、★3 においては登録希望組織に属する★3 確認責任者がアセスメントシート等の確認業務を行うことも想定される。登録希望組織は、確認の結果いかんにより、確認を実施した当人を人事等において不当な差別的取扱いの対象としてはならない。万が一不当な差別的取扱いとして遇され得る事象が生じた場合、確認を行った★3 確認責任者当人又はその状況を知り得た他の者が、制度運営機関が設ける窓口へ通報を行うこと等が望ましい。

別紙 自己評価における適合基準等

別紙の内容は、評価基準ごとのページにまとめています。

1. ガバナンスの整備

• 1-1-1 社内ルール 1-1-1-1 1-1-1-2 1-1-1-3
• 1-2-1 セキュリティ推進活動部門 1-2-1-1 1-2-1-2 1-2-1-3 1-2-1-4
• 1-2-2 サイバー攻撃の監視・分析体制 1-2-2-1 1-2-2-2
• 1-2-3 守秘義務のルール 1-2-3-1 1-2-3-2 1-2-3-3 1-2-3-4
• 1-3-1 セキュリティ対応方針の策定 1-3-1-1 1-3-1-2 1-3-1-3 1-3-1-4
• 1-4-1 セキュリティ対策推進計画 1-4-1-1 1-4-1-2

2. 取引先管理

• 2-1-1 取引先とのビジネス又はシステム上の関係 2-1-1-1 2-1-1-2 2-1-1-3
• 2-1-2 機密情報の取扱い 2-1-2-1
• 2-1-3 取引先のセキュリティ対策状況 2-1-3-1
• 2-1-4 セキュリティインシデント発生時の役割・責任 2-1-4-1
• 2-1-5 機密情報の回収・破棄 2-1-5-1

3. リスクの特定

• 3-1-1 情報機器、OS及びソフトウェアに関する情報の把握 3-1-1-1 3-1-1-2 3-1-1-3 3-1-1-4 3-1-1-5 3-1-1-6 3-1-1-7
• 3-1-2 ネットワークに関する情報の把握 3-1-2-1 3-1-2-2 3-1-2-3 3-1-2-4
• 3-1-3 外部情報サービスの管理 3-1-3-1 3-1-3-2
• 3-1-4 機密区分に応じた情報の管理 3-1-4-1 3-1-4-2 3-1-4-3 3-1-4-4 3-1-4-5 3-1-4-6 3-1-4-7 3-1-4-8
• 3-1-5 リモートワークにおけるルール 3-1-5-1 3-1-5-2 3-1-5-3
• 3-2-1 脆弱性の管理体制 3-2-1-1 3-2-1-2 3-2-1-3 3-2-1-4 3-2-1-5

4. 攻撃等の防御

• 4-1-1 ユーザIDの管理手続 4-1-1-1 4-1-1-2 4-1-1-3 4-1-1-4
• 4-1-2 管理者IDの管理手続 4-1-2-1 4-1-2-2 4-1-2-3 4-1-2-4 4-1-2-5 4-1-2-6 4-1-2-7 4-1-2-8
• 4-1-3 認証の強度・実装方法の決定 4-1-3-1 4-1-3-2 4-1-3-3 4-1-3-4 4-1-3-5
• 4-1-4 アカウントロック制御 4-1-4-1 4-1-4-2
• 4-1-5 パスワード設定ルール 4-1-5-1 4-1-5-2 4-1-5-3 4-1-5-4 4-1-5-5
• 4-1-6 パスワード管理ルール 4-1-6-1 4-1-6-2 4-1-6-3
• 4-1-7 アクセス権の管理ルール 4-1-7-1 4-1-7-2 4-1-7-3 4-1-7-4 4-1-7-5 4-1-7-6
• 4-1-8 サーバ設置エリアへの入退室管理 4-1-8-1 4-1-8-2 4-1-8-3 4-1-8-4
• 4-1-9 可搬媒体の制限 4-1-9-1 4-1-9-2 4-1-9-3
• 4-2-1 セキュリティの意識向上のための教育・研修 4-2-1-1 4-2-1-2 4-2-1-3 4-2-1-4 4-2-1-5
• 4-2-2 セキュリティインシデント発生時の教育・訓練 4-2-2-1 4-2-2-2 4-2-2-3
• 4-3-1 データの暗号化 4-3-1-1 4-3-1-2
• 4-3-2 データの保管ルール 4-3-2-1
• 4-3-3 取引先との情報共有ルール 4-3-3-1
• 4-3-4 適切なバックアップ 4-3-4-1 4-3-4-2 4-3-4-3
• 4-4-1 情報機器、OS及びソフトウェアの安全な構成 4-4-1-1 4-4-1-2 4-4-1-3 4-4-1-4 4-4-1-5 4-4-1-6
• 4-4-2 サポート期限の切れたOS及びソフトウェアへの対策 4-4-2-1
• 4-4-3 ログの取得 4-4-3-1 4-4-3-2 4-4-3-3
• 4-4-4 セキュリティパッチ・アップデートの手続 4-4-4-1 4-4-4-2 4-4-4-3
• 4-4-5 マルウェア感染からの保護 4-4-5-1 4-4-5-2 4-4-5-3 4-4-5-4 4-4-5-5
• 4-5-1 ネットワーク境界防護 4-5-1-1 4-5-1-2 4-5-1-3 4-5-1-4 4-5-1-5 4-5-1-6 4-5-1-7 4-5-1-8 4-5-1-9

5. 攻撃等の検知

• 5-1-1 ネットワーク接続・データの監視 5-1-1-1 5-1-1-2 5-1-1-3
• 5-1-2 情報機器及びソフトウェアの挙動監視 5-1-2-1 5-1-2-2 5-1-2-3
• 5-2-1 セキュリティインシデントのレベルごとの対象範囲 5-2-1-1 5-2-1-2

6. インシデントへの対応

• 6-1-1 インシデント対応手順 6-1-1-1 6-1-1-2 6-1-1-3 6-1-1-4 6-1-1-5 6-1-1-6

7. インシデントからの復旧

• 7-1-1 事業継続要件に沿った復旧準備 7-1-1-1 7-1-1-2