SCS-420 ★4 第三者評価ガイド

第1章 はじめに

1.1 本ガイドの位置づけ

本ガイドは、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS 評価制度）基本規程（以下、「基本規程」という。）★4 における第三者評価について説明するものである。

評価機関は本ガイドの内容を踏まえて第三者評価を実施するものとする。

なお、第三者評価のうち、技術検証事業者が実施する技術検証については、「★4 技術検証ガイド」に従い実施するものとする。

1.2 用語定義

本ガイドで使用する用語は、本ガイドに別段の定めがある場合を除き、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS 評価制度）基本規程」（以下「基本規程」という。）において使用する用語による。

なお、本ガイドにおいて、「文書」「記録」「台帳」「一覧」「申請・承認」には、情報システム上の設定、登録情報、ワークフローの記録、ログ、管理ツールおよびそれらの画面表示や出力（スクリーンショット、CSV 等）を含む。

1.3 第三者評価の位置づけ

本ガイドで説明する第三者評価は、本ガイドに従って実施する文書確認、実地審査及び技術検証を通じて、評価時点における登録希望組織の要求事項・評価基準への適合性を評価するものである。したがって、第三者評価の結果については、次に掲げる点に留意されたい。

①第三者評価は登録希望組織における本制度が定めた要求事項・評価基準への適合性を評価するものであり、登録組織においてインシデントが発生しないことを保証するものではない。

②第三者評価は、一部の機器、端末、規程、手順等に対して実施するものであり、登録希望組織における全ての機器、端末、規程、手順等が要求事項・評価基準に適合していることを保証するものではない。

③第三者評価（特に実地審査）は、一部の要求事項・評価基準に対して実施するものであり、登録希望組織が全ての要求事項・評価基準に対してもれなく完全に適合していることを保証するものではない。

④第三者評価は、評価時点での要求事項・評価基準への適合性を評価するものであり、登録の有効期間にわたって要求事項・評価基準への適合性が有効であることを保証するものではない。

第2章 評価の実施方法

本章では、第三者評価の実施に当たって、評価機関が実施すべき事項について解説する。

なお、★4 登録の更新時における第三者評価についても本ガイドに従って実施するものとする。

また、本ガイドで定める第三者評価の流れの全体像については章末の図 1 を参照されたい。

2.1 評価契約

評価機関は、「評価機関指定基準」4.3 に従い、登録希望組織と、その第三者評価に関し、法的に拘束力のある合意を結んだ上で、第三者評価を行わなければならない。なお、この合意には技術検証に係る事項を含む。

2.2 申請資格

2.2.1 申請を受け付けてはならない条件

評価機関は、登録希望組織及び登録希望組織と同等とみなすことができる組織¹が次の表 1 に定める条件に該当する場合は、第三者評価の申請を受け付けてはならない。

2.3 第三者評価に係る申請

2.3.1 第三者評価に係る申請書

評価機関は、登録希望組織に対し、必要事項を全て記入した申請書を提出するよう要求しなければならない。申請書には次に掲げる全ての事項が含まれていなければならない。

①第三者評価を申請する旨の明確な記述

②登録希望組織に対する第三者評価を行うために必要な全ての情報を提供する旨の、登録希望組織の同意

③登録希望組織が 2.2.1 に規定する条件に該当しない旨の申告

④登録希望組織の正式名称・所在地等の基本情報

⑤取得単位及び適用範囲

⑥対象となる全ての拠点

⑦申請の種別（新規・更新）

⑧評価機関との連絡に係る担当者及びその連絡先

なお、申請書の様式、作成方法及び提出方法は、評価機関が定めるものとする。

2.3.2 申請関連書類

評価機関は、登録希望組織に、申請書に添えて、次に掲げる全ての書類を提出するよう要求しなければならない。

①登録希望組織の自己評価結果を記入したアセスメントシート（「★3・★4 自己評価等ガイド」3.1.1 に基づき評価機関等が独自で用意した自己評価等のための様式を含む。以下「アセスメントシート等」という。）

②その他評価機関が第三者評価の実施に必要と判断する書類

なお、申請関連書類の作成方法及び提出方法は、評価機関が定めるものとする。

2.4 申請書等の確認

評価機関は、登録希望組織から提出された申請書及び申請関連書類の確認をしなければならない。

評価機関は、申請書及び申請関連書類が、2.3.1 及び 2.3.2 を満たしていることが確認できるまで、第三者評価に着手してはならない。なお、当該確認の結果として着手しない場合は、その理由を登録希望組織に通知し、補正の機会及び再提出期限を示さなければならない。

2.5 評価計画

評価機関は、申請書及び申請関連書類等の内容を確認した上で、登録希望組織に対する評価計画を定めなければならない。評価計画には、少なくとも次に掲げる全ての事項を含めるものとする。

①第三者評価全体の実施スケジュール

②第三者評価を担当するチーム（以下「評価チーム」という。）の構成員の氏名

③実地審査及び技術検証の実施日程及び実施場所（オンラインにより実施する場合はその旨を含む。）

④実地審査の実施方法及び実施対象

⑤技術検証の実施方法及び実施対象

⑥登録希望組織側で準備を求める資料

2.6 第三者評価を実施する者の要件

2.6.1 第三者評価を行わせることができる要件

評価機関は、「評価機関指定基準」で定める★4 評価責任者及び★4 評価従事者の要件を満たす者に、第三者評価を行わせなければならない。

評価機関は、★4 評価責任者及び★4 評価従事者以外の者に第三者評価を行わせてはならない。また、★4 評価責任者は評価機関に雇用されている者でなければならない。

2.6.2 評価要員が評価を実施する際の基準

評価要員（「評価機関指定基準」3.2 に規定する評価要員をいう。以下同じ。）は、第三者評価を行う際の適合基準として、「★3・★4 要求事項・評価基準」及び本ガイド別紙を参照するものとする。

2.6.3 評価要員の誓約書

評価機関は、評価要員に対し、当該評価機関が規定した内部規程及び文書（「評価機関指定基準」2.14 に規定する内部規程及び文書をいう。）に従うことを約束する誓約書に署名することを要求しなければならない。

なお、誓約書は文書又は電磁的記録により作成することとする。

2.6.4 評価要員の記録

評価機関は、評価要員に関して、次に掲げる全ての事項について記録し、かつ当該記録を最新の状態に維持しなければならない。

①SCS セキュリティ専門家の資格要件となっている資格の保有状況

②本制度が指定する研修の受講履歴

③本制度における第三者評価の実施実績

④当該記録の最終更新年月日

2.7 評価チームの構成及び評価チームへの指示・情報提供

2.7.1 評価チーム

評価機関は、評価要員の中から評価チームを構成しなければならない。評価チームは、★4 評価責任者を含む 1 名以上により構成するものとする。評価機関が技術検証を自ら実施する場合は、「評価機関指定基準」4.5②に従い、評価の判断に直接関与する者と技術検証の実務を担う者とを分離する。

評価機関が評価チームを構成する際には、評価チームのメンバーが「評価機関指定基準」2.7に規定する公平性の要件に適合していることを確認し、確認した結果を記録するものとする。

2.7.2 手順の指示及び情報の提供

評価機関は、第三者評価を行うために必要な情報として、少なくとも第三者評価の実施手順、評価調書及び評価報告書の作成の手順並びに登録希望組織から受領した申請書及び申請関連書類を評価チームに提供しなければならない。

評価機関は、評価チームに、評価機関が定めた手順に従った第三者評価を行わせなければならない。

2.8 適用範囲の確認

評価チームは、第三者評価を行うにあたっての前提として、登録希望組織が決定した適用範囲について次に掲げる手順により確認を行う²。当該確認を通じて観点に適合しない事項を発見した場合は、登録希望組織に照会の上、必要に応じて適用範囲の修正を求めるものとする。

①事業部単位等、法人の一部を取得単位とする場合は、以下を確認することで取得単位を事業部単位とすることに合理性があるかを確認する。

a.対象の事業部等において、組織区分及び当該組織区分におけるサイバーセキュリティ対策の責任者が明確になっているか

b.対象の事業部等は存立期間の定めのない（時限的なものではない）組織であるか

②企業グループ単位等、取得単位に複数の法人を含む場合は、以下を確認することで取得単位を企業グループ単位とすることに合理性があるかを確認する。

a.取得単位に含まれる法人全てで共通の IT 基盤を利用しているか

b.共通のセキュリティ対応方針が適用されているか

③登録希望組織からアセスメントシート等やネットワーク構成図上における図示などの提供を受けることにより、評価の対象となる登録希望組織における取得単位及び適用範囲を確認する。併せて、以下の点についても確認を行う。

a.登録希望組織が管理するインターネット公開サーバが全て適用範囲に含まれているか

b.適用範囲の境界を構成する機器等に対して、「★3・★4 要求事項・評価基準 解説書」3.3.3 に示す保護施策が講じられているか

c.登録希望組織が自組織の IT 基盤とみなし得るもののうち適用範囲から除外したものについて、「★3・★4 要求事項・評価基準 解説書」3.3.3 で示される考え方に基づき適用範囲との境界において保護施策が講じられているか

d.除外した対象が具体的に記述されているか

2.9 文書確認

評価チームは、登録希望組織の提出したアセスメントシート等に対して文書確認を行うものとする。文書確認は、次の表 2 に定める観点でアセスメントシート等のみを対象として確認を行うものとし、文書確認の段階では、証跡の閲覧等は必ずしも実施する必要はない。（証跡の閲覧等は実地審査において行うことを想定している。）

文書確認を通じて観点に適合しない事項を発見した場合は、2.11.1 の不適合の指摘において当該事項の確認を行うものとする。

2.10 実地審査

2.10.1 審査事項

評価チームは、登録希望組織の第三者評価を行うために、実地審査を実施しなければならない。実地審査は、登録希望組織における事業所の現地で実施するほか、情報の秘密保持、通信方法、オンラインでの審査可否及び審査範囲、評価チームの本人確認等について登録希望組織との間で合意が取れた場合は、オンライン方式により実施することも可能とする。

なお、実地審査を行う拠点は原則 1 拠点として、どの拠点を対象とするかは登録希望組織と協議のうえ、決定するものとする（必要に応じて複数拠点を対象とすることは妨げない）。

評価チームは、制度運営機関が別途公表する実地審査を必須とする要求事項を踏まえて、本ガイド別紙に規定する評価手法に基づき、適合・不適合を判定する。ただし、別紙に規定する評価手法は、最低限実施すべき評価手法であって、評価機関や評価者がこれに加えて証跡等の確認を行うことを妨げるものではない。

2.10.2 審査事項の通知

制度運営機関が年度ごとに指定する要求事項については、制度運営機関から評価機関に対して別途通知するものとする。

2.10.3 審査日及び審査場所

評価チームは、登録希望組織と審査日及び審査場所について合意した上で、実地審査を実施しなければならない。その際、評価チームは、少なくとも次に掲げる全ての事項を登録希望組織にあらかじめ通知しなければならない。なお、技術検証の実施に関する事項については、「★4 技術検証ガイド」に従って行うものとする。

①実地審査を実施する要求事項

②審査対象となる規程、手順等の文書

③審査対象となる機器、端末等

2.10.4 実地審査の参加者

登録希望組織及び評価チーム以外で登録希望組織側又は評価機関側における実地審査への参加者がいる場合（例：登録希望組織の委託先企業や評価機関における評価チームの随行者等）には、当該者の参加についてあらかじめ評価機関と登録希望組織との間で合意し、記録するものとする。

2.11 不適合の指摘及び改善

2.11.1 不適合の指摘

評価チームは、文書確認及び実地審査において、評価基準に対する不適合を認識したときは、当該不適合の指摘を行うものとする。なお、不適合の指摘は、技術検証における是正対応の依頼³と必ずしも併せて行う必要はない。

評価チームが不適合の指摘を行う場合の手順は、少なくとも次に掲げる全ての事項を確実とするものでなければならない。また、評価基準への不適合箇所を特定した文書（以下「指摘文書」という。）においては、合否に影響する不適合のみを記載し、改善を強制しない事項や助言とは区別しなければならない。

①評価チームは、登録希望組織に対して、評価基準に対する適合性に関して疑義がある場合には、不適合の指摘に先立って書面で質問の機会を与えること

②評価チームは、指摘文書を登録希望組織に通知すること

③指摘文書には、少なくとも以下の事項を含むこと

a.指摘文書発行の年月日

b.文書確認及び実地審査を行った年月日

c.評価責任者の氏名

d.評価基準に対して不適合であることに関する指摘及びその根拠

2.11.2 改善報告の求め

評価チームは、不適合として指摘した事項を是正するために実施した処置についての報告（以下「改善報告」という。）を、登録希望組織が指摘文書を受領した日から遅くとも 1 か月以内に書面又は電磁的記録により、評価チームに提出するよう求めなければならない。

2.11.3 改善報告の確認

評価チームは、前項に基づき改善報告が提出された場合は、当該報告により指摘事項が修正され適合となっているかどうかを文書確認及び実地審査により確認したうえで、評価調書及び評価報告書を作成するものとする。なお、前項に規定する期間内であれば、不適合の改善は複数回にわたって実施しても差し支えないものとする。

2.12 技術検証

技術検証事業者（技術検証事業者の指定を受けている評価機関を含む。）は、「★4 技術検証ガイド」に基づき、技術検証を別途実施するものとする。

評価チームは、技術検証事業者の指定を受けている評価機関又は評価機関から委託を受けた技術検証事業者が登録希望組織に対して実施した技術検証の結果を受領し、技術検証の合否を確認しなければならない。

2.13 評価調書

評価チームは、実施した文書確認及び実地審査の結果、評価に関連して入手した資料及び結果に至った経過を評価調書として作成しなければならない。評価調書の作成に当たっては、例えば表 3 のように、評価の結果に至った過程を追跡可能な形式で記録しなければならない。

表 3 要求事項 No.1-2-1 における評価調書の作成例
この表は画像のため当サイトに載せていません。原本 PDF の 11 ページを見てください。

2.14 評価報告書

2.14.1 合否の判定基準

文書確認及び実地審査において審査対象となっている評価基準の全てに適合が認められ、かつ、技術検証が合格となった場合（「★4 技術検証ガイド」第 1 部第 5 章に基づき脆弱性診断の実施が免除された場合を含む。）でなければ、★4 評価責任者は合格と判定してはならない。

2.14.2 評価報告書の作成

文書確認、実地審査及び技術検証の結果を踏まえ、★4 評価責任者が第三者評価についての合否の判定を行う。評価チームは、次に掲げる全ての事項を含む評価報告書を作成し、登録希望組織に報告しなければならない。

①登録希望組織及び評価機関の名称

②報告日

③★4 評価責任者の氏名

④文書確認、実地審査及び技術検証の実施日

⑤2.9 における文書確認の結果

⑥2.10 における実地審査の結果

⑦2.12 において受領した技術検証の結果

⑧第三者評価の最終的な合否結果

2.15 登録期間における対応

2.15.1 登録期間中の自己評価

評価機関は、合格と判定し、制度運営機関により登録された登録組織に対して、当該合格の判定に基づく登録の有効期間中において、アセスメントシート等に基づき実施した自己評価結果を、毎年提出するよう求めるものとする。

この場合において、当該自己評価結果の提出方法は評価機関ごとに定めるものとする。また、提出時期については、登録日から 1 年を経過した日及び 2 年を経過した日を基準として、それぞれ少なくとも前後 3 か月以内の範囲内において提出させるものとする。

（例：登録日が 2027 年 4 月 1 日である場合において、2028 年 4 月 1 日の前後 3 か月以内及び 2029 年 4 月 1 日の前後 3 か月以内に自己評価結果の提出を求める。）

登録組織から期限を過ぎても提出がされなかった場合、評価機関は制度運営機関にその旨を書面にて報告する必要がある。

なお、評価機関は、提出を受けた自己評価結果について、「評価機関指定基準」4.9 に基づきその内容を確認し、適用範囲の変更又は要求事項・評価基準の達成に顕著な影響を及ぼす変更の有無を確認したうえで、2.15.2 の条件に該当しない場合、アセスメントシート等に署名または記名を行う。受領した自己評価結果については、3.1 に従って文書の管理を行う必要がある。

2.15.2 登録期間中における再度の第三者評価

評価機関は、前項に基づき受領した自己評価結果について、登録組織における適用範囲の変更又は要求事項・評価基準の達成に顕著な影響を及ぼす変更があった場合には、前項に規定する文書確認に加えて、再度実地審査及び技術検証を実施するものとする。

評価機関による再度の第三者評価の対象範囲は、当該変更に関係する箇所に限るものとし、以下のような場合を想定する。

①登録組織における適用範囲の変更があった場合については、当該変更において追加された範囲に対してのみ、実地審査及び技術検証を行うものとする。

②要求事項・評価基準に関連する社内規程・手順書等の大幅な変更が行われた場合は、当該社内規程・手順書等が評価対象となり、それ以外の文書やそれに紐づく要求事項・評価基準については、再度の実地審査及び技術検証は要しない。

③IT 基盤における顕著な変更（PC、サーバ等の機器の大規模な入替、認証基盤の変更等）があった場合には、当該変更となった機器、基盤等に対してのみ実地審査を行うこととする。

また、ネットワーク基盤の大規模な更改等により、技術検証を実施した機器に更改があった場合には、「★4 技術検証ガイド」に従い、技術検証又は実施の免除を行うこととする。

図 1 ★4 第三者評価の流れ
図は当サイトに載せていません。原本 PDF の 14 ページを見てください。

第3章 その他第三者評価に当たり遵守すべき事項

3.1 情報の管理

3.1.1 秘密保持

評価機関は、第三者評価に係る業務を通じて得られた又は生じたすべての情報（対象システムの脆弱性に関する情報を含む。）を、当該情報に係る登録希望組織が公開している情報及び公開に同意している情報を除き、機密情報とし、その管理について責任を負わなければならない。

評価機関は、委託元評価機関に対する評価結果の提供その他業務上正当な理由がある場合又は当該登録希望組織の同意がある場合を除き、機密情報を開示してはならない。

評価機関は、登録希望組織以外（例：苦情申立者又は規制当局）から得られた当該登録希望組織に対する情報について、秘密として取り扱わなければならない。

3.1.2 文書の保管

評価機関は、評価結果に係る文書について、「評価機関指定基準」4.2 に従って、保管しなければならない。

3.1.3 文書の保管方法

前項において評価結果に係る文書を安全に保管するために、評価機関は要求事項・評価基準において「重要な機密情報」に課せられる管理方法と同等の管理方法として、次に掲げる全ての項目を実施しなければならない。

①文書を管理するに当たって、文書の管理者名、管理部署名、保管場所、保管期限、開示先及び管理者の連絡先を記録する。

②文書を紙媒体で保管する場合には、施錠保管する。

③文書のファイルデータを保管する場合には、暗号化を実施する。

④文書をシステムに保管する場合には、当該システムのアクセス権を付与するための条件を定めるとともに、ユーザ及び管理者ごとに必要最小限の権限を付与する。

⑤④で付与したアクセス権の運用/利用状況を監視する仕組みを導入する。（例：アクセスログの収集・保管など）

⑥文書を社内ネットワーク上のシステムに保管する場合には、当該システムを分離されたネットワークセグメントに設置し、セグメント内外のアクセスを必要最小限に限定する。

⑦文書をクラウドサービスに保管する場合又はインターネット経由で文書にアクセスする際には多要素認証を実装する。

3.1.4 文書の破棄

評価機関は、3.1.2 で定める保管期間が終了したときは、評価結果に係る文書について復元できないよう抹消処理（例：データの場合は、記憶媒体の抹消処理、紙文書の場合は、文書裁断など）を行い廃棄すること。破棄した後、評価機関は、破棄した文書名、破棄した日付及び破棄した方法についての記録を登録希望組織に送付すること。

別紙 ★4 第三者評価における適合基準等

別紙の内容は、評価基準ごとのページにまとめています。

1. ガバナンスの整備

• 1-1-1 社内ルール 1-1-1-1 1-1-1-2 1-1-1-3
• 1-2-1 セキュリティ推進活動部門 1-2-1-1 1-2-1-2 1-2-1-3 1-2-1-4
• 1-2-2 サイバー攻撃の監視・分析体制 1-2-2-1 1-2-2-2
• 1-2-3 守秘義務のルール 1-2-3-1 1-2-3-2 1-2-3-3 1-2-3-4
• 1-3-1 セキュリティ対応方針の策定 1-3-1-1 1-3-1-2 1-3-1-3 1-3-1-4
• 1-4-1 セキュリティ対策推進計画 1-4-1-1 1-4-1-2

2. 取引先管理

• 2-1-1 取引先とのビジネス又はシステム上の関係 2-1-1-1 2-1-1-2 2-1-1-3
• 2-1-2 機密情報の取扱い 2-1-2-1
• 2-1-3 取引先のセキュリティ対策状況 2-1-3-1
• 2-1-4 セキュリティインシデント発生時の役割・責任 2-1-4-1
• 2-1-5 機密情報の回収・破棄 2-1-5-1

3. リスクの特定

• 3-1-1 情報機器、OS及びソフトウェアに関する情報の把握 3-1-1-1 3-1-1-2 3-1-1-3 3-1-1-4 3-1-1-5 3-1-1-6 3-1-1-7
• 3-1-2 ネットワークに関する情報の把握 3-1-2-1 3-1-2-2 3-1-2-3 3-1-2-4
• 3-1-3 外部情報サービスの管理 3-1-3-1 3-1-3-2
• 3-1-4 機密区分に応じた情報の管理 3-1-4-1 3-1-4-2 3-1-4-3 3-1-4-4 3-1-4-5 3-1-4-6 3-1-4-7 3-1-4-8
• 3-1-5 リモートワークにおけるルール 3-1-5-1 3-1-5-2 3-1-5-3
• 3-2-1 脆弱性の管理体制 3-2-1-1 3-2-1-2 3-2-1-3 3-2-1-4 3-2-1-5

4. 攻撃等の防御

• 4-1-1 ユーザIDの管理手続 4-1-1-1 4-1-1-2 4-1-1-3 4-1-1-4
• 4-1-2 管理者IDの管理手続 4-1-2-1 4-1-2-2 4-1-2-3 4-1-2-4 4-1-2-5 4-1-2-6 4-1-2-7 4-1-2-8
• 4-1-3 認証の強度・実装方法の決定 4-1-3-1 4-1-3-2 4-1-3-3 4-1-3-4 4-1-3-5
• 4-1-4 アカウントロック制御 4-1-4-1 4-1-4-2
• 4-1-5 パスワード設定ルール 4-1-5-1 4-1-5-2 4-1-5-3 4-1-5-4 4-1-5-5
• 4-1-6 パスワード管理ルール 4-1-6-1 4-1-6-2 4-1-6-3
• 4-1-7 アクセス権の管理ルール 4-1-7-1 4-1-7-2 4-1-7-3 4-1-7-4 4-1-7-5 4-1-7-6
• 4-1-8 サーバ設置エリアへの入退室管理 4-1-8-1 4-1-8-2 4-1-8-3 4-1-8-4
• 4-1-9 可搬媒体の制限 4-1-9-1 4-1-9-2 4-1-9-3
• 4-2-1 セキュリティの意識向上のための教育・研修 4-2-1-1 4-2-1-2 4-2-1-3 4-2-1-4 4-2-1-5
• 4-2-2 セキュリティインシデント発生時の教育・訓練 4-2-2-1 4-2-2-2 4-2-2-3
• 4-3-1 データの暗号化 4-3-1-1 4-3-1-2
• 4-3-2 データの保管ルール 4-3-2-1
• 4-3-3 取引先との情報共有ルール 4-3-3-1
• 4-3-4 適切なバックアップ 4-3-4-1 4-3-4-2 4-3-4-3
• 4-4-1 情報機器、OS及びソフトウェアの安全な構成 4-4-1-1 4-4-1-2 4-4-1-3 4-4-1-4 4-4-1-5 4-4-1-6
• 4-4-2 サポート期限の切れたOS及びソフトウェアへの対策 4-4-2-1
• 4-4-3 ログの取得 4-4-3-1 4-4-3-2 4-4-3-3
• 4-4-4 セキュリティパッチ・アップデートの手続 4-4-4-1 4-4-4-2 4-4-4-3
• 4-4-5 マルウェア感染からの保護 4-4-5-1 4-4-5-2 4-4-5-3 4-4-5-4 4-4-5-5
• 4-5-1 ネットワーク境界防護 4-5-1-1 4-5-1-2 4-5-1-3 4-5-1-4 4-5-1-5 4-5-1-6 4-5-1-7 4-5-1-8 4-5-1-9

5. 攻撃等の検知

• 5-1-1 ネットワーク接続・データの監視 5-1-1-1 5-1-1-2 5-1-1-3
• 5-1-2 情報機器及びソフトウェアの挙動監視 5-1-2-1 5-1-2-2 5-1-2-3
• 5-2-1 セキュリティインシデントのレベルごとの対象範囲 5-2-1-1 5-2-1-2

6. インシデントへの対応

• 6-1-1 インシデント対応手順 6-1-1-1 6-1-1-2 6-1-1-3 6-1-1-4 6-1-1-5 6-1-1-6

7. インシデントからの復旧

• 7-1-1 事業継続要件に沿った復旧準備 7-1-1-1 7-1-1-2