SCS-620 ★3・★4 要求事項・評価基準 解説書

第1章 本解説書について

「★3・★4 要求事項・評価基準 解説書」（以下「本解説書」という。）は、サプライチェーン強化に向けたセキュリティ対策評価制度（以下「本制度」という。）において、登録希望組織が取得単位や適用範囲の設定、自己評価等を適切に実施できるよう、その考え方や留意点を解説するものである。

・第 2 章：本制度における★3・★4 の位置づけ、評価スキームの概要

・第 3 章：取得単位及び適用範囲を設定する際の考え方

・第 4 章：「★3・★4 要求事項・評価基準」で対象とするセキュリティのリスク・脅威

・別紙：各要求事項・評価基準について対策の実施や解釈上留意が必要と考えられる箇所に対する解説

併せて、本解説書は「★3・★4 要求事項・評価基準」に基づくセキュリティ対策の実施に役立つ参考情報を提供するものである。

各評価基準への適合基準や具体的な評価方法については、「★3・★4 自己評価等ガイド」、「★4 第三者評価ガイド」を参照されたい。

第2章 本制度における★3・★4 の位置づけ等

本制度は、★3、★4、★5 という 3 つの段階を設けている¹。そのうち★5 については今後更なる具体化が予定されている。

本解説書では、★3 及び★4 を対象として、要求事項・評価基準等を解説する。★3 又は★4への取組を始めるに当たっては、独立行政法人情報処理推進機構（以下、「IPA」という。）が別途運営する SECURITY ACTION²についても参考にされたい。SECURITY ACTION は、中小企業が情報セキュリティ対策への取組を自己宣言する制度であり、その一つ星・二つ星の取組は、本制度の基礎となるセキュリティ対策の実践につながるものである。

また、本制度では上位の段階には下位の段階で求められる事項がすべて含まれる。そのため、例えば、★3 を取得していなくても、★4 の登録申請を行うことができる。

★3 又は★4 の登録申請や登録後の維持に必要な手続の詳細については、「★3・★4 登録申請の手引」を参照されたい。

2.1 ★3 の位置づけ等

★3 では、一般的なサイバー攻撃から組織を守るために必要な基本的なセキュリティ対策を求めている。特に、攻撃者による初期侵入への防御や、侵害が発生した場合の被害拡大への防御を求めている。

（脅威に対する達成水準）

・組織内の役割と責任が明確に定められている。

・一般的なサイバー脅威への対処を想定し、自組織の IT 基盤への初期侵入、侵害拡大等への対策を実施している。

・インシデントが発生した場合に備え、取引先を含む組織内外の関係者への報告・情報共有に必要な最低限の手順を定め、実施している。

★3 登録希望組織は、まず取得単位及び適用範囲を設定した上で、26 件の要求事項に関して自己評価を行う。自己評価の結果は、★3 確認責任者による確認を受ける必要がある（専門家確認付き自己評価）。その後、経営層が自己評価結果に基づいて要求事項への適合を宣言し、制度運営機関に対して登録申請を行う。

★3 確認責任者による確認の位置づけや実施方法については、「★3・★4 自己評価等ガイド」第 4 章を参照されたい。

図 1 ★3 評価スキームの概要
図は当サイトに載せていません。原本 PDF の 5 ページを見てください。

2.2 ★4 の位置づけ等

★4 は、★3 で求められる最低限の対策に加え、自組織の IT 基盤だけでなく、取引先等への被害拡大を防止し、事業停止や情報漏えい等の重大な被害につながるリスクを低減するための標準的なセキュリティ対策を求めている。

（脅威に対する達成水準）

・自組織及び取引先のシステムやデータへの被害拡大を防止するとともに、不正アクセス、情報窃取、システム停止等の被害に至ることを防ぐ対策を実施している。

・事業継続のための取組や取引先のセキュリティ対策状況の把握など、自組織の位置づけに応じたサプライチェーン強靭化策を行っている。

★4 の登録希望組織は、43 件の要求事項に関して自己評価を実施し、評価機関による第三者評価（技術検証事業者による技術検証の実施を含む）を受ける必要がある。評価機関から評価報告書の交付を受けた後、経営層が自己適合宣言を行い、制度運営機関に対して登録申請を行う。

★4 における第三者評価及び技術検証の詳細については、「★4 第三者評価ガイド」及び「★4技術検証ガイド」を参照されたい。

図 2 ★4 評価スキームの概要
図は当サイトに載せていません。原本 PDF の 6 ページを見てください。

2.3 他法制度との関係

本制度による★3・★4 の取得は、他法制度等（例えば、各重要インフラ分野における安全基準等）に優先・優越するものではなく、当該法制度等で求められるセキュリティ対策・要件・基準等を満たすことを必ずしも保証するものではない。

第3章 取得単位及び適用範囲の考え方

登録希望組織は、自己評価等を実施する前に、まず登録申請の対象となる組織（取得単位）を定める必要がある。その際、3.1 に示す考え方に従い、取得単位に含む事業部、法人等を整理する。次に、登録希望組織は、取得単位を踏まえ、要求事項・評価基準を適用する範囲（適用範囲）を定める。その際、3.2 に示す考え方に従い、適用範囲に含めるものと除外するものを明確に整理する必要がある。

なお、他組織が提供するクラウドサービスや企業グループ共通のネットワーク等を利用している場合、それらが適用範囲に含まれる場合がある。この場合、登録希望組織は、自ら実施すべき対策を行うとともに、それらのサービスの提供者との責任分界を踏まえた対応を行うことが求められる。

3.1 取得単位の考え方

取得単位は、原則として法人又は個人事業主とする。

ただし、法人においては、取得単位及び適用範囲について★3 確認責任者又は評価機関から妥当性の確認を受ける³ことを前提に、事業部、企業グループなどを取得単位とすることができる⁴。事業部、事業所、部署等、組織区分とサイバーセキュリティ対策の責任者が明確であれば、取得単位は規模の大小を問わない。また、取得単位には、登録希望組織の意向に応じて、国内の事業拠点に加えて、国外の事業拠点を含めることができる。

★3 確認責任者又は評価機関による妥当性確認の結果、登録希望組織が設定した取得単位又は適用範囲に変更が必要と判断された場合、登録希望組織は必要な修正を行った上で改めて★3 確認責任者又は評価機関の確認を受ける。

他の認証制度においては、プロジェクト単位等のあらかじめ存立期間の限られた主体を取得単位とした申請も行われている場合がある。一方で、本制度では、継続的なセキュリティ対策の実施・改善を求めていることから、プロジェクト組織のような期間限定の主体ではなく、法人、企業グループ、事業部等の恒常的な組織を取得単位とすることを求める。

（取得単位の例）

・個社：株式会社〇〇

・企業グループ：〇〇グループ⁵

・事業所：株式会社〇〇 ××事業所

3.2 適用範囲の考え方

適用範囲は、登録希望組織の IT 基盤（クラウド環境で運用するものも含む。）等を含める必要がある。IT 基盤としては、登録希望組織が設定する取得単位において利用されるサーバ、利用者が直接操作するパソコン、スマートフォンなどの端末、ネットワーク機器等のうち、以下のいずれかの条件を満たすものを含める必要がある⁶。適用範囲を設定する目的は、インターネットを経由した不正アクセスやマルウェア感染等の脅威から、登録希望組織の重要な資産を守ることである。そのため、まず保護すべきシステムや機器を明確にし、それらに対して要求事項・評価基準に基づくセキュリティ対策を実施する必要がある。

・インターネットからの通信を受け付けるもの

・インターネットを利用して外部のサービスやシステムと通信するもの

・上記の機器やシステムとインターネットとの間の通信を制御するもの

上記を踏まえ、適用範囲となる IT 基盤に含み得るもの及び含まないものを以下のように整理することができる。さらなる詳細については、本節 3.2.1 以降の記載のほか、3.3 に示す設定事例を参照されたい。

図 3 適用範囲の構成例
図は当サイトに載せていません。原本 PDF の 8 ページを見てください。

登録希望組織は、適用範囲から除外する機器やシステムが有る場合、その除外対象及び除外理由を一覧等で整理し、以下に例示するように、その概要を適用範囲の説明に記載しなければならない。また、適用範囲と除外対象との境界にて、3.3.3 で示す保護施策を実施する必要がある。

（アセスメントシート等における適用対象に係る記述方法の例）

・自社のすべての社内ネットワークを含む。ただし、ソフトウェアの開発環境は除く。

・IT システム部門（取得単位）が管理するすべての社内ネットワークを含む。

適用範囲は、登録希望組織が定める取得単位と対応するよう定めなければならない。登録希望組織は、取得単位となる法人又は事業部等が利用するサーバ、端末、ネットワーク機器等のうち本節冒頭に示した条件に合致するものを適用範囲に含める必要がある。一方で、取得単位に含まれない事業部等や法人が独自に利用するサーバ、端末、ネットワーク機器等を適用範囲に含める必要はない。

一般に、企業グループにおいては、企業グループ内部のネットワークを複数の事業所又は法人等により共同で利用している。その際、登録希望組織が利用する適用範囲内のネットワークと、取得単位に含まれない組織が利用する適用範囲外のネットワークのセキュリティ対策が同一であるとみなせる場合、その境界部では、必ずしも 3.3 で示す保護施策の実施までは求めない⁷。

ただし、境界部において適切な保護施策を実施しない場合、適用範囲外の端末やサーバ等の脆弱性が原因となり登録希望組織が内部ネットワーク経由で不正アクセス等を受けるリスクが残る。登録希望組織においては、取得単位及び適用範囲から除外した事業部等におけるセキュリティ対策状況を把握し、適用範囲の要求事項・評価基準と同等以上の対策が講じられていることを確認する必要がある。

3.2.1 適用範囲に含むもの

適用範囲には以下を含む。取得単位に含まれる組織又は適用範囲に含む IT 基盤及び外部ネットワーク境界のうち、自ら管理可能である対象については、★3 又は★4 のうち該当するものの要求事項・評価基準に定められる事項をすべて満たさなければならない。

◼IT 基盤8,9

・IT 基盤を構成するサーバ群¹⁰

・端末（パソコン、スマートデバイス等、人が使用するインタフェースを持つもの）

・登録希望組織の IT 基盤を構成するが、他組織との間で対策に係る責任を共有するもの（例：クラウドサービス、親会社の提供する企業グループ共通のネットワーク等）

一般に、自社外の組織が提供するクラウドサービスや企業グループ共通のネットワーク等について、それらの利用者である登録希望組織から詳細なセキュリティ対策状況の確認や追加のセキュリティ対策実施の依頼を行うことは困難である。登録希望組織には、それら外部情報サービス等の利用に際して、以下の対策を行う必要がある。

・利用者の立場として行う必要のある対策の実施

利用するサービス等の類型により詳細は異なるが、登録を目指す段階（★3 又は★4）に応じて、利用者の立場として少なくとも以下の対策を含めて実施することが求められる。

-不正アクセスへの対策

例えば、ID 管理（要求事項 No.4-1-1,4-1-2）、ユーザ認証の実施（要求事項 No.4-1-3,4-1-4）、強固なパスワードの設定（要求事項 No.4-1-5）などが含まれる。

-不正アクセスの検知及び対応

例えば、保管データの保護とバックアップの取得（要求事項 No.4-3-1,4-3-4）、継続的な監視（要求事項 No.5-1-1,5-1-2）、インシデント対応手順の整備（要求事項 No.6-1-1）などが含まれる。

◼外部情報サービス等で実施される対策の確認

クラウドサービスに関しては、例えば、利用時のセキュリティ要件を定め、当該要件を満たしているかサービス内容を確認すること等が必要である¹¹。別紙で述べるように、その確認は、認証取得状況の確認、SOC2（SOC for Service Organizations: Trust Services Criteria）報告書の確認又はサービス仕様の確認等により行うことが考えられる。

親会社の提供する企業グループ共通のネットワーク等についても同様の対応が求められる。例えば、共通ネットワークの提供者（例：親会社等）からアセスメントシート等を共有してもらう、又は★3 又は★4 のうちしかるべき段階の登録を有していることを確認する等により対策状況の確認を行うことも有効である。

◼外部ネットワーク境界

・適用範囲の境界を定義するネットワーク機器（ファイアウォール、ルータ、VPN 機器等）¹²

なお、外部ネットワーク境界のうち、脆弱性を悪用された場合に登録希望組織の IT 基盤に対する攻撃の起点となり得る機器であり、外部から直接アクセス可能な VPN 機器、ルータ、ファイアウォールその他これらに類する通信制御機能を有する機器については、★4 第三者評価において技術検証の対象とする。

3.2.2 適用範囲に含めないもの

一般的に「IT 基盤」又は「外部ネットワーク境界」に含まれないと考えられる以下のシステム又は機器については、本制度の対象外とする。

・製造環境等の制御（OT）システム（例：一方向セキュリティゲートウェイで外部ネットワークと区切られた製造拠点の制御システム）

・上記のほか、事業上の必要性等により要求事項・評価基準の遵守が困難¹³であり、適用範囲から隔離して運用されるサーバ、端末

・発注元等に販売する製品等、登録希望組織が管理・運用を行わないもの、又は登録希望組織が管理・運用を行うが要求事項・評価基準の遵守にあたり登録希望組織以外の組織による対応が必要なもの（例：クラウドサービス等の登録希望組織が構築・運用し、社外組織向けに提供する IT サービスの提供基盤）

登録希望組織は、これらと適用範囲内の IT 基盤がネットワーク接続している場合、その境界において、3.3.3 で考え方を示すネットワーク境界防護要件を実装しなければならず、当該要件が具備されていない場合は制御（OT）システムに該当するものであっても適用範囲に含まねばならない。

製造環境等の制御（OT）システム、発注元等に提供する製品等については、対策実施の前提や求められる対応が基本的に異なる¹⁴ことから直接の対象とはしない。例えば以下に示すような他の制度・ガイドライン等に基づき対策を行うことを想定する。

◼制御（OT）システムを対象とする主な制度・ガイドライン等

・経済産業省『工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.1』

・経済産業省『半導体デバイス工場における OT セキュリティガイドライン』

・米国立標準技術研究所（NIST）『NIST SP 800-82 Rev. 3 Guide to Operational Technology （OT） Security』

・国際電気標準会議（IEC）『IEC 62443 Industrial communication networks - Network and system security』

◼IT 製品又は IoT 製品を対象とする主な制度・ガイドライン等

・IT セキュリティ評価及び認証制度（JISEC）（https://www.ipa.go.jp/security/jisec/index.html）

・セキュリティ要件適合評価及びラベリング制度（JC-STAR）（https://www.ipa.go.jp/security/jc-star/index.html）

・IPA『IT 製品の調達におけるセキュリティ要件リスト』（https://www.ipa.go.jp/security/it-product/index.html）

3.2.3 端末の所有形態及び利用場所に応じた適用範囲の考え方

役員又は従業員が個人所有する端末を業務に利用する場合（ BYOD：Bring Your Own Device）、それらの端末は適用範囲に含めること。ただし、業務上の通話、SMS（Short Message Service）及び多要素認証のためだけに利用する機器は、適用範囲から除くことができる。

役員又は従業員が在宅勤務等で利用する機器は、登録希望組織が支給したものであるかを問わず適用範囲に含める。登録希望組織が支給したルータは適用範囲に含めるが、それ以外のルータは適用範囲に含める必要はない。

この場合、当該ルータに接続する端末においてソフトウェアファイアウォール等の対策を講じることが望ましい。なお、VPN を経由して業務を行う場合、外部ネットワーク境界は当該VPN の接続先に設置されたネットワーク機器とみなす。

委託先等が所有する端末を用いて自社のシステムに接続させる場合、当該端末は適用範囲には含めない。この場合においても、登録希望組織は、当該端末が自社の機密情報又は業務システムを取り扱う際の条件を定め、その遵守状況を確認する必要がある。

3.3 取得単位と適用範囲の設定事例等

本節では、以下の取得単位と適用範囲の設定事例等について、解説する。

•事例①：少数の事業所からなる企業における設定事例（3.3.1）

•事例②：多数の子会社等からなる企業グループにおける設定事例（3.3.2）

各事例では、想定する組織及びネットワーク構成等を整理し、取得単位に応じて適用範囲に含めるべき構成要素を示す「適用範囲の構成例」、「適用範囲の定義にあたり講じる必要のある施策等」¹⁵を記載している。

その他、3.3.3 において適用範囲の境界部分にて講じる必要のある保護施策の考え方を示すとともに、3.3.4 において登録希望組織からクラウドサービス事業者等に確認すべき事項を例示する。3.3.3 及び 3.3.4 の内容は、3.3.1 と 3.3.2 に示す事例以外でも一般的に適用できるものである。

3.3.1 事例①：少数の事業所からなる企業における設定事例

(1)想定する組織及びネットワーク構成等

以下では、少数の事業所からなる中小規模の企業を想定し、取得単位及び適用範囲の設定の考え方についてより具体的に解説するため、図 4 に示す企業について仮想的な設定事例を示す。

・A 社は国内に B 事業所と C 事業所という 2 つの製造拠点を有する製造事業者（従業員規模としては 100～300 名程度を想定）である。

・そのうち B 事業所は本社所在地でもあり、製造部門（製造 I 部）のほか、経営管理部及び営業部も所在している。情報システム及び IT セキュリティについては、経営管理部 総務課の情報システム係（2 名）が担当している。

・C 事業所にも製造部門（製造 II 部）が置かれており、情報システム係が整備した情報端末等を利用している。

・A 社で共通に利用されるシステムは、X 社が運用するデータセンター内に構築、運用されている。

・A 社の Web サーバは、Y 社が提供する IaaS/PaaS 上に構築、運用されている。

・電子メール、社内で利用するファイルの保管等について、Z 社が提供する SaaS を利用している。

図 4 想定する組織の概要図
図は当サイトに載せていません。原本 PDF の 13 ページを見てください。

A 社は、図 5 に示すようなネットワーク構成を有する。

・A 社は、B 事業所及び C 事業所で共通に利用される IT 基盤を X 社データセンター内に構築・運用している。

・Web サーバを Y 社が提供するクラウドサービス（IaaS/PaaS）上に実装している。

・同様に、電子メール、勤怠管理等について、Z 社が提供するクラウドサービス（SaaS）を利用している。

・各事業所は、広域イーサネットを通じて IT 基盤を利用するほか、製造部門が主導して製造現場で稼動する加工装置、検査装置及び端末等を調達する場合がある。それら製造環境で稼動する機器は、ファイアウォールで IT 基盤を利用する環境とは論理的に分離された環境に設置されている。

図 5 想定するネットワーク構成の概要図
図は当サイトに載せていません。原本 PDF の 13 ページを見てください。

(2)B 事業所と C 事業所の両方を適用範囲に含める場合

◼適用範囲の構成例

・A 社が B 事業所と C 事業所の双方を含めて登録を目指す場合、以下を適用範囲に含めることが考えられる。これらのうち、インターネット公開サーバ（Web サーバ、メールサーバ等）は必ず適用範囲に含まねばならない。

-IT 基盤（X 社データセンター内）

-Y 社クラウドサービス（IaaS/PaaS）

-Z 社クラウドサービス（SaaS）

-A 社の B 事業所及び C 事業所で利用する端末

◼適用範囲の定義にあたり講じる必要のある施策等

・B 事業所で利用される加工装置、検査装置及び端末等が所定のセキュリティ要件を遵守することが困難な場合、インターネットからの通信を受け付けないよう、ファイアウォール等により適用範囲内のネットワークと適切に分離する必要がある。

・A 社は X 社、Y 社及び Z 社に対して、例えばサービス調達時にセキュリティ対策状況やサービス仕様の確認を行う。

図 6 B 事業所と C 事業所の両方を適用範囲に含める場合の適用範囲（例）[^16]
図は当サイトに載せていません。原本 PDF の 14 ページを見てください。

(3)B 事業所のみを適用範囲に含める場合

◼適用範囲の構成例

・A 社が適用範囲に B 事業所を含め、C 事業所を除いて登録を目指す場合、以下を適用範囲に含めることが考えられる。このような適用範囲設定を行う場合として、例えば、C 事業所においてサポート切れの業務端末を利用しており、リプレイスの計画も未定であり、要求事項 4-4-2 を満たせないために、適用範囲から除外せざるを得ないような場合が考えられる。

-IT 基盤（X 社データセンター内）

-Y 社クラウドサービス（IaaS/PaaS）

-Z 社クラウドサービス（SaaS）

-A 社の B 事業所で利用する端末

・上記のうち、インターネット公開サーバ（Web サーバ、メールサーバ等）は必ず適用範囲に含まねばならない。

◼適用範囲の定義にあたり講じる必要のある施策等

・B 事業所で利用される加工装置、検査装置及び端末等が所定のセキュリティ要件を遵守することが困難な場合、インターネットからの通信を受け付けるものをファイアウォール等により適用範囲内のネットワークと適切に分離する必要がある。

・C 事業所と IT 基盤との境界において、ファイアウォール等により適用範囲内のネットワークと C 事業所のネットワークを適切に分離することが望ましい。

・A 社は X 社、Y 社及び Z 社に対して、例えばサービス調達時にセキュリティ対策状況やサービス仕様の確認を行う。

図 7 B 事業所のみを適用範囲に含める場合の適用範囲（例）
図は当サイトに載せていません。原本 PDF の 15 ページを見てください。

3.3.2 事例②：多数の子会社等からなる企業グループにおける設定事例

(1)想定する組織及びネットワーク構成等

以下では、前項とは異なり、国内外に多数の子会社等を有する比較的大規模な企業における取得単位、適用範囲設定の考え方として、図 8 に示す企業群について仮想的な設定事例を示す。

・A 社は多数の国内子会社（B 社を含む）、海外子会社を有する企業であり、子会社とあわせて A グループを構成している。

・A 社 IT・セキュリティ部門は、自社に加えて国内子会社及び海外子会社が利用する共通の IT 基盤を X 社が提供するデータセンター内に構築・運用している。

・A グループでは、同グループに含まれる法人すべてにおいて共通に適用される A グループ情報セキュリティ対応方針を策定している。その他、各法人において個別により具体的なセキュリティに係る規程等を策定している。

・A 社では、事業所ごとにシステムを調達し、当該事業所の技術部が管理・運用している場合がある。

・A 社は共通の IT 基盤の一部のサービスとして、Y 社が提供するクラウドサービス（IaaS/PaaS）を利用している。

・A 社は一部のサービスについて、Z 社が提供するクラウドサービス（SaaS）を利用している。

図 8 想定する組織の概要
図は当サイトに載せていません。原本 PDF の 16 ページを見てください。

A 社及びそのグループ会社は、図 9 に示すようなネットワーク構成を有する。

・A 社は、自社に加えて国内子会社及び海外子会社が利用する共通の IT 基盤を X 社データセンター内に構築・運用している。

・共通の IT 基盤の一部のサービスを Y 社が提供するクラウドサービス（IaaS/PaaS）上に実装している。

・同様に、一部のサービスについて、Z 社が提供するクラウドサービス（SaaS）を利用している。

・A 社内の各事業所、国内子会社、海外子会社は、拠点間 VPN 等を通じて共通の IT 基盤を利用するほか、各社個別にシステムを調達・構築・管理している。

図 9 想定するネットワーク構成の概要
図は当サイトに載せていません。原本 PDF の 17 ページを見てください。

(2)A 社（親会社、持株会社等）が単体で登録しようとする場合

適用範囲の構成例

A 社が単体で登録を目指す場合、以下を適用範囲に含めることが考えられる。これらのうち、インターネット公開サーバは（Web サーバ、メールサーバ等）必ず適用範囲に含まねばならない。

・共通の IT 基盤（X 社データセンター内）

・社外環境（パソコン、スマートデバイス等）

・Y 社クラウドサービス（IaaS/PaaS）

・Z 社クラウドサービス（SaaS）

・A 社の各事業所で利用する端末、事業所ごとに構築しているシステム

◼適用範囲の定義にあたり講じる必要のある施策等

・共通の IT 基盤等に接続する国内子会社、海外子会社を適用範囲から除外する場合、適用範囲の境界部分にてネットワーク機器等（例：VLAN、ファイアウォール）による保護施策を講じることが望ましい。なお、ネットワーク分離が困難である場合は、適用範囲外の組織に起因する事故等が適用範囲内に及ぼす影響を考慮し、アクセス管理、脆弱性管理、インシデント報告等について、「★3・★4 要求事項・評価基準」と同等以上の対策が講じられていることを確認する必要がある。

・A 社は、共通の IT 基盤に加え、個々の管理部門へのアセスメントシート等の送付・回収等を通じて、事業所ごとに構築しているシステムが要求事項・評価基準に適合しているか確認する必要がある。

・A 社は X 社、Y 社及び Z 社に対して、例えばサービス調達時にセキュリティ対策状況やサービス仕様の確認を行う。

図 10 A 社（親会社、持株会社等）が単体で登録しようとする場合の適用範囲（例）
図は当サイトに載せていません。原本 PDF の 18 ページを見てください。

A 社が法人単位で登録しようとする場合のほか、A 社を構成する個別の事業所が登録しようとする場合も想定される。そのような場合においても図 10 に示す適用範囲を参考とすることができるが、以下について留意することが必要となる。

・取得単位となる事業所が自ら構築又は運用するシステムのほか、A 社内で共通に利用される IT 基盤のうち当該事業所で利用しているもの（クラウドサービスを利用しているものを含む）を適用範囲に含む必要がある。

・登録にむけて実施する自己評価に対する経営層の自己適合宣言について、取得単位を個別の事業所とする場合は、実施主体を A 社の経営層（例：取締役）とすることまでは要さず、当該事業所において経営に係る意思決定を行う者（例：事業所長）とすることで足る。

(3)企業グループ単位（海外子会社を除く）で登録しようとする場合

◼適用範囲の構成例

・企業グループ単位（海外子会社を除く）で登録を目指す場合、以下を適用範囲に含めることが考えられる。

-共通の IT 基盤（X 社データセンター内）

-社外環境（パソコン、スマートデバイス等）

-Y 社クラウドサービス（IaaS/PaaS）

-Z 社クラウドサービス（SaaS）

-A 社の各事業所で利用する端末、事業所ごとに構築しているシステム

-国内子会社で利用する端末、事業所ごとに構築しているシステム

◼適用範囲の定義にあたり講じる必要のある施策等

・共通の IT 基盤等に接続する海外子会社を適用範囲から除外する場合、適用範囲の境界部分にてネットワーク機器等（例：VLAN、ファイアウォール）による保護施策を講じることが望ましい。

・A 社は、共通の IT 基盤に加え、個々の管理部門（B 社含む）へのアセスメントシート等の送付・回収等を通じて、事業所・国内子会社ごとに構築しているシステムが要求事項・評価基準に適合しているか確認する必要がある。

・A 社は X 社、Y 社及び Z 社に対して、例えばサービス調達時にセキュリティ対策状況やサービス仕様の確認を行う。

図 11 企業グループ単位（海外子会社を除く）で登録しようとする場合の適用範囲（例）
図は当サイトに載せていません。原本 PDF の 19 ページを見てください。

(4)B 社（グループ子会社）が単体で登録しようとする場合

◼適用範囲の構成例

・B 社が単体で登録を目指す場合、以下を適用範囲に含めることが考えられる。

-B 社で利用する端末、独自に構築しているシステム

-社外環境（パソコン、スマートデバイス等）

-共通の IT 基盤（X 社データセンター内）

-Y 社クラウドサービス（IaaS/PaaS）

-Z 社クラウドサービス（SaaS）

◼適用範囲の定義にあたり講じる必要のある施策等

・共通の IT 基盤等に接続する他の組織（例：海外子会社）を適用範囲から除外する場合、除外対象とする組織との境界部分にてネットワーク機器等（例：VLAN、ファイアウォール）による保護施策を講じる、又は講じられていることを確認することが望ましい。

・B 社は、自社で管理しているシステムに加え、親会社である A 社管理部門へのアセスメントシート等の送付・回収等を通じて、共通の IT 基盤等システムが要求事項・評価基準に適合しているか確認する必要がある。

・B 社は A 社（A 社を通じて、X 社、Y 社、Z 社）に対して、例えばサービス調達時にセキュリティ対策状況やサービス仕様の確認を行う。

図 12 B 社（グループ子会社）が単体で登録しようとする場合の適用範囲（例）
図は当サイトに載せていません。原本 PDF の 20 ページを見てください。

3.3.3 適用範囲の境界部分にて講じる必要のある保護施策の考え方

適用範囲の境界部分では、図 13 に示す考え方に基づき適用範囲外で生じた侵害が適用範囲内へ容易に波及しないよう、環境に応じた対策を講じる必要がある。

・適用範囲内と適用範囲外は、ファイアウォール、VLAN、クラウドサービスのネットワーク制御機能その他これらと同等の技術的手段により区分する。両者の間で通信を行う場合、評価基準 No.4-5-1-4 及び同 4-5-1-5 で定めるように、適用範囲外からの通信は適用範囲内のネットワークから見てインターネットからの通信と同様に扱うものと捉え、ファイアウォール、アクセス制御リスト等により、業務上必要な範囲に限定する。構成上可能な場合は、適用範囲外から適用範囲内への通信を原則として拒否し、必要な通信のみを許可することが望ましい。

・適用範囲内と適用範囲外のネットワークは相互に通信が可能であっても、上記を満たす限りにおいて適用範囲の境界を構成するものとして有効である。その際、境界の保護は、ファイアウォール又は VLAN を使用して、OSI 参照モデルのデータリンク層、ネットワーク層又はそれらと同等の機能を提供する技術（例：クラウドサービスにおけるセキュリティグループ）¹⁷を用いて実施する必要がある。

・上記の施策を行うことが困難な場合、ネットワークを共用する一方で取得単位と適用範囲に含まれていない事業部や法人等におけるセキュリティ対策状況を把握し、適用範囲の要求事項・評価基準と同等以上の対策が講じられていることを確認する必要がある。

図 13 適用範囲の境界部分にて講じる必要のある保護施策の考え方
図は当サイトに載せていません。原本 PDF の 21 ページを見てください。

3.3.4 登録希望組織からクラウドサービス事業者等に確認すべき事項（例）

一般に、クラウドサービスのセキュリティを高めるためには、クラウドサービス事業者とクラウドサービスの利用者が協力して、クラウドサービスに対する責任を共有する必要がある。この責任を共有するという考え方（責任共有モデル）を多くのクラウドサービス事業者が採用している。

上記事例における登録希望組織の A 社は、自社の IT 基盤においてサービスを利用しているY 社（IaaS/PaaS）又は Z 社（SaaS）に対して、以下の要求事項（例）の遵守状況を確認することが考えられる¹⁸。当該確認は、サービス仕様や SOC2 Type 2 報告書¹⁹、クラウドサービス事業者等が開示する報告書等の確認によって行うほか、クラウドサービス事業者に個別に照会を行うことでも実施され得る。

◼物理セキュリティの管理に係るもの

・要求事項 No.4-1-8 サーバの設置エリアへの入退室を管理し、記録すること。

・要求事項 No.4-1-9 可搬媒体の持込み・持出しを制限すること。

◼仮想環境・OS・ミドルウェア²⁰等の管理に係るもの

・クラウドサービスが提供する識別・認証・アクセス制御に係る機能

-要求事項 No.4-1-2 管理者 ID の発行・変更・削除の手続を定めること。

-要求事項 No.4-1-3 システム及び情報の重要度に応じて認証の強度及び実装方法を決定すること。

・クラウドサービスの提供に関連するソフトウェアの管理

-要求事項 No.3-2-1 脆弱性の管理体制、管理プロセスを定め、それに基づく管理を行うこと。

-要求事項 No.4-4-1 情報機器、OS 及びソフトウェアの安全な構成を確立し、維持すること。

-要求事項 No.4-4-2 サポート期限の切れた OS 及びソフトウェアの利用停止及び更改を実施すること。

-要求事項 No.4-4-4 情報機器、OS 及びソフトウェアへのセキュリティパッチ及びアップデートの適用に係る手続を定めること。

第4章 本制度（★3・★4）でカバーされるセキュリティのリスク・脅威

★3・★4 が対象とするアタックサーフェス²¹として、「1．運用中の IT 基盤に対する論理アクセス」、「2．運用中の IT 基盤に対する物理アクセス」、「3．廃棄時の IT 基盤構成要素（例：サーバ、端末）に対する物理アクセス」を想定し、開発・調達時の IT 基盤に係るサプライチェーンにおける接触は必ずしも対象としない。

図 14 想定するアタックサーフェス及び脅威の例示
図は当サイトに載せていません。原本 PDF の 23 ページを見てください。

対象とするアタックサーフェスを踏まえ、★3・★4 で想定する脅威を以下のように整理している。

★3 では、外部ネットワーク経由での論理的脅威を中心として、不正アクセス、不正送信、マルウェア感染、情報破壊に対して基礎的と考えられる対策を求めている。

他方、★4 においては、★3 で想定しているものに加え、ソーシャルエンジニアリング、否認、情報窃取、情報改ざん、情報破壊及び物理的侵入、不正媒体・機器接続等を含む物理的脅威に対する標準的と考えられる対策を求めている。

なお、表 3 で示した脅威のうち、★3・★4 のどちらにも対応する要求事項が存在しない脅威についても、自組織で扱う情報の重要性や自組織及び取引先等の業務の特性や業務への影響を考慮してその対応を検討することが推奨される。

第5章 要求事項・評価基準の解説

5.1 要求事項・評価基準全体で共通する事項の解説

5.1.1 「★3・★4 要求事項・評価基準」の構成

「★3・★4 要求事項・評価基準」は、以下に示す通り、7 の大分類の下、16 の中分類から構成され、★3 については計 26 件、★4 については計 43 件の要求事項からなる。

大分類及び中分類は、NIST Cybersecurity Framework （CSF) 2.0 における機能及びカテゴリに基づいたものとしているが、本制度が委託先等、サプライチェーン全体のセキュリティ対策の強化を目指すものである点を踏まえ、「取引先管理」を大分類として独立させた。

別紙では、大分類、中分類に沿って、要求事項毎に解説を付す構成としている。

5.1.2 「★3・★4 要求事項・評価基準」におけるシステム・情報の分類

「★3・★4 要求事項・評価基準」では、適用範囲内のシステム及び登録希望組織が保有する情報について、いくつかの分類を設定し、追加の評価基準を課している場合がある。

登録希望組織は、自己評価等に先立って、自組織における「重要なシステム」や「事業継続上重要なシステム」、「重要な機密情報を取り扱うシステム」について、図 15 で示す分類を踏まえ自らが設定する基準に基づいて設定し、把握しておかねばならない。

図 15 中に示される「重要なシステム」等の定義は以下のとおりである。

・重要なシステム：侵害された場合のビジネスへの影響度が高いと登録希望組織が定めたシステム²²

・事業継続上重要なシステム：高い可用性が求められる（稼働停止許容時間が短い）システムとして登録希望組織が定めたもの

・重要な機密情報を扱うシステム：「重要な機密情報」を取り扱うシステム

・機密情報：登録希望組織が保有している情報のうち、外部への開示が予定されない情報

・重要な機密情報：「機密情報」のうち、漏えいした場合における社会的信用低下や損害賠償等の訴訟リスクなどビジネスへの影響が大きいと登録希望組織が定めたもの

・事業継続上重要な情報：登録希望組織が保有している情報のうち、利用不能や改ざんによる事業影響や重要業務の遂行への影響が大きいと登録希望組織が定めたものその際、システム・情報の分類基準を明確にするとともに、当該基準に基づいて分類した結果を確認できるよう整理しておくことが望ましい。

図 15 要求事項・評価基準におけるシステム・情報の分類
図は当サイトに載せていません。原本 PDF の 26 ページを見てください。

別紙 要求事項・評価基準の個別解説

別紙の内容は、評価基準ごとのページにまとめています。

1. ガバナンスの整備

• 1-1-1 社内ルール 1-1-1-1 1-1-1-2 1-1-1-3
• 1-2-1 セキュリティ推進活動部門 1-2-1-1 1-2-1-2 1-2-1-3 1-2-1-4
• 1-2-2 サイバー攻撃の監視・分析体制 1-2-2-1 1-2-2-2
• 1-2-3 守秘義務のルール 1-2-3-1 1-2-3-2 1-2-3-3 1-2-3-4
• 1-3-1 セキュリティ対応方針の策定 1-3-1-1 1-3-1-2 1-3-1-3 1-3-1-4
• 1-4-1 セキュリティ対策推進計画 1-4-1-1 1-4-1-2

2. 取引先管理

• 2-1-1 取引先とのビジネス又はシステム上の関係 2-1-1-1 2-1-1-2 2-1-1-3
• 2-1-2 機密情報の取扱い 2-1-2-1
• 2-1-3 取引先のセキュリティ対策状況 2-1-3-1
• 2-1-4 セキュリティインシデント発生時の役割・責任 2-1-4-1
• 2-1-5 機密情報の回収・破棄 2-1-5-1

3. リスクの特定

• 3-1-1 情報機器、OS及びソフトウェアに関する情報の把握 3-1-1-1 3-1-1-2 3-1-1-3 3-1-1-4 3-1-1-5 3-1-1-6 3-1-1-7
• 3-1-2 ネットワークに関する情報の把握 3-1-2-1 3-1-2-2 3-1-2-3 3-1-2-4
• 3-1-3 外部情報サービスの管理 3-1-3-1 3-1-3-2
• 3-1-4 機密区分に応じた情報の管理 3-1-4-1 3-1-4-2 3-1-4-3 3-1-4-4 3-1-4-5 3-1-4-6 3-1-4-7 3-1-4-8
• 3-1-5 リモートワークにおけるルール 3-1-5-1 3-1-5-2 3-1-5-3
• 3-2-1 脆弱性の管理体制 3-2-1-1 3-2-1-2 3-2-1-3 3-2-1-4 3-2-1-5

4. 攻撃等の防御

• 4-1-1 ユーザIDの管理手続 4-1-1-1 4-1-1-2 4-1-1-3 4-1-1-4
• 4-1-2 管理者IDの管理手続 4-1-2-1 4-1-2-2 4-1-2-3 4-1-2-4 4-1-2-5 4-1-2-6 4-1-2-7 4-1-2-8
• 4-1-3 認証の強度・実装方法の決定 4-1-3-1 4-1-3-2 4-1-3-3 4-1-3-4 4-1-3-5
• 4-1-4 アカウントロック制御 4-1-4-1 4-1-4-2
• 4-1-5 パスワード設定ルール 4-1-5-1 4-1-5-2 4-1-5-3 4-1-5-4 4-1-5-5
• 4-1-6 パスワード管理ルール 4-1-6-1 4-1-6-2 4-1-6-3
• 4-1-7 アクセス権の管理ルール 4-1-7-1 4-1-7-2 4-1-7-3 4-1-7-4 4-1-7-5 4-1-7-6
• 4-1-8 サーバ設置エリアへの入退室管理 4-1-8-1 4-1-8-2 4-1-8-3 4-1-8-4
• 4-1-9 可搬媒体の制限 4-1-9-1 4-1-9-2 4-1-9-3
• 4-2-1 セキュリティの意識向上のための教育・研修 4-2-1-1 4-2-1-2 4-2-1-3 4-2-1-4 4-2-1-5
• 4-2-2 セキュリティインシデント発生時の教育・訓練 4-2-2-1 4-2-2-2 4-2-2-3
• 4-3-1 データの暗号化 4-3-1-1 4-3-1-2
• 4-3-2 データの保管ルール 4-3-2-1
• 4-3-3 取引先との情報共有ルール 4-3-3-1
• 4-3-4 適切なバックアップ 4-3-4-1 4-3-4-2 4-3-4-3
• 4-4-1 情報機器、OS及びソフトウェアの安全な構成 4-4-1-1 4-4-1-2 4-4-1-3 4-4-1-4 4-4-1-5 4-4-1-6
• 4-4-2 サポート期限の切れたOS及びソフトウェアへの対策 4-4-2-1
• 4-4-3 ログの取得 4-4-3-1 4-4-3-2 4-4-3-3
• 4-4-4 セキュリティパッチ・アップデートの手続 4-4-4-1 4-4-4-2 4-4-4-3
• 4-4-5 マルウェア感染からの保護 4-4-5-1 4-4-5-2 4-4-5-3 4-4-5-4 4-4-5-5
• 4-5-1 ネットワーク境界防護 4-5-1-1 4-5-1-2 4-5-1-3 4-5-1-4 4-5-1-5 4-5-1-6 4-5-1-7 4-5-1-8 4-5-1-9

5. 攻撃等の検知

• 5-1-1 ネットワーク接続・データの監視 5-1-1-1 5-1-1-2 5-1-1-3
• 5-1-2 情報機器及びソフトウェアの挙動監視 5-1-2-1 5-1-2-2 5-1-2-3
• 5-2-1 セキュリティインシデントのレベルごとの対象範囲 5-2-1-1 5-2-1-2

6. インシデントへの対応

• 6-1-1 インシデント対応手順 6-1-1-1 6-1-1-2 6-1-1-3 6-1-1-4 6-1-1-5 6-1-1-6

7. インシデントからの復旧

• 7-1-1 事業継続要件に沿った復旧準備 7-1-1-1 7-1-1-2