SCS評価制度★3／★4対応で実務がつまずく3つのポイント

SCS評価制度★3／★4の対応で、多くの企業が共通してつまずくのは次の3点です。

誰が何にアクセスできるかを棚卸し・最小権限化できていない

長年の運用でフォルダやファイルへのアクセス権が積み重なり、退職者や異動者のアカウントが残ったまま、誰がどの機密情報にアクセスできるのかを把握できていない企業は少なくありません。
★3／★4では取引先との関係に応じて権限を管理することが求められるため、まずは現状を可視化し、不要な権限を整理するところから着手する必要があります。

操作・アクセスの証跡が監査に耐える形で残っていない

ログ自体は取得していても、保存期間が短い、複数のシステムに分散している、必要なときにすぐ抽出できないといった理由で、監査時に証跡を提示できないケースがあります。
★4では取得したログを定期的にレビューする運用までが問われるため、ログを「取る」だけでなく、「探せる・出せる」状態にしておくことが欠かせません。

対策が分断し、★4の定期レビュー・監査可能性に耐えられない

社外共有はファイル転送サービス、権限管理はファイルサーバー、ログ管理は別ツールというように仕組みが分断されていると、設定の抜け漏れや管理工数の増大を招きます。
とくに★4で求められる定期レビューや監査可能性の担保は、対策が分散しているほど維持が難しくなります。

いずれも「統制が無い」のではなく、統制を支える仕組みが分断されていることが原因です。

DirectCloudでSCS評価制度★3／★4要件を満たす方法

SCS評価制度への対応は、ツールで実現できる「技術的統制」と「証跡の取得」の領域と、企業自身が整える「ガバナンス・運用ルール」の領域に分けて考えると整理しやすくなります。
DirectCloudは前者を担う基盤であり、セキュリティ方針の策定・役割の明確化・定期レビューといった組織的な運用についても、その実施を証跡として裏付けます。

• ●DirectCloudがカバーする領域（技術的統制・証跡の取得）

  「取引先管理」「攻撃等の検知／防御」「インシデントからの復旧」

• ●企業側で整える領域（ガバナンス・運用ルール）

  「ガバナンスの整備」「リスクの特定」「インシデントへの対応」

以下では、DirectCloudが担う「技術的統制」の各要求項目について、★3／★4それぞれで求められる水準と、DirectCloudでの対応を整理しています。自社が目指す段階に合わせてご確認ください。

取引先管理

攻撃等の検知

攻撃等の防御

インシデントからの復旧

SCS評価制度★3／★4対応の進め方

SCS評価制度を進める際は、いきなり全社展開せず、以下のステップで進めるのが現実的です。

現状の棚卸し

社外とのファイル共有がどの経路で行われているか（メール添付、ファイル転送サービス、個人クラウドなど）、各フォルダに誰がアクセスできるか、現在どのようなログを取得できているかを洗い出します。
ここで現状を可視化しておくことで、続く工程をスムーズに進められます。

不足要件の特定

棚卸しの結果を★3／★4の要求水準と照らし合わせ、足りていない統制や証跡を具体的に絞り込みます。

取引先管理・検知／防御・復旧といった分野ごとに未対応の項目を洗い出すことで、優先して着手すべき範囲が明確になります。

PoC／実証実験

いきなり全社へ広げず、特定の部署や取引先データに絞って試験的に運用し、社外共有やアクセス権の設定、ログの取得・抽出を実際に行います。
現場の運用負荷と、監査時に提示できる証跡が想定どおり残るかを確認します（期間の目安は1〜2か月程度）。

本番展開

PoCで固めた設定を全社標準として横展開し、★4で求められる定期レビューや監査対応を年間の運用サイクルに組み込みます。
情報システム部門だけで進めるのではなく、各部門の管理者や取引先対応の担当者を早い段階から巻き込んでおくと、ルールが浸透しやすく、運用が定着します。

特に社外共有の統一とログの自動化を先に着手すると、★3の主要項目を短期間でカバーできます。
DirectCloudであれば、これらのステップを単一の基盤上で進められるため、ツールの追加導入や再構築を伴わずに、★3から★4へ段階的に拡張できます。

まとめ

DirectCloudは、社外共有・ログ管理・データ持ち出し対策・ランサムウェア対策を単一基盤でカバーしており、★3の自己評価のみならず、★4の第三者に提示できる客観的証拠を準備することができます。
★3対応の基盤としてDirectCloudを導入することで、社外共有の集約・アクセス権限の定義・操作ログの自動取得という3点を短期間で整備でき、これらは★4対応においてもそのまま有効です。
★4で追加的に求められる管理者操作ログの長期保管、退職者・削除ユーザーが保持していたファイルの確認、監査向けのログ検索・抽出にも対応しており、★3対応で導入した基盤を廃棄・再構築することなく、段階的に拡張できる点が設計上の強みです。

より詳細な資料をダウンロードして、サプライチェーンセキュリティ対策にぜひお役立てください。

■【対策ガイド】経産省サプライチェーンセキュリティ対策

よくある質問（Q&A）