RESOURCE

SCS評価制度の全25項目と攻略ロードマップ——ISO27001との違いも解説｜ハチマルヤ合同会社（808）

2026.01.23

SCS評価制度の審査対象となる全25項目（組織・ルール10項目／技術・運用12項目／緊急時3項目）を完全解説。ISO27001との評価アプローチの違いとレベル別の攻略ロードマップを、ハチマルヤ合同会社（808）が解説します。

前編では、SCS評価制度の概要・★3〜★5の3段階・セルフチェックの方法を解説しました。この後編では、審査の対象となる全25項目の内容と、各レベルを効率よく取得するためのロードマップを詳しく解説します。

また、「ISMSとどう違うのか」という疑問も多くいただくため、両制度の評価アプローチの本質的な違いについても整理します。

SCS評価制度とISMS（ISO27001）の決定的な違い

取り組み方を間違えないために、まず両制度の根本的な違いを理解しておく必要があります。

ISO27001（ISMS）は、「リスクベース」の考え方を採用しています。

企業が自社のリスクを特定・評価し、そのリスクに応じた対策を選択・実施する——という「プロセスの仕組みが整っているか」を評価します。形式よりも「なぜその対策を選んだか」という判断の合理性が問われます。

SCS評価制度は、「ベースライン型」の考え方を採用しています。

「これだけは最低限やっていなければならない」という基準項目（ベースライン）への適合状況を評価します。自社のリスク判断よりも、「定められた項目をすべて実施しているか」が重視されます。

実務上の含意：SCS評価制度は「何をすれば取得できるか」が明確なため、対策の優先順位を立てやすい一方、全項目への対応が必須となります。ISMSのような「リスクが低いから対策を省略する」という判断は原則として通用しません。

SCS評価の審査対象は、大きく3つのカテゴリに分類された全25項目です（2026年1月時点）。

企業のセキュリティ管理体制と規程・手順書の整備状況を評価する項目群です。

実際の技術的な対策が導入・運用されているかを評価する項目群です。

#	項目	概要
B-1	脆弱性管理	OS・ソフトウェアの更新・パッチ適用の管理
B-2	マルウェア対策	ウイルス対策ソフト・EDRの導入と運用
B-3	認証管理	多要素認証（MFA）の導入・パスワードポリシーの整備
B-4	ネットワーク管理	ファイアウォール・VPN・ネットワーク監視の運用
B-5	ログ管理・監視	アクセスログの取得・保管・定期的な確認
B-6	バックアップ管理	重要データの定期バックアップと復元テストの実施
B-7	暗号化	重要データの保存・送信時の暗号化
B-8	セキュアな開発・設定	システム構築・設定時のセキュリティ要件の組み込み
B-9	物理セキュリティ	サーバールームや端末の物理的な保護措置
B-10	持出し・廃棄管理	データの持ち出しルールと機器廃棄時のデータ消去
B-11	ネットワーク分離	重要システムと一般業務環境のネットワーク分離（IT/OT分離を含む）
B-12	脆弱性診断	定期的なペネトレーションテストまたは脆弱性スキャンの実施

インシデント発生時の対応体制を評価する項目群です。