RESOURCE

SCS評価制度のギャップ分析の進め方｜現状把握から対応計画まで｜ハチマルヤ合同会社（808）

2026.07.29

「SCS評価制度への対応を進めたいが、まず何から手をつければいいのか」

この質問への答えは明確で、ギャップ分析です。自社の現状と★3の要求事項との「差分」を把握しないことには、何をどれだけやればいいのか、期間も費用も見積もれません。

幸い、IPAは★3・★4の要求事項・評価基準を公式に公開しています。[※1] つまり「何と比べればいいか」の物差しはすでに手元にある状態です。この記事では、ハチマルヤ合同会社（808）のコンサルタントが、公式資料を使ったギャップ分析の具体的な進め方を5つのステップで解説します。

ギャップ分析とは何か

ギャップ分析とは、「あるべき姿（★3の要求事項26件）」と「自社の現状」を突き合わせ、差分（ギャップ）を洗い出す作業です。

SCS評価制度はベースライン型の評価制度で、定められた要求事項への適合が求められます。そのため対応の出発点は、リスク分析ではなく「要求事項に対して自社がどこまでできているか」の確認になります。

ギャップ分析が完了すると、次のことが明確になります。

追加対応が必要な項目の一覧と数
対応の優先順位（すぐできるもの／時間がかかるもの）
取得までの現実的なスケジュールと概算の工数

逆に、ギャップ分析を飛ばして個別の対策（ツール導入など）から始めると、「やらなくてよいことに投資する」「必要なことが漏れる」という二重の無駄が生じます。

準備するもの

① IPA公式の要求事項・評価基準（Excel）

IPAの公式ページから「★3・★4 要求事項・評価基準」のExcelファイルをダウンロードします。[※1] ★3の要求事項26件と、それぞれに紐づく評価基準（★3は83件）が一覧化されており、これがギャップ分析の「物差し」になります。

② 分析対象の決定権を持つ体制

ギャップ分析は情シス担当者だけでは完結しません。要求事項には、取引先管理（契約・調達部門）、守秘義務ルール（法務・人事）、セキュリティ対応方針（経営層）など、部門をまたぐ項目が含まれるためです。最低限、各部門に質問できる体制と、経営層のスポンサーシップを確保してから始めてください。

③ 判定基準の統一

後述する「対応済み／一部対応／未対応」の3段階判定を、誰が判定しても同じ結果になるよう、判定の目安を先に決めておきます。ここが曖昧なまま進めると、後で判定のやり直しが発生します。

ギャップ分析の5ステップ

ステップ1：対象範囲を決める（目安：数日）

まず「どの事業・システム・拠点を評価対象にするか」を決めます。

全社を一律に対象とするのが原則ですが、複数事業を持つ企業では「SCS評価が求められる取引に関わる範囲」から着手する判断もあります。範囲が曖昧なまま進めると、後工程すべてがぶれるため、最初に文書で確定させてください。

ステップ2：公式Excelを分析台帳に変換する（目安：半日）

ダウンロードした公式Excelに、次の列を追加して自社用の分析台帳にします。

追加する列	記入する内容
判定	対応済み／一部対応／未対応の3段階
現状の実施内容	何をどこまでやっているか（簡潔に）
証跡の有無	ルール文書・実施記録・設定画面などが存在するか
担当部門	この項目の実態を知っている部門・担当者
メモ	不明点・確認事項

ポイントは「証跡の有無」列を最初から設けることです。★3は専門家確認付き自己評価のため、「やっている」だけでなく「やっていることを示せる」状態が求められます。[※1]

ステップ3：3段階で判定する（目安：2〜4週間）

26件の要求事項（正確にはその下の評価基準）を1件ずつ確認し、3段階で判定します。

対応済み：評価基準を満たす運用があり、証跡も示せる
一部対応：運用はあるが証跡がない／一部の部門・システムのみ対応している
未対応：運用そのものがない

判定に迷ったら「一部対応」に倒し、メモ欄に迷った理由を書いて先に進めてください。1件で立ち止まらないことが、期間内に完走するコツです。

ステップ4：ギャップを分類し、優先順位をつける（目安：1週間）

「一部対応」「未対応」の項目を、対応に必要なアクションの種類で分類します。

分類	例	目安期間
ルール策定・文書化で対応できる	パスワードルール、アクセス権管理ルール、対応方針の策定	数週間
設定変更・運用変更で対応できる	アカウントロック制御、バックアップの見直し	数週間〜1ヶ月
技術的な整備が必要	ネットワーク分離・境界防護、接続とデータの監視	1〜3ヶ月
社外との調整が必要	取引先との関係整理、機密情報の取扱い・役割分担の明確化	1〜3ヶ月以上

「社外との調整が必要」な項目はコントロールできない待ち時間が発生するため、着手だけは最優先にするのが鉄則です。

ステップ5：対応計画に落とし込む（目安：1週間）

分類と優先順位をもとに、「いつまでに・誰が・何を」の計画表を作ります。

分析台帳の記入例

イメージをつかんでいただくため、実際の要求事項を使った記入例を示します。

要求事項	判定	現状の実施内容	証跡の有無	担当部門	メモ
セキュリティ推進活動部門（1-2-1）	一部対応	情シス課長が事実上の担当。ただし責任・権限の文書化なし	なし	情シス・総務	任命文書の作成が必要
適切なバックアップ（4-3-4）	一部対応	週次で自動バックアップ実施中	設定画面のみ。復元テストの記録なし	情シス	復元テストの実施と記録化が必要
インシデント発生時の役割・責任（2-1-4）	未対応	主要取引先との間で取り決めなし	なし	営業・法務	契約更新時に協議。着手は最優先

この3行だけでも、次のことが読み取れます。

「やっているのに証跡がない」が2件——実施の実態はあるので、対応は「記録の仕組み化」だけで済みます。ゼロから対策を作るより遥かに軽い作業です。ギャップ分析をすると、こうした「軽いギャップ」と「重いギャップ」が仕分けされ、体感よりも対応量が少ないと分かるケースも多くあります。

社外調整が必要な項目が1件——取引先との協議はこちらの都合だけでは進まないため、判定した時点で着手のアクション（担当部門への連絡）を起こしておきます。

このように、台帳は「判定して終わり」ではなく、メモ欄に次のアクションまで書き込むことで、そのまま対応計画の素材になります。

ギャップが出やすい要求事項はどこか

支援の現場でギャップが見つかりやすいのは、次のような項目です。

取引先管理（3件）：「主要な取引先は把握している」という企業は多いものの、「ビジネス上・システム上の関係を整理した文書がある」「インシデント発生時の役割・責任を取引先と合意している」という水準まで満たせている企業は多くありません。

ネットワーク関連（境界防護・監視）：ファイアウォールは導入済みでも、「ネットワークを適切に分離している」「接続やデータ転送を監視している」と言える状態には達していないケースが目立ちます。技術的な整備が必要になるため、期間もコストもかかります。

証跡の不足：運用としては実施しているのに、記録が残っていないパターンです。教育・訓練の実施記録、バックアップの実施ログ、ID発行・削除の手続記録など、「やった証拠」を残す仕組みがないと、判定は「一部対応」止まりになります。

復旧準備：バックアップは取っていても、「事業継続の要件に沿った復旧の準備」——つまり、どの業務をいつまでに復旧させるかの整理と、それを実現できる復旧手段の確認——まで整っている企業は少数です。

逆に、意外と多くの企業がすでに満たしているのが、パスワードやアカウントロックといった基本的な管理ルール系の項目です。「対策が何もできていない」と感じている企業でも、実際に判定してみると対応済み・一部対応が想定より多いというケースは珍しくありません。この感覚のズレを埋めることも、ギャップ分析の価値のひとつです。

ギャップ分析でつまずく3つのパターン

パターン①：完璧な分析を目指して止まる

「正確に判定しなければ」と1件ごとに深掘りし、分析だけで2〜3ヶ月かけてしまうケースです。ギャップ分析の目的は完璧な現状記述ではなく、対応計画を作るための材料集めです。迷ったら「一部対応」でマークして先に進み、詳細確認は対応フェーズに回してください。

パターン②：情シスだけで完結させようとする

要求事項には契約・法務・経営層マターが含まれるため、情シス担当者の知識だけでは判定できない項目が必ず出てきます。各部門への確認ルートを最初に作っておかないと、確認待ちで分析が止まります。

パターン③：評価基準を見ずに要求事項名だけで判定する

要求事項名だけを見て「パスワードルール？あるある」と判定すると、実際の評価基準が求める水準との差を見落とします。判定は必ず評価基準の記述レベルまで下りて行ってください。[※1]

分析結果を「使える計画」に変えるために

ギャップ分析の成果物は、そのまま経営層への説明資料になります。

「26件中、対応済みが◯件・一部対応が◯件・未対応が◯件。対応には◯ヶ月と概算◯円が必要」——この形まで整理できていれば、予算・体制の稟議が通しやすくなります。逆に「セキュリティ対策が必要です」という抽象的な報告では、経営層は判断できません。

自社が★3と★4のどちらを目指すべきかの判断も、この段階で整理しておくと計画がぶれません。

まとめ

ギャップ分析は「★3の要求事項26件」と「自社の現状」の差分を洗い出す、SCS対応の最初の一歩
物差しはIPAの公式Excel（要求事項・評価基準）。ダウンロードして分析台帳に変換して使う
進め方は5ステップ：範囲決定→台帳化→3段階判定→分類と優先順位→対応計画
判定は「証跡を示せるか」の目線で。迷ったら「一部対応」で先に進む
ギャップが出やすいのは取引先管理・ネットワーク関連・証跡の不足・復旧準備
分析結果は経営層への説明資料としてそのまま使える形に整理する

よくある質問（FAQ）

Q1：ギャップ分析はどのくらいの期間で終わりますか？

企業規模と体制によりますが、標準的には対象範囲の決定から対応計画の作成まで1〜2ヶ月が目安です。分析だけに3ヶ月以上かけるのは時間のかけすぎで、その分だけ対策実施の期間が圧迫されます。「粗くても期間内に完走する」ことを優先してください。

Q2：自社だけでギャップ分析はできますか？専門家は必要ですか？

公式の要求事項・評価基準が公開されているため、自社での実施は可能です。ただし「対応済みと判定したが、評価基準の水準を満たしていなかった」という見落としは自己分析で起こりやすい問題です。初回の分析に専門家のレビューを入れると、後工程でのやり直しを防げます。ハチマルヤ合同会社（808）でもギャップ分析の支援を行っています。

Q3：ISO27001のリスクアセスメント結果は流用できますか？

一部流用できます。情報資産の一覧やリスク評価の結果は、「リスクの特定」分類の判定材料になります。ただしSCS評価制度はベースライン型のため、ISMSのリスク評価とは別に、26件の要求事項それぞれへの適合確認が必要です。「ISMSでカバーしているから対応済み」と一括で判定せず、1件ずつ突き合わせてください。

Q4：ギャップ分析の結果、未対応が多くて申請に間に合いそうにない場合は？

無理に初回の申請時期に合わせる必要はありません。SCS評価制度に申請期限はなく、「完成度の低い状態で急いで申請する」より「確実に適合できる状態で申請する」ほうが結果的に早く取得できるケースが多いです。まず未対応項目の中で時間のかかるもの（社外調整・技術整備）から着手し、現実的な取得時期を再設定してください。

ハチマルヤ合同会社（808）では、SCS評価制度への対応を専門チームがサポートしています。ギャップ分析の実施・レビューから、対応計画の策定・対策の実施支援・申請準備まで、「まず現状を知りたい」という段階からご相談を受け付けています。まずはお気軽に無料相談をご利用ください。