1. 試したこと：架空の部品メーカーで★3のシートを埋める

想定したのは、架空の大手メーカーから機械部品の製造を受託する「サンプル部品工業」です。本社兼工場の1拠点に、総務3名・営業2名・製造15名を置きました。業務用PC10台と図面を保管するNAS、ネットワーク機器を持ち、メール・図面共有のクラウド、顧客ポータル、外部に運用を委託した公開Webサイトを使う設定です。

用意した素材は、体制規程、平時の連絡表、PC台帳、ネットワーク台帳、バックアップ運用メモ、秘密保持契約の概要、クラウド利用の聞き取りの7件です。文書名だけでなく、書いてあることと足りないことを短い架空の記録にしました。実際の契約書や設定画面は使っていません。

前回の退職・異動の回は停止作業を閉じる手順でした。今回は、取引先との約束に向けて会社全体を点検し、足りない資料と手を付ける順を整理します。

公表済みの資料と、これからの手続き

2026年11月3日にIPAの配布ページとFAQを確認しました。要求事項・評価基準、自己評価等ガイド、アセスメントシート、解説書は公表済みです。10月28日の公開後、29日に一部の資料が軽微修正されており、今回は取得時の配布版を使いました。

★3・★4の登録申請は2027年3月に受付開始、登録申請の手引は2026年11月末ごろ公表の予定です。★の取得は制度上任意で、取引条件にするかどうかは契約当事者間で決まります。まず取引先が求める段階・範囲・時期を確かめます。

★3は、組織の自己評価、★3確認責任者の確認・助言・署名、経営層の自己適合宣言、制度運営機関への登録申請という流れです。確認責任者には、情報処理安全確保支援士などの所定の資格に加え、研修の受講と制度運営機関への登録が必要です。資格を持つだけで、その確認を担当できるとは限りません。

2. シートの組み立て：「26項目」だけを答えて終わらない

SCS-400は要求事項・評価基準、SCS-410は自己評価と確認の進め方、SCS-410APは記入用のExcel、SCS-620は考え方や留意点を読む解説書です。

配布Excelには、★3・★4共通の適用範囲の質問、★3用、★4用の3シートがありました。今回は共通シートと★3用だけに記入しました。★4用と、確認責任者・自己適合宣言の署名欄は埋めていません。

数えた対象 今回読み取った件数 数え方
★3の要求事項 26 ★3用シートの要求事項番号を重複なく数える
★3の評価基準 81 評価基準番号を重複なく数える
自己評価の入力欄 108 19〜126行のP列。1つの評価基準が複数行になる
質問の記載欄 89 同じ行範囲のQ列で、質問文があるセルを数える
適用範囲の回答欄 15 共通シートのD3〜D17。番号1〜12と条件付きの枝番3つ

下の3つの件数は、この配布ファイルのセルを数えた結果です。箇条書きで複数の回答を求める質問もあり、「質問89個に答えれば十分」という意味ではありません。たとえば評価基準4-1-3-2は、同じ適合基準が2行に載り、クラウドで扱う情報と認証方法を別々に尋ねています。評価基準番号と適合基準の文面の組を重複なく数えると107組で、108欄とは一致しませんでした。

自己評価欄の横には、対象外とする理由、適合基準、自己評価方法、具体的な質問と回答欄があります。「実施している」の一言では、文書名や点検日を尋ねる質問への回答が足りません。

3. 取得単位と適用範囲を先に決める

取得単位は「誰の単位で取得するか」、適用範囲は「どのIT基盤などを対象にするか」です。SCS-410第2章とSCS-620第3章を読み、今回は法人全体を取得単位にしました。製造だけを切り出さず、総務・営業の共通ITも含める設定です。

対象 今回の記入
業務PC・NAS・ネットワーク機器 法人全体の業務ITとして含める
メール・図面共有・顧客ポータル 利用者側のID・設定と、提供者側の対策を確かめる範囲を整理する
委託した公開Web 公開サーバの一覧に載せ、自社と委託先の管理分担を確かめる
加工機の独立した制御系 業務ITとネットワーク・無線・遠隔保守・媒体経由の接続がない設定で除外案を記入する

クラウドや委託先の設備を丸ごと「自社にないから対象外」とはしませんでした。反対に、提供者しか操作できない基盤を自社で設定したことにもしていません。契約・公開仕様・責任分担をそろえる作業を残しました。

制御系も「工場だから対象外」とするのではなく、接続と境界の保護施策で扱いが変わります。今回の非接続は架空の条件です。実運用では保守の経路や媒体搬送も確かめ、接続があれば範囲を見直します。取得単位・適用範囲の妥当性は、★3確認責任者による確認が必要です。

4. 記入した結果と、うまくいかなかったこと

汎用の生成AIに指示して処理したのは、架空企業と資料の整理、回答文、不足資料と対応順の下書きです。同じ作業AIがPythonでExcelへの記入と読み取りも行いました。AIによる資料の読み合わせを、人や専門家による確認とは数えていません。

初版では、バックアップ運用メモの「毎日取得している」という申告だけで、実行の欄も適合にしました。これは申告と証跡の違いを見るために意図的に置いた単純な記入です。修正版では、取得ルールの存在と、ルールどおりに取得した記録を分けました。

記入した版 適合と記入した欄 不適合と記入した欄 変更した点
初版 11 97 バックアップ取得済みの申告も適合に含めた
修正版 10 98 取得実行の根拠がない1欄を不適合へ戻した

いずれも自己評価108欄の集計で、達成率や★3の取得可否を示す点数ではありません。今回そろえた資料は少なく、未対応のほか、確認できていないために不適合と記入したものも含みます。両者の違いは回答文に残しました。

答えに迷った項目

以下はhirostaによる要約と、この試作での判断です。IPAの質問文の引用ではありません。

評価基準番号 迷った理由 修正版に残したこと
2-1-2-1：機密情報の取扱い 秘密保持契約があるだけで足りるか 契約概要だけでは複製・第三者提供・返還廃棄の条項を確認できない。契約本文の確認へ戻す
4-1-3-2：クラウドの認証 管理者だけ多要素認証ならよいか 一般利用者の例外と他サービスが未確認。図面を扱う情報・サービスごとに確認する
4-3-4-1：バックアップ 取得ルールがあれば取得実行も適合か ルールの欄は適合、実行記録がない欄は不適合。対象・日時・失敗の有無を確かめる
4-1-2-4：開発・本番の権限 開発環境がなければ対象外でよいか ガイドの対象外条件は「該当なし」。委託先の更新経路も未確認なので独自に対象外とせず、確認待ちとして不適合に記入

対象外の欄は、全く該当せず回答が不要な場合に使うものです。「まだ調べていない」「対策できていない」を対象外にしないため、今回は評価基準の対象外欄に丸を付けませんでした。適用範囲シートの条件付き質問は、法人全体を選んだため分岐の回答が不要である理由を書きました。

手元で動かした範囲と時間

2026年11月3日10:04:53〜10:06:45（JST）の112秒で、架空素材・記入コードの作成から初版と修正版の書き出し、入力セルの再読み取りまで行いました。macOS・Python 3.12・openpyxl 3.1.5を使い、各版を1回作成しました。資料調査、記事制作、表示確認、人による確認の時間は含みません。一般の会社の準備時間や削減時間ではありません。

Excelの元の数式・書式・表示値を保持し、記入欄だけを書き換えました。Excelアプリでの画面確認・再計算は未実施です。集計は計算結果の表示を使わず、書き出した回答をPythonで読み取っています。シートを実際の提出に使えることまで確かめたものではなく、記入済みExcelと全項目の転載・配布も行いません。

5. そろえる資料と、未対応の項目に手を付ける順

今回の架空企業なら、次の順で進めます。制度が定めた優先順位ではなく、この試作で不足した資料と作業のつながりから考えた順番です。緊急の弱点が分かっている場合は、順番を待たず対処が必要です。

  1. 範囲と担当をそろえる。 総務が組織・業務IT・公開Web・委託先の一覧をまとめ、社長役が責任を整理する。制御系の除外案と境界も確認する。
  2. 図面に接するサービスと契約を確かめる。 営業・総務が秘密保持の取り決め本文、クラウドの仕様・契約、利用者と管理者の認証設定をそろえる。取引先との事故時の役割も明確にする。
  3. 更新・バックアップ・事故対応の実行を整える。 設定だけでなく、取得ログ、更新日時、復元手順、連絡先と対応手順を残す。取得ルールだけで作業を閉じない。
  4. 教育と点検の記録をそろえ、自己評価を見直す。 実施内容・受講状況・点検日などを記録する。準備できていない箇所を残したまま、署名や自己適合宣言を埋めない。

文書を新しく増やすこと自体が目的ではありません。今回の体制規程や台帳のように、既存資料がどの確認に使えるかを結びます。一方、規程に書いてあることと、実際の設定・運用が一致するかは別に確かめます。

実際の会社へ当てはめる前に、対象範囲、資料の原本と版、質問が求める全項目、未実施と未確認の違いを担当者が確認してください。入力欄が埋まったことだけで、対策済みとは判断できません。

6. まず準備状況を整理したい方へ

★3の準備状況チェックでは、短い質問から分野ごとの準備と、次にそろえる資料を整理できます。このページの26問は準備の入口で、今回記入したアセスメントシートの全回答を置き換えるものではありません。

「対象のシステムが分からない」「取引先へ何を説明すればよいか迷う」ときは、支援内容・料金をご覧のうえ、無料相談で現在の手順をお聞かせください。