SCS評価制度 ★3簡易チェックシート

本チェックシートは経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（令和8年3月27日）に基づき作成しています。

★3取得には、登録セキスペ・CISSP等の資格を有するセキュリティ専門家による確認・署名および経営層による自己適合宣誓が必要です。本シートは事前準備・ギャップ確認を目的とするものであり、正式な評価書類ではありません。

【対応区分】
・対応済み：規程・運用ともに整備され、実施されている
・未対応/一部対応：一部整備されているが不十分、または未実施

Q1　セキュリティを統括する役員・担当部署の役割や責任、および連絡先が明確に定められ、定期的（年1回以上）に見直されていますか？

対応済み

未対応／一部対応 ※

※ Q1で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q2　セキュリティ対応方針が策定され、社内で参照可能かつ周知されるとともに、インシデント対応に関する教育・訓練が年1回以上実施されていますか？

対応済み

未対応／一部対応 ※

※ Q2で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q3　取引先が管理・提供し、自社資産が接続しているシステムを把握する仕組みが整備され、定期的（年1回以上）に点検されていますか？

対応済み

未対応／一部対応 ※

※ Q3で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q4　機密情報の取扱いルールや、インシデント発生時の役割・責任について、取引先と取り決めていますか？

対応済み

未対応／一部対応 ※

※ Q4で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q5　自社が保有・管理するIT資産（ハードウェア・ソフトウェア）とネットワーク構成を一覧化・図示し、定期的に更新・管理していますか？

対応済み

未対応/一部対応 ※

※ Q5で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q6　業務で利用するクラウドサービスなどの外部サービスを把握し、管理できていますか？

対応済み

未対応/一部対応 ※

※ Q6で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q7　自社IT基盤の脆弱性情報を継続的に収集し、対応の優先度付けや適用ルールを定めた管理プロセスが整備されていますか？

対応済み

未対応/一部対応 ※

※ Q7で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q8　ユーザーアカウントの付与・変更・削除の手続きが定められ、最小権限の原則や特権ID管理が徹底されていますか？

対応済み

未対応/一部対応 ※

※ Q8で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q9　重要システムにおいて、多要素認証（MFA）や強固なパスワードポリシーが運用されていますか？

対応済み

未対応/一部対応 ※

※ Q9で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q10　ユーザ認証にパスワードを利用する場合、情報機器及びサービス間でパスワードを使い回さないような社内ルールや仕組みを整備できていますか？

対応済み

未対応／一部対応 ※

※ Q10で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q11　業務データのバックアップについて、取得対象・頻度・保管期間を定め、定期的に取得・保管できていますか？

対応済み

未対応/一部対応 ※

※ Q11で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q12　重要な機密情報について遠隔地バックアップを実施するとともに、リストア手順書が整備されていますか？

対応済み

未対応/一部対応 ※

※ Q12で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q13　不要ソフトウェアの削除や外部記録媒体の自動実行無効化が行われ、設定変更は申請・承認制で管理されていますか？

対応済み

未対応/一部対応 ※

※ Q13で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q14　重大な脆弱性に対するパッチを速やかに適用（例：14日以内）し、全パソコン・サーバにマルウェア対策ソフトを導入し、定期的にスキャンを実施していますか？

対応済み

未対応/一部対応 ※

※ Q14で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q15　社内外ネットワークの境界や端末において、不正アクセスをリアルタイムで検知・遮断する仕組みが導入されていますか？

対応済み

未対応/一部対応 ※

※ Q15で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q16　サイバーインシデント発生時の検知・初動・社内外（経営層・取引先・当局等）への連絡・対応の手順書が整備され、定期的な訓練が実施されていますか？

対応済み

未対応/一部対応 ※

※ Q16で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q17　ネットワーク機器のログやアラートを分析し、インシデント該当可否を判断する運用が行われていますか？

対応済み

未対応/一部対応 ※

※ Q17で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q18　重要データのバックアップをオフライン等の隔離環境に定期保管し、復旧目標（RTO/RPO）を設定した復旧手順の有効性を定期的に検証していますか？

対応済み

未対応/一部対応 ※

※ Q18で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

Q19　パソコン、スマートデバイス、カメラ、外部記憶媒体（個人所有機器の業務利用（BYOD）を含む。）及び印刷物（図面等の機密書類）に関する社外への持出しルールを定めた上で、運用ができていますか。

対応済み

未対応／一部対応 ※

※ Q19で一部対応の場合は、対応範囲・未対応範囲・補完方法を具体的にご記入ください。

ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー

ご回答ありがとうございました。未対応の項目に関する参考資料をメールでお送りしますので、最後に送付先をご入力ください。

姓・名

メールアドレス

会社名

電話番号

個人情報保護方針(https://www.dtc.co.jp/policy_inquiry)

同意する