easter2501

SCS評価制度のガイド資料、IPAから公開されましたね！ 文書の位置づけを示した資料がとても親切。 ipa.go.jp/security/scs/rcu1h… 要求事項・評価基準（SCS-400）自体も、4-4-4-2の脆弱性対応を中心に更新されています。 今日は個別の内容には深入りせず、まず、私なりの読む順番を整理してみます。 ① アセスメントシート＋自己評価等ガイド（SCS-410） まず実際に記入するシートを見てみる。何を確認し、何を回答すればいいのかが分かります。適用範囲や自己適合宣言の記載もここ。 自己評価等ガイドは、最初は目次を眺める程度でも。 ② 要求事項・評価基準 解説書（SCS-620） 第3章で取得単位・適用範囲の考え方を確認。 適用範囲でお悩みの方も多いと思いますが、事業所の少ない企業と、子会社の多い企業グループの2つの事例で、範囲の取り方が図解されています。要チェックですね。 また、個別の対策に関する解説や「代替策の例示」もあるので、今後は辞書として頻繁に活用することになりそう。 ③ ★4第三者評価ガイド（SCS-420） ★4向けのガイドですが、適合基準は自己評価等ガイドと同じなので、★3を目指す方にも参考になると思います。 評価手法は3つ。 ・質問：関係者への口頭・文書による問い合わせ ・閲覧：規程、記録、台帳等の確認 ・観察：設定画面等を評価者が目視で確認 項目によっては、評価手法として質問のみが指定され、閲覧・観察は原則実施しないものもあります。また、アセスメントシートの質問事項への回答で「質問」を代替することもできます。 すべての評価項目について証跡の提示や設定画面の確認を求められたら、登録希望組織も評価機関も相当な負担になります。上記のように評価手法にメリハリが設けられているのは、第三者評価の実施負担を抑えるうえで、大きなポイントだと思います。 もちろん、★取得には該当するすべての要求事項・評価基準への適合が前提ですし、評価機関が必要と判断すれば追加確認も行われます。すべての機器や設定を全数確認するわけではないことと、要求事項を満たさなくてよいことは別の話ですね。 ④ ★4技術検証ガイド（SCS-430） ★4を目指す場合はこちらも。 技術検証の実施フローに加えて、脆弱性診断の免除条件にも注目。指定された技術検証事業者による文書確認開始前1か月以内の同等以上の診断など、条件を満たせば、証跡の提出と評価機関の審査によって新たな診断が免除される場合があります（これはありがたい）。 まずは全体像と、私なりの読み方まで。 読み進めるなかで、ほかにも気づいたことがあれば、またつぶやきたいと思います。 ipa.go.jp/security/scs/requi… #SCS評価制度