Security Auditセキュリティ監査

SCS評価制度 ★3・★4 / NIST SP 800-171 / 取引先フレームワーク監査

規程・証跡・技術設定・委託先管理を横断的に確認し、取引先へ説明できる監査報告書と改善ロードマップを提供します。

提案書サマリー

サプライチェーン、NIST、取引先独自基準に対応した「証跡ベースのセキュリティ監査」サービスです。

セキュリティ監査の目的

「対策をしているつもり」を、取引先・経営層・審査で説明できる状態へ変換します。

対象

SCS評価制度の★3・★4、NIST SP 800-171、取引先独自チェックリスト、NIST CSF/CIS/ISO/SOC 2等。

成果

監査報告書、ギャップ一覧、証跡台帳、リスク評価、改善ロードマップ、報告会資料を納品。

進め方

基準整理→証跡収集→文書レビュー→インタビュー/実査→リスク評価→報告会の順で実施。

位置づけ

公式制度における指定評価機関の審査そのものではなく、監査準備・模擬監査・証跡整備・改善支援を提供。

なぜ今、セキュリティ監査が必要か

IPAの2026年版10大脅威では、ランサム攻撃、サプライチェーン/委託先、AI利用リスク、脆弱性悪用など、取引継続に直結するテーマが上位に並んでいます。

情報セキュリティ10大脅威 2026［組織］を基にした監査優先テーマ

監査で優先すべき観点

ランサム攻撃対策、委託先管理、脆弱性管理、ログ監視、インシデント対応、AI利用管理は、単独の技術対策ではなく、方針・役割・運用証跡・継続改善と結び付けて確認します。

セキュリティ監査で解決する課題

従来型の「チェックリストに回答するだけ」の監査では、実態把握・改善優先度・取引先説明が不十分になりがちです。

よくある課題と、監査での解決アプローチ

• セキュリティ遵守度を高める教育・訓練が場当たり的で、実効性を説明できない。
• ISO 27001やPマーク維持のための形式的な監査記録にとどまり、サプライチェーン要求への説明力が不足している。
• 情報セキュリティ管理部門やCISO補佐機能がなく、取引先からの回答要求が担当者任せになっている。
• 自社・グループ会社・委託先のセキュリティ水準を、共通の基準で比較・管理できていない。

サービス概要

SCS評価制度、NIST SP 800-171、取引先独自基準を、現場で確認できる監査項目と証跡台帳へ落とし込みます。

サービスラインナップ

制度対応・準拠性レビュー・取引先監査・技術検証を、必要な範囲だけ組み合わせて提供します。

1. 1SCS ★3 専門家確認支援

   自己評価、証跡台帳、経営層宣誓、専門家レビューの準備。

2. 2SCS ★4 模擬監査・技術検証準備

   第三者評価・技術検証に備えたギャップ分析、証跡整理、是正支援。

3. 3NIST SP 800-171 準拠性レビュー

   CUI範囲、SSP、PoA&M、管理策実装状況をE/I/T方式で評価。

4. 4取引先フレームワーク カスタム監査

   NIST CSF、CIS Controls、ISO 27001、SOC 2等の要求へマッピング。

対応方針

取引先から指定された様式がある場合は、その様式に合わせて監査結果を整理します。指定様式がない場合は、弊社標準のチェックシート・証跡台帳・改善計画テンプレートを使用します。

監査対象範囲

セキュリティ監査は、ITシステムだけではなく、関連する資産、業務プロセス、委託先、運用証跡までを対象とします。

監査対象範囲：組織・業務・IT・委託先を横断

セキュリティ監査では、技術だけでなく、情報資産・業務プロセス・運用証跡・サプライチェーン管理を一体で確認します。

領域	主な確認項目	主な証跡例
組織・体制	責任者、役割分担、リスク受容、経営層レビュー	組織図、委員会議事録、リスク台帳
規程・手順	情報分類、アクセス管理、委託先管理、例外管理	規程、手順書、例外承認記録
技術運用	ID管理、ログ、脆弱性、バックアップ、端末管理	設定画面、ログ、チケット、診断結果
委託先管理	契約、SLA、再委託、事故時連絡、定期評価	契約書、質問票、評価結果、是正記録

対応可能な監査基準

取引先の基準が複数ある場合でも、統制領域ごとに証跡を共通化し、監査対応の重複を削減します。

主要フレームワークへのマッピング

取引先が採用するチェックリストを、共通の統制領域へ変換して抜け漏れと重複を整理します。

ポイント

基準は違っても、証跡は共通化できます。
例：アクセス権レビュー、ログ保全、委託先評価、インシデント訓練の記録。

• NIST CSF 2.0：Govern / Identify / Protect / Detect / Respond / Recoverを軸に、経営・運用・技術を俯瞰。
• CIS Controls v8.1：優先度の高い実装項目をベースに、実務的なサイバー攻撃対策を確認。
• ISO 27001 / SOC 2 / CSA CCM / ISMAP / 業界独自チェックリスト：取引先の要求事項に合わせて監査項目をカスタマイズ。

SCS評価制度 ★3・★4 監査支援

2026年7月時点で、制度詳細はIPAにより順次公開・詳細化されています。本サービスでは、公表情報に基づく準備、証跡整備、模擬監査、改善支援を提供します。

SCS評価制度 ★3・★4 対応支援

IPA公表情報では、★3は「専門家確認付き自己評価」、★4は「第三者評価および技術検証」が想定されています。弊社は、申請・評価に耐える証跡整備と模擬監査を支援します。

弊社支援

要求事項の解釈 / ギャップ分析 / 証跡台帳 / 模擬監査 / 技術検証準備 / 是正計画 / 報告会

区分	公表されている評価スキーム	弊社支援内容
★3	セキュリティ専門家による確認を経た自己評価。経営層による自己適合宣誓を含めて事務局へ提出。	要求事項解釈、自己評価レビュー、証跡台帳作成、経営層向け説明、提出前チェック。
★4	評価機関による第三者評価および技術検証。評価報告書を受け、事務局へ登録申請。	模擬監査、技術検証準備、証跡レビュー、改善計画、評価機関対応のQ&A整理。

NIST SP 800-171 準拠性レビュー

契約・取引先要求に応じてRev.2/Rev.3を確認し、CUIの範囲、SSP、PoA&M、管理策実装状況をレビューします。

NIST SP 800-171 準拠性レビュー

CUIを扱うシステム・組織について、NIST SP 800-171/171Aの考え方を基準に、文書・インタビュー・テストで実装状況を確認します。

1. 1CUI範囲確定

   対象情報・システム・委託先を明確化

2. 2SSP確認

   システムセキュリティ計画書をレビュー

3. 3管理策評価

   17ファミリーごとの実装状況を確認

4. 4証跡確認

   文書・ログ・画面・チケットを照合

5. 5PoA&M

   未対応事項の改善計画を作成

評価方法: Examine / Interview / Test

Examine

文書・設定・ログ・契約・チケットなどを確認

Interview

経営層、CISO、IT、業務担当者へ運用実態をヒアリング

Test

サンプル抽出、アクセス権、ログ、バックアップ、設定値を実地確認

レビューの
ポイント

NIST SP 800-171Aは、評価手順と方法論を示しており、評価の深さ・範囲に応じて柔軟にカスタマイズできます。本サービスでは、Examine / Interview / Testの考え方を用いて、実装状況と証跡の整合性を確認します。

取引先フレームワーク監査

お客様の取引先が採用するサイバーセキュリティフレームワークに基づき、監査項目、証跡要求、判定基準、回答文言を設計します。

取引先フレームワークに基づくカスタム監査

取引先が独自のチェックリスト、海外規格、クラウド評価基準を採用している場合も、要求事項を監査項目へ変換してレビューします。

発注元向け

委託先評価チェックリストの設計、回答レビュー、重要委託先への監査、リスク格付け。

受注側向け

取引先要求への回答支援、証跡パッケージ整備、改善計画、監査前リハーサル。

グループ会社向け

国内外拠点の共通監査、拠点別ギャップ、成熟度比較、改善KPI設計。

クラウド/SaaS向け

CSA CCM、SOC 2、ISMAP、ISO 27017等を参考に、クラウド固有の責任分界と証跡を確認。

監査方法と判定基準

監査は「文書があるか」だけではなく、「運用され、証跡があり、改善されているか」まで確認します。

監査メソドロジー：証跡ベースで成熟度を評価

文書上の整備状況だけでなく、現場で実際に運用されているかを、サンプリングと証跡照合で確認します。

判定	意味	例
適合	要求事項を満たし、証跡も確認できる。	アクセス権レビューが定期実施され、承認記録が残っている。
部分適合	仕組みはあるが範囲・証跡・頻度に不足がある。	一部システムのみログ保全、棚卸対象にSaaSが含まれない。
不適合	要求事項に対する仕組み・証跡が不足。	委託先評価の実施記録がない、権限棚卸が未実施。
観察事項	直ちに不適合ではないが改善が望ましい。	規程の用語が古い、例外管理が担当者依存。

導入から報告までの流れ

監査目的と提出先を明確にし、必要な証跡と担当者を事前に整理することで、短期間で実効性のある監査を実施します。

サービスフロー

最短2〜4週間の簡易診断から、8〜12週間の包括監査まで、目的と範囲に応じて設計します。

1. 1キックオフ

   目的・基準・範囲・体制を合意

2. 2要求事項整理

   SCS/NIST/取引先要求を監査項目化

3. 3証跡収集

   規程・ログ・設定・契約・チケットを収集

4. 4インタビュー/実査

   運用実態とサンプルを確認

5. 5ギャップ評価

   重要度・リスク・是正難易度を判定

6. 6報告会/改善計画

   報告書、証跡台帳、ロードマップを提示

各フェーズで確認する証跡と担当者を明確化し、監査対応の属人化・やり直しを防止します。

標準期間

ライト診断は2〜4週間、SCS ★3支援は4〜6週間、NIST/SP800-171レビューは6〜10週間、SCS ★4・取引先包括監査は8〜12週間が目安です。

成果物・納品物

監査結果は、取引先提出、経営層報告、次回監査、継続改善に再利用できる形式で納品します。

納品物：取引先・経営層・審査で説明できるパッケージ

監査結果は、単なる指摘一覧ではなく、証跡・リスク・改善計画を紐づけた実務で使える形式で納品します。

• 監査報告書：全体評価、重要リスク、判定、根拠、経営層向け要約。
• 監査チェックシート：要求事項、判定、コメント、証跡リンク、担当、期限。
• 証跡台帳：提出可能な証跡、不足証跡、更新頻度、管理責任者。
• 改善ロードマップ：優先度、実施順序、必要リソース、完了条件。

監査結果の可視化

経営層・情報システム部門・事業部門が同じ理解で改善できるよう、定量・定性の両面から可視化します。

評価結果の見える化イメージ

指摘事項は「件数」だけでなく、リスク、証跡不足、改善優先度、対象領域別の成熟度として可視化します。

報告書では、指摘事項ごとに「要求事項」「現状」「根拠」「リスク」「推奨対応」「担当」「期限」を紐づけて管理します。

経営層向け

重大リスク、取引影響、予算・人員の判断材料を1〜2ページに要約。

実務担当向け

要求事項、証跡、是正期限、担当者まで追跡できる一覧を提供。

取引先向け

提出を想定した回答文言、根拠資料、改善予定の説明を整理。

次回監査向け

証跡台帳と改善履歴を残し、次回の準備工数を削減。

監査後フォローアップ

監査で検出したギャップを放置せず、短期是正・中期整備・継続改善に分解して改善を支援します。

監査後の改善ロードマップ例

監査結果をもとに、短期で是正すべき事項と、中長期で仕組み化すべき事項を切り分けます。

• 0-30日重大リスクの即時是正

  • MFA/権限棚卸
  • バックアップ確認
  • 取引先回答の補強

• 31-60日運用証跡の整備

  • ログ保全手順
  • 委託先台帳
  • 教育記録

• 61-90日制度・監査対応

  • SCS/NIST証跡台帳
  • 経営層レビュー
  • 模擬監査

• 90日以降継続改善・自動化

  • KPI定例化
  • 監視/脆弱性管理
  • 再監査

改善計画は「誰が・いつまでに・どの証跡で完了を示すか」まで定義し、フォローアップ監査で確認します。

• 重大リスクは即時対応：MFA、公開設定、バックアップ、脆弱性、特権ID、ログ保全など。
• 制度対応は証跡台帳化：SCS/NIST/取引先要求に対して、提出可能な根拠を維持。
• 再監査で定着確認：是正完了の証跡を確認し、残存リスクと次期対応を整理。

追加オプション

監査で明らかになった課題に応じて、技術検証、教育、訓練、規程改訂、SOC 2レディネスなどを組み合わせます。

オプションメニュー

監査結果を踏まえ、必要な技術検証・教育・訓練・規程整備を追加できます。

必要な領域だけを追加し、過剰なコンサルティングではなく、監査目的に直結する支援へ絞り込みます。

SOCレポートに関する位置づけ

本サービスはSOC 2等の保証報告書そのものを発行するものではありません。SOC 2、ISAE 3000、委託先統制評価に向けたレディネス評価、証跡整備、統制設計レビューとして提供します。

料金プラン

監査目的、対象範囲、対象システム数、証跡量、オンサイト有無に応じて個別見積りします。

料金プラン例

対象範囲、拠点数、対象システム数、証跡量、オンサイト有無により個別見積りします。下記は目安です。

• ライト診断

  目安価格

  30万円〜

  期間

  2〜4週間

  主要文書・簡易ヒアリング・重要ギャップの抽出

• SCS ★3 支援

  目安価格

  50万円〜

  期間

  4〜6週間

  自己評価、証跡台帳、専門家確認、提出前レビュー

• NISTレビュー

  目安価格

  90万円〜

  期間

  6〜10週間

  CUI範囲、SSP/PoA&M、管理策レビュー、報告会

• SCS★4/取引先監査

  目安価格

  120万円〜

  期間

  8〜12週間

  模擬監査、技術検証準備、評価機関対応、改善計画

※正式見積りは無料相談後
※税別。脆弱性診断、オンサイト監査、海外拠点、英語報告書、評価機関としての公式評価等は別途見積り。

費用に影響する要素	確認ポイント
対象範囲	拠点数、対象部署、システム数、クラウド/SaaS数、委託先数。
監査基準	SCS、NIST SP 800-171、NIST CSF、CIS Controls、ISO/SOC 2、取引先独自様式。
証跡量	既存文書・ログ・設定画面・チケット・契約書の整理状況。
実査方法	リモート、オンサイト、技術検証、英語対応、報告会回数。

よくある質問

初回相談では、監査目的、提出先、基準、期限、対象範囲を確認し、最短ルートの進め方を提案します。

取引先から独自チェックリストが来ています。対応できますか？

対応可能です。要求事項を統制領域へ分類し、既存証跡で回答できる項目と追加対応が必要な項目を分けます。

SCS評価制度の★4を取得できますか？

公式な第三者評価・技術検証は制度上の評価機関・技術検証事業者が実施する想定です。弊社は、取得前の模擬監査、証跡整備、改善支援、評価機関対応準備を提供します。

NIST SP 800-171はRev.2とRev.3のどちらで見ますか？

契約条項や取引先要求に従います。Rev.2要求の継続対応、Rev.3への先行ギャップ確認のいずれも可能です。

脆弱性診断も監査に含められますか？

必要に応じて別メニューとして含められます。監査では、診断結果がリスク評価・是正計画・証跡に反映されているかも確認します。

監査報告書は取引先に提出できますか？

提出先の様式や機密範囲に合わせて、提出版と社内詳細版を分けて作成できます。

参考情報・お問い合わせ

本資料は、2026年7月8日時点の公表情報を基に、サービス資料として再構成しています。

参考資料

分類	資料名	URL
SCS評価制度	IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」	https://www.ipa.go.jp/security/scs/index.html
SCS評価制度	IPA「SCS評価制度の詳細情報」	https://www.ipa.go.jp/security/scs/details.html
脅威情報	IPA「情報セキュリティ10大脅威 2026」	https://www.ipa.go.jp/security/10threats/10threats2026.html
NIST	NIST SP 800-171 Rev.3	https://csrc.nist.gov/pubs/sp/800/171/r3/final
NIST	NIST SP 800-171A Rev.3	https://csrc.nist.gov/pubs/sp/800/171/a/r3/final
NIST	The NIST Cybersecurity Framework 2.0	https://www.nist.gov/cyberframework
CIS	CIS Critical Security Controls Version 8.1	https://www.cisecurity.org/controls/v8-1
経営ガイドライン	経済産業省「サイバーセキュリティ経営ガイドライン Ver.3.0」	https://www.meti.go.jp/policy/netsecurity/mng_guide.html