「SCS評価制度の★3で『IT資産台帳』が必要と聞いたけど、何をどこまで書けばいいの？」と迷っていませんか。

結論から言うと、★3で求められるのはパソコン・サーバ・ネットワーク機器・クラウドサービスを把握する仕組みと、それを管理するルール、年1回の点検です。高価な資産管理ツールがなくても、Excelの台帳で始められます。

この記事では、★3の評価基準の原文をもとに、IT資産台帳に入れるべき項目と作り方を解説します。

この記事でわかること

  • ★3でIT資産の把握に関係する評価基準
  • 台帳に入れるべき項目（パソコン・サーバ・ネットワーク機器・クラウド）
  • 台帳とセットで必要な「管理ルール」と「年1回の点検」
  • 台帳を作るときにつまずきやすいポイント

私は情報処理安全確保支援士の資格を持つセキュリティマネージャーで、勤務先で★3の評価基準のチェックを完了しています。SCS評価制度の全体像はSCS評価制度とは？★3の要求事項と中小企業がやることを解説をご覧ください。

Contents
  1. ★3でIT資産の把握が求められる理由
  2. 関係する評価基準は4つの要求事項
  3. IT資産台帳に入れるべき項目
    1. パソコン・サーバ（3-1-1）
    2. ネットワーク（3-1-2）
    3. クラウドサービス（3-1-3）
  4. 台帳とセットで必要な「管理ルール」と「点検」
  5. 台帳づくりでつまずきやすいポイント
    1. 最初の棚卸しで「実物」と「台帳」が合わない
    2. 完璧を目指して止まってしまう
    3. 更新する人が決まっていない
  6. まとめ

★3でIT資産の把握が求められる理由

★3の要求事項は7つの分類に分かれていて、その3つめが「リスクの特定」です。社内に何があるかわからなければ、アップデートの漏れもウイルス対策の漏れも見つけられません。台帳は、ほかの多くの対策の土台になります。

実際、★3の評価基準には「重大な脆弱性のアップデートは14日以内に適用する（4-4-4-2）」のような基準もあります。どのパソコンにどのOSが入っているかわからない状態では、この基準を満たしていると説明できません。

関係する評価基準は4つの要求事項

要求事項求められること（要約）
3-1-1 情報機器、OS及びソフトウェアに関する情報の把握パソコン・サーバの製造元・OS・台数を把握する仕組み、導入やパッチ適用を含む管理ルール、年1回以上の遵守状況の点検
3-1-2 ネットワークに関する情報の把握各ネットワークの所在地と用途、ネットワーク機器の製造元・モデル・保守事業者を把握する仕組み
3-1-3 外部情報サービスの管理クラウドサービスのセキュリティ要件を決めて確認し、機密情報の取扱いについて事業者と合意する
3-1-4 機密区分に応じた情報の管理情報の機密区分のルールと、重要な機密情報の管理者・保管場所などを把握する仕組み

評価基準の文面は「把握するための仕組みを整備すること」となっています。一度台帳を作って終わりではなく、機器の購入や廃棄のたびに更新される状態にしておくことが大切です。

IT資産台帳に入れるべき項目

パソコン・サーバ（3-1-1）

評価基準で明示されているのは「製造元」「OS」「台数」です。ただ、アップデートの管理や紛失時の対応にも使うことを考えると、次の項目まで入れておくと運用しやすくなります。

項目例評価基準との関係
管理番号PC-001台数の把握
種別ノートPC／デスクトップ／サーバ／仮想サーバ3-1-1-1、3-1-1-2
製造元・機種〇〇社 型番製造元（必須）
OS・バージョンWindows 11 Pro 24H2OS（必須）
利用者・設置場所営業部 山田／本社2F運用上あると便利
主なソフトウェアOffice、会計ソフト、ウイルス対策ソフトウェアの把握
導入日・廃棄日2025/4/1管理ルール（導入・廃棄）
最終アップデート確認日2026/10/1パッチ適用ルールの点検

サーバについては、評価基準で「仮想サーバ及びハイパーバイザ」も明記されています。物理サーバの上で動いている仮想サーバも1台ずつ台帳に載せましょう。

ネットワーク（3-1-2）

ネットワークは「ネットワークそのもの」と「ネットワーク機器」の2つを把握します。

  • ネットワーク：本社LAN、工場LAN、来客用Wi-Fiなど、それぞれの所在地と用途を書きます。ネットワーク構成図を1枚作っておくとわかりやすくなります。
  • ネットワーク機器：ルーター、UTM、スイッチ、Wi-Fiアクセスポイントなどの製造元・モデル・保守事業者を書きます。保守事業者が評価基準に入っているのは、障害や脆弱性が見つかったときに誰に連絡するかを明確にするためです。

クラウドサービス（3-1-3）

機密情報を扱うクラウドサービスは、サービス名・用途・扱う情報の区分・管理者・契約者をまとめておきます。あわせて、利用規約やセキュリティに関する説明を見て、自社が決めたセキュリティ要件（多要素認証が使えるか、データの保管場所など）を満たしているかを確認し、その記録を残します。多要素認証の要件は多要素認証の解説記事で詳しく説明しています。

台帳とセットで必要な「管理ルール」と「点検」

台帳だけでは評価基準を満たせません。3-1-1では次の2つも求められています。

情報機器、OS及びソフトウェアについて、導入、設置、ネットワーク接続及びセキュリティパッチ適用のルールを含む管理ルールを定めること。（3-1-1-3）

管理ルールには、少なくとも次のことを書いておきます。

  • 機器やソフトを導入するときは誰に申請し、誰が承認するか
  • 新しい機器を社内ネットワークにつなぐときの手順（許可のない私物の接続禁止など）
  • アップデートを誰が、いつまでに適用するか
  • 廃棄するときのデータ消去と台帳の更新

そして3-1-1-4で、このルールが守られているかを年1回以上点検することが求められています。台帳と実機を突き合わせ、点検した日付と結果を記録に残しましょう。

台帳づくりでつまずきやすいポイント

最初の棚卸しで「実物」と「台帳」が合わない

既存の台帳や購入記録から作ると、廃棄済みの機器が残っていたり、個人で買った機器が漏れていたりします。最初の1回だけは、実際に机やサーバ室を回って確認するのが確実です。Microsoft 365やGoogle Workspaceを使っている場合は、管理画面の端末一覧も手がかりになります。

完璧を目指して止まってしまう

ソフトウェアを細かく全部書こうとすると終わりません。まずは評価基準で明示されている「製造元・OS・台数」とネットワーク機器の情報を埋め、少しずつ項目を増やしていくのがおすすめです。

更新する人が決まっていない

台帳は作った直後から古くなります。購入や廃棄の申請を受ける人（総務や経理など）が台帳も更新する、という流れにしておくと続きやすくなります。

まとめ

  • ★3では、パソコン・サーバ・ネットワーク・クラウドサービスを把握する「仕組み」が求められる
  • パソコン・サーバは製造元・OS・台数、ネットワーク機器は製造元・モデル・保守事業者が必須の項目
  • 台帳に加えて、導入・接続・パッチ適用を含む管理ルールと年1回以上の点検が必要
  • 最初は評価基準で明示された項目から埋め、更新担当者を決めて続ける

IT資産台帳と情報区分表は、評価基準番号と対応づけたExcelテンプレートを★3対応テンプレート集で無料配布しています。今の対応状況はSCS★3セルフチェックで確認できます。ほかの要求事項は、多要素認証、バックアップ、インシデント対応手順の記事で解説しています。自社だけで進めるのが難しい場合は、SCS評価制度の対応支援でご相談も受け付けています。

出典

評価基準の引用は2026年4月21日公開版にもとづきます。解説書や評価ガイドが公開されたら、この記事も更新します。

SCS セキュリティ