Microsoft 365のセキュリティについても、ライセンスの見直しより先に確認したいことがあります。取引先は何を求めていて、自社はどこまで実施できているのか。設定を変えても解決しない項目があるため、まずは要求と現在の運用を照らし合わせる必要があります。
★3と★4では、評価の受け方も変わる
★3・★4は、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の段階です。対策水準だけでなく、実施状況をどう評価するかにも違いがあります。| 比較項目 | ★3 | ★4 |
| 対策水準 | 一般的なサイバー脅威に対処する水準 | 侵入後の被害拡大を防ぎ、取引先のデータやシステムの保護にも寄与する水準 |
| 対策の範囲 | 基礎的な組織的対策・システム防御など | ★3の要求を含み、被害拡大防止や自社の役割に応じたサプライチェーンの強靱化まで広げた対策 |
| 評価方法 | セキュリティ専門家による確認を経た自己評価 | 第三者評価および技術検証 |
★3も、自社でチェックを付ければ終わるわけではありません。自己評価の内容について、セキュリティ専門家の確認を受けます。★4では、評価機関による第三者評価と技術検証が求められます。
なお、★4は★3の要求事項を含みますが、★3を先に取得する必要はありません。実際の準備では、目指す段階の要求事項・評価基準と、自社の適用範囲を確認します。
「★3対応」の一言では、取得の要否まで分からない
要求書に「★3対応をお願いします」と書かれていても、正式な取得を求めているのか、要求事項に沿った対策状況の説明を求めているのかは、その文言だけでは判断できません。特に確認したいのは、回答期限と取得期限の違いです。来月までに現状を回答する話なのか、来月までに取得を終える話なのか。同じ「対応をお願いします」でも、必要な準備は大きく変わります。
対象範囲と提出資料も確認します。どの業務やシステムについて、何を示せばよいのか。取引先が確認したい範囲と、自社が制度上の評価対象として定める範囲にずれがあれば、取得しても相手の疑問に答えられない可能性があります。
制度自体は任意ですが、取引条件として取得を求められる場合があります。要求書だけで読み取れない点は、契約内容も含めて取引先と確認する必要があります。
私は、分からない点を先に聞くことも準備の一部だと考えています。推測で範囲を広げれば費用が増え、狭く捉えれば後からやり直すことになるからです。
ライセンスを変える前に、運用を見る
★4を求められたからといって、すぐにMicrosoft 365を上位プランへ変更するとは限りません。現在のライセンスで使える機能と、実際の設定・管理状況を確認してから、不足するものを判断します。Microsoft 365のセキュリティ運用を確認する例として、SharePointで取引先に設計資料を共有している場合を考えます。多要素認証を適用していても、それによって案件終了後の閲覧権限が自動的に削除されるわけではありません。
誰が案件終了を伝えるのか。共有を続ける必要があるかを誰が判断し、誰が権限を外すのか。ここが決まっていなければ、機能を追加しても、不要な共有が残る問題は解消しません。
異常を把握した後の対応も同様です。★3・★4のいずれでも、設定だけでなく、連絡や対応の手順を確認する必要があります。具体的な対策は、それぞれの要求事項・評価基準に照らして判断します。
監視を外部へ任せていても、契約が通知までなら、その後の調査や利用停止の判断は社内に残ります。追加機能を検討する際には、費用とあわせて、通知を受けた後に動ける担当者がいるかまで確認したいところです。
Microsoft 365の設定・運用は、制度への準備の一部です。組織体制や取引先管理なども含まれるため、設定の見直しだけで★3・★4への対応が完了するわけではありません。
「実施しているはず」で止まる項目を確かめる
要求事項を確認していると、すぐには回答できない項目が出てくることがあります。そのときは、未実施と決めつけず、何が分からないのかを確かめます。設定を確認すれば答えられるのか、担当者に聞かないと運用の実態が分からないのか。それとも、実施はしていても記録がないのか。理由によって、次に行う作業は変わります。
Microsoft 365のセキュリティ対策状況を説明する際も、退職者のアカウントを停止していても、いつ、誰が処理したか分からなければ、説明するために調べ直す必要があります。一方、停止を依頼する担当が決まっていないのであれば、記録を整える前に、社内の連絡手順を決めなければなりません。
私は、回答欄を埋めることだけで終わらせず、担当者が不在でも確認できる状態になっているかを見たいと考えています。確認が必要な項目には、担当者と次に確認する日を添えておくと、保留のまま残ることを防ぎやすくなります。
要求書を読み解くところから相談する
Advangeでは、取引先の要求内容と現在の環境を確認し、Microsoft 365のセキュリティに関わる設定・運用の見直しを支援します。要求書を読んでも、どこまで対応すべきか判断しにくい場合は、Advangeへご相談ください。取引先の確認票や現在の運用報告書、ライセンス情報などをもとに、Microsoft 365に関わる対応と、社内で判断・整備する事項を一緒に整理します。
参考資料
経済産業省 SCS評価制度（制度構築方針）
IPA SCS評価制度の詳細情報
参照日 2026年10月26日
