SCS評価制度の評価範囲（スコープ）の決め方 ― グループ会社・複数拠点・工場・海外子会社をどう扱うか
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。
SCS評価制度の準備で、要求事項の中身より先に決めなければならないことがあります。それが「どこまでを評価の対象にするか」——評価範囲（スコープ）の設定です。
ここを曖昧にしたまま対策を進めると、後から「工場のネットワークは対象なのか」「子会社の社員が使っているアカウントはどう扱うのか」といった論点が噴出し、実装のやり直しが発生します。逆に、範囲を適切に設計できれば、対策コストも維持負担も大きく変わります。
この記事では、評価範囲を決めるための考え方と手順を整理します。
前提：範囲の設定は自社が決める
SCS評価制度の★3は専門家確認付きの自己評価、★4は第三者評価です。いずれも、評価の対象となる組織の範囲は申請する企業側が定義し、その範囲について要求事項を満たしていることを示す構造になります。
中小企業の多くは「会社全体」を範囲とするのが自然です。従業員数十名で拠点が1〜2か所なら、範囲を切り分ける手間のほうが大きくなります。一方、複数事業・複数拠点を持つ企業や、グループ会社を抱える企業は、範囲の設計が実務上の要になります。
なお、範囲設定に関する細かい運用ルール（どの単位で登録できるか、公表される情報にどう表示されるか）は、運営規程等で確定する部分です。制度規程は2026年8月頃、申請方法は2026年10月頃の公表予定とされています。本記事の内容は、公表済みの制度構築方針と一般的な認証制度の実務からの整理であり、確定情報が出た段階で照合が必要です（最新状況は最新動向まとめ）。
範囲は「取引先が見る事業」から逆算する
決め方の出発点はひとつです。なぜ★を取るのか。誰に見せるのか。
SCS評価制度は、取引先が自社のサプライヤーのセキュリティ水準を確認するための物差しです。したがって、取引先が関心を持っている事業・拠点・システムが範囲に入っていなければ意味がありません。
具体的には、次の順に特定します。
| 順 | 特定すること | 具体例 |
|---|---|---|
| 1 | 対象となる取引 | A社向けの部品製造、B社向けのシステム保守 |
| 2 | その取引を担う事業・部門 | 製造部、システム運用部 |
| 3 | 業務が行われる拠点 | 本社、第二工場、常駐先 |
| 4 | 取り扱う情報資産 | 設計データ、顧客の個人情報、接続用アカウント |
| 5 | 情報を扱うシステム | M365テナント、生産管理システム、リモート保守環境 |
| 6 | 関与する委託先 | 二次委託先、常駐ベンダー、クラウド事業者 |
この6つが埋まれば、範囲の輪郭はほぼ決まります。1〜2が曖昧なまま「とりあえず全社」で始めると、対策が拡散して費用が膨らみます。
ケース別の考え方
単一拠点・従業員数十名の企業
結論：会社全体を範囲にするのが最もシンプルです。
範囲を切り分けても、実際にはネットワークもアカウントも共通なので、分離の説明コストのほうが高くつきます。SCS★3の要求事項は、そもそも中小企業が全社で実施できる水準に設計されています。
本社＋工場を持つ製造業
論点：工場のOT環境（生産設備・制御系）を範囲に含めるか。
事務所のIT環境と、工場の生産設備ネットワークは、管理者も更新サイクルもまったく異なります。パッチが当てられない制御端末、サポート切れOSで動く検査装置——これらを一律に範囲へ入れると、要求事項を満たせない項目が出ます。
現実的な設計は次のとおりです。
- 事務所のIT環境を中核の範囲とし、要求事項を確実に満たす
- 工場ネットワークは分離されていることを示し、境界の管理（セグメンテーション、接続点の制御）を対策として説明する
- 取引先が生産データそのものの保護を求めている場合は、工場側も範囲に含めたうえで、OT特有の代替策（物理的分離、可搬媒体の管理、専用端末の限定運用）で満たす
なおネットワークセグメンテーションは★4の要求事項です。★3の段階では必須ではありませんが、工場を持つ企業は★4を見据えて早めに設計しておくと二度手間になりません（詳細：工場・OT環境 × SCS評価制度）。
グループ会社・子会社がある場合
原則：別法人は別申請と考えるのが安全です。
★の登録は法人単位が基本になるため、親会社が★3を取得しても、子会社が自動的に★3になるわけではありません。取引先が実際に発注しているのがどの法人かを確認してください。契約主体の法人が範囲に入っていなければ、取引先の要求には応えられません。
一方で、グループ共通のM365テナント・共通の情報システム部門を使っている場合、対策の実体は共通です。この場合は次の進め方が効率的です。
- グループ共通の規程・技術対策を親会社側で整備する
- 各社は共通対策を自社の規程として採用し、法人ごとに自己評価・宣言する
- 証跡（設定画面、ログ、教育記録）は共通テナントのものを各社で参照する
なお、グループ会社間で機密情報を共有している場合、その関係は「取引先管理」の要求事項の対象になります。★3では「機密情報を共有する子会社・取引先との間で、業務開始前に機密情報の定義・利用制限・保管方法・返還/廃棄を取り決めること」が求められます。「グループ内だから」という理由で取り決めを省略していると、ここで引っかかります（委託先管理の実装ガイド）。
海外拠点・海外子会社がある場合
論点：現地法人を範囲に含めるか、日本法人のみとするか。
制度は国内制度であり、まずは日本法人の範囲で取得するのが標準的な進め方です。ただし、次のケースでは海外拠点の扱いを明確にする必要があります。
- 海外拠点が同一のM365 / GWSテナントを使っている（アカウント・データが共通）
- 設計データや顧客情報が海外拠点で処理されている
- 取引先がサプライチェーン全体の所在地リスクを気にしている（地政学的リスクの解説）
テナントが共通なら、技術的対策（MFA、アクセス権管理、ログ）は自動的に海外拠点にも及びます。この場合は「対象範囲は日本法人だが、共通基盤の対策は全拠点に適用されている」と説明できる状態にしておくと、取引先への説明が通りやすくなります。
なお、制度や要求事項・評価基準の英語版は運用開始までに公開される予定とされています。海外拠点や外資系の取引先への説明が必要な企業は、公開を待って活用するとよいでしょう。
テレワーク・在宅勤務
テレワーク端末は、原則として範囲に含まれます。会社が貸与するPCから業務データにアクセスしている以上、資産台帳・パッチ・マルウェア対策・MFAの対象です。
★4では「リモートワークで使用する機器・機密情報の条件をルール化すること」が明示的な要求事項になります。BYOD（私物端末の業務利用）を認めている企業は、★4を目指す段階で必ず論点になるため、早めに方針を決めておくことをおすすめします（テレワークのセキュリティ設計）。
常駐先・客先で作業する社員
ITベンダーや保守事業者で多いパターンです。客先のシステムに接続するための端末・アカウント・回線は、自社の管理下にあるなら範囲に含めます。
このケースは取引先の関心が最も高い部分でもあります。「顧客システムへのアクセス権限を保有している」企業は★4を求められやすいため、範囲の設計と併せて目標★を検討してください（ITベンダー・SIer向けの解説）。
狭めすぎ・広げすぎのリスク
| リスク | |
|---|---|
| 狭めすぎ | 取引先が求める事業・拠点が含まれておらず、★を取っても要求に応えられない／範囲外のシステムでインシデントが起きた際に「対象外です」が通用しない |
| 広げすぎ | 要求事項を満たせない拠点・設備を抱え込み、対策費用と維持工数が跳ね上がる／毎年の自己評価の負担が全社に及ぶ |
実務上は、**「取引先が見る範囲＋そこと技術的につながっている範囲」**を基準にするのが最も破綻しません。ネットワークやアカウントがつながっているのに範囲外とするのは、説明が難しくなります。
決定の手順（チェックリスト）
- 対象とする取引・取引先を書き出した
- その業務を担う部門・拠点を特定した
- 対象となる情報資産（設計データ・個人情報・認証情報）を列挙した
- 情報を扱うシステム／クラウドサービスを一覧化した（IT資産管理の基本）
- 範囲内から範囲外へのネットワーク接続点を把握した
- 範囲外とする拠点・設備について、分離されている根拠を説明できる
- 関与する委託先・二次委託先を洗い出した
- 別法人（子会社・関連会社）の扱いを決めた
- 海外拠点の扱いを決めた
- テレワーク端末・BYODの扱いを決めた
- 決定内容を文書化し、経営層の承認を得た
範囲は専門家確認の前に確定させ、評価シート全体に一貫して反映する必要があります。途中で変えると証跡の取り直しが発生します（申請プロセスと自己宣言書の書き方）。
情シス365による支援
情シス365では、評価範囲の設計から支援しています。
- 範囲設計： 取引先の要求内容から逆算し、対象事業・拠点・システムの線引きを設計
- グループ企業対応： 共通テナント・共通規程を活かした効率的な法人別取得の設計
- 分離の設計と説明： 工場・OT環境やレガシーシステムを範囲外とする場合の、境界管理と説明資料の整備
- 文書化： 範囲の定義を規程・自己宣言書に落とし込み、証跡と整合させる
「範囲をどう切るかで費用が変わると言われたが、判断できない」という段階でのご相談を歓迎します。
まとめ
- 評価範囲は要求事項の中身より先に決める。後から変えると証跡の取り直しになる
- 決め方は**「取引先が見る事業」から逆算**。取引→部門→拠点→情報資産→システム→委託先の順に特定する
- 別法人は別申請が原則。グループは共通対策を親会社で整備し、法人ごとに宣言するのが効率的
- 工場・OT環境は分離を示して範囲外とするか、代替策込みで含めるかを設計する。ネットワークセグメンテーションは★4要件
- 海外拠点はテナント共通なら技術対策は及ぶ。範囲と適用の関係を説明できる状態にしておく
- 範囲設定の細部は運営規程（2026年8月頃）・申請方法（2026年10月頃）で確定する。公表後の照合を前提に進める
参考リンク：