SCS評価制度★3をM365・GWSで実装する｜設定マッピング一覧
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。
SCS評価制度★3の要求事項（26項目・評価基準81件）を読んだ中小企業の情シス・経営者から、よくこんな相談を受けます。
「MFA、パッチ適用、マルウェア対策、資産台帳、ログ、バックアップ……全部やろうとしたら、いくらかかるのか。新しいセキュリティ製品を何個も買わないといけないのか」
結論から言うと、Microsoft 365またはGoogle Workspaceをすでに契約している企業なら、★3の技術的対策の大部分は「今持っているライセンスの設定」で実装できます。必要なのは追加購入ではなく、使われていない標準機能を正しく有効化することです。
この記事は、★3の対策要件を両プラットフォームの機能に対応させた比較・概観です。「自社の環境でどこまで満たせるか」の当たりをつけるために使ってください。管理画面での具体的な設定手順・証跡の取り方・90日の実装ロードマップは、環境ごとの実装編にまとめています。
- Microsoft 365 環境の方 → Microsoft 365でSCS評価制度★3に対応する｜追加購入なしで満たせる範囲と設定手順
- Google Workspace 環境の方 → Google WorkspaceでSCS評価制度★3に対応する｜標準機能で満たせる範囲と不足する領域
- 要求事項の条文を読みたい方 → SCS★3 要求事項・評価基準 一覧（全文）
前提：★3で求められる技術的対策のおさらい
★3・★4の基準比較記事で解説したとおり、★3の技術的対策の中核は「攻撃等の防御」領域です。要点を抜き出すと以下になります。
- セキュリティパッチの適用運用（重大・高リスクの脆弱性はリリースから14日以内：4-4-4-2）
- 全端末へのマルウェア対策と定義の最新化（すべてのPCとサーバが対象：4-4-5-1）
- ネットワーク境界の防御（ファイアウォール等：4-5-1）
- クラウドサービスへの多要素認証（ユーザーと管理者の両方：4-1-3-2）
- 重要データの定期バックアップ（遠隔地バックアップ・リストア手順書を含む：4-3-4）
- アクセス権限の管理（申請承認制・棚卸のルール・退職者アカウントの速やかな無効化：4-1-7、4-1-1-4）
- インシデント対応の教育・訓練（新規受入時＋年1回以上、記録の保管：4-2-2）
- IT資産台帳・クラウドサービス一覧の整備（リスク特定領域：3-1-1）
- 不正アクセスをリアルタイムに検知・遮断する仕組みと、ログ・アラートの分析（検知領域：5-1-1）
なお、ログの取得・保管期間（6か月）が要求事項になるのは★4です。★3に保管期間の定めはありませんが、検知領域でログ・アラートの分析が求められるため、ログを残す運用自体は必要になります。
これらをM365 / GWSの機能に対応させていきます。
どちらの環境が★3に有利か
先に結論を示します。クラウド側（ID・共有・ログ）は両者とも強く、差がつくのは端末側です。
| ★3の要求領域 | Microsoft 365（Business Premium） | Google Workspace（Business Plus） |
|---|---|---|
| 多要素認証（4-1-3） | ◎ 条件付きアクセスで柔軟に強制 | ◎ 2段階認証の全社強制 |
| 資産台帳（3-1-1） | ◎ Intune のインベントリで自動収集 | ○ エンドポイント管理で登録端末を一覧化 |
| 端末のマルウェア対策（4-4-5） | ◎ Defender for Business を同梱 | × 機能を持たない。別途手当てが必須 |
| パッチ適用（4-4-4） | ◎ Intune の更新リングで14日以内を統制 | × Windows/macOSのOS更新は統制できない |
| 外部共有の制御 | ○ SharePoint/OneDrive の共有設定 | ◎ ドライブの共有設定が細かい |
| ログの取得（5-1-1） | ○ 統合監査ログ（有効化の確認が必要） | ◎ 既定で記録。有効化漏れの事故が起きない |
| 検知・アラート | ◎ Defender のアラート | ○ アラートセンター（全エディション） |
| バックアップ（4-3-4） | △ 保持ポリシーは削除防止。別途設計が必要 | △ Vault は保持機能。別途設計が必要 |
| 教育・訓練（4-2-2） | △ 攻撃シミュレーションはE5。eラーニング等で代替 | △ 訓練機能なし。eラーニング等で代替 |
Microsoft 365 は端末統制が強く、Google Workspace はクラウド側の統制とログが強い、という整理になります。GWS環境で★3を目指す場合、端末側（マルウェア対策・パッチ管理）を何で埋めるかが最初の意思決定になります。
領域別マッピング：Microsoft 365編
M365はプランによって使える機能が大きく異なります。ここでは中小企業の現実的な構成としてBusiness StandardとBusiness Premiumを分けて示します。
| ★3要件 | Business Standardでの実装 | Business Premiumでの実装 |
|---|---|---|
| MFA | セキュリティの既定値群で全ユーザーMFA | 条件付きアクセスで柔軟に強制 |
| パッチ適用 | Windows Update自動更新（手動運用） | Intune（Windows Update for Business）で全社統制 |
| マルウェア対策 | 標準のMicrosoft Defenderウイルス対策 | Defender for Businessで保護＋検知を一元管理 |
| 資産台帳 | 手動台帳（Excel等） | Intuneのデバイスインベントリで自動収集 |
| アクセス権管理 | Entra IDでアカウント管理 | ＋条件付きアクセス・デバイス準拠ポリシー |
| バックアップ | OneDrive/SharePointへのデータ集約 | 同左（＋必要に応じM365 Backup等） |
| ログ | 監査ログ（既定180日） | 同左 |
| 検知 | 不審なサインインの確認（手動） | Defenderのアラートで自動検知 |
Business Premiumに上げる価値
上の表のとおり、★3対応の文脈ではIntune（資産・パッチ・端末統制）とDefender for Business（検知）が使えるBusiness Premiumの価値が非常に大きいです。Standardとの差額（1ユーザーあたり月額1,000円台）で、資産台帳・パッチ統制・EDR相当の検知がまとめて手に入ると考えると、外部製品を個別に買うより安く済むケースがほとんどです。
なお、上位プラン（E3／E5）で追加される機能のうち、PIM・アクセスレビュー・攻撃シミュレーション訓練は**★3の段階では手動運用と記録で代替できます**。★3の評価基準が問うのは「自動化されていること」ではなく「定めて、実施して、記録していること」です。
条件付きアクセスの具体的な作り方、Intune の更新リングで14日以内を満たす設定、証跡として何をエクスポートするかは → Microsoft 365 実装編（参考：MFA認証方式の比較、退職時のIT対応ガイド）
領域別マッピング：Google Workspace編
| ★3要件 | GWSでの実装 |
|---|---|
| MFA | 2段階認証プロセスの全社強制（管理コンソールのポリシーで必須化） |
| パッチ適用 | ChromeOS端末は自動更新で完結。Windows端末は別途運用（後述） |
| マルウェア対策 | Gmail/ドライブの保護は標準。端末側は別途対策が必要 |
| 資産台帳 | エンドポイント管理で登録端末・モバイルを一覧化（Windowsデバイス管理はBusiness Plus以上・既定オフ） |
| アクセス権管理 | 管理コンソールでのアカウント停止・アーカイブ（AU） |
| バックアップ | ドライブへのデータ集約＋Vault（Business Plus以上）での保持 |
| ログ | 監査と調査ツール（主要ログは概ね6ヶ月・既定で有効） |
| 検知 | アラートセンター（不審なログイン・フィッシング検知の通知） |
GWSの注意点——端末側の対策はカバー範囲外
GWSはクラウド側（メール・ドライブ・ID）の防御は強力ですが、Windows PCのマルウェア対策・パッチ統制・端末インベントリはM365のIntune/Defenderに相当する標準機能がありません。Windows端末が主力のGWS企業は、この部分だけ外部製品（EDR/資産管理ツール）または手動運用で補う必要があります。逆にChromebook中心の企業なら、自動更新と設計上の堅牢さで★3の端末要件を低コストで満たせます。
またエディションの境目にも注意が必要です。Vault と高度なエンドポイント管理は Business Plus 以上、DLP・コンテキストアウェアアクセス・セキュリティ状況ページは Enterprise Standard 以上で、Business Plus には含まれません。★3の段階では共有設定の制限と運用ルールで代替できる部分が多くあります。
管理コンソールの設定箇所、2段階認証の段階展開、端末側の穴を埋める選択肢は → Google Workspace 実装編（参考：GWSの2段階認証強制とセキュリティキー）
M365/GWSだけではカバーできないもの
正直に言うと、以下は標準機能の外側です。過大な投資は不要ですが、何で満たすかを決めておく必要があります。
- ネットワーク境界の防御（4-5-1）： ルーター/UTMの設置・設定はオフィスネットワーク側の話。既存ルーターのファイアウォール機能の確認と設定記録で足りる場合も多い。検知の評価基準5-1-1-1は「境界又は端末において」と実装場所を選べる書き方になっている
- バックアップ（4-3-4）： OneDrive/ドライブへのデータ集約で「重要データのバックアップ」は満たせるが、遠隔地バックアップとリストア手順書まで求められる。サーバーやNASがある場合は別途バックアップ設計が必要（3-2-1ルールの解説）
- 体制・文書類： 規程・台帳・手順書はツールでは生まれない。★3は7大分類のうち「ガバナンスの整備」「取引先管理」が丸ごとここに属する。文書化テンプレート集を活用して整備する
「必要な対策」と「売られているだけの対策」を切り分ける考え方は、支援サービスの過剰提案を見抜く5つの質問にまとめています。
実装の優先順位（共通の考え方）
★3取得を目指す場合、どちらの環境でも進め方の骨格は同じです。
| 順 | 作業 | 所要目安 |
|---|---|---|
| 1 | 現状把握（ライセンス構成・監査ログの有効化・管理者権限の棚卸） | 1〜2週間 |
| 2 | MFA / 2段階認証の全社展開（周知・猶予期間を含む） | 3〜4週間 |
| 3 | 端末の登録と資産台帳の自動化、パッチ適用の統制 | 3〜4週間 |
| 4 | 外部共有設定の見直し、データ保護の設定 | 並行実施 |
| 5 | 規程・手順書の文書化、教育の実施と記録 | 並行実施 |
| 6 | 月次のログ確認運用の開始、証跡の整理 | 並行実施 |
2〜3ヶ月あれば、技術面の実装は無理なく完了できる規模感です。2027年3月頃の申請受付開始から逆算すると、2026年内に技術実装を終え、年明けに文書と証跡を仕上げるスケジュールが余裕を持てます。週単位に落としたロードマップは環境別の実装編に掲載しています。
情シス365による支援
情シス365では、SCS★3対応のための Microsoft 365 / Google Workspace セキュリティ設定を実装代行しています。
- 現状診断： 現在のテナント設定と★3要件のギャップを棚卸し
- 実装代行： MFA・条件付きアクセス・Intune・Defender・監査ログ・バックアップの設定一式
- 文書化支援： 設定内容を「規程・台帳・手順書」に落とし込み、専門家確認に耐える形に整備
- 取得後の運用： パッチ・アカウント・ログ確認の月次運用と年次更新の支援
「ライセンスは持っているが設定が手つかず」という企業が最も費用対効果の高いパターンです。お気軽にご相談ください。
まとめ
- SCS★3の技術的対策の大部分は、M365 / GWSの「すでに払っているライセンスの設定」で実装できる。追加製品の購入は最後の手段
- M365はBusiness Premiumにすると、Intune（資産台帳・パッチ統制）とDefender for Business（検知）で★3要件をほぼ面でカバーできる
- GWSはクラウド側の防御・ログ・検知は標準で強い一方、Windows端末の統制だけは外部補完が必要。Chromebook中心なら低コストで完結
- ツールで生まれないのは規程・台帳・手順書などの文書類。技術実装と並行して文書化を進める
- 技術実装は2〜3ヶ月規模。2026年内に実装完了→年明けに文書・証跡仕上げが申請受付開始に間に合う標準スケジュール
自社の現在地を短時間で把握したい場合は、★3セルフチェックツール（登録不要・無料）をご利用ください。
参考リンク：
- IPA SCS評価制度
- IPA SCS評価制度 要求事項・評価基準（★3・★4の要求事項・評価基準一覧）
- SCS★3 要求事項・評価基準 一覧（26項目・81件を全文掲載）