Google WorkspaceでSCS評価制度★3に対応する手順

コラム更新日：2026.10.21

サプライチェーン全体を標的とするサイバー攻撃が急増する中、中小企業にも大企業と同等のセキュリティ水準が求められるようになってきました。そこで注目を集めているのが、企業のセキュリティ対策状況を可視化する「SCS評価制度」です。特に、実質的な取引条件の基準として求められることが見込まれる「★3」水準への対応は、多くの企業にとって急務となっています。

本記事では、SCS評価制度の概要や★3取得のメリットを解説します。さらに、Google Workspaceの標準機能で満たせる要件と、外部ツールでの補完が必要な領域を明確にし、具体的な対応手順をご紹介します。

※SCS評価制度の基本情報（概要・評価レベル・費用目安・事前準備など）については、以下の記事をご覧ください。

執筆・監修：TSクラウド編集部

Google Cloud の「プレミア認定」を保有する、Google Workspace 正規販売代理店です。業界歴 17 年、延べ 3,500 社以上の導入支援実績（ 2026 年 2 月時点）に基づき、Google Workspace の最新機能から活用術、DX推進に役立つノウハウを専門的な視点で解説しています。

※情報は記事公開（更新）時のものです。Google Workspace の仕様や価格は変更される場合があるため、最新情報は必ず公式ページでご確認ください。

※名称変更に関するお知らせ： NotebookLMは、2026年7月に「Gemini Notebook」に名称が変わりました。メディア内では旧名称が利用されていることがあります。その場合は、Gemini Notebookに読み替えてご確認ください。

なぜ今、中小企業にSCS評価制度★3が求められるのか

SCS評価制度が注目される理由や、評価取得によるメリット、そして今後の実施スケジュールについて解説します。

SCS評価制度が注目されている理由

SCS評価制度とは、経済産業省とIPA（独立行政法人情報処理推進機構）が主導する新たな制度です。企業のサイバーセキュリティ対策状況を、客観的に評価・可視化することを目的としています。

近年、大企業の強固なセキュリティ網を直接狙うのではなく、セキュリティ対策が手薄になりがちな関連企業や取引先を踏み台にする「サプライチェーン攻撃」が急増しています。大企業は自社だけでなく、サプライチェーンを構成する中小企業全体に対してもセキュリティ対策の底上げを要求するようになりました。

しかし、中小企業にとって「自社がどの程度のセキュリティレベルにあるか」を客観的に証明することは容易ではありません。そこで、対策の実施状況を統一された基準で評価・可視化できる仕組みとして、SCS評価制度に大きな注目が集まっているのです。

5段階の星（★）による評価基準の仕組み

SCS評価制度では、企業のセキュリティ対策状況を星1（★1）から星5（★5）までの5段階で客観的に可視化します。各レベルは、対策の網羅性や実施の確実性に応じて明確に定義されています。

★1（星1）〜★2（星2）：基本的な対策を自己宣言ベースで実施している段階。

★3（星3）：情報セキュリティに関する各種ガイドラインに基づき、標準的な対策を網羅的に実施し、外部機関や専門家による確認が可能な水準。

★4（星4）〜★5（星5）：高度なサイバー攻撃を想定した、より高度で専門的な対策を実施している最高水準の段階。

★3は、専門家の確認によって対策の正確性と実効性が担保されるため、大手企業が調達基準として採用する「実質的な最低ライン」となることが確実視されています。

★3を取得する3つの実務的メリット

SCS評価制度★3は、「自己評価（★1・★2）」とは一線を画します。最大の違いは、評価シートに対して社内外のセキュリティ専門家による確認・署名が必須となる点です（※）。形だけの自己申告では通用せず、実効性のある対策と証跡が問われます。

（※専門家の要件：情報処理安全確保支援士（登録セキスぺ）のほか、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001主任審査員等の有資格者で、所定の研修を受講しSCS事務局に登録された専門家が対象となります。社内に該当者がいない場合は、外部の登録専門家にレビューを依頼することが可能です）

SCS評価制度で★3を取得することには、単なるセキュリティ強化にとどまらず、実務面において大きなメリットがあります。

取引先からの信頼向上とビジネス機会の創出
客観的な評価基準を満たすことで、大企業や新規顧客からの信頼を獲得しやすくなり、他社との強力な差別化要因となります。

独自チェックシート対応の負担軽減
企業ごとに異なる煩雑なセキュリティ調査票への回答を、SCSの評価結果で代替できる可能性があります。

自社体制の底上げ
★3取得に向けた取り組みを通じて、自社のセキュリティ課題が浮き彫りになり、体系的かつ効率的な対策を講じることができます。結果として、ランサムウェア等の被害リスクを実質的に低減できます。

2026年度以降に順次始まる社会実装のスケジュール

SCS評価制度の本格運用は、2026年度末（2027年3月頃）に開始される予定です。★3を取得する組織の登録料は年額10,000円（※2028年3月までの料金）と発表されています。90日間から半年を要する準備期間を逆算すれば、今すぐ現状の把握と準備を始めることが推奨されます。

年度	時期	主な取り組み内容
令和8年度（2026年度）	上期（4〜9月）	制度詳細化および運用開始準備 ※制度基準・料金設定の公表（2026年9月）
令和8年度（2026年度）	下期（10〜3月）	評価用ガイド等の公表評価機関・専門家等の登録・公表運用開始予定
以降	—	取得企業の公表

★3対応の最低ラインは「Business Plus」

Google Workspaceの各プランにおける、SCS評価制度への対応可否とアップグレードの判断基準について解説します。

Business Plusが実質的な最低ラインとなる理由

以下の表は、Google Workspace主要プランにおけるセキュリティ機能の対応状況の目安です。

プラン名	Business Starter / Business Standard	Business Plus	Enterprise Standard
Vault （証跡保持）	✕	◯	◯
高度なエンドポイント管理	✕基本管理のみ	◯	◯
DLP／コンテキストアウェアアクセス	✕	✕	◯
★3対応度	△不足がある	◯実用的な最低ライン	◎★4も見据えた高度な統制

いずれのプランでもモバイル端末に対する基本制御は可能ですが、SCS★3の対象となるパソコン（特にWindows PC等）に対して「6文字以上のパスワード/PIN要求」や「10回失敗時のロック」といった画面ロックポリシーを一括強制し、管理画面を証跡（エビデンス）として提示するためには、「高度なエンドポイント管理（Windowsデバイス管理含む）」を備えたBusiness Plusが必要です。

加えて、SCS★3の監査では「インシデント発生時に過去のデータを追跡・調査できる状態（証跡保持）」が求められます。このため、データ保持機能である「Google Vault」を標準で利用できるBusiness Plusが実質的な最低ラインとなります。

さらに上位のEnterpriseプランでは、DLP（データ損失防止）機能が追加され、将来的に★4以上を目指す際の強力な武器となります。

Business Plusへの移行と外部ツール併用の検討ポイント

SCS★3の要件を満たすためのアプローチとして、「Google WorkspaceをBusiness Plusへアップグレードする」方法と、「Business Standardのまま、外部のアーカイブツールやMDM（モバイルデバイス管理）製品を追加する」方法の2つがあります。

Business Plusへのアップグレードは、1ユーザーあたりの月額費用は上がりますが、管理画面が統合されているため運用負荷が低く、セキュリティ設定を一元管理できるという大きなメリットがあります。

一方、サードパーティ製品を追加する場合は、既存のライセンス費用を抑えられる可能性はありますが、複数ツールの管理画面を行き来する必要が生じ、情シス担当者の運用コスト（手間）が増大する傾向にあります。自社のITリソースと予算を考慮し、最適な選択肢を検討してください。

\ SCS★3が取得できるプランの移行を検討するなら /

料金表を詳しく見る

Google Workspaceの標準機能で対応できる要求事項

Google Workspaceは強力なセキュリティ機能を標準で備えており、適切に設定することでSCS評価制度★3の要求事項の多くをカバーできます。ここでは、特に重要なID管理やデバイス制御、ログ監視の機能について解説します。

ID・認証管理（4-1-3-2／4-1-3-3 ）

Google WorkspaceのID・認証管理機能を適切に設定することで、SCS評価制度（★3）で求められる多要素認証（MFA）の使用（4-1-3-2）および厳格なアクセス制御（4-1-3-3）に関する要件を満たすことができます。★3の監査に耐えうる運用レベルは以下の通りです。

多要素認証（MFA）の全社強制と認証要素の厳格化
管理コンソールを開き、「セキュリティ > 認証 > 2段階認証プロセス」で組織全体に強制します。

その際、セキュリティ強度の低いSMS認証は許可リストから除外し、「Google Authenticator」などの認証アプリ、または物理的なセキュリティキー（FIDO2対応デバイス）に限定してください。

対象別の運用・設定ポイント

特権管理者アカウントの保護
特権管理者には「セキュリティキーまたはパスキー」の使用を必須とします。
既存ユーザー（全社展開時）
いきなりMFAを強制するとサポート窓口がパンクします。まずは14日間の猶予期間を設け、その間に登録を促す「周知期間」を設けるのがスムーズな運用のコツです。
新規入社者（新規アカウント）
アカウント作成後に未設定のまま放置されるリスクを防ぐため、新規ユーザー向けの登録猶予期間（運用に応じて1日〜2週間程度）を設定し、期限内の設定完了を必須化します。

端末側のロック制御（4-1-4）

万が一、端末を紛失したり盗難に遭ったりした際の第三者による不正利用を防ぐため、アカウントロック制御（4-1-4）は必須の要件となります。モバイル端末に対する画面ロック制御はGoogle Workspaceの全プランで可能ですが、SCS★3の対象となるパソコン（Windows PC等）も含めて一括でセキュリティポリシーを適用し、監査用の証跡を残すためには、Business Plus以上のプランで提供されている「高度なエンドポイント管理」が必要です。

具体的には、「6文字以上の複雑なパスワード／PINの要求」や、「パスワード入力を一定回数（例：10回）失敗した場合は端末をロックまたはワイプする」といった設定を行います。

★3の監査においては、これらのポリシーが実際に運用されていることを証明する必要があるため、この管理コンソールの設定画面キャプチャ自体が、極めて重要な証跡（エビデンス）として機能します。

なお、Business Plusで利用可能な「Windows デバイス管理」は、デフォルトでオフになっています。管理コンソールで事前に有効化しておかなければ、Windows PCへの端末制御が有効にならず、★3で求められる証跡も取得できません。運用初日に必ず有効化されているか確認しておきましょう。

ログと監視（5-1-1）

インシデントの早期発見や事後調査において、各種ログの取得と監視体制の構築は欠かせません。

Google Workspaceの最大の利点のひとつは、詳細な監査ログが「既定で有効」になっており、自動的に記録され続ける点です。意図的に設定を有効化し忘れて証跡が残っていなかった、という事故を防ぐことができます。以下の体制を整えることで、★3が求める継続的監視の要件を満たすことができます。

検知体制
管理コンソールの「セキュリティ > アラートセンター」にてルールを構成し、不審なログインや大量のファイル共有、管理者権限の変更を自動検知する設定を行います（※監査・調査ログの確認画面とは異なり、「セキュリティ」メニューからの設定となります）。

運用の証跡
Business Plus以上のプランでは、主要な監査ログが標準で約6か月間、アラートセンターの通知履歴（ログ）は1年間保持されます。なお、★3要件においてはログの保管期間そのもの（★4等で求められる長期保管）よりも、「月次でログを点検し、不審事象の有無を管理者が判断・記録しているか」という運用の実態が重要視されます。単にログを蓄積するだけでなく、レポートの出力と月次チェックの運用フローを定着させ、確認記録（点検簿）を残すことが★3適合の鍵となります。

Google Workspace単体では対応が不足する要求事項

「クラウドを使っているから安全」という認識は、★3審査においては致命的な誤解となります。以下の3領域はGoogle Workspaceのカバー範囲外であり、別途「外部ツールの導入」や「運用の構築」が必須です。

端末側のマルウェア対策（4-4-5-1 / 4-4-5-2）

SCS★3では、端末レベルでのマルウェア感染の防止と、感染時の迅速な検知・隔離が求められます。

しかし、Google Workspaceには、Gmail上のスパムフィルタやGoogleドライブ上のマルウェアスキャン機能は備わっていますが、従業員が利用するPCやサーバー上で動作するウイルス対策ソフト（アンチウイルス）や、EDR（Endpoint Detection and Response：エンドポイントでの検知と対応）機能は含まれていません。

ネットワークに接続するすべてのPCとサーバーにマルウェア対策製品を導入し、検知状況を集中監視する体制が求められます。Windows Defender単体での運用の場合も、その設定が中央で統制・記録されている必要があります。

実は、Chromebookの導入がこの要求に対する合理的なアプローチです。ChromeOSは設計上マルウェア対策ソフトを必要としないため、端末側への追加投資を抑えつつ、監査に対して「OSのアーキテクチャにより要件を満たしている」と説明することが可能です。

OSパッチ管理（4-4-4-2）

★3では、CVSSスコア7.0以上の重大な脆弱性に対し、「14日以内のパッチ（更新プログラム）適用」を求めています。Google Workspaceのエンドポイント管理では、WindowsやmacOSのOS更新を「強制」することはできません。このため、資産管理ツールやRMM（リモート管理ツール）の併用による「パッチ強制適用」の仕組みが必要です。

バックアップと復旧（4-3-4）

Google Workspaceの「Vault」は、あくまで法務要件やコンプライアンス対応のための「電子情報開示（eDiscovery）」を目的としたデータ保持機能です。

これはユーザーが誤って削除したデータを検索・保持することはできますが、ランサムウェア攻撃によってGoogle ドライブ内のデータが大量に暗号化されたような場合、瞬時に元の状態に「復元（リストア）」するためのツールではありません。

3-2-1ルール（※データを3重化し、2種類の媒体で保存、1つは遠隔地に保管する原則）に則り、サードパーティ製バックアップツール等を活用して外部へ定期バックアップを取得する仕組みが必要です。

ここで特に注意すべきは、「バックアップツールを契約・稼働させているだけでは要件を満たせない」点です。★3の要求事項（4-3-4）に適合するためには、不測の事態に備えた「リストア（復旧）手順書」の文書化と、実際にデータを復旧できるか確認した「定期的な復旧テストの実施記録（年1回以上）」をセットで準備・保管することが必須となります。

※本記事は、2026年4月に公開されたIPAの「【★３★４】要求事項・評価基準」に基づいて執筆しています。最新の要求事項や評価基準については、IPA公式サイトでご確認ください。

実装ロードマップ：90日間で★3の証跡を揃える実践手順

★3取得において、ツールの設定以上に重要なのは「運用の証跡（台帳）」です。ここでは、約90日間で必要な証跡を揃える実践的なロードマップをご紹介します。

1か月目：現状把握と台帳整備

初月は、足元の状況を正確に把握し、管理の土台となる台帳整備と社内規程の周知に注力します。

管理者ロールの棚卸しとプラン確認
Google Workspace内で特権管理者権限を持っているユーザーを洗い出し、不要な権限は剥奪して最小権限の原則を適用します。また、自社のプランが要件を満たしているか（Business Plus以上か）を再確認します。

IT資産台帳の整備
管理コンソールのデバイス一覧をCSV出力し、シリアル番号、利用者、OSバージョンを紐づけた台帳を作成します。

情報セキュリティ基本方針の策定・周知
全社的なセキュリティルールである「情報セキュリティ基本方針（セキュリティポリシー）」を策定・周知します。2か月目以降にMFA強制や外部共有制限などの技術設定を進めるにあたり、社内への明確な根拠と理解を示す土台となります。

2か月目：技術実装と運用ルール化

2か月目は、Google Workspace上での技術的なセキュリティ設定を適用し、それを日々の運用ルールとして定着させます。

MFAの段階的強制
全従業員に多要素認証（SMS除外）を強制適用します。影響を抑えるため、部門ごとに段階的に適用するのが効果的です。

外部共有制限
Google ドライブの社外共有ルールを改定し、「申請承認制」の導入など、情報漏洩リスクの低減に向けた運用ルールの策定およびシステム設定を実施します。

アカウント変更台帳の運用開始
従業員の入退社や異動に伴う、アカウントの作成・権限付与・削除の履歴を記録する「アカウント変更台帳」の運用を開始します。申請に基づく適切な権限管理が行われていることの証明となります。

ログ監視・アラート自動検知の設定
Google Workspaceのアラートセンター等で、不審なログインや大量のファイル共有、管理者権限の変更などを自動検知するルールを構成し、管理者宛てのメール通知を有効化します。

端末防御の補完
EDRの導入や、資産管理ツールによるOSパッチ管理の自動化を完了させます。

3か月目：証跡の整理と最終確認

最終月は、これまでの運用実績を証跡としてまとめ、監査に耐えうる状態かを確認します。

月次ログ確認記録の作成
前月までに設定したアラートセンターや監査ログの運用実績を確認します。「不審なアクセスや権限変更の事象がなかったこと（または適切に対処したこと）」をシステム管理者が確認し、責任者が承認したという記録（報告書）を作成します。

適合宣言書の作成
代表取締役等の経営層による「SCS評価制度★3 適合宣言書」を作成し、署名・捺印を行います。これが申請時のコア・エビデンスとなります。

専門家を招いての最終レビュー
外部の専門家（情報処理安全確保支援士など）を招き、整備した各種台帳、ポリシー、設定画面、運用ログの記録を確認してもらい、署名（確認印）を受領します。

Google WorkspaceでのSCS評価制度対応における注意点

Google Workspaceを活用してSCS★3対応を進めるにあたり、単にセキュリティ設定を厳格化するだけでは、業務に支障をきたす恐れがあります。ここでは、導入時に見落としがちな注意点について解説します。

セキュリティ強化に伴う業務利便性の低下への対策

多要素認証（MFA）を強制したり、セッションの有効期限を短く設定したりすると、従業員は業務システムへアクセスするたびに煩雑な認証操作を求められることになります。これにより、「ログインに手間がかかる」といった不満が生じ、業務効率の低下を招くリスクがあります。

この課題を解消するための有効な対策が、「シングルサインオン（SSO）」の導入です。Google Workspaceを認証基盤（IdP）として活用し、社内で利用している他のSaaSアプリケーションと連携させることで、従業員は1度の厳格な認証を済ませれば、複数のシステムへシームレスかつ安全にアクセスできるようになります。セキュリティ水準（★3）を維持しつつ、日々の業務ストレスを軽減する工夫が不可欠です。

制度のガイドライン改定や評価基準更新への定期的な確認

SCS評価制度★3は、一度取得して終わりではありません。有効期限は1年（更新制）です。IPAのガイドライン改定を定期的に確認し、月次のログ点検や年次の教育記録を継続する「セキュリティサイクル」を組織に定着させましょう。

また、SCS評価制度は、サイバー攻撃の脅威動向や技術の進化に合わせて、その要求事項やガイドラインが改定される可能性があります。一度「★3」を取得したからといって、その状態を放置していては、次回の更新審査を通過できなくなる恐れがあります。企業の担当者は、評価制度を運営する機関からの最新情報や、セキュリティに関するニュースを定期的に収集する体制を整える必要があります。

Google Workspace自体の新機能追加や仕様変更も頻繁に行われるため、「自社の設定が最新の基準を満たしているか」を定期的に見直し、バージョンアップを怠らない継続的な運用プロセスを回すことが重要です。

Google Workspaceを軸に無理なくSCS評価制度への対応を

Google Workspaceは、Business Plusなどの適切なプランを選択し、標準搭載されている認証機能やログ監視機能を正しく設定・運用することで、★3要件の大部分を満たすことができる優れたプラットフォームです。

一方で、端末側のマルウェア対策（EDR等）や、確実なデータ復旧のための外部バックアップなど、Google Workspace 単体ではカバーしきれない領域があることも事実です。

これらの「不足している領域」を、自社の予算や運用体制に合った外部ツールで賢く補完し、日々の運用記録（証跡）を丁寧に残していくことで、中小企業でも無理なくSCS評価制度★3の取得は可能です。まずは自社の現状とGoogle Workspaceの設定状況を把握することから、確実な第一歩を踏み出してみてはいかがでしょうか。