ギャップ評価の方法

ギャップ評価とは、SCS制度の要求事項に対する自社の現状を確認し、不足している項目（ギャップ）を特定する作業です。

評価ステータスの定義

各確認項目について、以下の5段階で評価します。

判定フローチャート

評価の進め方

1. 評価シートの準備

   テンプレート・ダウンロードからギャップ評価シートをダウンロードし、42項目の確認項目リストを手元に用意します。

2. カテゴリ別に現状を確認

   10カテゴリを順番に確認していきます。各項目について:

   1. 関連する社内文書があるか確認（規程、手順書、台帳など）
   2. 実際に運用されているか確認（担当者にヒアリング）
   3. 証跡があるか確認（記録、ログ、スクリーンショットなど）
   4. ステータスを判定（上記5段階）
3. 根拠の記録

   各項目の判定根拠を記録します。

   記録すべき内容	例
   根拠ファイル名	security-policy.md、asset-inventory.csv
   不足事項	「見直し頻度の記載がない」「記録が2年前から更新されていない」
   改善提案	「年1回の見直しスケジュールを設定する」

4. 評価サマリの作成

   カテゴリ別にステータスを集計し、全体像を把握します。

   カテゴリ	対応済	一部対応	未対応	証跡なし	未確認	合計
   1. 組織・体制						4
   2. 情報資産管理						4
   3. アクセス制御						6
   4. ネットワーク						4
   5. ソフトウェア管理						5
   6. データ保護						4
   7. インシデント対応						4
   8. 委託先管理						5
   9. 教育・啓発						3
   10. 物理セキュリティ						3
   合計						42

5. 優先順位付け

   すべてを一度に対応する必要はありません。以下の基準で優先順位をつけます。

   優先度	基準
   最優先	「未対応」かつ基本6項目（資産管理、アカウント管理、バックアップ、ソフトウェア更新、委託先管理、インシデント対応）
   高	「未対応」のその他の項目
   中	「証跡なし」の項目（やっているが記録がない）
   低	「一部対応」の項目（文書化の補完等）

AI活用によるギャップ評価

Claude Code等のAIツールを使うと、社内文書との照合を半自動化できます。詳しくはAI活用ガイドを参照してください。

証跡の種類