SCS評価制度の要求事項1-2-1「セキュリティ推進活動部門」とは：役員と担当部署の役割・連絡先を決め、年1回点検する

1-2-1は何を求めているか：評価基準4項目の中身

要求事項1-2-1の原文は、「セキュリティ推進活動を担当する部署、役員及び従業員を決定し、責任及び権限を割り当てること。」の1文です。何をすれば満たしたことになるかは、4つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。

★3で求められるのは1-2-1-1から1-2-1-3までの3項目で、1-2-1-4は★4で加わります。内容を要約すると次のとおりです。

大分類「ガバナンスの整備」の中分類「役割、責任、権限」に含まれます。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

この項目で用意するもの（★3）

1-2-1で用意するものは、文書・一覧・記録の3つです。

• 文書：セキュリティを統括する役員と、セキュリティ担当部署の役割・責任（1-2-1-1）
• 一覧：役員と担当部署の連絡先リスト。平時の連絡用（1-2-1-2）
• 記録：年1回以上、この体制を点検した日と結果（1-2-1-3）

大きな組織図は要りません。誰が統括し、どの部署が担当し、どう連絡を取るかが1枚にまとまっていれば、評価基準の3項目に対応できます（編集部の整理）。

落とし穴1：専任の部署や担当者は求められていない

兼務の担当者でも、1-2-1は満たせます。

評価基準の4項目に、専任の部署や専任の担当者を求める文言はありません。求められているのは、統括する役員と担当部署を決め、役割・責任を文書にすることです（1-2-1-1（役員と担当部署の役割））。

30人ほどの会社なら、総務部の2名が兼務で担当し、社長が統括する、という形でも足ります（編集部の読み方）。大事なのは、担当が決まっていて、文書に残っていることです。

落とし穴2：CISOがいなくても、統括する役員は決める

CISO（最高情報セキュリティ責任者）を置いていない会社でも、統括する役員は必要です。

評価基準でCISOは「置く会社ならCISO」という例として出てくるだけで、置くことは求められていません。一方で、セキュリティを統括する役員を決めることは、1-2-1-1（役員と担当部署の役割）の中身そのものです。

小さな会社では社長や総務担当の役員が統括するのが現実的です。役職名にこだわらず、誰が最終判断をするかを書きます。

落とし穴3：点検するのは「平時の体制」。事故のときの体制は別の項目

1-2-1で毎年点検するのは、ふだんの体制です。事故が起きたときの体制は、別の要求事項で点検します。

1-2-1-3（平時の体制の点検）が対象にしているのは、1-2-1-1の役割と1-2-1-2の連絡先リストです。インシデント（情報漏洩などの事故）が起きたときの連絡先や役割の点検は、 要求事項6-1-1 の6-1-1-4（インシデント時の体制の点検）で、同じく年1回以上求められます。

2つは中身が重なるので、同じ日にまとめて点検し、記録を分けて残すと手間が減ります（編集部の整理）。

進め方（30人規模の記入例）

編集部の記入例です。数字や名称は、自社で決めます。

1. 統括する役員を決める（例：社長）
2. セキュリティ担当部署を決める（例：総務部。兼務2名）
3. 役割と責任を1枚に書く（例：統括は最終判断と取引先への報告、担当部署はルールの整備と社内の相談窓口）
4. 連絡先リストを作る（氏名、部署、携帯電話、代理の人）
5. 毎年4月に体制と連絡先を見直し、日付を記録する

★4で加わること

★4では、経営層が加わって判断する場が求められます。

1-2-1-4（経営判断ができる体制）は、セキュリティリスクが経営に重大な影響を及ぼすことを前提に、情報セキュリティ委員会などの体制を置くことを求めています。

実際の例として、顧客情報の不正持ち出しを公表した NTT西日本グループ は、再発防止の取り組みの中で、セキュリティ・アドバイザリーボードとセキュリティトラスト委員会を開いていると報告しています。