SCS評価制度の要求事項1-3-1「セキュリティ対応方針の策定」とは：方針を定め、いつでも読める状態にして、改正を周知する

1-3-1は何を求めているか：評価基準4項目の中身

要求事項1-3-1の原文は、「自社のセキュリティ対応方針を策定し、周知すること。」の1文です。何をすれば満たしたことになるかは、4つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。

★3で求められるのは1-3-1-1から1-3-1-3までの3項目で、1-3-1-4は★4で加わります。内容を要約すると次のとおりです。

大分類「ガバナンスの整備」の中分類「ポリシー」に含まれます。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

この項目で用意するもの（★3）

1-3-1で用意するものは、方針・置き場所・記録の3つです。

• 文書：自社のセキュリティ対応方針（1-3-1-1）
• 置き場所：役員、従業員、派遣社員、受入出向者が、いつでも最新版を読める場所（1-3-1-2）
• 記録：方針を改正したときに周知した日、方法、対象（1-3-1-3）

落とし穴1：方針に何を書くかは、指定されていない

方針の中身は、自社で決めてかまいません。

1-3-1-1（方針を定める）は「自社のセキュリティ対応方針を定めること」とだけ書いていて、入れる項目は指定していません。目的、適用範囲、責任者、守ることなどを、自社に合わせて選びます。

迷ったら、他の要求事項で決めるルールの入口として書くと、後の作業とつながります。たとえば、パスワード（ 4-1-5 ）、持ち出し、事故のときの報告（ 6-1-1 ）です（編集部の整理）。

落とし穴2：置いておくだけでは足りない

方針を共有フォルダに置いただけでは、1-3-1-3（改正の周知）は満たせません。

最新版をいつでも読める状態にすること（1-3-1-2）と、改正したときに内容を伝えること（1-3-1-3）は、別々の評価基準です。改正のたびに、何が変わったかを知らせる必要があります（編集部の読み方）。

ルールを変えたら全体に伝える、という動きは実際の事故対応でも見られます。 都城市 はUSBメモリの紛失を受けて教員用USBメモリの使用を禁止し、市内のすべての小・中学校へ通知文を出しました。

落とし穴3：★3では、毎年の見直しは求められていない

★3の段階では、方針を毎年点検しなくても評価基準は満たせます。

年1回以上の点検は、★4の1-3-1-4（方針の点検）で加わります。★3の3項目に、定期的な点検はありません。

ただし、他の要求事項のルールを変えたときは方針も古くなるので、そのたびに見直すのが現実的です（編集部の整理）。

進め方（30人規模の記入例）

編集部の記入例です。数字や名称は、自社で決めます。

1. A4で1枚にまとめる：目的、適用範囲（役員、従業員、派遣社員、受入出向者）、責任者、守ること（パスワード、持ち出し、事故が起きたときの報告）
2. 統括する役員が承認する
3. 全員が読める社内の共有フォルダに置き、版数と改正日を書く
4. 改正したらメールで全員に知らせ、日付と対象を記録する