SCS評価制度の要求事項3-1-1「情報機器、OS及びソフトウェアに関する情報の把握」とは：パソコンとサーバの台数・OSの把握と、管理ルールの年1回の点検

3-1-1は何を求めているか：評価基準7項目の中身

要求事項3-1-1の原文は、「情報機器、OS及びソフトウェアに関する情報を把握すること。」の1文です。何をすれば満たしたことになるかは、7つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。

★3で求められるのは3-1-1-1から3-1-1-4までの4項目で、3-1-1-5から3-1-1-7までは★4で加わります。内容を要約すると次のとおりです。

大分類「リスクの特定」の中分類「資産管理」（持っている機器やソフトを把握すること）に含まれます。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

この項目で用意するもの（★3）

3-1-1で用意するものは、台帳・ルール・記録の3つです。

• 台帳：パソコンとサーバの、製造元・OS・台数（3-1-1-1、3-1-1-2）
• 文書：導入、設置、ネットワーク接続、セキュリティパッチ適用のルールを含む管理ルール（3-1-1-3）
• 記録：年1回以上、管理ルールが守られているかを点検した日と結果（3-1-1-4）

落とし穴1：★3では、スマートフォンは把握の対象外

★3の台帳に、スマートフォンやタブレットは入れなくても評価基準は満たせます。

★3で把握を求められるのは、パソコンとシンクライアント（3-1-1-1（パソコンの把握））と、サーバ・仮想サーバ・ハイパーバイザ（3-1-1-2（サーバの把握））です。スマートデバイスの把握は、★4の3-1-1-5で加わります。

サーバがない会社では、3-1-1-2に当てはまる機器がありません（編集部の読み方）。そのときは、台帳にサーバがないことを書いておくと、確認する人に伝わります。

落とし穴2：台帳は一度作って終わりではない

台帳を作っただけでは、「把握するための仕組み」にはなりません。

3-1-1-1と3-1-1-2が求めているのは、製造元・OS・台数を把握する仕組みの整備です。機器を買う・捨てるたびに台帳が更新される手順まで決めておく必要があります（編集部の読み方）。

機器を把握していないと、更新が必要な機器を見落とします。 イセトー はVPN経由の不正アクセスを、 アサヒグループ はグループ拠点のネットワーク機器からの侵入を公表しています。どちらも、社外とつながる機器が入口になった事故です。

落とし穴3：ソフトウェアの一覧は、★3では求められていない

個々のソフトウェアの一覧を作ることは、★3の評価基準に書かれていません。

ソフトウェアは、3-1-1-3（管理ルール）の対象として、導入やパッチ適用のルールの中で扱います（編集部の読み方）。パッチを適用する期限そのものは、 要求事項4-4-4 （重大な更新を14日以内に適用）で定められています。

進め方（30人規模の記入例）

編集部の記入例です。数字や名称は、自社で決めます。

1. 機器台帳（Excel）を1枚作り、次のように記入する

1. 管理ルールを書く：導入は総務の承認、設置場所を決める、ネットワークにつなぐのは台帳にある機器だけ、パッチ適用は要求事項4-4-4に従う
2. 機器を買う・捨てるときに、台帳を更新する担当を決める
3. 年1回、台帳と実機を突き合わせ、ルールが守られているかを記録する

★4で加わること

★4では、把握する範囲と点検の対象が広がります。

• スマートデバイスの製造元、OS、台数の把握（3-1-1-5）
• 重要なシステムを構成する機器の設定情報を把握する仕組み（3-1-1-6）
• 把握した情報そのものの、年1回以上の点検（3-1-1-7）