SCS評価制度の要求事項6-1-1「インシデント対応手順」とは：5つの手順、連絡先、報告フォーマット、年1回の点検と共有

6-1-1は何を求めているか：評価基準6項目の中身

要求事項6-1-1の原文は、「セキュリティインシデントへの対応手順、対応体制等を定めること。」の1文です。何をすれば満たしたことになるかは、6つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。

6項目とも★3の段階から求められ、★4で増える項目はありません。内容を要約すると次のとおりです。

6つは、「手順・連絡先・役割・報告の様式を決める」（6-1-1-1、2、3、5）と、「決めた体制を毎年見直し、事例を共有する」（6-1-1-4、6）の2つに分けて考えると整理しやすくなります（編集部の整理）。

大分類「インシデントへの対応」の中分類「インシデント管理」に含まれ、この大分類の要求事項は6-1-1の1件だけです。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。

この項目で用意するもの（★3）

6-1-1で用意するものは、文書・一覧・記録の3つです。

• 文書：インシデント（情報漏洩などの事故）の対応手順書。5段階の手順（6-1-1-1）と、統括する役員・担当部署の役割（6-1-1-3）を書く
• 一覧：社内外の連絡先と報告ルート（6-1-1-2）、報告フォーマット（6-1-1-5）
• 記録：年1回以上の体制の点検（6-1-1-4）と、事例・対応策を社内に共有した記録（6-1-1-6）

手順書は、分厚いものである必要はありません。評価基準が求めているのは、上の表の6つが決まっていて、点検と共有が実際に行われていることです（編集部の整理）。

落とし穴1：社外の連絡先に「関係当局と所管省庁」を入れる

社内の連絡網だけでは、6-1-1-2（社内外の連絡先と報告ルート）を満たしません。

評価基準は、関係当局と所管省庁を含む社外の組織について、連絡先と、報告・情報共有のルートまで定めることを求めています。

たとえば個人情報が漏れた場合、報告先は個人情報保護委員会です。委員会は、報告が必要な漏えいでは発覚後すみやかに報告し、不正な目的によるおそれがある場合は発覚日から60日以内に報告するよう示しています。

実際の事故でも、 関通 は警察と個人情報保護委員会へ報告し、 KADOKAWA は個人情報保護委員会へ報告したと公表しています。

一覧には、少なくとも次の連絡先を入れておきます。

• 個人情報保護委員会（個人情報の漏えい等報告）
• 都道府県警察のサイバー犯罪相談窓口
• 自社の事業を所管する省庁
• 取引先と委託先の窓口、保守を頼んでいるIT会社

所管する省庁は事業の分野で変わります。自社の業種で一度調べて、一覧に書いておきます。

落とし穴2：他社の重大な事故も、社内に共有する

共有するのは、自社の事故だけではありません。

6-1-1-6（事例の社内共有）は、年1回以上に加えて「社内外で重大なセキュリティインシデントが発生した際」に、事例と対応策を社内の部署へ共有することを求めています。他社の事故が報じられたときも、そのたびに共有します（編集部の読み方）。

共有の材料には、事故の公表資料がそのまま使えます。たとえば イセトー のようにVPN経由で侵入された事故が報じられたら、自社のVPN機器の更新状況とあわせて共有する、という形です。

共有した日と内容を残しておくと、6-1-1-4・6-1-1-6の「年1回以上」を示す記録になります（編集部の整理）。

落とし穴3：訓練は、この項目では求められていない

6-1-1は、手順・体制・報告の様式を決め、点検と共有をする項目です。上の表の6つに、訓練は含まれません。

インシデント発生時の教育・訓練は、別の要求事項4-2-2（インシデント発生時の教育・訓練）で扱います。手順書を作ったあとに訓練の計画まで一緒に作ると、4-2-2の準備も進みます。

進め方（30人規模の記入例）

編集部の記入例です。数字や名称は、自社で決めます。

1. 手順書を1枚にまとめ、見出しを5つにする（発見報告、初動、調査・対応、復旧、最終報告）
2. 連絡先の一覧を作る。社内は社長と総務担当、社外は落とし穴1の4種類
3. 報告フォーマットを決める。項目は、日時、発見者、状況、影響範囲、対応状況
4. 毎年4月に体制と連絡先を点検し、日付を記録する。大きな事故が報じられたら、その都度社内に共有する