SCS評価制度の要求事項7-1-1「事業継続要件に沿った復旧準備」とは：目標復旧レベルの決め方と、システムが止まったときの業務の続け方
この記事のまとめ
要求事項7-1-1は、サイバー攻撃で重要なシステムが止まったときに、業務をどこまで戻すかを決めて備える項目で、★3から求められます。決めるのは業務の目標復旧レベルで、予備機やクラウドの待機系でシステムを使い続ける方法と、電話・FAXなど人手で続ける方法を用意します。★4では、バックアップから決めた時間内に戻せるかを確かめます。
7-1-1は何を求めているか：評価基準2項目の中身
要求事項7-1-1の原文は、「事業上重要なシステムについて、事業継続の要件に沿う復旧に必要な準備を行うこと。」の1文です。何をすれば満たしたことになるかは、2つの評価基準に分けて書かれています（ ★3・★4 要求事項・評価基準 、経済産業省・IPA、2026年3月27日版）。
★3は1項目、★4で1項目が加わります。内容を要約すると次のとおりです。
| 番号 | ★ | 何を決める項目か | 評価基準の内容（要約） |
|---|---|---|---|
| 7-1-1-1 | ★3 | 目標復旧レベルと対策 | 事業継続上重要なシステムについて、サイバー攻撃を念頭に、業務の目標復旧レベルを定め、そのレベルまで業務を回復するための対策を整える。対策の例は、予備機やクラウド環境の待機系（故障時に切り替える予備の環境）でシステムの業務を続ける方法と、電話・FAXなど人手で続けるために、影響のある取引先の連絡先と複数の連絡手段を整える方法 |
| 7-1-1-2 | ★4 | バックアップからの復元の確認 | バックアップを目標復旧時点（どの時点のデータまで戻すか）に戻せるよう保管し、4-3-4-3のリストア手順書（バックアップからデータを戻す手順書）どおりに、目標復旧時間（止まってから何時間・何日で戻すか）内で復元できることを確認する |
大分類「インシデントからの復旧」の中分類「インシデント復旧計画の実行」に含まれ、この大分類の要求事項は7-1-1の1件だけです。★3と★4の違い、取引先に何を確認するかは SCS評価制度とは にまとめています。
最初にやること
- 止まると困るシステムを、3つほど選ぶ
- それぞれ、止まっている間に業務をどこまで続けるかを決める
- 主要な取引先の連絡先と、メール以外の連絡手段を一覧にする
この項目で用意するもの（★3）
7-1-1で用意するものは、重要システムの一覧、代わりの手段、取引先の連絡先の3つです。
- 一覧：事業継続上重要なシステムと、それぞれの業務の目標復旧レベル（いつまでに、どの業務を、どこまで戻すか）（7-1-1-1（目標復旧レベルと対策））
- 文書：システムが止まったときの代わりの手段。予備機やクラウドの待機系を使う方法か、電話・FAXなど人手で続ける方法（7-1-1-1）
- 一覧：影響のある取引先の連絡先と、複数の連絡手段（7-1-1-1）
落とし穴1：決めるのは、システムではなく業務をどこまで戻すか
7-1-1-1（目標復旧レベルと対策）が定めることを求めているのは「業務の」目標復旧レベルです。システムを元どおりにする時期ではなく、止まっている間に業務をどこまで続けるかを決めます。
大阪急性期・総合医療センター では、電子カルテを含むシステムが使えなくなったその日に、紙カルテで当面の診療体制を決めました。基幹システムの再稼働は障害の約6週間後で、その間も一部の入院診療を続けています。
サイバー攻撃を想定した事業継続計画（BCP）は、それまで策定しておらず、災害対応のBCPを生かして初動を回したと公表されています。
半田病院 では、電子カルテが使えなくなった2021年10月31日から、通常診療の再開は2022年1月4日でした。システムが戻るまでの期間は、数週間から数か月かかることがあります。その間の業務をどうするかを、あらかじめ決めておく項目です。
製造業なら、受注や出荷の指示が止まったときに、紙の伝票でどこまで続けられるかが、目標を決める出発点になります（編集部の整理）。
落とし穴2：対策は2つの例のうち、決めた目標に合うものを選ぶ
評価基準が挙げる対策の例は、システムで続ける方法と、人手で続ける方法の2つです。例を「参考として」整備するとあり、どちらかを必ず選ぶとは書かれていません（編集部の読み方）。
どちらを選ぶかは、目標復旧レベルで変わります。受注を数日止めても困らない業務なら、人手で続ける手順と取引先の連絡先で足りる場合があります。止められない業務なら、予備機やクラウドの待機系が必要になります（編集部の読み方）。
人手で続ける場合に、評価基準が挙げているのは、影響のある取引先の連絡先と、複数の連絡手段です。メールが使えなくなる場合を考えて、電話やFAXなど、メール以外の手段を用意します。
アスクル では、2025年10月19日の感染でWebの受注・出荷サービスが止まり、11月12日にWeb注文を再開しました。 名古屋港運協会 では、2023年7月4日に名古屋港の全コンテナターミナルで使うシステムが止まり、搬出入の再開を7月6日に目指すと発表しています。
止まる期間が数日から数週間に及ぶ前提で、備えを決めます。
落とし穴3：復旧の手順書は★3、復元できる確認は★4
7-1-1-2（バックアップからの復元の確認）は★4です。バックアップを目標復旧時点に戻せるよう保管し、リストア手順書（バックアップからデータを戻す手順書、4-3-4-3）どおりに、目標復旧時間内で復元できることを確かめます。
★3で求められるバックアップと手順書は、別の要求事項4-3-4（適切なバックアップ）です。詳しくは 4-3-4の記事 にあります。★3では、復元の確認までは求められていません。
目標復旧時点は「どの時点のデータまで戻すか」、目標復旧時間は「止まってから何時間・何日で戻すか」です（編集部の説明）。★4を目指すなら、7-1-1-1で決める目標を、この2つの言葉でも書いておくと、確認の記録とつながります。
進め方（30人規模の記入例）
編集部の記入例です。システム名と日数は、自社で決めます。
- 止まると業務に影響が大きいシステムを、3つほど選ぶ（受発注、会計、メール・ファイルサーバなど）
- システムごとに、止まったときの目標を決める。いつまでに、どの業務を、どこまで戻すか
- 代わりの手段を決める。システムで続けるか、電話・FAXなど人手で続けるか
- 影響のある主要な取引先の窓口と、メール以外の連絡手段を一覧にする
| システム | 止まると困る業務 | 目標復旧レベル | 代わりの手段 |
|---|---|---|---|
| 受発注システム | 取引先からの注文受付 | 止まった翌営業日から、電話とFAXで受付を再開 | 受付票の様式を印刷して保管。取引先の電話・FAX番号の一覧 |
| 会計システム | 請求書の発行 | 月末の請求は、表計算ソフトで作る | 前月分のデータのバックアップと、請求書の様式 |
一覧にした目標と手段を、取引先からの確認があったときに示せるようにします。年に1回、内容と連絡先が古くなっていないかを見直します（編集部の整理）。
★4で加わること
7-1-1-2（バックアップからの復元の確認）が加わります。事業継続上重要なシステムについて、バックアップを目標復旧時点に戻せるよう保管し、リストア手順書どおりに、目標復旧時間内でバックアップを復元できることを確認します。
よくある質問
- 「目標復旧レベル」とは何ですか？
- 事業継続上重要なシステムが止まったときに、業務をどこまで回復させるかの目標です（7-1-1-1）。評価基準は、このレベルまで業務を回復するための対策を整えることを求めています。
- 予備機やクラウドの待機系がないと、★3は満たせませんか？
- 評価基準は、システムによる業務継続と、人手による業務継続（電話、FAXなど）の2つを例に挙げ、これらを参考に対策を整備することを求めています（7-1-1-1）。決めた目標まで回復できる対策かどうかが問われます（編集部の読み方）。
- 人手で業務を続ける場合に、何を用意しますか？
- 影響のある取引先の連絡先と、複数の連絡手段です（7-1-1-1）。
- バックアップから復元できるかの確認は、★3で必要ですか？
- いいえ。目標復旧時間内にバックアップを復元できることの確認は、★4で加わる項目です（7-1-1-2）。
SCS評価制度の一括見積もり（無料）
条件に合う事業者（最大3社）の見積もり・資料を、まとめて依頼できます。
一括見積もりを依頼する出典
- ★3・★4 要求事項・評価基準（Excel） 経済産業省・IPA（情報処理推進機構）公表日 2026/03/27閲覧日 2026/10/16
- サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） よくあるお問い合わせ（FAQ） 経済産業省公表日 2026/03/27閲覧日 2026/10/16
この記事について
ITセキュリティの窓編集部（運営：ヒバチ株式会社）が、公表資料をもとに作成しています。誤りに気づいた場合は修正し、更新日を記載します。