自工会／部工会ガイドラインとSCS★3の対応表｜レベル1を済ませた会社が★3で追加になりやすいところ

公開：2026年10月18日／最終更新：2026年10月18日／Moshiru 岡﨑悠太

こんなときに役立ちます

自動車業界の取引先に、部工会ガイドラインのチェックシートを出している会社が、★3の準備を始めるとき
「部工会で答えたことを★3にどこまで使えるか」を知りたいとき

読み終えたあと、社内でこう言えます

「部工会レベル1で作った方針や体制はそのまま使えます。★3で足すのは、IDとパスワード、ネットワークの境界、監視のところです」

結論：自工会／部工会ガイドラインのレベル1に答えている会社なら、★3の方針・体制・守秘義務・取引先・資産の把握・バックアップ・事故対応は、すでに作ったものを土台にできます。一方で、★3では管理者IDの管理、認証とパスワード、アカウントロック、ネットワークの境界の守り、監視について、レベル1より細かい評価基準が並びます。準備は、この差分から始めると早く進みます。

部工会レベル1で作った方針や体制は★3の土台になり、IDとパスワード、ネットワークの境界、監視が★3で追加になりやすい

この対応表の前提

自工会／部工会ガイドラインとSCS評価制度は、別の制度です。この表は、IPAが公開した★3の要求事項・評価基準（2026年4月21日）と、日本自動車工業会の「自工会/部工会・サイバーセキュリティガイドライン解説書第2.3版」（2025年9月1日）を、Moshiruが中身の近さで突き合わせたものです。公式の対応表ではありません。また、解説書には解釈に迷いやすい項目だけが載っていて、ガイドラインの全項目は入っていません。表の「レベル1の番号」は、解説書に載っている項目の番号です。

★3の26件と、部工会ガイドラインの対応

★3の要求事項	部工会のラベル	レベル1の番号	重なり
1-2-1 セキュリティ推進活動部門	4 体制(平時)	13	ほぼ同じ
1-2-3 守秘義務のルール	2 機密情報を扱うルール	4	ほぼ同じ
1-3-1 セキュリティ対応方針の策定	1 方針	1	ほぼ同じ
2-1-1 取引先とのビジネス又はシステム上の関係	14 外部への接続状況の把握	77・78	ほぼ同じ
2-1-2 機密情報の取扱い	8 他社との情報セキュリティ要件	44	ほぼ同じ
2-1-4 インシデント発生時の役割・責任	8 他社との情報セキュリティ要件	46	ほぼ同じ
3-1-1 情報機器、OS及びソフトウェアの把握	11 情報資産の管理(機器)	59・60	ほぼ同じ
3-1-2 ネットワークに関する情報の把握	14 外部への接続状況の把握	—	レベル2に近い項目あり
3-1-3 外部情報サービスの管理	14 外部への接続状況の把握	76	ほぼ同じ
3-1-4 機密区分に応じた情報の管理	—	—	解説書では見当たらない
4-1-1 ユーザIDの管理手続	9 アクセス権	49・51	一部重なる
4-1-2 管理者IDの管理手続	9 アクセス権	—	レベル2に近い項目あり
4-1-3 認証の強度・実装方法の決定	18 認証・認可	—	レベル3に近い項目あり
4-1-4 アカウントロック制御	—	—	解説書では見当たらない
4-1-5 パスワード設定ルール	18 認証・認可	—	レベル2に近い項目あり
4-1-6 パスワード管理ルール	—	—	解説書では見当たらない
4-1-7 アクセス権の管理ルール	9 アクセス権	49	ほぼ同じ
4-2-2 インシデント発生時の教育・訓練	7 日常の教育	38	ほぼ同じ
4-3-4 適切なバックアップ	24 バックアップ・復元(リストア)	148・149	ほぼ同じ
4-4-1 安全な構成	11 情報資産の管理(機器)	—	レベル2に近い項目あり
4-4-4 パッチ・アップデートの手続	19 パッチやアップデート適用	124	一部重なる
4-4-5 マルウェア感染からの保護	22 マルウェア対策	136・137	ほぼ同じ
4-5-1 ネットワーク境界防護	17 通信制御	—	レベル2に近い項目あり
5-1-1 ネットワーク接続・データの監視	23 不正アクセスの検知	—	レベル2に近い項目あり
6-1-1 インシデント対応手順	4〜6 体制・事故時の手順	16・18・24	ほぼ同じ
7-1-1 事業継続要件に沿った復旧準備	24 バックアップ・復元(リストア)	150	一部重なる

「—」は、解説書に載っているレベル1の項目の中では、近いものが見当たらなかったという意味です。ガイドライン本体のチェックシートには、ほかの項目が入っている場合があります。お手元のチェックシートで確かめてください。

レベル1を済ませた会社が、★3で追加になりやすいところ

下は、★3の評価基準に書かれている内容です。部工会のレベル1で答えた内容と見比べて、足りないものから手をつけてください。

管理者IDの管理（8項目）：機器ごとの管理者と責任者を決める、管理者IDを共有しない、誰が管理者IDを持っているか把握する、付与・変更・削除を申請・承認制にする、など。
認証とパスワード（4-1-3〜4-1-6、計14項目）：認証の強さの決め方、パソコンやスマートデバイスのロック（10回以上の失敗でロックする、または失敗のたびに間隔を延ばす。6文字以上のパスワードかPIN）、パスワードの設定ルールと管理ルール。
ネットワークの境界（7項目）：ファイアウォールやルータのデフォルトの管理パスワードを変える、認証されていない外からの通信を遮断する、不要になったルールを消す、インターネット経由で設定を変えるときは多要素認証か接続元の制限をかける、など。
パッチの期限：重大・高リスクと説明される脆弱性を直す更新は、リリースから14日以内に適用する。サポートが終わった機器やソフトは、削除するか、インターネットとの通信を遮断する。
監視（3項目）：外からの不正なアクセスと、社内から不正なサーバへの通信を、リアルタイムに検知・遮断する仕組みを入れる。ログとアラートを見て、事故にあたるか判断する。異常時に通知が届くようにする。

どの項目も、★3では専門家が書類で確認します。設定をした日と内容が分かる記録を残しておくと、確認がスムーズです。

よくある質問

部工会のレベル1を満たしていれば、★3も満たせますか？

そうとは限りません。重なる部分は多いものの、上の「追加になりやすいところ」のように、★3のほうが細かく求める項目があります。★3の81項目で一つずつ確かめてください。81項目の読み方はSCS★3の81項目の見方にまとめています。

公式の対応表はありますか？

2026年10月時点で、IPAの要求事項・評価基準のページに、部工会ガイドラインとの対応表は載っていません。この記事の表は、Moshiruが中身の近さで整理したものです。

次に読む

部工会のチェックシートと★3、まとめて進める

部工会ガイドラインのチェックシートの回答は自工会／部工会ガイドラインの回答代行（レベル1で8万円・税別）、★3との差分を一覧にするなら★3準備診断（5万円・税別）です。どれも打合せなし、メールだけで進みます。

部工会の回答代行を見る打合せなし ★3準備診断を見る差分を一覧に