SCS評価制度、どこまでのIT機器を対象とするのか？

SCS評価制度では、社内にあるすべてのIT機器を一律に評価するのではなく、
企業の業務を支えるIT基盤を中心に評価範囲を設定します。

例えば、
・従業員が使用するパソコンやタブレット
・業務システムを動かすサーバー
・インターネットに公開しているWebサーバー、メールサーバー
・ファイアウォール、ルーター、VPN装置
・クラウド上で運用しているIT基盤

一方、工場の製造設備・生産ラインを制御するOTシステムや、
発注元等に販売する製品等などは、原則として評価対象外とされていますすが
それぞれに適した制度・ガイドラインに基づいて対策するのが望ましいとされています。

※OTシステムとは
工場の機械や設備を動かしたり、監視・制御したりするためのシステム

IT＝情報を扱う、OT＝機械を動かすものです！

※発注元等に販売する製品等
「発注元等に販売する製品等、取得希望組織の管理・運用下にない機器」
自社で使うITではなく、顧客などに販売・提供し、自社の管理・運用から外れるものです

【Point】対象外でも注意が必要
対象外のシステムが評価対象のIT基盤と接続している場合には、
そこを経由してサイバー攻撃の影響が広がらないよう、
VLANやファイアウォールなどを利用してネットワークを分離し、
相互の通信を必要最小限に制限することが求められます。

つまり、評価範囲は限定できるが、セキュリティは全体で必要ということです。

今回は、SCS評価制度における「どこまでのIT機器・システムが評価対象になるの？」について、紹介しました。
8月は、SCS評価制度についてのコラムを順次発信していく予定です。

「制度の内容が難しくてよく分からない」という方にも理解していただけるよう、
一つひとつ丁寧に、わかりやすくお伝えしていきます。

また、アビリティでは現在、SCS評価制度「★3」の取得を目指す企業さまを、
準備から申請までワンストップで支援するサービスを準備中です。

サービスの詳細についても、今後のコラムでお知らせしていきます。
ぜひ次回もご覧ください！