SCSでは、図の書き方までは示されていない

外部情報サービスの整理については、別の記事で書きました。要求事項・評価基準の「資産管理」には、ネットワークに関する情報の把握と、ネットワーク図の作成も含まれています。

現時点で公表されている要求事項では、ネットワーク図を作成すること、各ネットワークの所在地と用途、ネットワーク機器の製造元・モデル・保守事業者を把握すること、作成した図を年1回以上点検することが示されています。ルーターとPCだけ書けばよいか、すべてのPCを1台ずつ書くか、クラウドまで書くかといった粒度までは示されていません。

★3・★4の要求事項・評価基準の解説書は、2026年10月頃に公表される予定です。図の書き方について、公式としてどこまで求められるかは、その資料を見てからの方が確実です。

中小企業向けのガイドラインに書かれていること

IPAが公開している中小企業の情報セキュリティ対策ガイドラインでは、主要なネットワークセグメントやデバイスの配置などを記載したネットワーク図を作成し、構成が変わったときに更新して使う、と書かれています。SCSの要求事項ではありませんが、まだネットワーク図を作っていない場合の手がかりにはなります。

同じガイドラインの付録には、資産管理台帳のサンプルもあります。

まずはつながりが分かるところから

最初から細かな機器情報まで書き込もうとすると、図を作ること自体が目的になってしまいます。ガイドラインに沿って、主要なつながりと、インターネットなど外部との接点が分かる図にしておく。機器や接続方法が変わったときに直せる程度にしておけば、日常の管理にも使いやすいです。

繰り返しになりますが、SCSでどこまで必要かの判断は、10月頃の解説書を見てからでよいと思います。