SCS評価制度は大企業だけではない｜中堅・中小企業に対応が求められる理由

結論からいえば、サプライチェーン強化に向けたセキュリティ対策評価制度（以下「SCS評価制度」）は、大企業だけを対象とする制度ではありません。業種や企業規模を問わず、サプライチェーンを構成する企業が対象になり得ます。とりわけ、従業員100～1,000名規模で、大企業の業務、システム運用、製造、物流、ソフトウェア開発などを受託する企業は、早めに準備を始める意義が大きいといえます。 SCS評価制度そのものは任意制度であり、国がすべての企業に★の取得を一律に義務付けるものではありません。しかし制度は、委託元が取引契約などで委託先に適切な段階（★）を示し、対策の実施と確認を促す使い方を想定しています。そのため、法令上の義務ではなくても、入札、取引開始、契約更新、委託先審査の条件として対応を求められる可能性があります。 本稿では、元請・一次請けから取引先へ取得要請が波及する構造を整理し、中堅・中小企業が何を、どの順番で準備すべきかを解説します。制度開始前の現段階で重要なのは、製品を急いで買うことではありません。対象範囲を定め、現状と要求事項の差を把握し、経営判断を伴う改善計画を作ることです。 この記事で分かること この記事を読むと、SCS評価制度が中堅・中小企業にも関係する理由、★3と★4の基本的な違い、取引先から要請を受ける前に整えておくべき資料、Webアプリケーション診断やプラットフォーム診断、ペネトレーションテストの位置づけ、準備期間と費用を左右する要因が分かります。さらに、社内稟議、ベンダー選定、改善後の運用まで、実務上の進め方を把握できます。 SCS評価制度とは何か SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を共通基準で評価し、可視化する仕組みです。経済産業省と内閣官房国家サイバー統括室が制度構築を進め、独立行政法人情報処理推進機構（IPA）が運営します。★3と★4は2027年3月頃の運用開始が予定されています。制度の詳細や様式は今後も更新され得るため、実際の申請時にはIPAの最新版を確認する必要があります。 背景には、委託元が取引先の対策状況を外部から判断しにくい一方、委託先は顧客ごとに異なるチェックシートへの回答を繰り返しているという双方の負担があります。共通の基準で対策状況を示せれば、発注側は取引リスクを判断しやすくなり、受注側も説明を標準化しやすくなります。 制度の直接的な対象は、クラウド環境を含む企業のIT基盤です。一般にIT基盤に該当しない製造設備などの制御システム（OT）や、取引先へ提供する製品自体は直接の対象外とされています。ただし、それらに関するリスク対策が不要になるわけではありません。OTや製品については、該当する別の制度やガイドラインと組み合わせて管理することが必要です。 ★3と★4の違いをどう理解するか ★3は、SCS評価制度の要求事項・評価基準に基づいて企業が自己評価を行い、所定の研修を受けたセキュリティ専門家の確認を経て申請する仕組みです。経営層による自己適合宣誓も求められる予定であり、情報システム部門だけで完結するチェック作業ではありません。 ★4は、★3より広い範囲と高度な対策を対象とし、登録された第三者評価機関による評価を受ける仕組みです。技術検証を伴うため、規程があるかだけでなく、設定や運用が実際に機能しているかを示す証拠が重要になります。どの★を目指すかは、会社の規模だけでなく、委託業務の重要性、扱う情報、システム接続、停止時の影響、発注者の要求によって判断します。 なお、SCS評価制度は企業の優劣を競う格付け制度ではなく、対策の実施状況を可視化する制度です。また、特定のEDRや資産管理製品の購入が一律に必須となるわけでもありません。自社の環境とリスクに照らし、要求事項を満たす手段を選ぶことが基本です。 なぜ中堅・中小企業にも対応が求められるのか 最も大きな理由は、攻撃者が企業規模ではなく、サプライチェーン上の到達経路を見ているからです。大企業の防御が強固でも、保守会社、開発委託先、物流会社、会計・人事業務の受託先などが持つ認証情報や接続経路が侵害されれば、そこから委託元へ影響が及ぶ可能性があります。 IPAの「情報セキュリティ10大脅威 2026」では、「サプライチェーンや委託先を狙った攻撃」が組織向け脅威の2位に挙げられ、8年連続で選出されています。また警察庁によれば、2025年に報告されたランサムウェア被害226件のうち143件は中小企業でした。これらはSCS評価制度の取得義務を示す数字ではありませんが、企業規模にかかわらず、侵害と事業停止のリスクが現実に存在することを示しています。 発注企業にとって、委託先の事故は『他社の問題』で終わりません。サービス停止、納期遅延、個人情報や営業秘密の漏えい、顧客への説明、代替調達、復旧費用などが自社へ波及します。経済産業省のサイバーセキュリティ経営ガイドラインVer.3.0も、経営者が認識すべき原則としてサプライチェーン全体への目配りを示し、委託先との契約で役割と責任範囲を明確にすることを求めています。発注企業がSCS評価制度を取引先管理に使う流れは、この経営責任と整合します。 元請・一次請けから取得要請が波及する構造 要請は、発注元からすべての取引先へ一斉に広がるとは限りません。まず、重要データを扱う企業、発注元のネットワークへ接続する企業、停止すると供給継続に大きな影響が出る企業などに、一定の★や同等水準の対策が示されると考えられます。一次請けが業務の一部を再委託している場合、一次請け自身も再委託先のリスクを管理しなければなりません。このため、要求は二次請け、三次請けへ連鎖します。 例えば、大手メーカーが生産管理システムの運用をA社へ委託し、A社が監視や保守の一部をB社へ再委託しているとします。B社の端末からA社の環境へリモート接続できるなら、B社の認証管理や端末管理は大手メーカーの事業継続にも関係します。大手メーカーがA社に★4相当を求め、A社がB社に★3または同等の対策を求める構造は十分に想定できます。 また、★取得そのものを契約条件にしない場合でも、SCS評価制度の要求事項を委託先チェックシートやRFPに取り込む運用が考えられます。したがって、自社が直接大企業と契約していない、あるいは現時点で取得要請を受けていないという理由だけで、影響がないとは判断できません。主要顧客の業界、再委託関係、接続権限、保有データを確認する必要があります。 一方、発注者が一方的に過大な費用負担を押し付けてよいわけではありません。経済産業省は、★取得の契約上の扱いは当事者間で合意し、独占禁止法や中小受託取引適正化法（取適法）上、適切に制度を活用する必要があると説明しています。受注側は、要求範囲、期限、費用分担、契約価格への反映、再委託先に求める水準を具体的に協議することが重要です。 対応しない場合に起こり得る問題 SCS評価制度を取得していないだけで、直ちに取引が停止するわけではありません。しかし、発注者が合理的な理由から一定水準を契約条件や選定基準に定めた場合、未対応は新規入札での不利、追加質問や監査の増加、契約更新の遅延、取り扱える情報や接続権限の制限につながる可能性があります。重要なのは『★がないこと』だけでなく、対策状況と改善計画を説明できないことです。 インシデントが発生すれば、売上の減少だけでなく、復旧・調査費用、顧客通知、代替業務、法務対応、再発防止、保険対応が同時に発生します。受託業務が止まれば委託元の生産やサービスにも影響し、信用毀損や損害賠償の論点に発展することもあります。SCS対応は、認証マークを取るための費用ではなく、重要顧客との取引継続と事業継続を支える投資として稟議に載せるべきです。 どの企業・システムから優先して考えるべきか 優先度が高いのは、大企業や重要インフラ企業から業務を受託している企業、顧客の個人情報・設計情報・営業秘密を保有する企業、顧客環境へリモート接続する企業、SaaSやシステム開発・運用を提供する企業、停止時に代替が難しい部品やサービスを供給する企業です。IPO、M&A、金融機関からの審査、重要な取引先監査を控える企業も、対策状況を説明できるようにしておく価値があります。 対象範囲を決める際は、法人全体を機械的に一括評価するのではなく、組織、拠点、ネットワーク、クラウド、端末、委託業務、データの流れを整理します。ただし、都合のよい狭い範囲だけを切り出すと、共通ID基盤、管理端末、バックアップ、委託先接続などの重要な依存関係を見落とします。『どこが侵害されると対象業務へ影響するか』を基準に境界を設定します。 SCS評価制度への具体的な対応手順 最初に経営層が、対応目的と責任者を決めます。目的は、主要顧客の要請への対応、取引継続、新規受注、事業継続、監査対応など、経営課題の言葉で定義します。同時に、★3と★4のどちらを想定するか、対象業務と拠点、予算、期限、許容できるリスクを仮決定します。顧客の要求が不明な場合は、調達部門や取引窓口を通じて、想定する★、適用時期、対象契約を確認します。 次に、情報システム部門と関係部門が証拠資料を集めます。最低限、組織図、情報セキュリティ規程、資産台帳、ネットワーク構成図、クラウド・SaaS一覧、アカウントと権限の管理手順、ログ管理、脆弱性・パッチ管理、バックアップと復旧手順、インシデント対応計画、教育記録、委託先一覧・契約、過去の診断結果と改善記録を準備します。規程だけでなく、申請、承認、設定画面、チケット、訓練記録など、運用の実態を示す証跡が必要です。 その後、要求事項とのギャップ分析を行います。各項目を『対応済み』『一部対応』『未対応』『非該当』に分け、根拠と責任者を明記します。非該当とする場合は理由を残します。未対応項目は、攻撃の起こりやすさ、影響の大きさ、顧客要求、是正に必要な期間を踏まえて優先順位を付けます。 技術面では、設定確認だけでなく、外部から到達できるWebサイトやAPIにはWebアプリケーション診断、サーバー・ネットワーク機器・クラウド設定にはプラットフォーム診断を検討します。Webアプリケーション診断は認証や入力処理などアプリ固有の弱点を、プラットフォーム診断はOS、ミドルウェア、ネットワーク、クラウド構成の弱点を確認するものです。 さらに、重要システムについて攻撃経路全体の実効性を確認したい場合は、ペネトレーションテストが有効です。これは、許可された範囲で攻撃者と同様の手法を用い、侵入や権限拡大、重要情報への到達可能性を検証する試験です。ただし、診断やペネトレーションテストを一度実施するだけでSCS対応が完了するわけではありません。制度は、ガバナンス、教育、委託先管理、検知、対応、復旧なども含む総合的な管理を扱います。 改善計画では、短期、中期、継続運用に分けます。初期設定の是正、多要素認証、不要アカウントの削除などは短期で進めやすい一方、ネットワーク分離、ログ基盤、バックアップ再設計、規程改定、委託先契約の見直しには時間がかかります。各施策に責任者、期限、予算、完了条件、確認方法を設定し、経営会議で残存リスクを承認します。最後に、想定する評価方式に合わせて自己評価、専門家確認または第三者評価へ進みます。 実施期間と費用を左右する要因 準備期間は企業ごとの差が大きく、一律の標準期間を示すことは適切ではありません。すでにISMSや顧客監査を運用し、資産台帳や証跡が整っている企業と、規程や担当者が未整備の企業では必要な作業が異なります。制度開始から逆算するなら、まず数週間程度で対象範囲と現状を把握し、その結果に基づいて改善工程を見積もる進め方が現実的です。システム改修や調達、規程承認を伴う場合は、半期または年度の予算策定を待たず、段階的に着手する必要があります。 費用を左右する主な要因は、対象拠点・システム・アカウント数、目指す★、既存規程と運用の成熟度、クラウドや海外拠点の有無、技術検証の範囲、診断対象の画面数・IP数、改善実装を外部へ委託する範囲です。見積りでは、評価支援費だけでなく、規程整備、技術対策、教育、診断、再確認、継続運用の費用を分けて示してもらうと、社内説明がしやすくなります。 社内稟議では、制度対応費を単独で示すのではなく、守るべき売上、主要顧客との契約更新時期、事故時の停止影響、既存施策との重複、翌年度以降の運用費を記載します。『なぜ今か』に対しては、制度開始直前に人材や評価枠が集中する可能性、改善に調達・承認期間を要すること、顧客からの要請後では期限を選びにくいことを説明するとよいでしょう。 成果物と改善の優先順位 支援会社から受け取る成果物には、対象範囲、前提条件、要求事項ごとの評価、根拠資料、発見事項、リスク、改善案、優先順位、責任部署、期限、概算負荷を含めるべきです。経営層向けには、取引・財務・事業継続への影響を要約した資料が必要です。現場向けには、具体的な設定変更や運用手順まで落とし込まれていることが望まれます。 優先順位は、単純に未対応項目の数で決めません。外部公開されている、特権権限がある、顧客環境に接続する、機密情報を大量に扱う、バックアップから復旧できない、といった重大な経路を先に是正します。診断で見つかった脆弱性も、深刻度スコアだけでなく、実際の攻撃可能性、情報価値、代替策、事業影響を合わせて判断します。改善後は再診断または設定再確認を行い、残存リスクを記録します。 SCS対応を支援する会社の選び方 支援会社を選ぶ際は、制度資料を説明できるだけでなく、要求事項を実際の規程、運用、技術対策へ落とし込めるかを確認します。RFPや見積依頼には、想定する★、対象組織、対象システム、希望時期、既存認証、顧客要求、必要な成果物、改善実装の要否、診断の要否を記載します。分からない項目は未定とし、スコーピング支援を依頼して構いません。 確認したい点は、SCS評価制度に関する支援範囲、担当者の資格と実務経験、評価と改善支援の役割分担、Webアプリケーション診断・プラットフォーム診断・ペネトレーションテストの対応能力、再診断、緊急時支援、機密情報の保管と削除、再委託、報告書のサンプル、追加費用の条件です。★4の評価を依頼する場合は、IPAが公表する登録状況と、評価の独立性に関する条件も確認します。 秘密保持契約だけで安心せず、資料の受渡方法、アクセス権、保存場所、保存期間、作業端末、作業ログ、廃棄証明、事故時の連絡期限を合意します。特に構成図、脆弱性情報、認証方式は攻撃に悪用され得るため、閲覧者を必要最小限に限定します。 よくある失敗と注意点 第一の失敗は、チェックリストを埋めること自体を目的にすることです。規程上は実施することになっていても、退職者アカウントが残り、バックアップ復旧を試したことがなければ、実効性は十分とはいえません。担当者へのヒアリング、証跡確認、技術検証を組み合わせる必要があります。 第二の失敗は、情報システム部門へ丸投げすることです。予算、人員、取引条件、リスク受容、委託先契約は経営判断を伴います。経営層、情報システム部門、法務・調達、事業部門が責任を分担しなければ、申請直前に承認が止まります。 第三の失敗は、認証取得後の運用を設計しないことです。人事異動、クラウド追加、システム更新、脆弱性の公表によりリスクは変化します。資産台帳、権限棚卸し、教育、パッチ、ログ監視、バックアップ試験、インシデント訓練、委託先確認を年間計画に組み込みます。 第四の失敗は、制度開始前の不確かな説明をうのみにすることです。IPAは不適切な勧誘への注意喚起も行っています。現時点で評価機関やSCSセキュリティ専門家の公表は今後予定されているため、『必ず取得できる』『指定済み』といった説明は、公的情報で確認してください。 Librus株式会社が提供できる支援 Librus株式会社は、SCS評価制度への対応方針の整理から、対象範囲の設定、要求事項とのギャップ分析、規程・運用の整備、技術的な検証、改善計画、継続運用まで一気通貫で支援します。経営層には取引・財務・事業継続の観点で、情報システム部門には具体的な証跡と実装の観点で説明し、社内の合意形成を進めます。 必要に応じて、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、SOC／CSIRT構築・運用支援、インシデントレスポンス、デジタルフォレンジック、教育・訓練などを組み合わせます。診断結果を報告して終えるのではなく、企業ごとのシステム、予算、人員、顧客要求に応じて改善の優先順位を設計し、運用へ定着させることを重視しています。 大企業向けの高負荷な仕組みをそのまま導入するのではなく、必要な水準を保ちながら、既存の規程、ツール、委託サービスをできるだけ活用します。SCS評価制度への対応だけでなく、M&A、IPO、取引先監査などの重要局面も見据え、技術と経営の両面から整理できる点がLibrus株式会社の強みです。 よくある質問 SCS評価制度は中小企業にも義務ですか？ 国がすべての中小企業へ取得を義務付ける制度ではなく、任意制度です。ただし、発注者が取引契約、入札、委託先審査などで一定の★または同等水準を求める可能性があります。主要顧客の方針を早めに確認してください。 取得しないと取引を停止されますか？ 未取得だけで自動的に取引停止になる制度ではありません。契約上の扱いは当事者間で合意されます。要請を受けた場合は、必要性、期限、費用負担、代替的な確認方法を協議し、改善計画を提示することが重要です。 ★3と★4のどちらを選ぶべきですか？ 会社規模だけでは決まりません。扱う情報、顧客環境への接続、停止時の影響、委託業務の重要性、顧客要求を基に判断します。顧客指定がなければ、リスク分析とギャップ分析を行って適切な段階を選びます。 ISMSを取得していればSCS対応は不要ですか？ 不要とは限りません。ISMSとSCS評価制度は相互補完的に位置づけられています。既存のISMS文書や運用証跡は活用できますが、SCSの要求事項・評価基準との差分確認が必要です。 SCS対応には特定のセキュリティ製品が必要ですか？ 制度は特定製品の導入を一律には求めていません。既存の仕組みで要求事項を満たせる場合もあります。製品選定より先に、対象範囲とリスク、現状の運用を確認してください。 脆弱性診断を受ければ取得できますか？ 診断だけで完了するものではありません。診断は技術的な弱点を確認する重要な手段ですが、ガバナンス、資産管理、権限管理、教育、委託先管理、インシデント対応、復旧なども整える必要があります。 準備はいつから始めるべきですか？ 顧客から正式要請を受ける前が望ましい時期です。まず対象範囲と現状を短期間で把握し、予算やシステム改修が必要な項目を早期に特定します。2027年3月頃の運用開始予定から逆算して計画してください。 対象範囲が決まっていなくても相談できますか？ 可能です。業務、取引関係、データ、システム接続、停止影響を整理し、合理的な対象範囲と想定する★を決める段階から専門家の支援を利用できます。 まとめ｜SCS評価制度は取引継続の共通言語になる サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は、大企業だけの制度ではありません。任意制度であっても、元請・一次請けが契約や委託先審査で活用すれば、要求は二次請け以降へ波及します。中堅・中小企業に必要なのは、要請を待って製品を買うことではなく、主要顧客との関係、重要業務、データ、接続経路を把握し、要求事項とのギャップを計画的に埋めることです。 経営層は取引継続と事業継続の観点から目的、責任者、予算を決め、情報システム部門は資産・規程・運用証跡を整えます。必要に応じてWebアプリケーション診断、プラットフォーム診断、ペネトレーションテストを使い分け、改善後も再確認と継続監視を行います。早めの準備は、顧客からの照会に答える力を高めるとともに、自社の事故リスクを下げる機会になります。 Librus株式会社へのご相談 SCS評価制度の準備状況を一度整理しませんか 取引先から具体的な要請が届く前に、対象業務、システム、現状の対策、必要な改善を整理しておくと、予算化と顧客説明を進めやすくなります。Librus株式会社では、想定する★や対象範囲が決まっていない段階から、スコーピングとギャップ分析をご相談いただけます。 取引先からの要請に、実行可能な計画で応えるために SCS対応では、短期間にすべてを入れ替えるのではなく、重要なリスクから優先して改善することが大切です。Librus株式会社は、顧客要求の読み解き、社内稟議、規程整備、技術対策、診断、改善後の確認まで支援し、説明可能なロードマップづくりをお手伝いします。 制度対応と実効性のあるセキュリティを両立 ★の取得だけを目的にすると、運用負荷や形骸化が残りかねません。Librus株式会社は、既存の規程やツールを活かしながら、事業継続と取引先の信頼につながる対策を個別に設計します。まずは現状確認だけ、診断の要否だけといったご相談にも対応します。 参考資料・出典 制度の詳細は更新される可能性があります。公開・申請時には、以下の公的機関による最新版をご確認ください。 経済産業省：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） IPA：SCS評価制度 公式サイト IPA：SCS評価制度の詳細情報 IPA：要求事項・評価基準 IPA：SCS評価制度 よくある質問 経済産業省：サイバーセキュリティ経営ガイドラインVer.3.0 IPA：情報セキュリティ10大脅威 2026 警察庁：令和7年におけるサイバー空間をめぐる脅威の情勢等について 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎） 〒105-0004 東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F 03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact

VIEW MORE

SCS評価制度の★3と★4を徹底比較｜自社はどちらを目指すべきか

はじめに サプライチェーン強化に向けたセキュリティ対策評価制度（以下「SCS評価制度」）は、取引先との間で求めるサイバーセキュリティ対策の水準を共通化し、その実施状況を可視化する仕組みです。★3と★4では、単にチェック項目の数が違うだけではありません。守るべき範囲、侵入後を見据えた対策、評価の客観性、技術検証の有無が大きく異なります。 経済産業省と内閣官房国家サイバー統括室が2026年3月に制度構築方針を公表し、IPAが制度を運営します。★3・★4は2027年3月頃の運用開始が予定されています。2026年9月3日現在、申請・登録費用や申請方法の詳細は未公表です。そのため、本記事では確定情報と実務上の見立てを明確に分けて説明します。 この記事で分かること ★3と★4の対象企業、要求水準、評価方式の違い 自社がどちらを目指すべきかを判断するための基準 準備期間と費用を左右する要因、社内稟議での説明ポイント Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストの位置付け 取得準備から改善・運用までの具体的な進め方 SCS評価制度とは SCS評価制度は、発注者が受注者に適切な対策段階を示し、受注者がその水準の対策を実施していることを評価・登録する制度です。対象の中心は、企業活動を支えるIT基盤です。 製造設備などのOTシステムや、顧客へ納入する製品そのものは、原則として直接の対象外です。OTとは、工場設備などを監視・制御する技術を指します。これらには別の制度やガイドラインによる対策が想定されています。 星3は、一般的なサイバー脅威へ対処できる水準です。星4は初期侵入を防ぐだけでなく、侵入後の被害拡大、攻撃目的の遂行、取引先への波及を抑える対策まで求めます。 上位段階は下位段階の内容を含みますが、星3を取得してからでなければ星4へ進めないという前提ではありません。 ★3と★4の違いを一覧で比較 比較項目★3★4位置付け一般的なサイバー脅威に対処し得る基礎水準侵入後の被害拡大や取引先への波及まで抑える標準的水準主な対象幅広い企業。まず共通的な対策基盤を整えたい企業重要な情報・接続・業務を担い、停止や漏えいの波及が大きい企業評価方式セキュリティ専門家の確認を受けた自己評価指定された評価機関による第三者評価確認方法作成書類を専門家が確認し、助言・署名文書確認に加え、実地審査と技術検証経営層の関与自己適合宣誓を含む組織的運用と客観的な証跡提示がより重要技術面基本的な防御、検知、対応、復旧を整備セグメント分離、監視、侵入・横展開耐性などをより深く検証費用・期間外部専門家の確認、文書整備、改善範囲に左右される第三者評価、実地審査、技術検証、対象拠点・システム数により増えやすい 出典：IPA「SCS評価制度の詳細情報」および経済産業省「SCS評価制度」よりLibrus株式会社作成（2026年9月3日確認） IPA / 経済産業省 対象企業の違い：規模ではなく、取引上の役割で判断する 従業員100人から1,000人という規模だけで、★3か★4かは決まりません。判断の中心は、サプライチェーンにおける自社の役割と、事故が起きた際の影響度です。取引先から預かった個人情報や設計情報を大量に扱う、取引先ネットワークへ常時接続する、基幹部品や重要サービスを代替困難な形で供給するといった企業は、★4の必要性が高まります。 一方、外部との接続が限定的で、重要情報の取扱いが比較的少なく、まず全社の基本対策と運用証跡を整える段階であれば、★3を目標にするのが現実的です。ただし、発注者が契約・調達条件として★4を求める場合は、自社判断だけで★3にとどめることはできません。営業、調達、法務、情報システム部門で主要取引先の要請を確認する必要があります。 ★3を目指すべき企業 ★3は「セキュリティ製品を一通り導入している企業」ではなく、基本対策がルール、責任者、実装、証跡までつながっている企業に適します。情報資産台帳が未整備、退職者アカウントの削除が部門任せ、バックアップの復元試験をしていないといった状態では、製品導入済みでも評価準備は不足しています。まず★3を通じて、全社共通の最低ラインを作る意義があります。 ★4を目指すべき企業 ★4は、侵入が起こり得ることを前提に、被害を局所化し、早期に検知し、事業と取引先への影響を抑える能力まで示したい企業に向きます。大手企業の重要委託先、クラウド・SaaS事業者、システム開発・運用会社、物流・決済・BPOなど停止時の影響が広い企業、M&AやIPOでセキュリティ管理の客観性を示したい企業が典型です。 要求水準の違い：★4は『侵入させない』から『広げない・止めない』へ ★3でも、ガバナンス、取引先管理、リスク特定、攻撃防御、検知、インシデント対応、復旧といった一連の管理が必要です。★4ではこれらをより深く実装し、第三者が追跡できる証跡として提示する必要があります。たとえば、多要素認証を導入したという事実だけでなく、どのアカウントを対象にし、例外を誰が承認し、設定が継続しているかまで説明できる状態が重要です。 攻撃例で考えると分かりやすくなります。VPN機器の脆弱性から侵入された場合、★3では機器の把握、更新、アクセス制御、ログ取得、連絡体制などの基本対策が焦点です。★4ではさらに、侵入された端末から基幹システムへ横展開できないネットワーク分離、特権IDの厳格管理、異常挙動の監視、封じ込め手順、取引先への連絡判断まで含めて実効性を確認します。 評価方式の違い：★3は専門家確認付き自己評価、★4は第三者評価 ★3の評価プロセス ★3では、取得希望組織が要求事項・評価基準に沿って自己評価を行い、登録された社内外のセキュリティ専門家が内容を確認します。専門家は必要に応じて評価結果の修正を助言し、提出内容を了承した場合に署名します。その後、経営層による自己適合宣誓を含む評価結果を事務局へ提出し、問題がなければ台帳へ登録されます。自己評価であっても、担当者の感覚だけで丸を付ける制度ではありません。 ★4の評価プロセス ★4では、自己評価を出発点に、指定された評価機関へ検証・評価を依頼します。評価機関と技術検証事業者は、文書確認、実地審査、技術検証を行い、評価報告書を作成します。取得希望組織はその結果をもとに事務局へ登録を申請します。評価対象は、組織が決めた適用範囲からサンプリングされる想定です。適用範囲を狭く見せるのではなく、取引リスクに照らして合理的に説明できることが重要です。 Webアプリケーション診断・プラットフォーム診断・ペネトレーションテストの位置付け ★4の技術検証では、書類上のルールだけでなく、実装上の弱点がないかを確かめます。Webアプリケーション診断は、認証、入力処理、セッション管理、アクセス制御などWeb特有の脆弱性を調べる手法です。プラットフォーム診断は、サーバー、ネットワーク機器、OS、ミドルウェアの設定不備や既知脆弱性を確認します。 ペネトレーションテストは、現実的な攻撃シナリオに沿って侵入可能性や侵入後の影響を検証する試験です。脆弱性診断が弱点を網羅的に見つけることを得意とするのに対し、ペネトレーションテストは弱点を組み合わせたときに、重要情報への到達や権限昇格が可能かを確かめます。両者は代替関係ではありません。対象資産、脅威シナリオ、制度上の技術検証仕様に応じて組み合わせる必要があります。 なぜ今、準備を始めるべきか 制度開始まで待ってから着手すると、台帳や規程は作れても、運用実績という証跡が不足しがちです。アクセス権棚卸し、教育、脆弱性対応、バックアップ復元試験、インシデント訓練は、一度実施して終わるものではありません。計画、実施、記録、改善のサイクルが回っていることを示すには時間がかかります。 また、日本企業では次年度予算の要求、相見積もり、稟議、契約、対象部門との日程調整に数か月を要することがあります。特に★4では、第三者評価の前に不足事項を直す期間と、技術検証の対象システム所有者との調整が必要です。2027年3月頃の運用開始を見据えるなら、現状評価と適用範囲の整理は早めに着手する価値があります。 対応しなかった場合に起こり得る問題 SCS評価制度は任意制度として設計されていますが、取引の現場では発注者の調達条件や取引先評価へ組み込まれる可能性があります。未取得が直ちに取引停止を意味するわけではありません。しかし、同等の品質・価格で競合が必要な段階を取得している場合、選定上の説明力で差がつくことは考えられます。 より本質的な問題は、取得できない背景にある管理不備です。資産が把握できていなければ、重大な脆弱性が公表されても影響範囲を判断できません。ネットワークが分離されていなければ、一台の端末感染が生産、受発注、会計へ広がる可能性があります。連絡基準がなければ、取引先への報告が遅れ、信用毀損や契約上の問題を拡大させます。評価対応は、取引資格のためだけでなく事業継続の整備として捉えるべきです。 ★3・★4取得に向けた具体的な進め方 1．経営層が目標段階と適用範囲を決める 最初に、主要取引先の要請、自社が保有する情報、システム停止時の影響、取引先ネットワークとの接続を整理します。そのうえで★3・★4のどちらを目指すか、全社か特定事業・拠点か、責任者と予算枠を決定します。適用範囲は評価工数と費用へ直結しますが、重要な業務を恣意的に除外すると制度の利用目的に合いません。 2．要求事項とのギャップを可視化する 規程の有無だけではなく、実装と運用証跡を確認します。必要資料は、組織図、情報セキュリティ方針・規程、情報資産台帳、ネットワーク構成図、クラウド利用一覧、アカウント・権限一覧、ログ管理方針、脆弱性管理記録、バックアップ設計、委託先一覧、教育記録、インシデント対応手順などです。資料が存在しても現状と一致しなければ、不備として扱って改善します。 3．リスクに応じて改善の優先順位を付ける すべてを同時に直すのではなく、悪用可能性と事業影響で優先順位を付けます。インターネットへ公開された既知脆弱性、管理者アカウントへの多要素認証未導入、バックアップの同一ネットワーク保管、退職者IDの残存などは優先度が高い典型です。規程改定だけで解決する項目と、製品導入・設計変更・教育が必要な項目を分けると、稟議と実行計画が組みやすくなります。 4．技術検証とリハーサルを行う ★4を目指す場合は、本番の第三者評価前にWebアプリケーション診断、プラットフォーム診断、必要に応じたペネトレーションテストを実施し、重大な不備を修正します。★3でも、自己評価の確度を高めるため診断は有効です。診断では対象IP、URL、アカウント、試験時間帯、禁止事項、障害時連絡先、個人情報・機密情報の取扱いを事前に合意します。 5．経営層の確認を経て申請し、取得後も運用する 評価直前だけ帳尻を合わせると、更新時や取引先監査で運用実態とのずれが表面化します。発見事項は、責任者、期限、暫定対策、恒久対策、再確認方法を付けて管理します。再診断、ログ監視、教育、インシデント訓練を年間計画へ組み込み、システムや組織の大きな変更時には適用範囲と評価への影響を見直します。 費用と期間を左右する要因 2026年9月3日現在、★3・★4の申請・登録費用は公表されていません。したがって、確定額として見積もれるのは制度料金ではなく、自社の準備・改善、専門家支援、診断・技術検証などの周辺費用です。★4は第三者評価、実地審査、技術検証を伴うため、一般に★3より工数が大きくなる構造ですが、正式価格は公表後に確認する必要があります。 費用と期間を左右する主な要因は、対象拠点・法人・システム数、クラウドとオンプレミスの混在、規程・台帳の整備度、ネットワーク構成の複雑さ、技術検証対象の数、重大不備の改修難易度、証跡の蓄積状況です。従業員数が同じでも、一拠点で標準化された企業と、買収した複数法人が別々のIT環境を持つ企業では大きく異なります。 実施期間の目安は、制度の正式な審査日数ではなく準備プロジェクトとして見積もるべきです。現状評価、改善計画、規程・実装の改修、運用証跡の蓄積、事前確認、本評価という工程へ分け、各工程に社内承認と調整期間を加えます。短期間の取得を約束する事業者より、前提条件とボトルネックを明示する事業者の方が信頼できます。 社内稟議で説明すべき内容 稟議では「制度対応が必要だから」だけでなく、売上防衛と事業継続の両面を示します。主要取引先の売上比率、求められる段階、未対応時の入札・更新への影響、事故時の停止業務、法務・広報・復旧費用への波及を整理します。そのうえで、取得支援費、改善費、評価費を分け、今年度と次年度の予算へ配置します。 経営層が判断すべき事項は、目標段階、適用範囲、許容する残余リスク、責任者、予算、重大不備の是正期限です。情報システム部門だけに丸投げせず、法務は契約・報告義務、人事は教育と入退社、調達は委託先管理、事業部門は重要業務と復旧目標を担う体制が必要です。 支援会社・評価関連事業者の選び方 制度取得支援と、★4の第三者評価は役割が異なります。支援会社を選ぶ際は、要求事項の説明だけでなく、技術面の検証と改善、経営層への説明、取得後の運用まで一貫して支援できるかを確認します。第三者評価を担う評価機関については、IPAが公表する指定状況と、中立性・公平性に関する最新要件を必ず確認してください。 RFPまたは見積依頼では、対象範囲、前提資料、現地訪問の有無、診断対象数、成果物、再確認の条件、追加費用、機密情報の保管場所と削除時期、再委託の有無、インシデント発生時の責任分界を明記します。成果物には、要求事項別の適合状況、根拠資料、ギャップ、リスク評価、優先順位、改善案、担当部門、期限、評価前に残る論点が含まれるかを確認しましょう。 よくある失敗と注意点 製品導入をそのまま適合と考える SCS評価制度は特定製品の導入を必須としていません。EDRやMFAを導入していても、対象漏れ、設定不備、アラート放置があれば実効性は不足します。製品名ではなく、要求事項に対してどの仕組みがどう機能し、誰が証跡を確認するかを説明できる状態にします。 適用範囲をIT部門だけで決める 重要な委託業務や取引先データの流れは、事業部門や営業部門にしか分からないことがあります。ネットワーク図だけで範囲を決めると、業務委託先、SaaS、個人端末、海外拠点が漏れます。業務フローとデータフローを重ねて判断してください。 診断を一度実施して終える 診断結果は、その時点の対象と設定に対するスナップショットです。新しい脆弱性、システム変更、アカウント追加で状況は変わります。重大度だけでなく、外部公開、保有データ、悪用経路、代替策を踏まえて期限を決め、修正後の再診断まで完了させる必要があります。 制度の未公表事項を確定情報として扱う 申請料金、申請手順、解説書などは順次公表予定です。古い検討資料や民間記事だけで稟議を確定すると、後で条件が変わる可能性があります。IPAと経済産業省の公式ページを基準日付きで確認し、見積書にも未確定事項を明記することが大切です。 Librus株式会社が提供できる支援 Librus株式会社は、SCS評価制度への対応を単なるチェックリスト作成で終わらせず、経営リスクと技術リスクを一つの改善計画へ落とし込みます。現状評価、適用範囲の整理、規程・台帳整備、リスクアセスメント、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、SOC／CSIRT構築、教育・訓練、インシデントレスポンスまで一気通貫で支援可能です。 企業ごとの業務、既存製品、予算、取引先要請を踏まえて個別設計するため、過剰な製品導入を前提にしません。経営層には事業継続・取引維持・投資優先順位の言葉で、情報システム部門には実装・証跡・運用の言葉で整理し、両者の意思決定をつなぎます。M&A、IPO、取引先監査など、短期間で説明責任が高まる局面にも対応します。 よくある質問 Q1．★3を取得してからでなければ★4を取得できませんか。 いいえ。★4は★3の内容を含みますが、★3の事前取得は必須ではありません。現状の成熟度と取引先要請が合えば、最初から★4を目指せます。 Q2．従業員数が多い企業は必ず★4ですか。 いいえ。規模だけでは決まりません。重要情報の取扱い、取引先との接続、供給停止の影響、発注者の要求で判断します。 Q3．★3は完全な自己評価ですか。 いいえ。取得希望組織が自己評価を行いますが、登録されたセキュリティ専門家の確認・助言・署名と、経営層の自己適合宣誓が必要です。 Q4．★4では何が追加されますか。 第三者評価に加え、文書確認、実地審査、技術検証が行われます。侵入後の被害拡大や取引先への波及を抑える対策も重要になります。 Q5．★4にはペネトレーションテストが必須ですか。 技術検証の具体的な対象・手法は制度の最新文書と評価機関の計画で確認が必要です。制度構築方針では、技術検証事業者の対象となる脆弱性診断サービスにペネトレーションテストを含む整理が示されています。 Q6．申請費用はいくらですか。 2026年9月3日現在、申請・登録費用は未公表です。準備支援、改善、診断、第三者評価などを分けて見積もり、制度料金は公表後に更新してください。 Q7．準備にはどのくらいかかりますか。 一律の期間はありません。対象範囲、資料整備、重大不備、技術検証対象、社内承認で変わります。まず短期間のギャップ分析を行い、工程別に見積もる方法が現実的です。 Q8．ISO/IEC 27001を取得済みなら対応不要ですか。 既存の管理策や証跡は活用できますが、自動的にSCS評価制度へ適合するとは限りません。SCSの要求事項・評価基準との対応関係を確認する必要があります。 まとめ：★3を基礎線、★4を取引・事業影響に応じた目標として判断する SCS評価制度の★3と★4の本質的な違いは、★3が一般的な脅威へ対処するための専門家確認付き自己評価であるのに対し、★4は侵入後の被害拡大と取引先への波及まで見据え、第三者評価・実地審査・技術検証で客観性を高める点にあります。 自社が目指す段階は、従業員数ではなく、取引先の要求、扱う情報、外部接続、供給停止の影響で決めます。迷う場合は、★3・★4の両方に対して現状ギャップを可視化し、必要な改善費と事業上の効果を比較するのが近道です。制度開始前から証跡を蓄積すれば、取得対応を一過性の作業ではなく、取引継続と事業継続を支える仕組みにできます。 ★3・★4の選択から整理したい企業さまへ 取引先から具体的な段階を指定されていない場合でも、主要業務、データ、接続先、停止影響を整理すれば、自社が目指す水準は見えてきます。Librus株式会社では、対象範囲や実施方法が決まっていない段階から、★3・★4それぞれのギャップと概算工程を整理します。社内説明に使える判断材料を先に作りたい場合もご相談いただけます。 出典・参考資料 経済産業省｜サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） 経済産業省｜制度構築方針の公表 IPA｜SCS評価制度の詳細情報 IPA｜要求事項・評価基準 IPA｜よくある質問 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎） 〒105-0004 東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F 03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact

VIEW MORE

SCS評価制度は義務なのか―取得しない企業に起こり得ること

SCS評価制度の★取得は、現時点で民間企業に一律に課された法的義務ではありません。ただし、発注者が取引条件・選定基準・契約更新条件として求めることは想定されており、未取得が受注機会や取引継続に影響する「事実上の要請」へ発展する可能性があります。したがって、法律上の強制の有無だけで判断せず、自社の取引構造と求められる★水準を確認し、取得準備と実質的な対策を並行して進めることが重要です。 サプライチェーン強化に向けたセキュリティ対策評価制度（以下「SCS評価制度」）は、企業のIT基盤におけるセキュリティ対策を共通の基準で評価し、星の段階で可視化する制度です。IPAの公表情報では、★3・★4は2027年3月頃の運用開始が予定されています。本稿は2026年9月3日時点の公表資料に基づき、法的義務と取引上の要請の違い、未取得時のリスク、実務的な準備方法を整理します。 この記事で分かること 未取得の場合に想定される取引・経営上の影響 ★3と★4の違いと、自社が目指す水準の考え方 経営層・情報システム部門が今から進める準備 SCS評価制度とは何か SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を共通基準で評価・可視化し、委託元と委託先の双方が対策水準を確認しやすくする仕組みです。制度は経済産業省および内閣官房国家サイバー統括室の監督のもと、独立行政法人情報処理推進機構（IPA）が運営します。 制度が想定する中心的な場面は、二社間の取引です。発注者が受注者に適切な★水準を提示し、受注者が対策を実施したうえで、その状況を確認できるようにします。従来、発注者ごとに異なる質問票が送られ、受注者が似た質問へ何度も回答することがありました。共通の評価基準が普及すれば、発注者は取引先を評価しやすくなり、受注者も自社の対策状況を説明しやすくなります。 ★3と★4の違い ★3は「一般的なサイバー脅威に対処し得る水準」とされ、取得希望企業による自己評価に、登録されたSCSセキュリティ専門家の確認・署名と経営層の自己適合宣誓を組み合わせる仕組みです。★4は、初期侵入の防御だけでなく被害拡大防止や取引先のデータ・システム保護まで含む水準で、評価機関による第三者評価と技術検証が求められます。上位段階は下位段階を包括しますが、★4の取得に★3の先行取得が必須という関係ではありません。 対象は原則として、メールサーバー、Webサーバー、認証基盤、端末、ネットワーク、クラウド環境など企業のIT基盤です。製造設備を制御するOTシステムや、取引先へ提供する製品そのものは基本的に直接対象とせず、別の制度・ガイドラインによる対応が想定されています。ただし、ITとOTの接続点や製品開発環境が企業IT基盤と共通化している場合、境界の整理が欠かせません。 SCS評価制度は義務なのか 法律上、一律の取得義務ではない 2026年9月3日時点の公表資料を見る限り、すべての民間企業に★取得を直接命じ、未取得そのものに罰則を科す法律上の義務として設計されているわけではありません。対象業種や企業規模を限定せず、サプライチェーンに属する幅広い企業が活用できる制度ですが、「制度の対象になり得ること」と「取得が法的に強制されること」は別問題です。 また、個人情報保護法、業法上の安全管理措置、契約上の秘密保持義務など、企業が別途負う法令・契約上の責任はSCS評価制度の取得有無で消えるものではありません。★を取得していなくても必要な安全管理措置は実施しなければならず、反対に★を取得しても、あらゆる法令遵守や事故防止が自動的に保証されるわけではありません。 取引上は「対応必須」になる可能性がある 重要なのは、法的義務と取引上の要請を分けて考えることです。制度は、発注者が取引先に適切な★水準を提示する利用を想定しています。発注者がRFP（提案依頼書）、新規取引の審査、委託先選定、契約更新、重要業務への参画条件などに★取得を組み込めば、受注者にとっては事実上の必須条件となり得ます。 たとえば「★4取得済み、または期限までの取得計画を提出できること」が入札条件になれば、法律による強制がなくても、条件を満たさない企業は比較対象から外れる可能性があります。一方、発注者側も、取引上の立場を利用して一方的に過大な費用負担を押し付けてよいわけではありません。経済産業省と公正取引委員会は、セキュリティ対策の要請と価格交渉を円滑に行うための想定事例を示しています。要請内容、必要性、費用、期限を協議し、契約条件へ明確に落とし込む姿勢が双方に求められます。 SCS評価制度を取得しない企業に起こり得ること 新規案件の候補から外れる 最も現実的な影響は、新規取引の入口で評価されにくくなることです。大手企業が多数の委託先を短期間で選別する場合、共通マークは確認項目を標準化する材料になります。未取得企業が直ちに失格になるとは限りませんが、個別質問票への回答、追加監査、証憑提出が必要になり、営業提案のスピードと比較可能性で不利になるおそれがあります。 既存取引の更新条件が厳しくなる 基幹業務、顧客情報、設計情報、認証情報を扱う委託では、契約更新時にセキュリティ条項が見直されることがあります。未取得のままでは、改善計画の提出、現地監査、診断結果の提示、事故時報告期限の短縮、再委託先管理の強化など、個別条件が追加される可能性があります。対応できなければ、委託範囲の縮小や代替ベンダーへの切替が検討される場合もあります。 質問票・監査対応の負担が残る SCS評価制度を取得しない場合、自社の安全性を別の証拠で説明する必要があります。ISMS認証、SOC報告書、社内規程、資産台帳、教育記録、脆弱性診断報告書、インシデント対応訓練記録などを取引先ごとに組み直すと、情報システム部門だけでなく営業、法務、総務、内部監査にも作業が波及します。取得コストだけでなく、未取得のまま個別対応を続ける運用コストも比較すべきです。 事故発生時の説明が難しくなる 未取得そのものが事故原因になるわけではありません。しかし、ランサムウェア感染、委託先アカウントの不正利用、Webアプリケーションからの情報漏えいなどが起きた際、経営層は「どの基準で対策水準を判断したか」「既知の不足をなぜ放置したか」を説明する必要があります。公的な共通基準に照らしたギャップ分析や改善記録がなければ、顧客、株主、金融機関、監督官庁への説明が属人的になりやすく、復旧以外の対応負荷が増えます。 予算化が後手に回る 取引先から短い期限で取得を求められてから着手すると、年度予算外の対応になりやすくなります。規程の整備だけでなく、多要素認証、端末管理、バックアップ、ログ管理、脆弱性対応、委託先管理など技術・運用双方の改善が必要になる場合があります。複数部門やクラウド事業者との調整もあるため、単なる申請作業として扱うと期限と予算が合いません。 どの企業が優先して準備すべきか 従業員100名以上の規模では、IT環境が複雑化する一方、専任のセキュリティ人材が限られるケースがあります。特に、次のような企業は早めに発注者の意向と自社ギャップを確認する価値があります。 大企業、政府機関、重要インフラ事業者との取引が多い企業 顧客情報、設計情報、ソースコード、認証情報などを預かる企業 クラウドサービス、システム開発、運用保守、BPOを提供する企業 重要業務を再委託し、多層のサプライチェーンを構成する企業 M&A、IPO、大型提携、取引先監査を予定している企業 目標水準は「会社規模」だけで決めません。取扱情報の重要性、システム停止時の影響、外部接続、委託元から受ける権限、代替可能性、発注者の要求を踏まえます。一般的な脅威への備えを対外的に説明したい企業は★3が起点になり得ます。重要なデータやシステムへ深く関与し、技術検証を含む第三者評価が取引上重視される企業は★4を検討します。 取得に向けた具体的な対応手順 1．経営目的と責任者を決める 最初に「マークを取ること」ではなく、守る事業と取引を決めます。主要顧客からの要求、売上依存度、停止時の損失、機密情報の種類を整理し、目標★、対象組織、希望時期、予算枠を経営会議で合意します。CISOがいない場合でも、経営責任者、実務責任者、各部門の協力者を明確にしてください。★3では経営層による自己適合宣誓が想定されており、情報システム部門だけに任せ切る進め方は適しません。 2．評価範囲と資産を可視化する 組織、拠点、ネットワーク、クラウド、端末、アカウント、重要データ、委託先を一覧化し、評価範囲を定めます。必要資料の例は、情報セキュリティ方針、組織図、資産台帳、ネットワーク図、アカウント管理台帳、バックアップ設計、ログ保存方針、脆弱性管理記録、教育・訓練記録、インシデント対応手順、委託先管理基準です。文書が存在するだけでなく、実際の運用記録と一致していることが重要です。 3．要求事項との差分を評価する IPAが公開する★3・★4の要求事項・評価基準に照らし、「適合」「一部適合」「不適合」「対象外」に分類します。対象外とする場合は根拠を残します。優先順位は、単純な項目数ではなく、事業影響、攻撃可能性、取引期限、改善に要する時間、他施策への波及効果で決めます。認証基盤の多要素認証、外部公開資産、バックアップ復旧、特権IDなど、重大事故につながりやすい領域は先行させるのが実務的です。 4．技術検証で「実装されているか」を確認する 規程と自己評価だけでは、実装上の弱点を見落とすことがあります。Webアプリケーション診断は、SQLインジェクションや認可不備などアプリ固有の弱点を確認します。プラットフォーム診断は、サーバー、ネットワーク機器、クラウド設定などの既知の脆弱性や設定不備を確認します。ペネトレーションテストは、攻撃者の視点で複数の弱点を組み合わせ、実際にどこまで侵入・権限拡大・情報到達が可能かを検証します。 これらは同じ検査ではありません。評価対象、取引先のリスク、★水準に合わせて組み合わせ、発見事項を要求事項へ紐付けると、診断が単発の技術報告で終わらず、取得準備と経営判断に使える証拠になります。診断時には本番影響、試験時間、禁止事項、連絡体制、個人情報・機密情報の取扱い、ログ保存、再委託の有無を事前に合意します。 5．改善し、証跡を蓄積する 改善計画には、課題、リスク、担当部門、期限、費用、暫定対策、完了条件、証跡を記載します。技術的な修正が難しい場合でも、アクセス制限、監視強化、手作業の承認など代替策を検討し、残余リスクを経営層が承認します。規程改定、設定変更、教育実施、復旧訓練、委託先契約の見直しは、実施日と結果を残して初めて評価に耐える運用になります。 6．模擬評価・再診断を行う 申請前に、評価者の視点で証跡の不足、規程と実態の不一致、対象範囲の漏れを確認します。脆弱性を修正した箇所は再診断し、改善済みであることを確かめます。取得後も、組織変更、クラウド移行、新規拠点、M&A、新サービス開始などで前提が変わるため、継続監視、定期診断、教育、インシデント対応訓練へつなげる必要があります。 期間と費用を左右する要因 制度上の申請・登録費用は、2026年9月3日時点で今後公表予定とされています。そのため、現段階で一律の取得費用を断定することはできません。実務上の総費用は、制度への支払額だけでなく、現状調査、コンサルティング、規程整備、ツール導入、設定変更、診断・技術検証、教育、評価対応、再診断を含めて見積もります。 期間は、対象拠点・法人・クラウドの数、資産台帳の精度、既存認証の活用可否、要求事項とのギャップ、経営承認や購買手続、技術改修の難易度に左右されます。規程・証跡が整っていれば数か月単位で準備できる場合がありますが、認証基盤やネットワークの改修を伴えば半年以上の計画が必要になることもあります。正式な申請手順、評価機関、費用の公表時期を確認しつつ、まずギャップ分析と長納期項目の着手を進めるのが安全です。 社内稟議で説明すべきポイント 稟議では「制度対応費」だけを示すと、任意認証への投資と受け取られやすくなります。対象顧客の売上、更新時期、RFPで想定される水準、未対応時の追加監査工数、事故による停止・復旧費用、既存施策との重複を整理し、受注維持と事業継続の投資として説明します。 承認事項は、目標★、対象範囲、責任者、予算上限、実施期限、外部支援の利用範囲、残余リスクの承認方法です。費用は「必須改善」「推奨改善」「中長期改善」に分けると判断しやすくなります。制度要件が更新される可能性も踏まえ、段階的な発注や変更管理を契約に入れることも有効です。 支援会社を選ぶ際の確認事項 SCS評価制度への対応では、チェックリストを埋める能力だけでなく、実装と運用を改善する力が重要です。見積依頼やRFPでは、次の点を確認してください。 対象範囲と目標★を決めるギャップ分析に対応できるか 要求事項を規程、運用、技術設定、証跡へ具体化できるか Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト等を適切に使い分けられるか 重大度だけでなく事業影響と改修難易度で優先順位を提示できるか 改善支援、再診断、教育、継続運用まで一貫して支援できるか 評価支援と第三者評価を同一法人が担う場合の中立性・公平性を説明できるか 機密情報の保管場所、アクセス権、保存期間、削除、再委託を契約で明確にできるか 成果物には、適用範囲、前提・制約、要求事項別の評価、根拠証跡、技術検証結果、リスク評価、改善優先度、ロードマップ、担当部門、概算費用、残余リスクを含めると、その後の稟議・評価・運用へ転用しやすくなります。単に「未対応」の一覧を受け取るのではなく、経営判断と実装の双方に使えるかを確認しましょう。 よくある失敗と注意点 取得だけを目的にして実態が伴わない 審査直前に文書だけを整えても、設定や運用記録と食い違えば改善は定着しません。★は安全性の絶対保証ではなく、一定時点・一定範囲の対策状況を示すものです。取得プロジェクトを、資産管理や脆弱性管理を平常運用へ組み込む機会として設計する必要があります。 評価範囲を狭くし過ぎる、または広げ過ぎる 負担を減らすために重要システムを不自然に除外すると、取引先が確認したいリスクを説明できません。反対に全法人・全拠点を一度に対象とすると、準備が止まりやすくなります。データと権限の流れを起点に、取引上の説明力と実行可能性のバランスを取ります。 既存認証や診断結果をそのまま代用できると思う ISMSなどの既存認証や診断は有力な証拠になり得ますが、SCS評価制度の要求事項と評価範囲が同一とは限りません。既存資料を要求事項へマッピングし、不足分だけを追加することで、重複投資を抑えられます。 発注者からの要請を無条件で受ける 受注者は、求められる★水準、対象業務、期限、費用負担、代替的な証明方法を確認してください。発注者も、業務リスクに比して過大な要求とならないようにし、価格・納期を含む協議を行うことが望まれます。セキュリティを一方的な転嫁ではなく、サプライチェーン全体の共同課題として扱うことが継続的な改善につながります。 Librus株式会社が提供できる支援 Librus株式会社は、SCS評価制度に向けた現状評価から、対象範囲の設計、要求事項とのギャップ分析、規程・運用整備、技術検証、改善、再確認までを一気通貫で支援します。企業ごとのIT環境、取引先要請、予算、社内体制を踏まえて個別に設計し、経営層・情報システム部門・現場部門の間で論点を整理します。 制度対応の過程で技術的な確認が必要な場合は、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストを目的に応じて組み合わせます。診断結果は改善優先度と事業影響に結び付け、必要に応じてSOC／CSIRT構築・運用、インシデントレスポンス、デジタルフォレンジック、教育・訓練、SBOM導入、M&A時のIT・サイバーセキュリティデューデリジェンスまで継続して支援可能です。 制度の詳細が更新される局面では、確定事項と検討中事項を分け、将来の変更に耐えられる準備を優先します。診断だけで終わらず、改善と運用まで伴走することで、★取得に加え、取引先へ説明できる実質的なセキュリティ体制の構築を目指します。 よくある質問 Q1．SCS評価制度の取得は法律上の義務ですか。 2026年9月3日時点では、すべての民間企業に一律の★取得を課す法律上の義務ではありません。ただし、発注者が取引条件として求めれば、受注のための事実上の要件になる可能性があります。 Q2．制度はいつ始まりますか。 IPAは★3・★4を2027年3月頃に運用開始する予定と公表しています。今後の正式情報をIPA公式サイトで確認してください。 Q3．未取得だと直ちに取引停止になりますか。 直ちに取引停止になる制度ではありません。実際の扱いは契約、調達基準、業務リスク、発注者の方針によります。追加監査や改善計画で対応できる場合もあるため、早めに取引先へ確認することが重要です。 Q4．★3と★4のどちらを目指すべきですか。 取扱情報、システム権限、停止時の影響、顧客要求で判断します。一般的な脅威への対策を示す場合は★3、重要業務に関与し第三者評価・技術検証が重視される場合は★4が候補です。 Q5．★4の前に★3を取得する必要がありますか。 ありません。上位段階は下位段階の要求を包括しますが、★3の先行取得が★4取得の条件ではないとされています。 Q6．ISMSを取得済みなら対応不要ですか。 対応不要とは限りません。既存の規程・証跡は活用できますが、SCS評価制度の要求事項と対象範囲へマッピングし、差分を確認する必要があります。 Q7．脆弱性診断だけで★を取得できますか。 脆弱性診断は技術対策を確かめる重要な手段ですが、制度はガバナンス、資産管理、教育、インシデント対応、委託先管理なども含みます。診断だけで全要求を満たすものではありません。 Q8．費用はいくらですか。 制度上の申請・登録費用は現時点で今後公表予定です。総費用は対象範囲、現状の成熟度、技術改修、診断や評価の内容によって変わります。まずギャップ分析で概算を作るのが適切です。 Q9．対象範囲が決まっていなくても相談できますか。 可能です。主要取引、重要データ、システム構成、顧客要求から対象候補を整理し、段階的な対応計画を作れます。 まとめ：取引上の必要性で判断する SCS評価制度は、現時点で全企業に一律の取得を強制する法律上の義務ではありません。しかし、発注者が調達・契約条件として★取得を求める使い方が想定されているため、未取得は新規受注、既存取引、監査対応、事故後の説明に影響し得ます。重要な結論は、「任意制度だから待つ」でも「すべて急いで取得する」でもなく、自社の取引先、扱う情報、事業停止の影響から必要水準と時期を決めることです。 まず主要取引先の意向を確認し、IPAの要求事項に基づくギャップ分析を行い、長納期の改善から着手してください。制度のための書類作成ではなく、実際の攻撃と事業継続に耐える仕組みへつなげることが、取得後も残る投資価値になります。 SCS評価制度への対応方針を整理したい企業の方へ 「自社は★3と★4のどちらを目指すべきか」「顧客から要請される前に何を準備するか」「既存のISMSや診断結果をどう活用するか」といった初期段階からご相談いただけます。Librus株式会社では、対象範囲や実施方法が決まっていない場合でも、取引構造と事業リスクを整理し、優先順位、概算期間、必要な技術検証を具体化します。社内稟議に使える説明材料まで整えることで、過不足のない投資判断につなげます。 診断から改善・継続運用まで一気通貫で支援 SCS評価制度への対応を、書類整備だけで終わらせたくない企業向けに、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、規程・運用改善、教育、継続監視まで支援します。技術と経営の両面から課題を整理し、取得準備と実際のリスク低減を同じロードマップで進められることがメリットです。 参考資料・出典 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」 経済産業省「制度構築方針」（2026年3月27日） IPA「SCS評価制度」公式サイト IPA「SCS評価制度の詳細情報」 IPA「要求事項・評価基準」 IPA「よくある質問」 経済産業省・公正取引委員会「取引先とのパートナーシップ構築に向けて」関連資料 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎）〒105-0004 東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F03-6772-8015お問い合わせフォーム：https://librus.co.jp/contact

VIEW MORE