取引先から「SCS★3を取得してください」と言われる前に準備すべきこと

取引先からSCS★3の取得を求められた時点で、社内体制や規程、IT資産、証跡を一から整理し始めると、対応期限に間に合わない可能性があります。サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の★3は、単に申請書へチェックを付ければ取得できる制度ではありません。要求事項・評価基準を満たす対策を実際に行い、その状況を説明できる証拠をそろえ、セキュリティ専門家の確認を受けたうえで、経営層が自己適合を宣誓する仕組みです。 結論からいえば、取引先から正式な要請が来る前に着手すべきなのは「申請作業」ではなく、①適用範囲の整理、②IT資産とアカウントの棚卸し、③規程・運用・証跡の整備、④脆弱性や設定不備の是正、⑤インシデント対応とバックアップの実効性確認、⑥経営層を含む推進体制の構築です。これらはSCS★3への準備であると同時に、日常のサイバーリスク低減にもつながります。 SCS評価制度は2027年3月頃の★3・★4運用開始が予定されています。制度自体は任意ですが、委託元が取引契約等で委託先に必要な★を提示し、その対策状況を確認する利用が想定されています。そのため、法令上の義務ではなくても、取引継続・新規受注・調達要件の観点で対応が必要になる企業は今後増える可能性があります。 出典：IPA「SCS評価制度」 https://www.ipa.go.jp/security/scs/index.html 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html この記事で分かること SCS★3が取引先との関係でどのように使われる可能性があるか 正式な取得要請を受ける前に準備しておくべき項目 経営層・情報システム部門・現場部門それぞれの役割 規程だけでなく、運用証跡や技術対策まで必要になる理由 Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストをどの場面で活用するか 社内稟議、予算化、外部支援会社の選定で確認すべきポイント SCS評価制度とSCS★3の基本を押さえる SCS評価制度はサプライチェーンの対策状況を可視化する制度 SCS評価制度は、委託元から見えにくい委託先のセキュリティ対策状況を共通の尺度で確認しやすくするとともに、委託先が複数の取引先から異なるチェックシートを求められる負担を軽減することを狙った制度です。IPAが制度を運営し、経済産業省と内閣官房国家サイバー統括室が監督する枠組みで構築されています。 対象は特定業種だけに限定されていません。IPAは全てのサプライチェーン企業を対象とし、とりわけ対策リソースが限られる中小企業にも活用効果が大きいとしています。従業員100～1,000名規模の企業では、取引先が大企業、重要インフラ事業者、製造業、金融業などである場合、自社が「委託先」「システム運用会社」「開発会社」「業務受託会社」などの立場で要求を受ける場面を想定しておくべきでしょう。 出典：IPA「SCS評価制度」 https://www.ipa.go.jp/security/scs/index.html ★3は「一般的なサイバー脅威に対処しうる水準」 ★3は、広く認知された脆弱性などを悪用する一般的なサイバー攻撃に対処しうることを水準としており、基礎的な組織対策とシステム防御策を中心に、サプライチェーン企業が最低限実装すべき対策として位置付けられています。★4はこれより広く、組織ガバナンス、取引先管理、検知、インシデント対応などを含む包括的な水準です。 ★3の評価方法は「専門家確認付き自己評価」です。取得希望組織が自己評価を行い、登録されたセキュリティ専門家が内容を確認・助言し、経営層の自己適合宣誓を含む評価結果を事務局へ提出します。IPAのFAQでは、★3取得には定められた全ての要求事項・評価基準を満たす必要があると示されています。したがって、「大部分はできているから申請する」というより、不足項目を事前に洗い出し、運用まで定着させる準備が重要です。 出典：IPA「よくある質問」 https://www.ipa.go.jp/security/scs/faq.html なぜ「取引先に言われてから」では遅れやすいのか 規程作成よりも、実際の運用と証跡づくりに時間がかかる セキュリティ評価では、方針や規程が存在することと、実際に運用されていることは別問題です。たとえばアカウント管理規程を作成していても、退職者アカウントが残っている、管理者権限の棚卸し履歴がない、アクセス権の承認記録を保存していないといった状態では、運用実態を説明しにくくなります。 同様に、バックアップを「実施している」だけでは、復元できるか、ランサムウェア感染時にも利用できるか、担当者不在でも復旧手順を実行できるかという実効性までは確認できません。取得要請を受けてから数週間で、規程・設定・記録・教育・訓練を同時に整備するのは現実的でない場合があります。 部門横断での調整が必要になる SCS★3準備を情報システム部門だけの仕事と考えると、途中で止まりやすくなります。人事部門は入退社や異動に伴う権限管理、総務・法務は委託契約や機密情報管理、購買部門は外部委託先の管理、経営層は方針と予算、人員配置に関与します。クラウドサービスを各部門が独自契約している企業では、SaaSの棚卸しだけでも時間を要します。 取引先から「1～2か月以内に取得方針を回答してほしい」といった相談が来たとき、社内責任者や対象範囲が決まっていなければ、技術対策以前に意思決定で時間を消費します。事前準備の価値は、対策そのものだけでなく、社内の判断速度を上げる点にもあります。 対応が遅れた場合に起こり得る経営上の問題 SCS評価制度自体は任意の制度であり、★3を取得していないことだけを理由に法律違反になるものではありません。一方、経済産業省のFAQでは、★の取得は委託元または委託先との取引契約で決められるものとされています。つまり、実務上重要なのは「制度上の義務か」だけではなく、「自社の主要顧客が調達条件として何を求めるか」です。 出典：経済産業省「SCS評価制度に関するよくあるお問い合わせ」 https://www.meti.go.jp/press/2025/03/20260327001/20260327001-gr.pdf 取得や準備が間に合わなければ、取引先から追加のセキュリティ説明を求められたり、是正計画の提出、契約条件の見直し、競合企業との比較で不利になる可能性があります。特に自社が顧客データを預かる、基幹システムへ接続する、システム開発・保守を担う、製造ラインや物流を支えるといった役割を持つ場合、サイバー事故は自社だけでなく取引先の事業継続に影響します。 経営層はSCS★3を「認証を取るためのコスト」とだけ捉えず、売上維持、調達要件への対応、信用毀損リスクの低減、事故時の復旧力向上に関係する経営課題として判断することが重要です。 取引先からSCS★3を求められる前に準備すべき7項目 1．適用範囲と重要業務を先に整理する 最初に決めるべきなのは、どの会社・拠点・業務・IT基盤を対象にするかです。対象範囲が曖昧なまま規程や診断を始めると、後から対象システムが増え、見積りやスケジュールが崩れます。主要取引先へ提供している業務、預かっている情報、外部接続、クラウド利用、重要な拠点を整理し、「停止すると取引先に影響する業務」から優先順位を付けます。 経営層は、主要顧客・売上・事業継続の観点から対象範囲を判断し、情報システム部門は対象に含まれるサーバ、ネットワーク、クラウド、端末、アプリケーションを具体化します。 2．IT資産・アカウント・外部公開資産を棚卸しする セキュリティ対策は、守る対象が分からなければ設計できません。PCやサーバだけでなく、VPN装置、ファイアウォール、ルーター、クラウド環境、SaaS、ドメイン、Webサイト、管理画面、開発環境、外部委託先が管理するシステムも含めて整理します。 特に見落としやすいのが、過去案件で作成したテスト環境、利用者の少ない管理画面、旧VPN装置、退職者や委託先のアカウントです。攻撃者は「重要な本番システム」だけを狙うとは限りません。古い機器や公開設定の不備を侵入口として利用し、内部へ移動するケースを想定する必要があります。 3．規程と運用証跡をセットで整備する 情報セキュリティ基本方針、アカウント管理、端末管理、脆弱性管理、バックアップ、ログ管理、インシデント対応、委託先管理などのルールは、実態に合わせて整備します。既存のISMS規程や社内規程がある企業は、ゼロから作り直すのではなく、SCS★3の要求事項との対応関係を確認する方が効率的です。 同時に、アカウント棚卸し記録、パッチ適用記録、教育受講記録、インシデント訓練記録、バックアップ確認記録、外部委託先の確認記録など、実施を示せる証跡を残す運用へ変えます。「やっているが記録がない」は、評価時の説明負担を増やします。 4．脆弱性と設定不備を把握し、優先順位を付けて是正する インターネットからアクセス可能なシステムや重要システムは、設定ミスや既知の脆弱性が放置されていないか確認します。プラットフォーム診断では、サーバ、ネットワーク機器、OS、ミドルウェアなどの脆弱性や不要ポート、危険な設定を確認できます。Webアプリケーション診断では、認証・認可、入力値処理、セッション管理など、Web固有の問題を確認します。 なお、★3の評価スキームは書類確認を中心とする専門家確認付き自己評価であり、★4のような第三者による技術検証そのものが評価スキームとして必須とされているわけではありません。それでも、自社の実装状況を客観的に把握し、重大な弱点を申請前に解消する目的で脆弱性診断を活用する価値があります。ペネトレーションテストは、個別の脆弱性だけでなく、複数の弱点を組み合わせた侵入可能性や影響を検証したい場合に有効です。 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html 5．インシデント対応とバックアップを「使える状態」にする ランサムウェア感染、不正アクセス、情報漏えいなどが発生した際の連絡先、初動責任者、判断基準、取引先への報告経路、外部専門会社への連絡方法を決めておきます。文書を作るだけでなく、机上訓練を行い、「休日に検知した場合」「担当者が不在の場合」などを想定すると実効性を確認できます。 バックアップについては、取得頻度、保存先、世代数、アクセス権、復元手順を確認し、定期的な復元テストを行います。攻撃者が本番環境と同じ権限でバックアップまで削除できる構成では、復旧手段として十分とはいえません。事業継続の観点から、重要システムごとに許容停止時間や復旧優先順位も整理しておくと、経営判断につながりやすくなります。 6．従業員教育と委託先管理を定常業務にする フィッシングメール、パスワードの使い回し、クラウド共有設定の誤りなど、人の行動を起点とするリスクは技術製品だけでは抑えられません。入社時教育だけでなく、定期教育、注意喚起、標的型メール訓練などを組み合わせ、受講記録も残します。 また、自社が再委託やクラウドサービスを利用している場合、自社だけの対策でサプライチェーンリスクを完結させることはできません。契約時のセキュリティ確認、アクセス権付与、事故時の連絡義務、契約終了時のデータ返却・削除など、外部委託先管理を購買・法務・情報システム部門で連携して運用する必要があります。 7．経営層が「取得方針・予算・責任者」を決める ★3では経営層による自己適合宣誓が評価プロセスに含まれます。したがって、情報システム担当者が最後に社長印をもらうだけのプロジェクトではありません。どの取引を守るために取得するのか、どの範囲を対象にするのか、是正にどこまで予算を使うのか、残るリスクを誰が受容するのかを経営レベルで判断する必要があります。 推進責任者を定め、情報システム、人事、総務・法務、購買、事業部門を含む体制を作っておくと、正式な取得要請を受けた後の意思決定が速くなります。 実施前に準備しておきたい資料 外部のセキュリティ専門家やコンサルティング会社へ相談する場合、最初から全資料を完璧にそろえる必要はありません。ただし、以下の情報があると現状把握と見積りが進みやすくなります。 会社・拠点・主要業務の概要と組織図 主要取引先との業務内容、預かる情報、接続関係 ネットワーク構成図、システム構成図、クラウド利用一覧 サーバ・端末・ネットワーク機器・SaaS等の資産一覧 既存の情報セキュリティ規程、ISMS文書、社内ルール アカウント管理、パッチ適用、バックアップ、ログ管理等の運用記録 過去の脆弱性診断・監査・セキュリティチェックシートの結果 インシデント対応手順、緊急連絡網、訓練記録 外部委託先・再委託先・主要クラウドサービスの一覧 資料が存在しない場合も、それ自体が現状把握の結果です。まず「何がないか」を明らかにし、要求事項とのギャップを優先順位順に埋めていく方が、形式的な文書を急いで大量に作るより有効です。 SCS★3取得までの進め方 ステップ1：現状評価とギャップ分析 IPAが公開する★3・★4要求事項・評価基準を基準に、自社の対策状況を確認します。各項目について「規程あり／運用あり／証跡あり」を分けて見ると、文書不足と実装不足を混同せずに整理できます。取得には全ての要求事項・評価基準への適合が求められるため、未対応項目を一覧化し、担当者と期限を決めます。 出典：IPA「要求事項・評価基準」 https://www.ipa.go.jp/security/scs/requirements-criteria.html ステップ2：是正計画と予算化 ギャップを、短期間で直せる項目、システム改修が必要な項目、社内ルール変更が必要な項目に分類します。緊急度は「攻撃されやすさ」だけでなく、漏えい時の影響、取引先への影響、復旧難易度も含めて判断します。MFA導入、古いVPN機器の更新、EDR導入、バックアップ分離、ログ保存基盤の整備などは費用や調整を要するため、早期に予算化することが重要です。 ステップ3：運用定着と証跡蓄積 是正した対策は、実施して終わりではありません。月次のアカウント棚卸し、定期的なパッチ管理、教育、バックアップ確認など、継続運用に組み込みます。担当者依存を避け、異動後も同じ水準で運用できるよう、手順と責任分担を明確にします。 ステップ4：自己評価とセキュリティ専門家による確認 ★3では、取得希望組織が要求事項・評価基準に沿って自己評価を記入し、SCS評価制度のセキュリティ専門家が内容を確認します。専門家は必要に応じて評価結果の修正を含む助言を行い、提出内容を了承した場合に署名します。制度上のセキュリティ専門家には資格・研修等の要件が定められているため、依頼先を選ぶ際は「一般的なセキュリティ資格者」ではなく、制度上登録された専門家かを確認する必要があります。 ステップ5：経営層の自己適合宣誓と申請 専門家確認後、経営層による自己適合宣誓を含む評価結果を事務局へ提出し、申請内容に問題がなければ台帳へ登録・公開される流れが示されています。運用開始時の申請方法、様式、料金などはIPAの最新案内を必ず確認してください。制度の詳細は運用開始に向けて更新される可能性があるため、古い資料だけで申請準備を完結させないことが重要です。 準備期間と費用を左右する要因 SCS★3準備に必要な期間は、従業員数だけでは決まりません。同じ300名規模でも、単一拠点でSaaS中心の企業と、複数拠点・オンプレミス・製造設備・多数の外部委託先を持つ企業では作業量が大きく異なります。 期間を左右する主な要因は、対象範囲の広さ、IT資産台帳の整備状況、既存規程の有無、ISMS等の既存認証、未是正の脆弱性、クラウド・SaaSの数、外部委託先の数、経営会議や稟議の頻度です。特に機器更改やシステム改修が必要になる場合は、調達期間を含めて計画する必要があります。 費用についても、制度への申請・登録に関する公的な料金だけでなく、専門家確認、コンサルティング、規程整備、脆弱性診断、製品導入、システム改修、教育・訓練などが発生し得ます。見積りでは「★3取得支援一式」という総額だけを見るのではなく、何が含まれるかを分解して確認しましょう。 社内稟議で説明すべきポイント 稟議では「SCS★3取得が必要だから費用がかかる」という説明だけでは、優先順位を上げにくいことがあります。経営者や財務部門には、①主要取引先から将来要求される可能性、②取得準備が遅れた場合の受注・更新への影響、③既存のセキュリティ課題も同時に改善できること、④事故時の停止・漏えい・復旧コストの低減につながること、⑤今回の投資が次回評価や他社チェックシートにも再利用できることを整理して説明すると判断しやすくなります。 また、取得期限が確定していない段階でも「現状評価だけ先に行い、改修費用はギャップ確認後に段階承認する」という進め方が可能です。最初から大規模投資を決裁するのではなく、フェーズを分けることで予算化の不確実性を下げられます。 支援会社を選ぶ際のチェックポイント SCS★3の支援会社を選ぶ際は、制度説明だけでなく、要求事項を実際のシステム・運用へ落とし込めるかを確認します。RFPや見積依頼では、現状評価、適用範囲設定、規程整備、技術対策、診断、証跡整備、専門家確認前のレビュー、取得後の運用支援のうち、どこまで対応するかを明示すると比較しやすくなります。 また、診断会社とコンサルティング会社を別々に利用する場合、診断結果が「脆弱性一覧」のままで終わり、SCS要求事項や経営リスクとの関係が整理されないことがあります。技術的な問題を、業務影響、是正優先度、必要予算まで翻訳できる支援会社を選ぶと、社内調整が進みやすくなります。 個人情報や機密情報を外部へ共有する可能性もあるため、秘密保持、データ保管場所、アクセス権、再委託、作業終了後のデータ削除、事故時の連絡体制も契約前に確認してください。 よくある失敗と注意点 取得直前に規程だけ大量に作る 規程を整えることは重要ですが、現場で運用できないルールを増やすと、評価後に形骸化します。現在の業務フローを確認し、実施可能な頻度・責任者・記録方法まで決めることが重要です。 対象範囲を広げすぎる、または狭めすぎる 全社の全システムを無条件で対象にすると負担が膨らみます。一方、取引先に影響する重要システムを外すと、取得の目的と合わなくなります。取引関係、情報、接続、業務継続への影響から対象範囲を説明できるようにします。 脆弱性診断を実施して満足する 診断は課題発見の手段です。重要なのは、発見事項をリスクに応じて是正し、再診断や設定確認で改善を確かめ、再発防止の運用へつなげることです。特に「高リスク」と判定された問題は、システム所有部門と経営層で対応期限を合意しておくと放置を防げます。 Librus株式会社が支援できること Librus株式会社では、SCS評価制度への対応を「申請書作成だけのプロジェクト」とせず、現状評価から技術対策、改善、運用まで一気通貫で支援します。企業ごとの業務、IT環境、主要取引先との関係を確認したうえで、必要な範囲と優先順位を個別に設計します。 具体的には、SCS★3要求事項とのギャップ分析、対象範囲の整理、規程・運用・証跡の整備、Webアプリケーション診断、プラットフォーム診断、必要に応じたペネトレーションテスト、インシデント対応体制やSOC／CSIRTの構築・運用、セキュリティ教育などを組み合わせられます。診断結果を提示して終えるのではなく、改善策の優先順位付け、経営層への説明、実施後の再確認まで支援できる点が特徴です。 また、SCS評価制度への対応だけでなく、M&A、IPO、取引先監査などの経営上の重要局面を踏まえて、技術と経営の両面から課題を整理します。情報システム部門と経営層、現場部門の間で認識がずれている場合にも、共通の判断材料を作ることで意思決定を進めやすくします。 よくある質問 Q1．SCS★3は法律上、必ず取得しなければなりませんか？ いいえ。SCS評価制度自体は任意の制度です。ただし、委託元と委託先の取引契約で取得が求められる場合は、実務上の取引条件になる可能性があります。自社の主要顧客や業界でどのように利用されるかを確認することが重要です。 Q2．取引先からまだ何も言われていません。それでも準備する必要がありますか？ 全ての企業が直ちに取得プロジェクトを開始する必要はありません。ただし、主要顧客からセキュリティチェックシートを頻繁に求められる企業、顧客情報を預かる企業、顧客システムに接続する企業は、少なくとも現状評価とギャップ把握を先に行うメリットがあります。 Q3．ISMSを取得していればSCS★3は自動的に取得できますか？ 自動的に取得できるわけではありません。既存のISMS規程や運用はSCS対応に活用できる可能性がありますが、SCS★3の要求事項・評価基準に照らして不足がないかを個別に確認する必要があります。 Q4．SCS★3取得に脆弱性診断は必須ですか？ ★3は専門家確認付き自己評価であり、★4の評価スキームで行われる第三者の技術検証と同じ仕組みではありません。ただし、外部公開資産や重要システムの実装上の弱点を客観的に把握するため、Webアプリケーション診断やプラットフォーム診断を実施することは有効です。 Q5．ペネトレーションテストまで実施した方がよいですか？ 全ての企業で一律に必要とは限りません。重要システムへの侵入経路や、複数の弱点を組み合わせた場合の事業影響を検証したい場合には有効です。まず資産とリスクを整理し、目的に応じて診断方法を選ぶことが重要です。 Q6．取得準備は情報システム部門だけで進められますか？ 難しいケースが多いです。人事、総務・法務、購買、事業部門、経営層も関係します。特に入退社管理、外部委託、教育、インシデント時の顧客報告、予算判断は部門横断での対応が必要です。 Q7．取引先から急に取得を求められた場合、最初に何をすべきですか？ まず期限、求められている★、対象となる契約・業務、適用範囲を取引先と確認します。そのうえで要求事項に対する現状評価を行い、短期で是正できる項目とシステム改修が必要な項目を分け、現実的な対応計画を作ります。 Q8．取得後は何もしなくてよいですか？ いいえ。セキュリティ対策は継続運用が前提です。資産や脅威、取引先要件は変化するため、アカウント棚卸し、パッチ管理、教育、バックアップ確認、診断、インシデント訓練などを定期的に見直す必要があります。 まとめ｜SCS★3は「要請を受けてから」ではなく、平時の準備が重要 サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の★3は、一般的なサイバー脅威に対処しうる基礎的なセキュリティ水準を可視化する仕組みです。制度自体は任意でも、取引先が調達・契約上の要件として★取得を求める場面は想定されています。 そのため、正式な依頼を受ける前に、適用範囲、IT資産、規程、運用証跡、脆弱性、バックアップ、インシデント対応、教育、委託先管理、経営責任を整理しておくことが重要です。早めに現状を把握しておけば、取引先から要請を受けた際も、必要な追加対策と費用、スケジュールを具体的に説明できます。 SCS★3対応を「認証取得のためだけの作業」にせず、自社の事業継続と取引先からの信頼を強化する機会として活用することが、結果として最も実務的な進め方です。 SCS★3対応の準備段階からご相談いただけます Librus株式会社では、「自社がSCS★3の対象になりそうか分からない」「取引先から求められる前に現状だけ確認したい」「要求事項と自社規程の差分を整理したい」「技術対策がどこまで必要か判断できない」といった初期段階からご相談いただけます。 対象範囲や実施方法が決まっていない段階でも、主要取引先との関係、IT環境、既存のセキュリティ対策を確認し、優先順位を整理することで、過剰な対策や重複投資を避けながら現実的な準備計画を作ることが可能です。制度対応に加えて、脆弱性診断、ペネトレーションテスト、インシデント対応、SOC／CSIRT支援、教育などを必要に応じて組み合わせ、改善・運用まで一貫して支援します。 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎）105-0004東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact

VIEW MORE

中小企業もSCS評価制度対応が必要？取引先から求められる可能性を解説

中小企業であっても、SCS評価制度への対応を早めに検討する価値があります。SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、企業規模によって一律に取得を義務付ける制度ではありません。しかし、発注企業が委託先に対して必要なセキュリティ水準を示し、取引契約などで★の取得を求める使い方が想定されています。つまり、中小企業にとって重要なのは「法律で義務化されるか」だけではなく、「主要取引先の調達・委託条件として求められるか」という視点です。 特に、大企業の業務システムを運用する、個人情報や機密情報を預かる、クラウドサービスを提供する、取引先ネットワークへ接続する、といった企業は影響を受けやすいと考えられます。制度開始は★3・★4ともに2027年3月頃が予定されており、要求事項を満たすための規程整備、資産把握、脆弱性対策、ログ管理、教育、インシデント対応などには一定の準備期間が必要です。取引先から要請を受けてから慌てて始めるより、自社の現状との差分を先に把握しておく方が、予算・人員・優先順位を整理しやすくなります。 出典：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」 https://www.meti.go.jp/policy/netsecurity/scs.html 出典：IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」 https://www.ipa.go.jp/security/scs/index.html この記事で分かること ・中小企業もSCS評価制度への対応を検討すべき理由 ・取引先から★3・★4の取得を求められる可能性が高い企業の特徴 ・★3と★4の違いと、Webアプリケーション診断・プラットフォーム診断・ペネトレーションテストとの関係 ・取引先から要請される前に進めたい準備と社内稟議の考え方 ・支援会社を選ぶ際に確認すべきポイント SCS評価制度とは SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化する制度です。経済産業省と内閣官房国家サイバー統括室が制度構築方針を示し、IPAが制度を運営します。制度上は、発注企業が委託先に対して必要な段階（★）を提示し、委託先が必要な対策を実施したうえで、その状況を確認できる仕組みが想定されています。 制度の背景には、発注側と受注側の双方が抱える課題があります。発注側は、委託先のセキュリティ対策が十分かを外部から判断しにくく、独自チェックリストを作成しても水準が適切か判断しづらいという問題があります。一方、受注側は、複数の取引先から異なる質問票や証跡提出を求められ、対応負担が増えやすい状況です。SCS評価制度は、こうした確認を共通化し、サプライチェーン全体の対策水準を引き上げることを目的としています。 対象は、クラウド環境を含む企業等のIT基盤です。一般的にIT基盤に該当しない製造現場のOTシステムや、取引先へ提供する製品そのものは直接の評価対象とはせず、他の制度やガイドラインで対策する整理が示されています。 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html 中小企業もSCS評価制度への対応が必要になるのか 結論として、SCS評価制度は任意制度であり、すべての中小企業に一律の取得義務が課されるわけではありません。経済産業省も、★の取得は取引契約の中で決められるものであり、制度自体が規制を課すものではないと説明しています。 ただし、「任意だから自社には関係ない」と判断するのは早計です。制度では、2社間の取引契約等において発注側が委託先に適切な★を提示する利用が想定されています。したがって、法令上の義務ではなくても、取引先の調達条件、委託先管理基準、更新審査、RFP（提案依頼書）などを通じて対応が求められる可能性があります。 経済産業省とIPAは、中小企業向けに「サイバーセキュリティお助け隊サービス」の新類型を検討しています。これは、中小企業が★3・★4の要求事項へ対応しやすくするための支援策です。公的機関が中小企業向けの取得支援を具体化していることからも、中小企業が制度の主要な利用対象として想定されていることが分かります。 出典：経済産業省「SCS評価制度に係る不適切な勧誘に御注意ください」 https://www.meti.go.jp/policy/netsecurity/20260427_scs.html 出典：経済産業省「サイバーセキュリティお助け隊サービス（新類型）」 https://www.meti.go.jp/policy/netsecurity/otasuketai_jissho.html なぜ今、中小企業が準備を始めるべきなのか 取引先から要請されてからでは準備期間が不足しやすい SCS評価制度への対応は、申請書を作成するだけでは完了しません。要求事項に照らして、自社の規程、システム設定、運用記録、教育実績、インシデント対応体制などを確認し、不足があれば改善する必要があります。たとえば、多要素認証の導入、不要アカウントの整理、バックアップ手順の見直し、脆弱性管理の定着、ログの保存・監視、委託先管理、従業員教育などは、社内調整や予算確保を伴うことがあります。 取引更新の1～2か月前に「★取得をお願いします」と言われても、すべての未対応事項を短期間で整えるのは難しい場合があります。制度開始前の段階で現状評価を行い、「すぐ直せるもの」「予算が必要なもの」「契約更新やシステム更改に合わせるもの」に分けておくと、対応が現実的になります。 発注企業は委託先リスクを経営リスクとして見るようになっている サプライチェーン攻撃では、攻撃者が本命の大企業を直接狙うのではなく、セキュリティ対策が相対的に弱い取引先、保守事業者、クラウド運用会社などを経由して侵入するケースが想定されます。たとえば、委託先のVPN機器の脆弱性を悪用して侵入し、認証情報を窃取したうえで発注企業の環境へアクセスする、委託先のアカウントを乗っ取って正規メールに見せかけた不正ファイルを送る、といった攻撃です。 このため、発注側にとって委託先の対策不足は「委託先だけの問題」ではありません。情報漏えい、サービス停止、顧客対応、復旧費用、監督当局や取引先への説明など、自社の事業継続や信用に直結します。SCS評価制度は、こうした委託先リスクを共通の物差しで確認するための仕組みとして活用されることが想定されています。 取引先から対応を求められる可能性が高い中小企業 企業規模だけで対象を判断するのではなく、「取引先との接続関係」「扱う情報」「提供サービスの重要度」で考えることが重要です。特に、次のような企業は早めに検討した方がよいでしょう。 ・大企業や重要インフラ企業の業務を受託している企業 ・顧客の個人情報、設計情報、営業秘密、認証情報を取り扱う企業 ・SaaS、クラウド運用、システム開発、保守、ヘルプデスクなどITサービスを提供する企業 ・取引先のネットワークやクラウド環境へ接続する企業 ・調達先・再委託先を多数抱え、自社もサプライチェーン管理を求められる企業 ・IPO、M&A、大口取引開始などを控え、セキュリティ体制を客観的に説明する必要がある企業 一方、上記に当てはまらない場合でも、主要顧客がSCS評価制度を調達基準に取り入れる可能性があります。営業・調達・法務・情報システム部門で主要顧客の契約更新時期やセキュリティ条項を確認し、顧客からの質問票や監査依頼が増えていないかを把握しておくと、必要性を判断しやすくなります。 ★3と★4は何が違うのか ★3は「一般的なサイバー脅威に対処しうる水準」とされ、取得希望組織による自己評価に、登録されたSCSセキュリティ専門家の確認・助言を加える仕組みです。最終的には経営層による自己適合宣誓を含めてIPAへ提出し、問題がなければ登録・公開されます。 ★4は、初期侵入の防御だけではなく、侵入後の被害拡大防止や取引先のデータ・システム保護、サプライチェーン上の役割に応じた強靭化策まで求める水準です。評価機関による第三者評価に加え、文書確認、実地審査、技術検証が行われます。★3を先に取得しなければ★4へ進めない仕組みではありません。 2026年10月4日時点では、★3・★4はいずれも2027年3月頃の運用開始が予定されています。取得には各段階で定められたすべての要求事項・評価基準を満たす必要があります。 出典：IPA「要求事項・評価基準」 https://www.ipa.go.jp/security/scs/requirements-criteria.html Webアプリケーション診断・プラットフォーム診断は必要か 特に★4では、評価機関と技術検証事業者による技術検証が想定されており、IPAは技術検証事業者の業務として脆弱性診断を明示しています。実際の検証範囲は、自社が決めた適用範囲や評価対象のサンプリングなどによって変わるため、「SCS評価制度なら必ず同じ診断メニューを実施する」と決めつけることはできません。 ただし、外部公開しているWebシステムがある場合はWebアプリケーション診断、サーバやネットワーク機器が対象となる場合はプラットフォーム診断が候補になります。より高度な侵入経路や権限昇格、横展開まで確認したい場合は、ペネトレーションテストを組み合わせることも考えられます。重要なのは「診断を実施した」という事実ではなく、対象資産のリスクに応じて検証方法を選び、発見した脆弱性を改善し、再確認まで回せることです。 たとえば、インターネット公開サーバで重大な脆弱性が見つかった場合、CVSSなどの技術的な深刻度だけでなく、「顧客データへ到達できるか」「認証を回避できるか」「外部から攻撃可能か」「代替策があるか」といった事業影響を踏まえて優先順位を付ける必要があります。 中小企業が進めるSCS評価制度への対応手順 1．まず取引上の必要性を確認する 主要顧客の契約、セキュリティチェックシート、RFP、委託先管理基準を確認します。営業担当が把握している取引先の方針変更も重要な情報です。「取得要請が既にある」「次回更新で導入されそう」「まだ不明」の3段階程度に分類すると、優先順位を付けやすくなります。 2．評価対象の範囲を決める 全社を一度に対象にするのではなく、どの事業、拠点、システム、クラウド環境、従業員、委託先までを評価対象とするかを整理します。取引先へ提供するサービスと直接関係するIT基盤から考えると、対象範囲を決めやすくなります。対象を狭くしすぎると取引先の期待と合わず、広げすぎると対応コストが膨らむため、契約関係と情報の流れを踏まえて設定する必要があります。 3．現状と要求事項のギャップを洗い出す 規程類、資産台帳、アカウント一覧、ネットワーク構成図、クラウド構成、バックアップ手順、ログ管理方針、教育記録、インシデント対応手順、委託先一覧などを準備し、要求事項とのギャップを確認します。ここでは「実施しているが証跡がない」のか、「仕組み自体がない」のかを分けて整理することが重要です。 4．優先順位を付けて改善計画を作る 未対応項目をすべて同じ優先度で扱う必要はありません。外部から悪用されやすい脆弱性、管理者権限、リモートアクセス、バックアップ、認証、重要データへのアクセス制御など、事業停止や情報漏えいに直結しやすいものから改善します。そのうえで、規程改定、教育、運用記録の整備などを並行して進めます。 5．申請・評価に向けた証跡を整える 評価では、対策を「やっている」と説明するだけでなく、設定画面、台帳、ログ、議事録、教育履歴、点検記録などで確認できる状態が重要です。日常運用で記録が残る仕組みにしておけば、SCS評価制度だけでなく、取引先監査やISO27001、プライバシーマーク等の説明にも活用しやすくなります。 費用と期間は何で変わるのか 費用は、IPAへ支払う登録料だけでなく、専門家確認、第三者評価、技術検証、改善対応、ツール導入、社内工数などを含めて考える必要があります。IPAが2026年9月18日に公表した料金では、2028年3月31日までの★3登録料は1万円（1年分）、★4登録料は6万円（3年分）です。2028年4月1日以降は★3が2万円（1年分）、★4は6万円（3年分）とされています。これらは制度への登録料であり、外部専門家や評価機関、技術検証、コンサルティング等の費用は別に発生し得ます。 出典：IPA「SCS評価制度 料金設定のお知らせ」（2026年9月18日） https://www.ipa.go.jp/security/scs/rcu1hd00000075om-att/pricelist.pdf 準備期間も企業ごとに異なります。すでにISMS等を運用し、資産管理・アクセス制御・教育・インシデント対応などが整っている企業は比較的短期間でギャップを埋められる可能性があります。一方、規程や資産台帳が未整備、クラウド利用が部門ごとに分散、管理者アカウントを共有している、といった状況では、数か月単位の改善計画が必要になることがあります。 稟議では「SCS評価制度取得費」だけで申請するより、主要顧客との取引継続、セキュリティ監査対応の効率化、事故発生確率と影響の低減、今後の新規営業での説明力向上といった事業上の効果を併せて示すと、経営判断につながりやすくなります。 対応しなかった場合に起こり得る問題 SCS評価制度を取得していないことだけを理由に、直ちに法律上の制裁を受けるわけではありません。しかし、主要顧客が調達条件として★取得を設定した場合は、取引上の影響が生じる可能性があります。たとえば、新規案件の提案条件を満たせない、契約更新時に追加説明を求められる、個別のセキュリティ監査や質問票対応が増える、といったケースです。 また、制度対応を見送った結果として本質的な対策不足が残れば、サイバー攻撃による事業停止、情報漏えい、復旧コスト、顧客への補償や説明、信用低下などのリスクも残ります。SCS評価制度への準備は、マーク取得そのものだけではなく、自社のセキュリティ運用を見直す機会として捉える方が有効です。 支援会社を選ぶときのチェックポイント SCS評価制度の支援会社を選ぶ際は、チェックリストへの回答代行だけでなく、未達項目を技術面・運用面の双方から改善できるかを確認しましょう。特に、次の観点は見積依頼やRFPで確認しておきたい項目です。 ・★3・★4の要求事項と最新の制度情報を踏まえて支援できるか ・現状評価だけでなく、規程整備、設定変更、運用設計まで支援できるか ・Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト等の技術支援が可能か ・発見事項を技術的重大度だけでなく、事業影響と改善コストで優先順位付けできるか ・評価時に扱う個人情報・機密情報・構成情報の管理方法が明確か ・取得後の再診断、継続監視、教育、インシデント対応体制まで相談できるか 特に★4を視野に入れる場合、文書整備だけではなく技術検証が関係します。コンサルティング会社と診断会社を別々に選ぶと、対象範囲や改善方針の調整に時間がかかる場合があります。支援体制や役割分担を事前に確認し、自社の負担が過度に増えない進め方を選ぶことが重要です。 よくある失敗と注意点 「製品を買えば取得できる」と考える 経済産業省は、評価基準を満たすために特定のセキュリティ製品の導入を必須としていません。EDR、UTM、SIEMなどの製品が役立つ場面はありますが、重要なのは要求事項に対して必要な対策が実施され、運用されていることです。製品導入だけで規程、教育、アカウント管理、インシデント対応が整うわけではありません。 証跡を後からまとめて作ろうとする 評価直前に過去の点検記録や教育記録をまとめて整えようとしても、実運用と一致しない資料になりがちです。日常業務の中で点検・承認・変更履歴が残るようにし、証跡を運用の副産物として生成する設計が望まれます。 取引先の要求水準を確認せず★を決める 自社が★3を取得しても、主要顧客が★4を条件とするなら追加対応が必要です。逆に、現時点で★3で十分な取引先に対して、必要性を確認せず★4を急ぐとコスト過多になる場合があります。営業・経営・情報システムが連携し、取引上の必要水準を確認してから計画を立てることが大切です。 Librus株式会社が提供できるSCS評価制度対応支援 Librus株式会社では、SCS評価制度への対応を「申請書を作る作業」と切り分けず、現状評価から改善、技術検証、運用定着まで一気通貫で支援します。企業ごとの事業内容、取引先との関係、システム構成、既存のセキュリティ施策を確認し、必要な対応を個別に設計します。 たとえば、要求事項とのギャップ分析、評価対象範囲の整理、規程・手順の整備、リスクアセスメント、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、教育・訓練、SOC／CSIRTの構築・運用支援まで、課題に応じて組み合わせることが可能です。診断で問題を指摘するだけでなく、改善の優先順位、実施方法、運用への落とし込みまで支援できる点を重視しています。 また、経営層には取引継続・事業停止・信用毀損といった経営リスクの観点から、情報システム部門には技術・運用の観点から整理し、部門間の認識差を埋めながら進めます。M&A、IPO、取引先監査など、セキュリティの説明責任が高まる局面とあわせた支援にも対応します。 よくある質問 Q1．中小企業はSCS評価制度の取得が義務ですか？ いいえ。SCS評価制度は任意制度です。ただし、発注企業が取引条件として★取得を求める可能性があります。主要顧客の調達基準や契約条件を確認することが重要です。 Q2．従業員100名程度でも対象になりますか？ 企業規模だけで対象外にはなりません。SCS評価制度はサプライチェーンを構成する企業全体を想定しており、特に中小企業での活用効果が大きいとされています。 Q3．★3と★4のどちらを目指せばよいですか？ まず主要取引先が求める水準と、自社が扱う情報・サービスの重要度を確認します。一般的な脅威への対策水準を確認する★3と、第三者評価・技術検証を伴う★4では準備負担が異なります。 Q4．★3を取ってからでないと★4を取得できませんか？ いいえ。IPAは、上位段階が下位段階の要求を包括するものの、★3を事前取得しなければ★4を取得できない関係ではないと説明しています。 Q5．SCS評価制度の開始時期はいつですか？ 2026年10月4日時点で、★3・★4は2027年3月頃の運用開始が予定されています。制度情報は更新される可能性があるため、IPAの最新情報を確認してください。 Q6．取得費用はいくらですか？ IPAの登録料は、2028年3月31日まで★3が1万円（1年分）、★4が6万円（3年分）です。ただし、専門家確認、第三者評価、技術検証、改善対応などの費用は別途発生し得ます。 Q7．脆弱性診断やペネトレーションテストを必ず実施する必要がありますか？ 評価段階や対象範囲によります。特に★4では技術検証が行われますが、具体的な検証対象は適用範囲やサンプリングによって変わります。自社のシステムとリスクに応じて診断方法を設計する必要があります。 Q8．取引先から何も言われていない場合でも準備した方がよいですか？ 大口顧客や重要な委託関係がある場合は、少なくとも現状と要求事項のギャップ確認を先に行うことを推奨します。要請を受けてから不足項目を一度に解消するより、予算とスケジュールを組みやすくなります。 まとめ：中小企業は「義務か」より「取引で求められるか」を確認する サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は任意制度であり、中小企業だから一律に取得が義務付けられるものではありません。一方、発注企業が委託先に必要な★を提示し、取引契約の中で取得を求める活用が想定されています。そのため、中小企業にとっては「法令上の義務」よりも「主要取引先との取引継続や新規受注に必要になるか」が実務上の重要な判断軸です。 2027年3月頃の制度開始に向けて、まずは取引先の動向と自社の現状を確認し、要求事項とのギャップを可視化することが第一歩です。必要な対策をすべて同時に実施するのではなく、事業影響が大きいリスクから優先順位を付け、予算・人員・システム更改のタイミングに合わせて改善していくことが、無理のない対応につながります。 SCS評価制度への対応方針が未定でもご相談いただけます 「取引先から求められる可能性はあるが、★3と★4のどちらを目指すべきか分からない」「自社のどのシステムまで対象にすべきか判断できない」「規程整備と脆弱性診断をどの順番で進めるべきか」といった段階でもご相談いただけます。Librus株式会社では、現在の体制と取引上の必要性を整理したうえで、過剰な対応を避けながら、優先度の高い施策と実施順序を具体化します。 対象範囲や実施方法が固まっていない場合でも、現状整理から始めることで、社内稟議に必要な論点、概算の進め方、技術検証の要否、改善計画を明確にしやすくなります。SCS評価制度への対応を、取引先への説明のためだけでなく、今後の事業継続とセキュリティ運用の強化につなげたい場合は、Librus株式会社までご相談ください。 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎） 105-0004東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F 03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact

VIEW MORE

SCS評価制度は義務化される？対象企業・取引先への影響を解説

サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は、法律で全企業に一律の取得を義務付ける制度ではありません。しかし、制度は「委託元が委託先に必要なセキュリティ水準を示し、取引契約等でその実施状況を確認する」ことを想定しており、今後は取引条件や委託先選定の基準として★3・★4の取得を求められる可能性があります。特に、大企業や重要なサプライチェーンにサービスを提供する中堅・中小企業では、「法的義務ではないから様子を見る」よりも、自社がどの取引でどの水準を求められ得るかを早めに整理することが実務上重要です。 出典：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」 https://www.meti.go.jp/policy/netsecurity/scs.html この記事で分かること ・SCS評価制度が法律上の義務なのか、取引上どのような影響が生じるのか ・★3・★4の違いと、どのような企業が対応を検討すべきか ・制度開始前に経営層・情報システム部門が準備しておくべき事項 ・Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストがどこで関係するのか ・取得にかかる費用・期間を左右する要因と、支援会社を選ぶ際の確認ポイント SCS評価制度とは SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価し、可視化するための制度です。経済産業省と内閣官房国家サイバー統括室が制度構築方針を公表し、独立行政法人情報処理推進機構（IPA）が制度運営を担います。★3・★4は2027年3月頃の運用開始が予定されています。 背景には、委託元にとって「取引先が十分な対策をしているか外から判断しづらい」という課題と、委託先にとって「顧客ごとに異なるチェックシートや監査に対応しなければならない」という課題があります。SCS評価制度は、取引先に求める対策水準を段階として示すことで、双方の確認負担を減らしながら、サプライチェーン全体のセキュリティ水準を引き上げることを目的としています。 出典：IPA「SCS評価制度」 https://www.ipa.go.jp/security/scs/index.html SCS評価制度は義務化される？結論は「任意だが取引条件になり得る」 結論から言えば、SCS評価制度そのものは任意制度です。経済産業省のFAQでも、★3や★4の取得は必須ではなく、制度として規制を課すものではないと明記されています。したがって、「従業員数が一定以上なら必ず取得しなければならない」といった一律の法的義務ではありません。 一方で、同じFAQでは、★の取得は委託元または委託先との取引契約において決められるものとされています。ここが企業実務で最も重要なポイントです。制度が任意であっても、主要顧客が「重要システムに関わる委託先は★4」「一般的な業務委託先は★3」といった調達基準を定めれば、受注を維持・獲得するために対応が必要になる場合があります。 つまり、経営層が見るべき論点は「国から義務付けられるか」だけではありません。「主要顧客や親会社、元請企業がどのタイミングで取得を求めるか」「未取得のままでも取引継続できるか」「新規入札やRFPで加点・必須条件になるか」を確認する必要があります。 出典：経済産業省「SCS評価制度 FAQ」 https://www.meti.go.jp/policy/netsecurity/scs.html 対象となる企業は？従業員100～1,000名でも無関係ではない IPAは、SCS評価制度について「全てのサプライチェーン企業が対象」としています。したがって、製造業だけの制度ではありません。ITサービス、ソフトウェア開発、クラウド運用、BPO、物流、設備保守、人材、専門サービスなど、他社の事業や情報資産に接続する企業は幅広く対象になり得ます。 特に従業員100～1,000名規模の企業では、大手企業の一次・二次委託先として重要業務を担う一方、専任のセキュリティ人員や監査対応体制が十分でないケースもあります。そのため、要求事項を読んでから個別対応するのではなく、既存の規程、資産管理、アカウント管理、ログ、バックアップ、インシデント対応、委託先管理などを横断的に棚卸しすることが効率的です。 取引先から取得を求められやすい場面 たとえば、顧客の基幹システムや個人情報を扱う業務、クラウド環境の管理権限を持つ運用業務、製品・サービスの継続提供に直結する外部委託、機密性の高い研究開発情報を扱う業務などは、取引先側から見た影響が大きくなります。こうした場面では、単なる自己申告ではなく、第三者評価や技術検証を含む★4を求める考え方が採られる可能性があります。 逆に、影響範囲が限定的な業務でも、取引先が全委託先に共通基準を適用すれば★3を求められることがあります。自社の業種だけで判断せず、「どの顧客の、どの業務に、どの情報・システムで関与しているか」を基準に考えるべきです。 ★3と★4の違い ★3は「専門家確認付きの自己評価」 ★3では、取得希望組織が要求事項・評価基準に沿って自己評価を行い、社内外のSCSセキュリティ専門家による確認・助言を受けます。そのうえで経営層による自己適合宣誓を含む評価結果を事務局へ提出し、問題がなければ登録される仕組みです。有効期間は1年とされ、年次で対策状況を点検して更新することが想定されています。 ★4は「第三者評価＋技術検証」 ★4では、指定された評価機関による第三者評価を受けます。評価には文書確認や実地審査に加え、技術検証が含まれます。IPAは、技術検証事業者の主な対象として脆弱性診断・ペネトレーションテストのサービス提供事業者を挙げています。つまり、規程や手順が整っているだけでなく、実際のIT環境に対して必要な技術的確認を行える状態が求められます。 ★4の有効期間は3年で、その間も1年ごとの自己評価が必要です。適用範囲や対策状況に大きな変更があった場合は、改めて評価を受けることが想定されています。大規模なクラウド移行、ネットワーク構成の変更、基幹システム刷新などは、取得後の維持にも影響するため、IT投資計画とSCS対応を別々に管理しないことが重要です。 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html 出典：IPA「指定申請について（評価機関・技術検証事業者・研修事業者向け）」 https://www.ipa.go.jp/security/scs/security-experts-organization/shiteishinsei.html 対応しない場合に起こり得る問題 未取得であることだけを理由に、自動的に行政処分や罰則が科される制度ではありません。しかし、取引先が★取得を契約条件や調達基準に組み込んだ場合は、別の問題が生じます。たとえば、既存取引の更新時に追加対応を求められる、新規案件の提案要件を満たせない、監査回答の工数が増える、競合企業との比較で説明力が弱くなる、といった影響です。 さらに、制度への対応準備が不十分な企業では、評価の直前になってアカウント管理台帳が揃わない、バックアップ復旧テストの記録がない、インシデント対応手順はあるが訓練実績がない、委託先の再委託先まで把握できていない、といった事実が判明しやすくなります。これらはSCS対応だけの問題ではなく、実際のサイバー攻撃が発生した際の事業継続や説明責任にも直結します。 経営上は、取得の有無そのものよりも、「重要顧客からの要求に期限内で応えられるか」「不足対策の費用をどの年度予算で確保するか」「重大な不備が見つかったときに事業側と優先順位を決められるか」を事前に整理しておくことが重要です。 制度開始前に企業が進めるべき対応手順 1. まず取引とシステムの関係を可視化する 最初に行うべきなのは、要求事項を上から順に埋めることではありません。主要顧客、提供サービス、利用システム、保有データ、外部委託先、クラウドサービスの関係を整理し、「どの取引に事故が起きると誰へ影響するか」を把握します。ここで対象範囲を曖昧にすると、後から評価対象が広がり、追加対応が増えます。 2. 現状と要求事項のギャップを確認する 次に、★3・★4の要求事項・評価基準に対して、現状がどこまで満たせているかを確認します。規程の有無だけでなく、実際に運用されているか、証跡を出せるかまで見ることが必要です。たとえば「多要素認証を導入している」と回答しても、特権IDやリモートアクセスの一部が対象外なら、追加対応が必要になる可能性があります。 出典：IPA「要求事項・評価基準」 https://www.ipa.go.jp/security/scs/requirements-criteria.html 3. 不足をリスクと取引影響で優先順位付けする すべての不足を同時に解消しようとすると、予算も人員も不足します。外部公開システムの重大な脆弱性、管理者権限の不備、復旧できないバックアップ、検知・初動体制の欠如など、侵害時の影響が大きいものから優先します。その際、技術的な深刻度だけでなく、停止した場合の売上影響、顧客への通知義務、契約上の責任、代替手段の有無も合わせて判断すると、経営会議や稟議で説明しやすくなります。 4. 技術検証が必要な領域を早めに洗い出す ★4を見据える場合は、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストなどの技術検証をどこまで行う必要があるかを早めに整理します。Webアプリケーション診断は、認証・入力処理・権限管理などWebアプリ固有の脆弱性を確認するものです。プラットフォーム診断は、OS、ミドルウェア、ネットワーク機器などの設定や既知脆弱性を確認します。ペネトレーションテストは、想定した攻撃シナリオで侵入可能性や影響を実践的に検証する手法です。 重要なのは、診断を実施したという事実ではなく、「対象範囲が評価対象と一致しているか」「重大な指摘を是正したか」「再診断で改善を確認したか」です。外部公開資産の棚卸しが不十分なまま診断を発注すると、評価対象システムが漏れることがあります。 5. 証跡を残せる運用に変える 評価では、口頭で「やっています」と説明するだけでは不十分です。アクセス権棚卸し記録、教育実施記録、インシデント訓練記録、脆弱性対応履歴、バックアップ・復旧テスト記録、委託先評価記録などを、担当者が変わっても追跡できる形で残す必要があります。SCS対応を一度きりのプロジェクトにせず、月次・四半期・年次の運用サイクルに組み込むことが、更新時の負担を減らします。 準備しておきたい資料と社内体制 情報システム部門だけで完結させようとすると、規程、委託契約、教育、人事異動、事業継続、個人情報管理などで情報が分断されます。実務では、経営層、情報システム・セキュリティ、法務・総務、人事、購買、事業部門をまたいだ責任分担が必要です。 事前に準備しておきたい資料としては、情報セキュリティ規程・手順書、IT資産台帳、ネットワーク構成図、クラウド利用一覧、アカウント・権限管理台帳、脆弱性管理記録、インシデント対応計画、BCP・バックアップ方針、委託先一覧と契約書、教育・訓練記録、監査結果、過去の診断報告書などがあります。資料があるだけでなく、最新状態に更新されているかも確認します。 経営層は、取得目標の★、対象となる事業・拠点・システム、責任者、改善予算、完了期限を決める役割を担います。特に複数事業を持つ企業では、「全社一括で取るのか」「特定サービスを適用範囲にするのか」で必要な工数が大きく変わるため、最初のスコープ設計が重要です。 費用と期間は何で決まる？ IPAが2026年9月18日に公表した料金設定では、2027年3月以降に受付開始予定の登録希望組織について、2028年3月31日までの登録料は★3が10,000円（1年分）、★4が60,000円（3年分）とされています。2028年4月1日以降は、★3が20,000円（1年分）、★4が60,000円（3年分）です。 ただし、企業が実際に負担する総費用は登録料だけではありません。★3では現状整理や専門家確認の支援費用、★4では評価機関による第三者評価や技術検証の費用、さらに不足対策の導入費用が加わります。自社の環境が複雑であるほど、対象拠点やシステムが多いほど、また証跡が未整備であるほど工数は増えます。 期間も同様です。既にISMS等の管理体系があり、資産管理・権限管理・インシデント対応・委託先管理が運用されている企業と、規程や台帳から整備する企業では準備期間が異なります。制度開始直前に外部支援を探すより、先にギャップ分析だけ実施して「制度開始までに何を直す必要があるか」を把握しておく方が、予算化と社内調整を進めやすくなります。 出典：IPA「SCS評価制度 料金設定のお知らせ」（2026年9月18日） https://www.ipa.go.jp/security/scs/rcu1hd00000075om-att/pricelist.pdf 社内稟議では「認証取得」ではなく「取引継続とリスク低減」で説明する SCS評価制度への対応を「セキュリティ部門の認証取得プロジェクト」として説明すると、経営層から費用対効果を問われやすくなります。稟議では、主要顧客から取得を求められる可能性、未対応時の受注・更新リスク、既存監査対応の効率化、インシデント発生時の損失低減など、事業上の効果と結び付けて説明することが重要です。 また、予算は「評価費用」と「改善費用」を分けて考えます。評価を受けるための費用を確保しても、診断で重大な脆弱性が見つかり、追加の改修や機器更新が必要になれば、別途予算が必要です。改善費を想定せずに評価日だけ決めると、指摘を解消できないまま期限を迎える可能性があります。 支援会社・評価関連事業者を選ぶ際のポイント SCS評価制度への対応では、「チェックリストを埋める支援」と「実態を改善する支援」を区別して考えることが大切です。制度要求を読めるだけでなく、ネットワーク、クラウド、Webアプリケーション、ID管理、ログ監視、インシデント対応などの技術面を理解し、経営・法務・購買を含む運用に落とし込める会社が望ましいでしょう。 見積依頼やRFPでは、対応可能な★の範囲、ギャップ分析の方法、技術検証との連携、成果物の内容、指摘事項の優先順位付け、改善支援の有無、再診断の条件、機密情報の取り扱い、担当者の経験を確認します。★4を目指す場合は、制度上の評価機関・技術検証事業者の指定状況も確認が必要です。IPAは評価機関を2026年12月末頃、SCSセキュリティ専門家を2027年1月頃から公表予定としています。 出典：IPA「SCSセキュリティ専門家・評価機関」 https://www.ipa.go.jp/security/scs/security-experts-organization/index.html よくある失敗と注意点 制度開始後に要求が来てから動く 取引先から期限付きで取得を求められてから現状確認を始めると、規程改定、システム改修、診断、再診断、社内承認が重なります。少なくとも主要顧客との契約更新時期と、2027年3月頃の制度開始予定を並べて、先に対応順を決めておくと安全です。 適用範囲を広く取りすぎる、または狭く取りすぎる 対象範囲を必要以上に広げるとコストが膨らみます。一方、取引先に提供する重要サービスのシステムが対象外になっていれば、取得しても説明力が不足します。組織図ではなく、顧客へのサービス提供経路と情報・システムのつながりから範囲を決めることが重要です。 診断を「実施済み」で終わらせる 脆弱性診断やペネトレーションテストで問題が見つかった後、改修・再検証まで完了しなければリスクは残ります。特に外部公開サービスの重大な脆弱性は、SCS対応のためだけでなく事業継続上も優先して是正すべきです。 個人情報・機密情報の取り扱いを確認しない 評価支援や技術検証では、構成図、脆弱性情報、管理者権限、ログなど機密性の高い情報を外部へ共有する場合があります。秘密保持契約、データの保管場所、アクセス権、再委託、削除方法まで事前に確認しましょう。 Librus株式会社が提供できるSCS評価制度対応支援 Librus株式会社では、SCS評価制度への対応を「申請書類の作成」だけで終わらせず、現状把握、リスク整理、技術検証、改善、運用まで一気通貫で支援します。企業ごとの環境や取引条件に応じて、必要な範囲を個別に設計できることが特徴です。 具体的には、★3・★4を見据えたギャップ分析、要求事項に対応する規程・運用の整備、情報セキュリティ体制の構築、リスクアセスメント、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、SOC／CSIRT構築・運用支援、インシデントレスポンス、デジタルフォレンジック、教育・訓練などを組み合わせて支援できます。 制度対応では、技術部門だけに負荷を集中させないことも重要です。Librusは技術と経営の両面から課題を整理し、経営層、情報システム部門、現場部門の橋渡しを行います。M&A、IPO、取引先監査など、短期間でセキュリティの説明責任が高まる局面も含め、優先順位を付けて対応計画を設計します。 よくある質問 SCS評価制度は法律で義務化されますか？ 現時点では任意制度であり、制度自体が全企業に取得を義務付けるものではありません。ただし、取引先が契約・調達条件として★取得を求める可能性があるため、取引上は実質的に必要となるケースがあります。 中小企業も対象ですか？ はい。IPAは全てのサプライチェーン企業を対象としています。特に大企業の委託先や重要なサービスを提供する企業では、企業規模にかかわらず対応を求められる可能性があります。 ★3と★4はどちらを目指せばよいですか？ 取引先から求められる水準と、自社が担う業務の重要性で判断します。★3は専門家確認付き自己評価、★4は第三者評価と技術検証を伴います。主要顧客の調達方針が未定の場合は、まず現状のギャップを把握し、どちらにも移行できる準備を進める方法があります。 SCS評価制度はいつ始まりますか？ IPAは★3・★4について2027年3月頃の運用開始を予定しています。制度運営基盤の整備状況等により変更される可能性があるため、最新情報はIPAの公式サイトで確認してください。 登録料はいくらですか？ 2026年9月18日公表の料金設定では、2028年3月31日までの登録料は★3が10,000円（1年分）、★4が60,000円（3年分）です。ただし、専門家支援、第三者評価、技術検証、改善対応などの費用は別途発生します。 脆弱性診断を実施していれば★4を取得できますか？ 脆弱性診断だけで十分とは限りません。★4は要求事項全体に対する第三者評価と技術検証を伴うため、組織的な管理策、運用記録、インシデント対応、委託先管理なども含めて適合状況を確認する必要があります。 ISMSを取得済みなら対応は不要ですか？ 既存の管理体系や証跡はSCS対応に活用できますが、SCS評価制度の要求事項・評価基準に対する確認は別途必要です。既存制度との重複を整理し、不足部分だけを補う進め方が効率的です。 制度の対象範囲がまだ決まっていなくても相談できますか？ 可能です。むしろ、対象範囲の決定前に取引・システム・データの関係を整理することで、過大なスコープや対象漏れを避けやすくなります。 まとめ：SCS評価制度は任意でも、取引上の重要性は高まる サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は、現時点で法律上の一律義務ではありません。しかし、委託元が委託先に必要な★を提示し、取引契約等で対策状況を確認する運用が想定されています。今後、主要顧客の調達基準や委託先管理の中で取得が求められれば、任意制度であっても事業上の対応優先度は高くなります。 重要なのは、制度開始を待つことではなく、自社の取引先、重要サービス、IT資産、現在の対策と証跡を整理し、「要求された場合にどの程度の期間と費用が必要か」を把握しておくことです。特に★4を視野に入れる場合は、文書整備だけでなく、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストなどの技術検証と、その後の改善まで計画に含める必要があります。 SCS評価制度への対応方針が決まっていない段階でもご相談いただけます 「取引先から求められる★がまだ分からない」「どこまでを評価対象にすべきか決められない」「現在の規程や技術対策で何が不足しているか知りたい」といった段階でも、対応準備を始めることはできます。Librus株式会社では、現状のヒアリングとギャップ整理から、対象範囲の設計、改善計画、脆弱性診断・ペネトレーションテスト、運用体制の整備まで、企業ごとの状況に合わせて支援します。早い段階で不足と優先順位を可視化することで、取引先から要請を受けた後の突発的な対応を減らし、予算化や社内稟議を進めやすくなります。 公的情報の確認先 SCS評価制度は運用開始に向けて規程・手続・評価機関等の情報が順次更新されています。公開前には、経済産業省およびIPAの最新情報を確認してください。 出典：経済産業省 SCS評価制度特設ページ https://www.meti.go.jp/policy/netsecurity/scs.html 出典：IPA SCS評価制度公式ページ https://www.ipa.go.jp/security/scs/index.html 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎） 〒105-0004 東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F 03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact

VIEW MORE