SCS評価制度の★3・★4とは？違いと企業が目指すべき水準を解説

サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は、取引先に求めるセキュリティ対策の水準を共通化し、実施状況を可視化するための制度です。★3は「一般的なサイバー脅威に対処できる最低限の実装水準」、★4は「侵入後の被害拡大防止や技術検証まで含む標準的な水準」と位置付けられています。 従業員100〜1,000名規模の企業では、まず取引先から求められる水準と自社の事業リスクを整理し、★3で十分なのか、★4までを目指すべきなのかを判断することが重要です。特に、機密情報や個人情報を預かる企業、重要な業務システムを運用する企業、停止時に取引先へ大きな影響が出る企業は、★4を視野に入れた準備が現実的です。 本記事では、2026年10月4日時点でIPA・経済産業省が公表している一次情報をもとに、★3・★4の違い、対象企業、対応手順、技術検証、費用・期間、社内稟議、支援会社の選び方まで実務目線で解説します。 この記事で分かること SCS評価制度の目的と、★3・★4の位置付け ★3と★4の要求水準・評価方法・技術検証の違い 自社が★3と★4のどちらを目指すべきかの判断基準 申請前に準備すべき資料、体制、診断・テストの考え方 費用・期間を左右する要因と、稟議・ベンダー選定のポイント SCS評価制度とは SCS評価制度は、サプライチェーンを通じたサイバーリスクへの対応を目的として、経済産業省と内閣官房国家サイバー統括室の監督のもと、独立行政法人情報処理推進機構（IPA）が運営する評価制度です。★3・★4は2027年3月頃の運用開始が予定されています。 背景にあるのは、委託元が取引先のセキュリティ対策を評価しにくい一方、委託先は複数の取引先から異なるチェックシートへの回答を求められ、双方に負担が生じているという問題です。SCS評価制度では、取引契約等において委託元が適切な段階を示し、委託先がその水準を満たしているか確認できる共通の枠組みを目指しています。 出典：IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」 https://www.ipa.go.jp/security/scs/index.html 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html SCS評価制度の★3・★4の違い 結論からいえば、★3と★4の最大の違いは「求められる対策の深さ」と「評価の客観性」です。★3は専門家の確認を受けた自己評価で取得を目指します。一方、★4は指定された評価機関による第三者評価に加え、実地審査や技術検証まで行われます。 比較項目★3 Basic★4 Standard実務上の意味位置付け最低限実装すべき対策標準的に目指すべき対策取引先への影響や扱う情報の重要性が高いほど★4を検討要求事項数26項目44項目★4は★3を包括し、より広い対策が必要評価方法専門家確認付き自己評価第三者評価★4は社外から説明できる客観性が高い確認内容主に書類確認文書確認・実地審査・技術検証★4は実装状況まで検証される有効期間・登録料1年・10,000円（2028年3月31日まで）3年・60,000円登録料以外に支援・評価・技術検証等の費用が発生し得る 出典：IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版 説明資料」 https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_setsumeisiryou.pdf 出典：IPA「料金設定のお知らせ」 https://www.ipa.go.jp/security/scs/rcu1hd00000075om-att/pricelist.pdf ★3とは｜一般的な脅威に対処する最低限の実装水準 ★3は、一般的なサイバー脅威に対処し得ることを水準として定めた段階です。IPAの整理では「最低限実装すべき対策（26項目）」とされ、取得希望組織が自己評価を行い、SCSセキュリティ専門家の確認と助言を経た上で、経営層による自己適合宣誓を含む申請を行う仕組みです。 ここで重要なのは、単なるチェックシート回答ではない点です。すべての要求事項・評価基準を満たす必要があり、「規程はあるが運用されていない」「端末対策はあるが、対象範囲に漏れがある」といった状態では適合が難しくなります。 ★4とは｜侵入後の被害拡大防止と第三者評価まで求める水準 ★4は、初期侵入を防ぐ対策だけではなく、侵入された場合の被害拡大防止、攻撃者による目的遂行のリスク低減、取引先のデータ・システム保護、サプライチェーンにおける自社の役割に応じた強靭化策まで求める段階です。要求事項は44項目で、評価機関による第三者評価と技術検証が行われます。 技術検証では、規程や設定値を読むだけでは見つからない弱点を確認します。例えば、インターネット公開されたWebアプリケーションに認証不備や入力値検証の欠陥がないかを確認するWebアプリケーション診断、サーバー・ネットワーク機器・クラウド基盤の設定不備や脆弱性を確認するプラットフォーム診断、さらに攻撃者と同様の観点で侵入経路や横展開の可能性を検証するペネトレーションテストなどが、対象範囲やリスクに応じて重要になります。 ★3を取ってからでないと★4に進めないわけではない ★4は★3の内容を包括しますが、★3の取得が★4申請の前提条件ではありません。自社の取引上の立場や顧客要求から★4が必要であれば、最初から★4を目指すことも可能です。ただし、現状が★3相当にも達していない場合、いきなり第三者評価へ進むと是正項目が増え、期間や費用が膨らみやすくなります。実務上は、まずギャップ分析で★3相当の基礎を固め、その後★4要求へ広げる進め方が効率的です。 出典：IPA「よくある質問」 https://www.ipa.go.jp/security/scs/faq.html なぜ今、SCS評価制度への準備が必要なのか SCS評価制度は法令上の一律義務として全企業に取得を求めるものではありません。しかし、制度が取引契約における共通の確認手段として使われることが想定されているため、調達条件や取引先監査の中で「★3以上」「重要委託先は★4」といった要求が出てくる可能性があります。 特に従業員100〜1,000名規模の企業は、大企業の重要な委託先である一方、専任のセキュリティ人材や予算が十分でないことがあります。制度開始後に顧客から対応を求められてから着手すると、規程整備、資産棚卸し、アクセス権見直し、ログ管理、バックアップ、教育、脆弱性対応などを短期間で並行して進めることになり、現場負荷が高くなります。 経済産業省は、2024年度の中小企業実態調査を踏まえ、サイバー攻撃の被害を受けた中小企業の約7割で取引先にも影響が及んだと紹介しています。セキュリティ対策は自社のIT課題だけではなく、取引継続や信用維持に関わる経営課題として考える必要があります。 出典：経済産業省「中小企業のための実例で学ぶサイバーセキュリティリスク事例集等を公表」 https://www.meti.go.jp/press/2025/03/20260327002/20260327002.html 対応しなかった場合に起こり得る問題 SCS評価制度を取得しないこと自体に直ちに罰則が生じる制度ではありません。実務上の問題は、取引先から求められた水準を説明できないことです。新規取引のセキュリティ審査で追加資料を求められる、既存取引先の監査で改善計画を要求される、重要業務の委託先候補から外れるといった影響が考えられます。 また、評価取得とは別に、対策不足そのものが事業継続リスクになります。例えば、VPNや公開サーバーの脆弱性から侵入され、認証情報を窃取された後に社内ネットワークへ横展開されると、基幹システム停止やランサムウェア被害につながる可能性があります。Webアプリケーションの認可不備があれば、顧客情報や取引データの漏えいに発展することもあります。 経営層は「制度取得のためのコスト」だけでなく、「取引停止・復旧費用・顧客説明・信用毀損を含む損失を抑えるための投資」として判断することが重要です。 どの企業が★3・★4を目指すべきか ★3を基本線にしやすい企業 ★3は、サプライチェーン企業としてまず共通の最低限水準を整えたい企業に向いています。重要情報の保有量が比較的限定され、顧客から高度な第三者評価を求められていない場合でも、取引先からのチェックシート対応を効率化したい企業や、社内対策を一度体系的に整理したい企業には有効です。 ★4を優先的に検討したい企業 ★4は、次のような企業で優先度が高くなります。取引先の機密情報や個人情報を大量に扱う、クラウドやSaaSを顧客へ提供する、顧客の基幹業務を受託する、停止時にサプライチェーンへ波及する、インターネット公開システムが多い、M&A・IPO・大手企業との新規取引などで客観的なセキュリティ説明が必要、といったケースです。 判断の軸は会社規模だけではありません。「侵害されたときに誰へ、どの程度の影響が及ぶか」「顧客からどの程度の証明を求められるか」「第三者に検証されても説明できる状態か」を基準にすると、目標水準を決めやすくなります。 SCS評価制度への具体的な対応手順 1. 経営層が目標水準と対象範囲を決める 最初に決めるべきなのは、★3か★4かだけではありません。どの法人、事業、拠点、システム、クラウド環境を評価対象とするかを明確にします。対象範囲が曖昧なまま規程整備や診断を始めると、後から不足が見つかり、再作業が発生します。 経営層は、主要顧客の要求、事業停止時の売上影響、扱う情報の重要性、海外取引の有無、既存のISMS・Pマーク等との重複を踏まえて、対象範囲と期限、予算責任者を決定します。 2. 現状と要求事項のギャップ分析を行う 次に、★3・★4の要求事項・評価基準に対して、現状がどこまで満たせているかを確認します。この段階では「対応済み・未対応」の二択ではなく、規程、運用、証跡、技術設定の4つに分けて確認すると実務的です。 例えばアクセス制御について、規程に「最小権限」と書いてあっても、退職者アカウントが残っている、管理者権限の棚卸し記録がない、SaaSごとに承認方法が異なる場合は、運用・証跡面の改善が必要です。 3. 情報システム部門が資料と証跡を整える 実施前に準備しておきたい資料は、情報セキュリティ基本方針・各種規程、組織図、情報資産台帳、システム構成図、ネットワーク構成図、クラウド・SaaS一覧、アカウント・権限管理台帳、ログ管理方針、バックアップ手順、インシデント対応手順、委託先一覧、教育実施記録、脆弱性対応記録などです。 重要なのは「文書を作ること」ではなく、「運用されている証拠が残っていること」です。承認記録、棚卸し結果、教育受講記録、パッチ適用記録、バックアップ復元テスト結果などを定期的に残す設計にすると、評価対応だけでなく日常運用も安定します。 4. 技術対策を実装し、必要に応じて診断・テストを行う 技術面では、多要素認証、端末保護、パッチ管理、ネットワーク分離、ログ収集、バックアップ、メール対策、クラウド設定管理などを要求事項に沿って整備します。★4を目指す場合は、外部から確認できる脆弱性だけでなく、侵入後の横展開や権限昇格を含めた検証が重要です。 Webアプリケーション診断では、SQLインジェクション、クロスサイトスクリプティング、認証・認可不備、セッション管理などを確認します。プラットフォーム診断では、OS・ミドルウェア・ネットワーク機器・クラウド設定の脆弱性や不要ポート等を確認します。ペネトレーションテストは、個別の脆弱性を列挙するだけでなく、それらを組み合わせて実際にどこまで侵入・横展開できるかを検証する点が特徴です。 診断対象は「全システムを一律に実施」ではなく、公開範囲、重要情報、権限、顧客影響を基準に優先順位を付けます。対象が多い企業では、重要システムから段階的に実施し、年度計画へ落とし込む方が現実的です。 5. 指摘事項をリスクベースで是正する 改善項目は、重大度だけでなく、攻撃されやすさ、悪用時の事業影響、外部公開の有無、代替策の有無、修正難易度を合わせて優先順位付けします。例えば、外部公開VPNの重大な脆弱性や管理者アカウントへの多要素認証未導入は、社内向けの軽微な設定不備より優先して是正すべきです。 改善計画には、対応内容、責任部署、期限、暫定対策、再確認方法を明記します。システム改修に時間がかかる場合は、アクセス元制限やWAF、監視強化などの代替策を入れ、リスクを放置しないことが重要です。 6. ★3は専門家確認、★4は第三者評価・技術検証へ進む ★3では、取得希望組織が作成した自己評価をSCSセキュリティ専門家が確認し、必要に応じて修正助言を行います。★4では、指定された評価機関が文書確認、実地審査、技術検証を行い、評価報告書を作成します。 2026年10月4日時点では、IPAのFAQ上、★3・★4の申請方法や取得ガイド等は「2026年10月頃公開予定」とされています。公開後は、最新手順に合わせて申請準備を更新する必要があります。 出典：IPA「要求事項・評価基準」 https://www.ipa.go.jp/security/scs/requirements-criteria.html 費用と期間を左右する要因 IPAが2026年9月18日に公表した料金では、登録希望組織の登録料は、2028年3月31日まで★3が1年分10,000円、★4が3年分60,000円です。ただし、これは制度上の登録料であり、専門家確認、第三者評価、技術検証、コンサルティング、システム改修、診断などの費用は別途発生し得ます。 総費用を大きく左右するのは、対象範囲、拠点数、端末・サーバー数、クラウド数、既存規程の成熟度、証跡の整備状況、Webアプリケーションの数、ペネトレーションテストの範囲、是正に必要なシステム改修です。単に「★4はいくら」と一律に見積もるより、最初にギャップ分析を行い、必要な作業を分解して予算化する方が精度が上がります。 期間についても一律ではありません。規程や台帳が整っている企業と、資産棚卸しから始める企業では準備量が大きく異なります。制度開始に合わせたい場合は、評価機関の予約や技術検証の実施枠も考慮し、社内の是正期間を十分に確保して逆算することが重要です。 社内稟議では何を説明すべきか SCS評価制度対応の稟議では、「認証を取るため」という説明だけでは投資判断につながりにくいため、取引上の必要性と事業リスクをセットで示します。主要顧客から想定される要求、未対応時の取引影響、対象事業の売上規模、停止時の影響、情報漏えい時の対応コスト、既存施策との重複・流用可能性を整理すると説明しやすくなります。 また、費用を一括で示すのではなく、「現状評価」「規程・運用整備」「技術対策」「診断・テスト」「評価・登録」のように分けると、経営層が投資の意味を理解しやすくなります。複数年度での改善計画にできる項目と、制度開始前に必須となる項目を分けることも有効です。 支援会社・評価関連ベンダーの選び方 支援会社を選ぶ際は、制度文書を読めるだけでなく、現場へ実装できるかを確認することが重要です。規程作成だけを支援しても、実際の端末設定、クラウド構成、ログ管理、脆弱性対応、教育運用が伴わなければ評価時に不整合が生じます。 見積依頼やRFPでは、対象範囲、現状調査の方法、要求事項ごとの成果物、診断・技術検証の範囲、是正支援の有無、再確認の方法、個人情報・機密情報の取扱い、報告会の対象者、追加費用条件を明確にします。 特に★4を目指す場合は、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストなどを一貫して設計できるか、経営層向けと技術部門向けの双方に説明できる報告書を作成できるかを確認してください。評価機関としての第三者性が求められる場面では、コンサルティングと評価の役割分担や中立性についても、最新の制度規程に沿って確認する必要があります。 よくある失敗と注意点 規程作成だけで終わる SCS評価制度では、文書が存在することと、実際に運用されていることは別です。規程を短期間で整えても、権限棚卸しやバックアップ復元確認、教育、ログ監視などが実施されていなければ不十分です。制度対応を日常運用へ組み込む設計が必要です。 対象範囲を広げすぎる、または狭めすぎる 全社を一度に対象にして準備量が膨らむケースもあれば、重要システムを対象外にして評価の目的と合わなくなるケースもあります。取引先へ提供するサービスや守るべき情報とのつながりから対象範囲を決めることが重要です。 診断を実施して報告書を保管するだけ 脆弱性診断やペネトレーションテストは、実施自体が目的ではありません。発見事項の是正、再診断、再発防止、設計標準への反映まで行って初めて対策として機能します。高リスク項目には経営層も含めた期限管理が必要です。 制度公開前の古い情報で計画を固定する SCS評価制度は運用開始に向けて詳細化が進んでいます。2026年10月4日時点でも、申請方法や解説書等は公開予定段階のものがあります。過去の検討資料だけで対応を固定せず、IPA・経済産業省の最新情報を確認しながら計画を更新してください。 Librus株式会社が提供できるSCS評価制度支援 Librus株式会社では、SCS評価制度の取得そのものだけを目的にするのではなく、取引先から説明可能で、実際の攻撃にも耐えられるセキュリティ体制づくりを支援します。 具体的には、★3・★4要求事項に対するギャップ分析、対象範囲の整理、規程・運用プロセスの整備、リスクアセスメント、経営層向けのロードマップ策定に加え、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、レッドチーム演習、SOC／CSIRT構築・運用支援、インシデントレスポンス、デジタルフォレンジック、セキュリティ教育まで一気通貫で対応できます。 制度対応と技術対策を別々のベンダーへ依頼すると、要求事項と実装内容が分断されることがあります。Librus株式会社では、経営・ガバナンスと技術検証をつなぎ、企業ごとの事業環境や予算、既存システムを踏まえて優先順位を設計します。診断で指摘して終わるのではなく、改善、再確認、継続運用までを含めた支援が可能です。 SCS評価制度の★3・★4に関するよくある質問 Q1. SCS評価制度はすべての企業に義務ですか？ 一律の法的義務として全企業に取得を求める制度ではありません。ただし、取引先が契約や調達条件として一定の★を求める使われ方が想定されているため、自社の顧客要求を確認する必要があります。 Q2. ★3と★4はどちらを目指すべきですか？ 一般的なサイバー脅威への最低限の備えを共通水準として整えるなら★3、重要情報や基幹業務を扱い、第三者評価・技術検証を通じてより客観的に対策状況を示す必要があるなら★4が有力です。 Q3. ★3を取得してからでないと★4は取得できませんか？ いいえ。★3の事前取得は必須ではありません。自社の取引条件やリスクに応じて、最初から★4を目指すことも可能です。 Q4. ★3・★4は一部の要求事項だけ満たせば取得できますか？ IPAのFAQでは、★3・★4ともに、それぞれで定められたすべての要求事項・評価基準を満たす必要があるとされています。 Q5. 脆弱性診断は必ず必要ですか？ 対象範囲や要求事項との関係で必要性を判断します。特に★4では技術検証が行われるため、外部公開システムや重要システムについて、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト等を事前に実施して弱点を把握しておくことが有効です。 Q6. 申請前に何を用意すればよいですか？ 規程類だけでなく、資産台帳、構成図、アカウント管理、ログ、バックアップ、教育、脆弱性対応、インシデント対応などの運用証跡を準備します。まず要求事項とのギャップ分析を行うと効率的です。 Q7. 登録料はいくらですか？ 2026年9月18日公表の料金では、2028年3月31日まで★3は1年分10,000円、★4は3年分60,000円です。専門家確認、第三者評価、技術検証、コンサルティングや改修等の費用は別途考える必要があります。 Q8. ISMSを取得していればSCS評価制度への対応は不要ですか？ 両制度は目的と評価の考え方が異なります。ISMSの仕組みや証跡をSCS評価制度の準備に活用できる場合はありますが、SCS評価制度固有の要求事項・評価基準への適合確認が必要です。 まとめ｜SCS評価制度は「★の取得」ではなく取引継続に耐える体制づくりが重要 サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の★3は、一般的な脅威に対処する最低限の実装水準で、専門家確認付き自己評価が基本です。★4は、侵入後の被害拡大防止やサプライチェーン強靭化まで踏み込み、第三者評価と技術検証を伴う標準的な水準です。 企業が目指すべき段階は、従業員数だけでは決まりません。顧客要求、扱う情報の重要性、事業停止時の影響、公開システムの攻撃面、取引先への波及リスクを踏まえて判断する必要があります。制度対応を急いで書類だけ整えるのではなく、現状把握、優先順位付け、技術対策、運用証跡、再確認までを一つの改善プロセスとして設計することが重要です。 SCS評価制度への対応方針が固まっていない段階でもご相談いただけます 「★3と★4のどちらを目指すべきか判断できない」「要求事項と自社の現状を比較したい」「診断やペネトレーションテストをどこまで実施すべきか分からない」「社内稟議に必要な予算とロードマップを整理したい」といった段階でも、Librus株式会社へご相談いただけます。 現状の体制・システム・主要取引先から求められる水準を整理し、必要な対策を優先順位付きで可視化することで、不要な投資を抑えながら、制度対応と実効性のあるセキュリティ強化を同時に進めやすくなります。対象範囲や実施方法が決まっていない場合も、初期整理から支援可能です。 監修者 鎌田光一郎：⻘山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎）105-0004東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact

VIEW MORE

SCS評価制度★3とは？要求事項と取得に向けた対策を解説

サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の★3は、一般的なサイバー脅威に対処するために、サプライチェーンを構成する企業が最低限実装すべきセキュリティ対策の水準です。取得では、企業自身が要求事項への適合状況を評価し、その内容をSCSセキュリティ専門家が確認したうえで、経営層による自己適合宣誓を含む申請を行う仕組みが予定されています。 ★3への対応で重要なのは、チェックリストを埋めることではありません。情報資産やネットワークを把握し、責任体制、アカウント管理、脆弱性対策、マルウェア対策、取引先との役割分担、インシデント対応などを「実際に運用できる状態」にすることです。制度開始は2027年3月頃が予定されているため、従業員100～1,000名規模の企業では、現状把握と不足対策の洗い出しを先行して進めておくことが現実的です。 出典：IPA「SCS評価制度の詳細情報」  https://www.ipa.go.jp/security/scs/details.html 出典：経済産業省「SCS評価制度」  https://www.meti.go.jp/policy/netsecurity/scs.html この記事で分かること SCS評価制度★3の位置付けと、★4との違い ★3で求められる代表的な要求事項と実務上の対策 取得に向けて経営層・情報システム部門が準備すべきこと 申請までの進め方、期間や費用を左右する要因 脆弱性診断やペネトレーションテストをどのように活用すべきか SCS評価制度対応を支援する会社を選ぶ際の確認ポイント SCS評価制度★3とは SCS評価制度は、企業のセキュリティ対策状況を共通の基準で可視化し、委託元と委託先の双方が取引時に確認しやすくするための制度です。経済産業省と内閣官房国家サイバー統括室の監督のもと、IPAが制度を運営します。制度では★3、★4を設け、★5については今後具体化される予定です。 ★3は「一般的なサイバー脅威に対処しうる水準」とされ、広く認知された脆弱性の悪用、認証情報の窃取、マルウェア感染、不適切なアクセス権限など、企業が日常的に直面し得る脅威への基礎的な防御を重視します。経済産業省の資料では、★3は全てのサプライチェーン企業が最低限実装すべき対策として位置付けられています。 一方、★4では、初期侵入の防御に加えて、侵入後の被害拡大防止、監視・検知、インシデント対応、取引先管理などをより包括的に求めます。★3は専門家確認付きの自己評価、★4は第三者評価と技術検証という点でも違いがあります。なお、★4の取得前に★3取得が必須という仕組みではありません。 出典：IPA「SCS評価制度の詳細情報」  https://www.ipa.go.jp/security/scs/details.html ★3は「製品を買えば取得できる制度」ではない ★3対策というと、EDR、資産管理ツール、多要素認証製品などの導入を先に検討しがちです。しかし、経済産業省は、SCS評価制度の評価基準を達成するために特定のセキュリティ製品の導入を必須としていません。重要なのは、自社の規模やシステム構成に応じて要求事項を満たせているかです。 例えば、アカウント管理であれば「製品を導入していること」ではなく、入社・異動・退職時に権限を付与・変更・削除するルールがあり、不要な権限が残らないよう管理されているかが重要です。脆弱性対策も同様で、単に診断を実施した実績ではなく、対象資産を把握し、更新情報を確認し、必要なパッチを適用する運用まで含めて考える必要があります。 出典：経済産業省「SCS評価制度」  https://www.meti.go.jp/policy/netsecurity/scs.html なぜ今、SCS評価制度★3への対応が必要なのか SCS評価制度そのものは任意の制度です。ただし、取引先が調達条件や委託先管理の基準として★3を求める可能性があります。制度上の義務と、商取引上求められる条件は別に考える必要があります。経済産業省も、どの段階を契約上の要件とするかは取引当事者間で決めるものと説明しています。 従業員100～1,000名規模の企業では、大手企業のシステム開発、業務委託、製造、物流、BPO、クラウド運用などを担っているケースも多く、自社のセキュリティ事故が取引先の事業に波及する可能性があります。自社の情報漏えいだけでなく、VPNやリモートアクセス環境を経由した侵入、委託元から預かった認証情報の悪用、業務停止による供給遅延などがサプライチェーンリスクになります。 そのため、★3取得の検討は「認証マークを得るための作業」ではなく、取引継続に必要な最低限のセキュリティ水準を整理するプロジェクトとして扱う方が実務的です。営業部門や調達部門が取引先から受け取っているセキュリティチェックシートを集約すると、SCS評価制度への対応が既存の顧客対応負荷を減らすきっかけになる場合もあります。 出典：IPA「SCS評価制度」  https://www.ipa.go.jp/security/scs/index.html SCS評価制度★3で求められる代表的な要求事項 ★3・★4の正式な要求事項・評価基準はIPAから公開されています。★3を取得するには、定められた要求事項・評価基準を満たす必要があります。ここでは経営者や担当者が全体像をつかめるよう、★3で特に重要となる対策領域を実務の観点から整理します。 出典：IPA「要求事項・評価基準」  https://www.ipa.go.jp/security/scs/requirements-criteria.html 1．セキュリティ責任者と方針を明確にする 最初に必要なのは、誰がセキュリティに責任を持つのかを明確にすることです。情報システム部門が実務を担当していても、重大なインシデント対応や予算投入は経営判断を伴います。担当者名、責任範囲、報告経路、経営層へのエスカレーション方法を整理し、情報セキュリティ方針や関連規程に反映します。 実務では、規程が存在していても、退職者IDの削除期限、重要な脆弱性への対応期限、事故発生時の報告先などが曖昧なケースがあります。★3準備では、文書の有無だけでなく、そのルールが日常業務に組み込まれているかまで確認する必要があります。 2．情報資産とネットワークを一覧化する 守る対象が分からなければ、対策の漏れを把握できません。サーバー、PC、ネットワーク機器、クラウドサービス、SaaS、外部公開システム、リモートアクセス環境などを棚卸しし、管理責任者と用途を明確にします。また、取引先と接続しているネットワークや外部情報システムも把握します。 特に注意したいのが、部署単位で契約したSaaS、保守終了したサーバー、管理者不明の公開IP、過去のプロジェクトで残ったVPNアカウントです。資産管理台帳と実際の環境が一致していない場合、脆弱性対応やアカウント削除の対象から漏れる可能性があります。 3．ID・パスワード・アクセス権限を管理する 不正アクセス対策の基本は、利用者を正しく識別し、必要な人に必要な権限だけを付与することです。アカウント発行、権限変更、退職時の削除、管理者権限の付与、共有IDの利用などについてルールを定めます。パスワードの設定・管理や、システムの重要度に応じた認証強化も確認対象になります。 例えば、退職者のクラウドアカウントが数か月残っていた、管理者権限が異動後も維持されていた、といった状態は実務上のリスクです。人事情報とID管理を連動させ、定期的な棚卸しを行う仕組みにすると、制度対応後も運用しやすくなります。 4．ソフトウェア更新と脆弱性管理を行う OS、ミドルウェア、VPN機器、ファイアウォール、Webサーバー、業務アプリケーションなどについて、脆弱性情報を確認し、必要なアップデートを適切なタイミングで適用する体制が必要です。不要なソフトウェアを削除することも基礎的な対策に含まれます。 この領域では、Webアプリケーション診断やプラットフォーム診断が有効です。Webアプリケーション診断では、SQLインジェクションや認証・認可の不備などアプリケーション固有の問題を確認します。プラットフォーム診断では、公開サーバーやネットワーク機器の脆弱性、不要なポート、古いソフトウェアなどを確認します。ただし、診断を一度実施するだけでは不十分であり、発見事項の改修、再診断、継続的なパッチ運用につなげることが重要です。 5．マルウェア感染とネットワーク侵入に備える 端末やサーバーのマルウェア対策、内外ネットワーク境界の分離・保護など、侵入を防ぐ基礎的な対策も重要です。メール添付ファイルや偽のログインページから認証情報を盗まれた場合でも、被害が広がりにくい構成にしておく必要があります。 ペネトレーションテストは、実際の攻撃者に近い視点で、複数の弱点を組み合わせた侵入可能性を検証する手法です。★3取得にペネトレーションテストが一律に必須という意味ではありませんが、重要システムや外部公開環境について「設定上の弱点が攻撃経路にならないか」を確認したい場合には有効です。 6．取引先との役割と機密情報の扱いを明確にする SCS評価制度では、自社だけでなくサプライチェーン上の関係も重視されます。取引先や委託先とどのシステムを接続しているか、どの情報を共有しているか、インシデント発生時に誰が何をするかを整理します。秘密保持契約や業務委託契約に事故時の報告義務が書かれていても、現場担当者が連絡経路を把握していなければ実効性は十分ではありません。 7．インシデント対応手順を整備する 攻撃を100％防ぐことは現実的ではありません。そのため、感染端末の隔離、管理者への報告、取引先への連絡、ログ保全、原因調査、復旧判断などを事前に決めておくことが重要です。最低限の手順書を作るだけでなく、誰が意思決定者なのか、夜間休日の連絡方法、外部専門会社への連絡方法まで整理すると実務で機能しやすくなります。 SCS評価制度★3の取得に向けた具体的な進め方 ステップ1．適用範囲とプロジェクト責任者を決める 最初に、どの組織・拠点・IT基盤を対象として準備するかを整理します。SCS評価制度は主にインターネットに接続する自社IT基盤を対象としており、一般的にIT基盤に該当しない製造設備などのOTシステムや、委託元へ提供する製品そのものは直接の対象とはしない考え方が示されています。ただし、自社環境とOTが接続している場合などは、境界を機械的に切り分けず、実際の侵入経路を踏まえて確認する必要があります。 出典：経済産業省「SCS評価制度」  https://www.meti.go.jp/policy/netsecurity/scs.html ステップ2．要求事項に対する現状評価を行う 次に、IPAが公開している★3要求事項・評価基準に沿って、現状を「対応済み」「一部対応」「未対応」「確認が必要」などに分類します。この段階では、担当者へのヒアリングだけで判断せず、規程、設定画面、資産台帳、アカウント一覧、運用記録などの証拠を確認します。 準備しておきたい資料には、情報セキュリティ規程、組織図、情報資産台帳、ネットワーク構成図、クラウドサービス一覧、アカウント管理手順、脆弱性対応手順、バックアップ運用資料、インシデント対応手順、委託先管理資料などがあります。資料が存在しない場合は、ゼロから整備するのではなく、現場で既に行っている運用を確認し、必要な形に文書化する方が定着しやすくなります。 ステップ3．不足項目をリスクと優先度で整理する 未対応項目を一度に解消しようとすると、予算と人的負荷が大きくなります。外部公開システム、管理者権限、既知の重大脆弱性、退職者アカウント、バックアップ不備など、事故に直結しやすい項目から優先します。対応の優先度は、技術的な深刻度だけでなく、停止した場合の売上影響、取引先への波及、個人情報・機密情報の有無も考慮して決めます。 ステップ4．必要な対策を実装し、証跡を残す 規程を改定しただけでは、実装済みとは言えません。パッチ適用記録、アカウント棚卸し結果、教育実施記録、ログ確認記録、バックアップ復元テスト結果など、運用の証跡を残します。証跡は専門家確認を受ける際にも説明材料になります。 ステップ5．SCSセキュリティ専門家の確認を受ける ★3は専門家確認付き自己評価です。取得希望組織が自己評価を記入し、SCSセキュリティ専門家が内容を確認し、必要に応じて修正や助言を行います。最終的に専門家が提出内容を了承した場合に署名し、企業は経営層による自己適合宣誓を含めて事務局に申請します。IPAは、SCSセキュリティ専門家の公表を2027年1月頃から予定しています。 出典：IPA「SCSセキュリティ専門家・評価機関」  https://www.ipa.go.jp/security/scs/security-experts-organization/index.html 実施期間と費用を左右する要因 ★3対応に必要な期間は、会社規模だけでは決まりません。既存の規程や資産管理が整っている企業では短期間でギャップを整理できますが、拠点ごとにネットワーク管理が分かれている、クラウド契約が分散している、アカウント管理が手作業であるといった企業では、現状把握だけでも相応の時間が必要です。 実務上は、①対象範囲の決定、②現状評価、③不足対策の実装、④運用実績・証跡の整備、⑤専門家確認、⑥申請という工程に分けてスケジュールを引くと管理しやすくなります。制度開始直前に着手すると、機器更新や社内規程改定、予算承認が間に合わない可能性があるため、次年度予算の策定時期から逆算することが重要です。 IPAが2026年9月18日に公表した料金設定では、★3登録希望組織の登録料は、2028年3月31日まで1年間10,000円、2028年4月1日以降は1年間20,000円とされています。ここで注意したいのは、この金額は制度上の登録料であり、SCSセキュリティ専門家による確認、コンサルティング、システム改修、脆弱性診断などの費用とは別だという点です。 総費用を左右する主な要因は、対象拠点・システム数、既存規程の整備状況、資産棚卸しの難易度、アクセス管理やネットワーク改修の必要性、診断対象の数、専門家支援の範囲です。見積依頼では「★3取得支援一式」だけで比較せず、現状評価、改善計画、文書作成、技術対策、専門家確認、申請支援のどこまで含まれるかを明確にしましょう。 出典：IPA「SCS評価制度 料金設定のお知らせ」  https://www.ipa.go.jp/security/scs/rcu1hd00000075om-att/pricelist.pdf 社内稟議で説明すべきポイント 経営層への説明では、「制度対応が必要だから予算が欲しい」という説明だけでは判断しにくくなります。SCS評価制度★3への対応によって、どの経営リスクを下げるのかを具体化することが重要です。 例えば、主要顧客からのセキュリティ要求への対応、取引継続リスクの低減、ランサムウェア等による事業停止リスクの低減、委託元の情報漏えいリスクの低減、セキュリティチェックシート回答の効率化などを整理します。そのうえで、現状の不足項目、対応しない場合の影響、必要予算、完了時期、取得後の運用負荷を示すと、投資判断を行いやすくなります。 また、★3は任意制度であるため、「法律上必須」と説明するのは適切ではありません。主要顧客からの要求状況や、自社がサプライチェーン上で担う役割を踏まえて、必要性を説明することが重要です。 SCS評価制度★3の支援会社を選ぶポイント 制度の説明だけでなく、実装まで支援できるか 要求事項とのギャップを指摘するだけでは、担当者側に「何をどう直すか」という作業が残ります。規程整備、ネットワーク設計、アクセス制御、脆弱性対応、教育、インシデント対応まで、必要に応じて改善支援ができる会社かを確認しましょう。 技術評価とマネジメントの両方を扱えるか SCS評価制度は、文書だけでも、技術対策だけでも完結しません。例えば「脆弱性管理を行う」という規程があっても、外部公開サーバーに重大な脆弱性が残っていれば実効性に問題があります。反対に、高価なセキュリティ製品を導入していても、責任者や運用手順が曖昧であれば継続性に課題が残ります。 RFPや見積依頼では、制度対応の経験、技術診断の対応範囲、改善後の再確認、専門家確認との役割分担、成果物の内容、個人情報・機密情報の取り扱い、プロジェクト管理方法を確認すると比較しやすくなります。 成果物が取得後の運用に使えるか 成果物は、単なるチェック表だけでなく、適用範囲、要求事項ごとの評価、確認した証跡、不足事項、リスク、改善案、優先度、担当部門、期限を追える形が望まれます。取得後に同じ状態を維持するには、年次のアカウント棚卸し、脆弱性診断、教育、インシデント訓練などを継続計画に落とし込む必要があります。 SCS評価制度★3対応でよくある失敗と注意点 規程作成だけを先行させる 規程が整っていても、現場の運用と一致しなければ実効性はありません。文書を作る前に実態を把握し、既存運用を生かして必要なルールを追加する方が現場に定着しやすくなります。 情報システム部門だけで完結させる アカウント管理には人事、取引先管理には調達・営業、事故時の対外対応には法務・広報、予算には経営層が関係します。情報システム部門だけで進めると、要求事項は理解できても実装が止まることがあります。初期段階で関係部門を明確にしましょう。 脆弱性診断を「実施したこと」で終わらせる 診断は現状把握の手段です。重要なのは、発見事項を業務影響と悪用可能性で優先順位付けし、改修し、必要に応じて再診断することです。診断報告書を保管するだけでは、セキュリティ水準は改善しません。 制度開始直前まで準備を待つ ★3・★4の運用開始は2027年3月頃が予定されています。システム改修、予算確保、規程改定、証跡の蓄積には時間がかかります。正式申請の直前ではなく、現状評価だけでも早めに行うことが有効です。 出典：IPA「よくある質問」  https://www.ipa.go.jp/security/scs/faq.html Librus株式会社が提供できるSCS評価制度★3支援 Librus株式会社では、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）への対応について、要求事項の読み合わせだけでなく、企業ごとの環境や取引関係を踏まえた実務設計を支援します。 具体的には、現状のセキュリティ対策と★3要求事項のギャップ整理、情報資産・ネットワーク・クラウド環境の棚卸し、規程・運用手順の整備、改善計画の策定、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、インシデント対応体制の整備、教育・訓練などを組み合わせて支援できます。 SCS評価制度だけを独立したプロジェクトとして考えるのではなく、既存のISMS、取引先監査、IPO準備、M&A、SOC／CSIRT、脆弱性管理などとの重複を整理することで、必要以上に運用を増やさないことも重要です。Librus株式会社は、技術と経営の両面から課題を整理し、経営層、情報システム部門、現場部門の間をつなぎながら、改善・運用まで一気通貫で支援します。 よくある質問 Q1．SCS評価制度★3は取得が義務ですか？ いいえ。制度自体は任意です。ただし、発注企業が取引条件として一定の★取得を求める可能性があります。自社の主要顧客や業界動向を確認し、商取引上の必要性を判断することが重要です。 Q2．SCS評価制度★3はいつから申請できますか？ IPAは★3・★4について2027年3月頃の運用開始を予定しています。制度運営基盤の整備状況等により変更される可能性があるため、最新情報はIPA公式サイトで確認してください。 Q3．★3を取得する前にISMSを取得する必要がありますか？ 必須ではありません。SCS評価制度★3・★4は代表的な脅威を踏まえて管理策を定めるベースラインアプローチであり、ISMSとは目的や評価の考え方が異なります。既にISMSを運用している企業は、既存の規程や証跡を活用できる可能性があります。 Q4．EDRや多要素認証製品を導入すれば★3を取得できますか？ 特定製品の導入だけで取得できる制度ではありません。要求事項を満たす方法は企業の規模やシステム構成によって異なります。製品導入と同時に、アカウント管理、資産管理、パッチ運用、インシデント対応などの運用も整備する必要があります。 Q5．脆弱性診断やペネトレーションテストは必須ですか？ ★3において、すべての企業に対して特定の診断サービスやペネトレーションテストを一律に必須とする考え方ではありません。ただし、外部公開システムや重要なIT基盤の技術的な弱点を把握するために、Webアプリケーション診断やプラットフォーム診断などが有効な場合があります。 Q6．★3の登録料はいくらですか？ IPA公表の料金設定では、2028年3月31日まで★3登録料は1年間10,000円、2028年4月1日以降は1年間20,000円です。専門家確認、コンサルティング、診断、システム改修などの費用は別途発生します。 Q7．まだ対象範囲が決まっていなくても準備を始められますか？ 始められます。まず、自社の主要なIT基盤、外部公開システム、クラウド利用、取引先との接続状況を整理し、要求事項とのギャップを把握することが有効です。対象範囲は、その結果を見ながら現実的に設計できます。 まとめ｜SCS評価制度★3は「取得準備」と「実際の改善」を同時に進める SCS評価制度★3は、サプライチェーンを構成する企業が、一般的なサイバー脅威に対処するための基礎的なセキュリティ対策を実装していることを示す仕組みです。専門家確認付き自己評価によって取得する制度であり、単なる書類作成ではなく、資産管理、アクセス管理、脆弱性対策、マルウェア対策、取引先管理、インシデント対応などを実際に運用できる状態にすることが重要です。 特に従業員100～1,000名規模の企業では、部門や拠点ごとにIT管理が分散していることも多く、最初の資産棚卸しとギャップ分析がプロジェクトの成否を左右します。2027年3月頃の制度開始を待ってから対策を始めるのではなく、現時点で公開されている要求事項を使って現状評価を行い、予算や改修期間を要する項目から対応を進めると、無理のない準備につながります。 SCS評価制度★3の対象範囲や進め方が決まっていない段階でもご相談いただけます Librus株式会社では、「自社が★3を目指すべきか判断したい」「要求事項と現状の差を把握したい」「どのシステムまで対象にすべきか整理したい」「脆弱性診断やペネトレーションテストをどこまで行うべきか検討したい」といった初期段階からご相談いただけます。 現状の体制・IT環境・取引先からの要求を整理したうえで、優先度の高い課題と、取得までに必要な対応を具体化します。対象範囲や実施方法が固まっていない場合でも、最初に論点を整理することで、不要なツール導入や過剰な対策を避けながら、社内稟議や予算策定につなげやすくなります。SCS評価制度への対応を、取得のためだけの作業ではなく、取引継続と事業継続に資する改善につなげたい企業はご相談ください。 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎） 105-0004東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F 03-6772-8015 お問い合わせフォーム https://librus.co.jp/contact

VIEW MORE

SCS評価制度に必要なインシデント対応体制とは？初動対応から報告まで

サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）への対応では、攻撃を防ぐ対策だけでなく、異常を検知した後に被害を抑え、必要な相手へ報告し、事業を復旧できる体制が重要になる。結論から言えば、必要なのは「連絡網を作ること」ではない。判断権限、初動手順、証拠保全、社内外への報告、復旧判断、再発防止までを一つの業務プロセスとして整え、訓練で実効性を確認することである。 本記事では、従業員100～1,000名程度の企業を想定し、経営者と実務担当者が準備すべき内容を、初動対応から最終報告まで具体的に解説する。なお、SCS評価制度は制度設計や運用準備が進行中であり、申請時には経済産業省が公開する最新版の要求事項・評価基準を確認する必要がある。 この記事で分かること SCS評価制度を見据えたインシデント対応体制の全体像 発見直後から封じ込め、報告、復旧、再発防止までの実務手順 経営層、情報システム部門、現場部門、外部専門家の役割分担 報告先・報告期限を判断するための基準と、訓練・証跡の残し方 見積依頼や支援会社選定で確認すべきポイント SCS評価制度とインシデント対応体制の関係 SCS評価制度は、企業のサプライチェーン上の立ち位置や影響度に応じて、必要なセキュリティ対策を段階的に示し、取引先が対策状況を確認しやすくするための制度である。経済産業省の公表資料では、☆3・☆4・☆5の水準が想定され、☆3と☆4は2026年度末頃の制度開始が予定されている。制度への対応は、認証取得そのものを目的にするのではなく、取引先から求められる説明責任と、事故発生時の事業継続力を高める取り組みとして捉えることが大切だ。 出典：経済産業省：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） インシデント対応に関して重要なのは、方針や連絡先の存在だけではない。異常を検知できること、対応責任者が判断できること、影響範囲を把握できること、関係者へ適時に報告できること、そして訓練や点検を継続することが問われる。IPAの2026年版資料も、対応を「検知・初動対応」「報告・公表」「復旧・再発防止」の三段階で整理している。 出典：IPA：中小企業のためのセキュリティインシデント対応の手引き（2026年6月） なぜ今、インシデント対応体制が必要なのか サプライチェーンでは自社の事故が取引先の事業停止につながる 製造、物流、IT、人材、専門サービスなどでは、取引先から預かったデータ、接続用アカウント、共有システムを日常的に扱う。攻撃者が自社を踏み台にして取引先へ侵入すれば、自社の復旧だけで問題は終わらない。受発注停止、納期遅延、接続遮断、監査対応、契約見直しへ波及する可能性がある。このため、対応体制には「取引先への通知条件」と「接続を止める判断権限」をあらかじめ組み込む必要がある。 100～1,000名規模では、責任の空白が生まれやすい この規模の企業では、専任CSIRTがない一方、拠点、クラウド、委託先、子会社が増えていることが多い。情報システム部門が技術対応、総務が個人情報、広報が公表、営業が顧客説明を担当していても、全体を指揮する人が決まっていないケースは珍しくない。事故発生後に会議を開いて役割を決めるのでは遅い。平時に指揮命令系統と代行順位を決めておくことが重要となる。 法令・契約・業界ルールで報告が必要になる 個人データの漏えい等で個人の権利利益を害するおそれがある場合、個人情報保護委員会への報告と本人通知が必要となる。委員会は速報を概ね3～5日以内と案内している。業種によっては所管省庁への報告、犯罪性がある場合は警察への相談、契約に基づく委託元への通知も検討しなければならない。重要なのは、法務・個人情報担当を初動から参加させ、報告要否の判断を後回しにしないことである。 出典：個人情報保護委員会：漏えい等報告・本人への通知の義務化について 対応しなかった場合に起こり得る問題 初動が遅れると、感染端末から認証情報が窃取され、管理者権限の奪取やバックアップ破壊へ進むことがある。反対に、慌てて端末の電源を切ったり初期化したりすれば、メモリやログに残る調査材料を失い、侵入経路や漏えい範囲を説明できなくなる。技術的な失敗は、顧客対応や法的判断の遅れに直結する。 報告の遅れや不正確な公表は、事故そのもの以上に信用を損なう場合がある。第一報で原因や漏えい件数を断定し、その後訂正を重ねれば、取引先は管理能力に疑問を持つ。第一報では確認済み事実、未確認事項、実施済み措置、次回更新予定を分けて示すべきだ。 経営面では、復旧費、フォレンジック調査費、法律相談費、通知・問い合わせ対応費に加え、受注停止や契約解除による逸失利益が発生し得る。インシデント対応体制はIT部門の作業手順ではなく、事業継続と取引維持の仕組みである。 対象となる企業・システム・場面 対象は、SCS評価制度への申請を直接予定する企業だけではない。主要顧客からセキュリティ調査票を受ける企業、委託元の情報やシステムを扱う企業、M&A・IPO・大手企業との新規取引を控える企業にも有効である。対象システムは、基幹系だけに限定しない。Webアプリケーション、クラウド、VPN、メール、ID管理、工場・倉庫の設備、委託先が運用する環境まで、事故が取引先や事業継続に与える影響で優先順位を決める。 例えば、顧客向けWebシステムにはWebアプリケーション診断、サーバーやネットワークにはプラットフォーム診断が有効である。さらに、攻撃者が複数の弱点を組み合わせて目的を達成できるかを検証するにはペネトレーションテストが役立つ。ただし、これらは予防・検証策であり、インシデント対応体制の代替ではない。診断結果を監視ルール、対応手順、復旧計画へ反映して初めて、一連の管理になる。 SCS評価制度を見据えたインシデント対応の実施手順 1．経営層が対応方針と判断権限を決める 最初に、何を守るか、どの程度の停止を許容するか、誰が緊急停止や外部公表を決めるかを定める。経営層は、重要業務ごとの最大許容停止時間、顧客・社会への影響、法令・契約上の報告義務を確認し、対応責任者と代行者を任命する。現場に丸投げせず、事業停止と復旧の優先順位を判断する役割を担う。 2．対象範囲と重要資産を可視化する 資産台帳、ネットワーク構成図、クラウド一覧、データフロー、委託先一覧、取引先との接続関係を整える。すべてを同時に詳細化する必要はない。まず、停止すれば売上・生産・出荷に影響するシステム、機密情報を保有する環境、取引先へ接続する経路を優先する。資産の所有部門と技術的な管理者を分けて記録すると、事故時の連絡が速くなる。 3．検知・連絡受付を一本化する 従業員が「怪しいメールを開いた」「端末が暗号化された」「取引先から不審な通信を指摘された」と気づいたとき、迷わず連絡できる窓口を設ける。電話、チャット、専用メールなど複数経路を用意し、夜間・休日の受付方法も決める。連絡内容は、発見日時、端末・アカウント、現象、直前の操作、業務影響、連絡者を基本項目とする。 4．深刻度を分類し、対応体制を立ち上げる 深刻度は、技術的な派手さではなく、情報の機密性、影響人数、重要業務の停止、取引先への波及、攻撃継続の可能性、法令・契約報告の要否で判断する。重大事案では、インシデント責任者の下に、技術、法務・個人情報、事業部門、広報・顧客対応、経営判断の各担当を配置する。外部のフォレンジック会社、保守ベンダー、弁護士、保険会社への連絡条件も決めておく。 5．封じ込めと証拠保全を両立する 感染端末やサーバーはネットワークから隔離し、不正アカウントの停止、侵害された認証情報の変更、外部公開の一時停止などを行う。ただし、電源断、再起動、初期化、ログ削除は証拠を失うおそれがある。操作前に、実施者、日時、対象、目的、結果を記録し、必要に応じてメモリ、ディスク、ログ、クラウド監査証跡を保全する。証拠はアクセス権を限定し、取得者と受渡履歴を残す。 6．影響範囲を調査し、報告要否を判断する 発生日時、侵入経路、影響したアカウント・端末・データ、外部送信の有無、業務停止範囲を時系列で整理する。調査中で断定できない事項は「未確認」と明記する。報告先は、経営者、取締役会、委託元、顧客、個人情報保護委員会、所管省庁、警察、IPA、JPCERT/CCなどから、法令、契約、被害拡大防止の必要性に基づいて選ぶ。 7．第一報、続報、最終報を使い分ける 第一報の目的は、早期に事実と対応状況を共有し、相手が被害拡大防止策を取れるようにすることだ。発覚日時、確認済みの事象、現時点の影響、実施済み措置、顧客側に依頼する行動、問い合わせ先、次回更新予定を記載する。続報では調査の進展と影響範囲を更新し、最終報では根本原因、被害、対応経過、復旧確認、再発防止策、実施期限と責任者を示す。 8．安全を確認して復旧し、再発防止を管理する 復旧は、単にシステムが起動することではない。侵入経路の閉鎖、認証情報の再設定、マルウェア除去、バックアップの健全性、監視強化を確認したうえで段階的に行う。再発防止策は、緊急・短期・中長期に分け、重大度、悪用可能性、事業影響、実施難易度で優先順位を付ける。経営会議等で期限と担当を追跡し、完了後に再診断やペネトレーションテストで有効性を確かめる。 報告先と報告内容を平時に整理する 主な報告先判断の根拠第一報で重視する内容経営層・取締役会事業・財務・信用への影響業務停止、顧客影響、判断が必要な事項委託元・主要取引先契約、接続関係、被害波及防止影響可能性、遮断措置、相手に依頼する対応個人情報保護委員会個人情報保護法上の報告対象概要、漏えい項目、原因、二次被害防止策警察・IPA・JPCERT/CC等犯罪性、届出、技術支援・情報共有攻撃手口、痕跡、被害状況、支援依頼顧客・本人・社会法令、被害防止、説明責任確認済み事実、注意事項、問い合わせ窓口 出典：参考：IPAのインシデント対応手引き・報告先一覧 平時に準備すべき資料と成果物 実効性を示すには、規程だけでなく、使える資料と運用記録が必要になる。準備すべき主な資料は、インシデント対応方針、対応手順書、緊急連絡網、役割分担表、深刻度基準、資産台帳、ネットワーク・データフロー図、委託先・取引先一覧、法令・契約上の報告要件一覧、証拠保全手順、第一報・最終報のひな形、復旧判定チェックリストである。 成果物には、文書の制定日・承認者・版数を含める。訓練では、参加者、想定シナリオ、判断内容、所要時間、発見した課題、改善担当、期限を記録する。SCS評価制度への説明では、「文書がある」だけでなく、「誰がいつ点検し、訓練で何を改善したか」を示せる状態が望ましい。個人情報や機密情報を含む記録は、保管場所、閲覧権限、保存期間、廃棄方法を定める。 実施期間と費用を左右する要因 期間の目安は、現状把握から基本体制・手順の整備まで2～4か月、机上演習と改善まで含めると3～6か月程度で考えると計画しやすい。これは一般的な目安であり、対象拠点、システム数、委託先数、既存規程の成熟度、経営会議の承認サイクルによって変わる。SCS評価制度の最新要件とのギャップが大きい場合や、SOC・ログ管理・バックアップなど技術対策を同時に整備する場合は、より長い期間が必要になる。 費用は、対象範囲、インタビュー対象部門、規程や台帳の整備量、演習の規模、技術検証、24時間対応の有無、フォレンジックやインシデントレスポンスの待機契約を含むかで変動する。社内稟議では、制度対応費だけでなく、取引継続、顧客監査への回答力、事故時の停止時間短縮、報告遅延リスクの低減という効果を説明すると判断しやすい。 支援会社の選び方とRFP・見積依頼時の確認項目 支援会社は、制度文書を作成できるだけでなく、実際のインシデント対応、デジタルフォレンジック、診断、復旧支援まで理解しているかを確認したい。紙上の手順が技術的に実行できなければ、緊急時には機能しない。経営層への説明、現場ヒアリング、委託先との責任分界整理を一貫して支援できることも重要である。 RFPや見積依頼では、①参照するSCS評価制度資料の版、②対象組織・拠点・システム、③現状調査の方法、④作成・改訂する成果物、⑤演習シナリオと参加部門、⑥技術検証の範囲、⑦課題の優先順位付け方法、⑧機密情報の保管・再委託条件、⑨支援終了後のフォロー、⑩実際の事故発生時の支援可否を確認する。価格だけでなく、社内で運用を継続できる状態まで移管されるかを比較すべきだ。 よくある失敗と注意点 連絡網を作って終わる 担当者名が並んでいても、誰が重大度を判定し、誰が停止・公表を決めるか不明では動けない。権限、代行順位、判断期限まで定める。 IT部門だけで手順を作る 報告・公表、顧客補償、事業停止はIT部門だけでは決められない。法務、個人情報、広報、営業、事業責任者、経営層を設計段階から参加させる。 委託先と責任分界が曖昧 クラウドや保守を委託していても、顧客・当局への説明責任まで移転するとは限らない。ログ取得、初動、報告、証拠保全の担当と時間条件を契約・運用手順で確認する。 訓練が台本の読み合わせになる 実効性を見るには、情報が不足した状態で判断する訓練が必要だ。ランサムウェア、Webアプリケーション侵害、委託先からの漏えいなど、自社の事業に近いシナリオを使い、連絡速度と意思決定を測る。 復旧を急ぎ、根本原因を残す バックアップから戻しても、侵入経路や窃取された認証情報が残れば再侵入される。復旧条件を明文化し、脆弱性診断、プラットフォーム診断、ペネトレーションテスト、監視強化を適切に組み合わせる。 Librus株式会社が提供できる支援 Librus株式会社は、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）にかかるコンサルティングとして、現状評価、対象範囲の整理、要求事項とのギャップ分析、規程・手順・証跡の整備、経営層向け説明、机上演習、改善計画の策定を支援する。企業ごとの事業、組織、取引関係、既存システムを踏まえて個別に設計するため、既成の規程を導入するだけの対応にはしない。 また、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、レッドチーム演習、SOC／CSIRT構築、インシデントレスポンス、デジタルフォレンジックまで一気通貫で対応できる。制度対応で見つかった課題を、技術面と経営面の双方から整理し、改善・運用までつなげられる点が強みである。大企業から中堅・中小企業まで、M&A、IPO、取引先監査など重要局面にも対応している。 よくある質問 Q1．SCS評価制度への対応では、CSIRTの設置が必須ですか？ 名称としてのCSIRTより、責任者、役割、連絡経路、判断権限、外部支援先が明確で、実際に機能することが重要である。専任組織が難しい企業では、既存部門を横断する仮想チームとして設計できる。最終的には申請時点の評価基準を確認する必要がある。 Q2．情報システム担当者が数名でも体制を作れますか？ 可能である。社内は意思決定と事業影響の把握に集中し、24時間監視、フォレンジック、法的助言など専門性が必要な機能を外部と分担する設計が現実的だ。外部委託しても責任者と連絡手順は社内に残す。 Q3．インシデント対応手順はどの頻度で見直すべきですか？ 少なくとも年1回を基本とし、組織変更、システム更改、主要委託先の変更、重大インシデントや訓練後にも見直す。連絡先だけは人事異動の都度更新し、夜間連絡が通じるかも確認する。 Q4．机上演習では何を確認しますか？ 検知から責任者への連絡時間、重大度判定、隔離・停止判断、取引先や当局への報告、公表文の承認、復旧判断を確認する。正解を当てる場ではなく、手順と責任の空白を見つける場として実施する。 Q5．事故時に端末の電源を切ってはいけないのですか？ 常に禁止という意味ではない。被害拡大防止を優先しつつ、電源断で揮発性データやログを失う可能性を考慮する。可能ならネットワーク隔離を先に行い、専門家の指示を受ける。人命や設備安全に関わる場合は、安全確保を最優先する。 Q6．取引先への報告は、事実が確定してからでよいですか？ 契約上の期限や被害拡大のおそれによっては、確定前の第一報が必要になる。確認済み事実と未確認事項を分け、次回更新時刻を示す。自社だけで判断せず、法務・契約担当を交えて決める。 Q7．診断やペネトレーションテストだけで十分ですか？ 十分とは限らない。診断は弱点発見、ペネトレーションテストは攻撃経路の検証に有効だが、検知、報告、復旧、再発防止の組織運用は別途必要である。両者を連携させることで対応力が高まる。 Q8．まだ対象範囲が決まっていなくても相談できますか？ 相談できる。主要取引、重要業務、保有情報、システム構成、委託関係を確認し、優先順位の高い範囲から段階的に決める方法がある。最初から全社一律で始める必要はない。 まとめ：SCS評価制度対応は、動ける体制まで整備する サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）を見据えたインシデント対応では、方針、責任者、初動手順、証拠保全、報告先、復旧条件、再発防止を一つの流れとして整備する必要がある。重要な結論は、「誰が、何を根拠に、いつまでに判断するか」を平時に決め、訓練で確認することだ。 制度対応を取引先への説明資料づくりで終わらせず、事業停止時間の短縮、顧客との信頼維持、法令・契約対応の迅速化につなげることが望ましい。制度の最新版を確認しながら、自社の重要業務とサプライチェーン上の責任に合う体制を構築したい。 SCS評価制度への対応方針を、現状整理から相談できます Librus株式会社では、SCS評価制度の対象範囲や進め方が決まっていない段階から相談を受け付けている。現状の規程・体制・システムを整理し、優先すべき課題、必要な成果物、想定期間、技術対策の要否を可視化することで、経営会議や社内稟議に必要な判断材料を整えられる。インシデント対応手順の策定、机上演習、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、改善・運用まで、必要な範囲を組み合わせた支援が可能だ。まずは、取引先から求められている水準や現在の悩みを共有いただきたい。 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎） 〒105-0004 東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F 03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact

VIEW MORE