SCS評価制度とPマークの違い｜既存認証があれば対応不要？
結論からいえば、Pマーク（プライバシーマーク）を取得している企業でも、SCS評価制度への対応が自動的に不要になるわけではありません。両制度には、規程整備、教育、委託先管理、インシデント対応など共通する要素がありますが、制度の目的と評価するリスクの範囲が異なります。Pマークは個人情報の適切な取扱いを中心に評価する一方、SCS評価制度はサプライチェーンを通じたサイバー攻撃や事業停止、機密情報の漏えい、踏み台化などのリスクに対するセキュリティ対策水準を可視化する仕組みです。 そのため、Pマークを保有している企業は「ゼロから準備する」必要はない場合が多いものの、既存の個人情報保護体制をSCS評価制度の要求事項に照らして棚卸しし、不足する技術対策やサプライチェーン管理、ログ監視、脆弱性管理などを追加することが実務的な進め方です。 この記事で分かること この記事では、SCS評価制度とPマークの違い、Pマーク取得企業がそのままSCS評価制度に対応できるのか、どの領域を追加で確認すべきか、社内でどのように準備を進めればよいかを解説します。特に、従業員100～1,000名規模の企業が、取引先からセキュリティ水準の説明を求められる場面を想定し、経営・情報システム・管理部門が確認すべき実務ポイントを整理します。 SCS評価制度とPマークは何が違うのか Pマークは「個人情報の適切な取扱い」を評価する制度 プライバシーマーク制度は、JIS Q 15001「個人情報保護マネジメントシステム－要求事項」に準拠した運用指針に基づき、個人情報について適切な保護措置を講ずる体制を整備している事業者を評価し、マークの使用を認める制度です。JIPDECによれば、Pマークは法人単位で付与され、個人情報保護マネジメントシステム（PMS）の構築と運用が重視されます。 つまり、Pマークの中心テーマは「個人情報をどのように取得し、利用し、保管し、委託し、廃棄するか」「個人情報の取扱いに関するルールをどのように継続運用するか」です。もちろん安全管理措置としてアクセス制御や認証、教育、委託先管理、事故対応なども含まれますが、評価の出発点は個人情報保護です。 SCS評価制度は「サプライチェーンのサイバーリスク」を評価する制度 SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、取引関係を通じたサイバーリスクに対応するため、企業のセキュリティ対策実施状況を段階別の★で可視化する制度です。IPAは、委託先への攻撃を起点とする事業・サービス停止、機密情報の漏えい・改ざん、委託先を踏み台とした不正侵入などのリスクへの対策を促進することを目的として示しています。 ★3は一般的なサイバー脅威への対処を想定し、専門家確認付きの自己評価を基本とします。★4は、初期侵入防御だけでなく、侵入後の被害拡大防止やサプライチェーン上の役割に応じた対策まで求め、第三者評価・実地審査・技術検証を含む仕組みです。★3・★4は2027年3月頃の運用開始が予定されています。 違いを一言で表すと「守る対象」と「確認方法」が異なる PマークとSCS評価制度は、どちらも社内規程、責任体制、教育、委託先管理などを扱うため、実務担当者から見ると似て見える部分があります。しかし、Pマークは個人情報保護を軸としたマネジメントシステムの評価であり、SCS評価制度は取引先との接続やシステム運用、サイバー攻撃への技術的耐性、事業継続まで含むサプライチェーンリスクへの対応を重視します。 そのため「Pマークを持っている＝SCS評価制度の要求事項を満たしている」とは整理できません。反対に、Pマークで整備済みの規程や教育記録、委託先管理台帳、事故対応手順などは、SCS評価制度への準備に活用できる可能性があります。重要なのは、既存認証を“代替”と考えるのではなく、“再利用できる統制資産”として扱うことです。 Pマーク取得済みでもSCS評価制度への対応が必要になる理由 理由1：SCS評価制度は個人情報以外の機密情報・システムも対象になり得る 企業間取引で守るべき情報は個人情報だけではありません。設計図、価格情報、営業秘密、認証情報、ソースコード、顧客企業のシステム情報、製造条件、研究開発データなども重大な保護対象です。SCS評価制度では、こうした情報やシステムがサプライチェーン経由で侵害されるリスクを考えます。 たとえば、委託先のリモート接続アカウントが侵害され、発注元の環境に不正侵入されるケースでは、個人情報が含まれなくても事業上の影響は大きくなります。Pマークで個人情報管理が適切でも、特権ID管理、ネットワーク分離、脆弱性管理、EDR、ログ監視などの技術統制が十分かは別に確認する必要があります。 理由2：SCS評価制度では技術的な実効性がより重視される SCS評価制度の★4では、文書確認に加えて実地審査と技術検証が想定されています。規程に「脆弱性を定期的に確認する」と書いてあっても、実際に対象システムが適切な頻度と範囲で診断されているか、重大な脆弱性が放置されていないか、是正が追跡されているかといった実装面が問われます。 この点では、Webアプリケーション診断やプラットフォーム診断、必要に応じたペネトレーションテストが重要になります。Webアプリケーション診断は、Webサービスに対してSQLインジェクションや認証・認可不備などの脆弱性を確認するものです。プラットフォーム診断は、OS、ミドルウェア、ネットワーク機器等の設定不備や既知脆弱性を確認します。ペネトレーションテストは、攻撃者の視点で複数の弱点を組み合わせ、実際にどこまで侵入・権限拡大・情報到達が可能かを検証する方法です。 理由3：取引先から求められる説明が変わる可能性がある IPAは、SCS評価制度について、2社間の取引契約等において委託元が委託先に適切な段階（★）を提示し、対策の実施を促し、状況を確認する活用を想定しています。つまり、今後の取引先管理では「Pマークがあります」という説明だけでなく、「SCS評価制度ではどの水準を満たしているか」「取引対象システムにどの対策を実装しているか」といった説明を求められる可能性があります。 特に、重要な情報やシステムへのアクセスを許可される委託先、クラウドやSaaSの運用事業者、システム開発・保守事業者、製造業のサプライヤーなどでは、セキュリティ水準の客観的な説明が取引上の論点になりやすいと考えられます。 Pマーク取得企業がSCS評価制度対応で活用できる既存資産 規程・責任体制・教育記録は流用できる可能性が高い Pマーク取得企業には、個人情報保護方針、内部規程、責任者・担当者の役割、教育記録、内部監査、事故対応、委託先管理などの仕組みがすでに存在します。これらはSCS評価制度への対応でも有効な土台になります。新しい制度だからといって、すべての規程を一から作り直す必要はありません。 実務では、まずSCS評価制度の要求事項と既存文書を対応付ける「ギャップ分析」を行い、既存資料で証明できる項目と追加整備が必要な項目を分けます。これにより、重複作業を減らし、追加コストと準備期間を抑えやすくなります。 一方で技術対策は別途棚卸しが必要 Pマーク取得企業でも、情報システム部門の運用がPMS文書とは別管理になっていることがあります。たとえば、パッチ適用基準、サーバーの構成管理、クラウド設定、MFA（多要素認証）、EDR、バックアップ、ログ保管、SOC監視、脆弱性診断の実施状況などです。 SCS評価制度を見据える場合は、こうした技術対策を「実施しているか」だけでなく、「対象範囲が明確か」「例外管理があるか」「証跡が残っているか」「発見事項が期限管理されているか」まで確認する必要があります。 対応しなかった場合に起こり得る問題 SCS評価制度そのものは、すべての企業に取得を法律上義務付ける制度ではありません。しかし、取引先が調達条件や委託先評価の基準として★取得や同等水準の対策を求める場合、未対応は商談や契約更新の説明負担につながる可能性があります。 また、取引先からセキュリティチェックシートを受け取った際に、社内の情報が分散していて回答に時間がかかる、証跡が不足して回答できない、対策済みと思っていたが実装状況を確認できない、といった問題が起きやすくなります。制度取得そのものよりも、取引先への説明能力を高めることが重要です。 経営上は、セキュリティ対策が受注継続、取引信用、事業継続に関係する点も見逃せません。サイバー事故が発生すれば、復旧費用だけでなく、取引停止、違約対応、顧客説明、信用毀損、経営層の意思決定負荷まで波及する可能性があります。 SCS評価制度対応の対象をどう決めるか 法人全体ではなく、まず重要な取引・システムから整理する SCS評価制度では、各取得希望組織が適用範囲を決定し、その中からサンプリングして評価等を実施する考え方が示されています。したがって、準備段階では、どの取引・事業・拠点・システムを重要対象とするかを整理することが欠かせません。 優先度が高いのは、取引先の機密情報を扱う業務、外部からアクセス可能なWebシステム、クラウド管理画面、VPN・リモート接続、ソースコード管理基盤、顧客システムへの保守接続、事業停止時の影響が大きい基幹システムなどです。 経営層が判断すべき3つの事項 経営層は、第一にどの取引先・事業を優先するか、第二に★3と★4のどちらを目標とするか、第三に不足対策へどこまで投資するかを判断する必要があります。すべてを同時に最高水準へ引き上げるのではなく、取引重要度と事業影響を踏まえた優先順位付けが現実的です。 Pマーク取得企業が進めるべき具体的な対応手順 ステップ1：既存のPマーク文書とSCS要求事項を対応付ける まず、Pマークで保有している規程、台帳、監査記録、教育記録、委託先評価記録、事故対応記録などを一覧化します。そのうえでSCS評価制度の要求事項・評価基準と照合し、流用可能、不足、対象外の3区分程度で整理します。 ステップ2：技術対策を現状確認する 情報資産台帳やシステム一覧、ネットワーク構成図、クラウド利用一覧、アカウント管理表、パッチ管理記録、バックアップ設計、ログ監視状況、脆弱性診断報告書などを確認します。文書上は対策済みでも、現場運用で例外が常態化していないかを確認することが重要です。 ステップ3：脆弱性診断・技術検証の必要性を判断する 外部公開Webサービスやインターネット接続機器については、Webアプリケーション診断やプラットフォーム診断を検討します。重要なシステムや高度な攻撃を想定する環境では、ペネトレーションテストにより侵入経路や権限拡大、横展開の可能性を確認する方法もあります。診断の種類は「制度対応だから実施する」のではなく、守る対象と想定脅威に合わせて選択します。 ステップ4：発見事項をリスクベースで是正する 指摘事項は、単純な件数ではなく、悪用可能性、影響範囲、外部公開の有無、保有情報の機密性、事業停止時の影響などを踏まえて優先順位を決めます。重大な脆弱性は早期対応し、中長期対応が必要な課題は経営承認を得て改善計画へ落とし込みます。 ステップ5：証跡を残し、取引先への説明可能性を高める 評価対応では、ルールが存在するだけでなく、実際に運用されていることを示せる証跡が重要です。教育履歴、レビュー記録、パッチ適用結果、診断報告書、是正記録、バックアップ試験、インシデント訓練の結果などを保存し、必要なときに提示できる状態を作ります。 費用と期間を左右する要因 SCS評価制度対応の費用は、単に申請費用だけでは決まりません。既存の規程や技術対策がどこまで整備されているか、対象システム数、拠点数、クラウド利用数、診断対象URL・IP数、追加導入するセキュリティ製品、改修の難易度、★3・★4のどちらを目標とするかによって大きく変わります。 Pマーク取得企業は、規程・教育・内部監査・委託先管理などの基盤があるため、非取得企業に比べて準備を短縮できる可能性があります。一方、技術対策の不足が大きい場合は、MFA導入、EDR導入、ログ監視、バックアップ強化、脆弱性対応などに追加投資が必要です。 社内稟議では「認証取得費用」だけでなく、取引継続、取引先監査への対応工数削減、事故リスク低減、システム停止リスク、顧客からの信用といった経営効果を含めて説明すると、投資目的が伝わりやすくなります。 SCS評価制度の支援会社を選ぶポイント 制度解説だけでなく、技術実装まで支援できるか SCS評価制度では、規程整備だけでなく技術的な実効性が重要です。支援会社を選ぶ際は、要求事項の解釈だけでなく、脆弱性診断、ペネトレーションテスト、SOC／CSIRT、インシデントレスポンス、クラウド・ネットワーク対策などを理解し、発見した課題を実装レベルまで落とし込めるかを確認するとよいでしょう。 既存認証を尊重し、重複作業を減らせるか PマークやISMSなどをすでに運用している企業に対して、すべてを作り直す支援は効率的とは限りません。既存規程・証跡・監査プロセスを評価し、SCS評価制度との差分だけを明確にできる事業者のほうが、社内負担を抑えやすくなります。 RFP・見積依頼で確認したい項目 見積依頼時には、ギャップ分析の対象範囲、成果物、技術診断を含むか、改善支援の範囲、再診断の有無、機密情報の取り扱い、再委託の有無、担当者の資格・経験、想定スケジュールを確認します。SCS評価制度そのものの第三者評価と、取得に向けたコンサルティング・技術支援は役割が異なるため、どこまでを依頼するのかを明確にすることも重要です。 よくある失敗と注意点 「Pマークがあるから大丈夫」と確認を止めてしまう 最も注意したいのは、既存認証を理由に追加確認をしないことです。Pマークで十分に整備された領域がある一方、SCS評価制度ではサプライチェーンリスクや技術対策の観点から追加確認が必要になります。 規程整備を優先し、技術的な未対応を後回しにする 制度対応では、文書を整えることより、実際のリスクを減らすことが本質です。外部公開サーバーに重大な脆弱性が残っている、退職者アカウントが残存している、バックアップから復旧できない、といった問題は、規程だけでは解決できません。 診断結果を受け取って終了する 脆弱性診断やペネトレーションテストは、報告書を受領することが目的ではありません。発見事項を修正し、再診断で解消を確認し、同種の問題を繰り返さない運用に反映することが重要です。 Librus株式会社が提供できるSCS評価制度対応支援 Librus株式会社では、SCS評価制度への対応を「規程作成だけ」「診断だけ」で切り分けず、企業ごとの事業・取引・システム環境に応じて一気通貫で支援します。Pマークなど既存認証を取得している企業には、既存の規程・台帳・証跡を活かしながら、SCS評価制度とのギャップを整理し、不足する管理策を優先順位付けします。 また、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、レッドチーム演習、SOC／CSIRT構築・運用支援、インシデントレスポンス、デジタルフォレンジック、SBOM支援、リスクアセスメントなど、技術対策から運用改善まで対応可能です。 制度取得そのものを目的にするのではなく、取引先に説明できるセキュリティ体制を整え、改善活動を継続できる状態を目指します。経営層への説明、情報システム部門の実装、管理部門の規程・証跡整備を横断して整理できる点も、SCS評価制度対応では重要です。 よくある質問 Q1. Pマークを取得していればSCS評価制度は取得不要ですか？ 一律に不要とはいえません。PマークとSCS評価制度は目的・評価対象が異なるためです。Pマークの既存統制を活用しつつ、SCS評価制度の要求事項との差分を確認する必要があります。 Q2. PマークとSCS評価制度で共通する対策はありますか？ あります。責任体制、規程、教育、委託先管理、インシデント対応、内部監査などは重なる可能性があります。ただし、SCS評価制度ではサイバー攻撃やサプライチェーンリスクへの技術的な対策がより重要になります。 Q3. Pマーク取得企業なら★3は簡単に取得できますか？ 既存の管理体制を活用できるため準備負担を減らせる可能性はありますが、取得を保証するものではありません。SCS評価制度の要求事項・評価基準に照らして、不足部分を確認する必要があります。 Q4. SCS評価制度では脆弱性診断が必要ですか？ 対象となる要求事項や評価水準、対象システムによって必要性を判断します。特に外部公開システムや重要システムでは、Webアプリケーション診断やプラットフォーム診断などの技術検証が有効です。★4では第三者評価に加え、技術検証が制度上想定されています。 Q5. ISMSを取得している場合も同じですか？ ISMSもSCS評価制度と完全に同一ではありません。経済産業省の制度構築方針でも、SCS評価制度（★3・★4）とISMS適合性評価制度は目的・アプローチが異なるものとして整理されています。既存のISMS運用は有力な基盤になりますが、SCS要求事項との差分確認が必要です。 Q6. ★3と★4のどちらを目指すべきですか？ 取引先から求められる水準、扱う情報・システムの重要度、サプライチェーン上の役割を踏まえて判断します。高度な技術検証や第三者評価が求められる取引では★4が候補となります。 Q7. 何から始めればよいですか？ 最初に、取引先から求められている要求水準と対象範囲を確認し、既存のPマーク文書・情報セキュリティ規程・技術対策を棚卸しします。その後、SCS評価制度とのギャップ分析を行うと、優先順位が明確になります。 まとめ｜Pマークは有効な土台だが、SCS評価制度の代替ではない SCS評価制度とPマークは、どちらも企業の信頼性向上に役立つ制度ですが、目的は同じではありません。Pマークは個人情報保護マネジメントを中心に評価し、SCS評価制度はサプライチェーンを通じたサイバーリスクへの対応水準を評価します。 したがって、Pマーク取得企業でもSCS評価制度への追加対応が必要になる可能性があります。ただし、すでに整備している規程、教育、内部監査、委託先管理、事故対応などは大きな資産です。既存体制を活かして差分だけを整備することが、コストとスピードの両面で合理的です。 重要なのは、認証やマークの数を増やすことではなく、自社の取引先・事業・システムに対して必要なセキュリティ対策を説明でき、実際に運用できる状態を作ることです。 SCS評価制度と既存認証の整理からご相談いただけます 「Pマークを取得しているが、SCS評価制度で何を追加すべきか分からない」「★3と★4のどちらを目指すべきか判断できない」「取引先から質問される前に準備しておきたい」といった段階でもご相談いただけます。 Librus株式会社では、既存のPマーク・ISMS等の規程や証跡を確認し、SCS評価制度とのギャップを整理したうえで、必要な技術対策、脆弱性診断、改善計画、社内説明まで支援します。対象範囲や実施方法が決まっていない場合でも、取引上の重要度と現在のセキュリティ体制から優先順位を整理することで、過剰な投資を避けながら実務的な準備を進められます。 出典・参考情報 IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」：https://www.ipa.go.jp/security/scs/index.html IPA「SCS評価制度の詳細情報」：https://www.ipa.go.jp/security/scs/details.html IPA「要求事項・評価基準」：https://www.ipa.go.jp/security/scs/requirements-criteria.html IPA「よくある質問」：https://www.ipa.go.jp/security/scs/faq.html JIPDEC「プライバシーマークとは」：https://privacymark.jp/system/about/index.html JIPDEC「制度の概要」：https://privacymark.jp/system/about/outline_and_purpose.html 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」：https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/ 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎） 105-0004 東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F 03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact
VIEW MORE
SCS評価制度とISMSの違いとは？取得済み企業も対応が必要な理由
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）への対応を検討する企業から、特に多く出てくるのが「すでにISMS（ISO/IEC 27001）を取得していれば、SCS評価制度への対応は不要なのか」という疑問です。 結論からいえば、ISMSを取得済みであっても、SCS評価制度への対応が別途必要になる可能性があります。両者には共通する管理領域がある一方、制度の目的、評価方法、技術検証の有無、取引先との関係が異なるためです。ISMS認証はSCS評価制度の取得を自動的に代替するものではありません。 ただし、ISMSで整備した情報資産管理、リスクアセスメント、アクセス管理、委託先管理、インシデント対応、教育などの仕組みは、SCS評価制度への準備で大きな土台になります。重要なのは「ゼロから作り直す」のではなく、既存のISMS運用とSCSの要求事項を突き合わせ、不足部分だけを具体的に補強することです。 本記事では、2026年10月14日時点の公表情報をもとに、SCS評価制度とISMSの違い、ISMS取得済み企業が確認すべきポイント、Webアプリケーション診断・プラットフォーム診断・ペネトレーションテストとの関係、社内での進め方まで実務目線で解説します。 この記事で分かること SCS評価制度とISMS（ISO/IEC 27001）の目的・評価方法の違い ISMS取得済み企業でもSCS評価制度への対応が必要になり得る理由 既存のISMS文書・運用をSCS対応へ活用する方法 ★3・★4で求められる評価と技術検証の考え方 対応プロジェクトの進め方、費用・期間を左右する要因、ベンダー選定のポイント SCS評価制度とは何か SCS評価制度は、サプライチェーンを構成する企業等のセキュリティ対策状況を共通の基準で可視化し、発注元と委託先の双方がセキュリティ水準を確認しやすくするための制度です。経済産業省と内閣官房国家サイバー統括室が2026年3月に制度構築方針を公表し、IPAが制度運営を担います。 IPAによると、★3は一般的なサイバー脅威に対処し得る水準、★4は初期侵入の防御だけでなく、侵入後の被害拡大防止や取引先のデータ・システム保護、サプライチェーン上の役割に応じた強靭化まで含む水準として整理されています。★3・★4は2027年3月頃の運用開始が予定されています。 出典：IPA「SCS評価制度の詳細情報」「よくある質問」 https://www.ipa.go.jp/security/scs/details.html https://www.ipa.go.jp/security/scs/faq.html ★3は専門家確認付きの自己評価 ★3では、企業が要求事項・評価基準に沿って自己評価を行い、SCS評価制度の要件を満たしたセキュリティ専門家による確認・助言を受けます。そのうえで経営層による自己適合宣誓を含む評価結果を事務局へ提出し、問題がなければ台帳へ登録・公表される流れです。単なる社内チェックではなく、専門家確認と経営層の関与が組み込まれている点が特徴です。 ★4は第三者評価と技術検証が加わる ★4では、評価機関による第三者評価に加え、文書確認、実地審査、技術検証が行われます。IPAは技術検証事業者の主な対象として、脆弱性診断やペネトレーションテストを提供する法人を挙げています。つまり、規程や証跡が整っていることだけでなく、実際のIT環境に技術的な弱点が残っていないかを確認する考え方がより明確です。 出典：IPA「指定申請について（評価機関・技術検証事業者・研修事業者向け）」 https://www.ipa.go.jp/security/scs/security-experts-organization/shiteishinsei.html ISMS（ISO/IEC 27001）とは何か ISMSはInformation Security Management Systemの略で、情報セキュリティを組織として継続的に管理するための仕組みです。ISO/IEC 27001は、そのISMSに対する要求事項を定めた国際規格です。日本ではJIS Q 27001として国際規格との整合が図られています。 ISMSでは、個別のセキュリティ製品を導入すること自体を目的とするのではなく、自社が保有する情報や事業上のリスクを評価し、必要な管理策を選び、責任者・ルール・運用・監視・改善のサイクルを組織として回すことが重視されます。ISMS-ACが認定した認証機関の審査を受け、要求事項への適合が認められることで認証を取得できます。 出典：情報マネジメントシステム認定センター（ISMS-AC）「ISMS適合性評価制度の概要」 https://isms.jp/isms/about.html SCS評価制度とISMSの違い 両者の最も大きな違いは、ISMSが「組織の情報セキュリティマネジメントの仕組み」を第三者が認証する制度であるのに対し、SCS評価制度は「サプライチェーンにおいて必要なサイバーセキュリティ対策の実施状況を可視化し、取引時の確認に活用しやすくする制度」である点です。 違い1：制度の目的 ISMSは、自社のリスクに基づいて情報セキュリティを継続的に管理し、マネジメントシステムとして機能させることを重視します。一方、SCS評価制度は、委託元から見て委託先の対策状況が分かりにくいことや、委託先が複数の取引先から異なるチェック項目を求められる負担を軽減することを背景に設計されています。 そのため、SCS評価制度は取引先管理、調達、外部委託、サプライチェーンリスクの文脈で利用される可能性が高い制度です。法律上の一律義務というより、発注条件や取引継続の判断材料として求められるケースに備える視点が重要になります。 違い2：評価の考え方 ISMSは、自社の事業環境、情報資産、脅威、脆弱性を踏まえてリスクを評価し、必要な管理策を選択して運用するリスクベースのアプローチです。これに対しSCS評価制度では、★3・★4ごとに要求事項・評価基準が用意され、取得にはそれぞれ定められた要求事項・評価基準を満たす必要があります。 したがって、「ISMSの審査で問題がなかったから、SCSでもそのまま適合する」とは限りません。逆に、ISMSで適切に運用できている領域については、SCS評価の根拠資料や証跡として活用できる可能性があります。 違い3：技術検証の位置付け ISMS審査では、マネジメントシステムが適切に構築・運用されているかが中心となります。技術的な脆弱性診断を毎回必須とする制度ではありません。 一方、SCS評価制度の★4では技術検証が明示されています。対象のIT基盤やシステムの構成によっては、Webアプリケーション診断、プラットフォーム診断、脆弱性診断、ペネトレーションテストなどを通じて、設定不備や既知の脆弱性、認証・権限管理上の問題、攻撃経路を確認することが重要になります。 例えば、ISMS上は「脆弱性管理の手順」が整備されていても、実際の公開サーバーに重大な既知脆弱性が残っている、管理画面がインターネットへ露出している、クラウドのアクセス制御に過剰権限がある、といった状態は別問題です。SCS対応では、管理プロセスと実際の技術状態の両方を見る必要があります。 違い4：取引先への説明材料としての使われ方 ISMS認証はすでに多くの企業で、委託先選定やセキュリティチェック時の信頼性を示す材料として利用されています。SCS評価制度はさらに、サプライチェーン上で求めるセキュリティ水準を共通化し、発注時等に対策状況を確認しやすくする目的を持っています。 今後、顧客企業が「重要な業務委託先には★3以上」「特に重要なシステムやデータを扱う委託先には★4」といった社内調達基準を設ける可能性があります。自社がISMS認証を取得していても、取引先がSCSの★取得を条件として設定すれば、別途対応が必要になります。 ISMS取得済み企業もSCS評価制度への対応が必要？ はい、必要になる可能性があります。特に、大企業や重要インフラ企業の取引先、顧客情報・機密情報を預かる事業者、クラウド・システム運用を担う事業者、製造業のサプライヤー、BPO・ITサービス事業者は、取引先から具体的な水準を求められる可能性を想定して準備しておくことが合理的です。 ただし、ISMS取得済み企業には大きな優位性があります。規程、情報資産台帳、リスクアセスメント、教育記録、委託先管理、アクセス管理、インシデント対応手順、内部監査、経営レビューなど、SCS対応に関連する文書や運用実績がすでに存在するためです。 したがって実務では、「ISMSとは別の制度だから全部作り直す」のではなく、SCS要求事項と既存ISMSの管理策・証跡をマッピングし、差分を埋める方法が効率的です。 ISMS取得済み企業が最初に確認すべき5つのポイント 1．ISMSの認証範囲とSCSで想定する対象範囲が一致しているか ISMS認証は、組織全体ではなく特定の部門・拠点・サービスを認証範囲としている場合があります。SCS評価制度で顧客から求められる対象が、ISMSの認証範囲外にあるシステムや子会社、拠点、クラウド環境であれば、既存認証だけでは十分な説明になりません。 最初に、取引先へ提供しているサービス、保存・処理している情報、利用しているシステム、外部委託先、ネットワーク境界を整理し、どこをSCS対応の対象とするかを明確にします。 2．規程だけでなく運用証跡が残っているか 規程が存在していても、アカウント棚卸しの記録、パッチ適用履歴、教育受講記録、インシデント訓練記録、バックアップ復元試験結果などが残っていなければ、実際に運用されていることを説明しにくくなります。 SCS対応を見据えるなら、既存のISMS運用を「監査で見せるための文書」ではなく、「現場で実施し、証跡を残す仕組み」として再確認することが重要です。 3．実システムの脆弱性を把握できているか 情報システム部門は、インターネット公開資産、Webアプリケーション、サーバー、ネットワーク機器、クラウド環境を一覧化し、脆弱性管理の対象漏れがないか確認します。 Webアプリケーションでは認証回避、アクセス制御不備、SQLインジェクション、クロスサイトスクリプティングなど、プラットフォームでは古いミドルウェア、不要ポート、脆弱な暗号設定、管理インターフェースの露出などが代表的な確認対象です。重要度の高い環境では、単純なスキャンだけでなく、攻撃者の視点で侵入可能性や横展開を確認するペネトレーションテストが有効な場合があります。 4．委託先・再委託先まで管理できているか サプライチェーンリスクは、自社だけで完結しません。クラウド事業者、開発会社、運用保守会社、コールセンター、物流会社など、自社の事業継続や機密情報に影響する委託先を整理し、契約上のセキュリティ要求、事故報告、再委託、アクセス権限、データ返却・消去などの管理状況を確認します。 5．経営層がリスクと投資判断に関与できているか SCS評価制度の★3では経営層による自己適合宣誓が想定されています。セキュリティを情報システム部門だけの作業にせず、どの取引を守るのか、どこまで投資するのか、未対応リスクを受容するのかを経営判断として整理する必要があります。 SCS評価制度への対応を進める具体的な手順 ステップ1：取引先から求められる水準を確認する まず、主要顧客や親会社、調達部門からSCS評価制度に関する要求が出ているかを確認します。現時点で明示されていなくても、取引更新、入札、監査、セキュリティチェックシート改定のタイミングで要求が追加される可能性があります。売上依存度や契約上の重要性を踏まえ、優先順位を付けます。 ステップ2：既存ISMSとSCS要求事項をマッピングする 情報セキュリティ方針、リスクアセスメント、適用宣言書、情報資産台帳、組織体制、教育記録、委託先管理、アクセス管理、ログ管理、バックアップ、脆弱性管理、インシデント対応、事業継続関連資料などを収集し、SCS要求事項との対応関係を整理します。 ここで「対応済み」「一部対応」「未対応」「証跡不足」に分類すると、追加対策の全体像が見えやすくなります。 ステップ3：技術面の現状を確認する 文書確認と並行して、IT資産の棚卸し、外部公開資産の確認、脆弱性診断などを実施します。対象範囲が広い企業では、全システムを一度に診断するのではなく、顧客データを扱う環境、インターネット公開システム、特権アクセスが集中する基盤など、リスクの高い領域から着手すると現実的です。 ステップ4：ギャップをリスクベースで改善する 未対応項目をすべて同じ優先度で処理すると、費用も期間も膨らみます。外部から侵入される可能性、扱う情報の重要性、事業停止時の影響、取引先への波及、是正コストを踏まえて優先順位を付けます。 例えば、インターネット公開システムの重大な脆弱性、特権IDの多要素認証未導入、バックアップからの復旧不能、インシデント時の連絡体制不備などは、単なる文書体裁より優先度が高くなることがあります。 ステップ5：評価に備えて証跡を整える 改善後は、規程だけでなく実施証跡を揃えます。成果物としては、対象範囲一覧、要求事項対応表、ギャップ分析結果、改善計画、診断報告書、是正記録、教育実績、インシデント対応訓練記録、経営層への報告資料などを整理しておくと、評価対応が進めやすくなります。 期間と費用を左右する要因 SCS評価制度への対応期間や費用は、企業規模だけでは決まりません。既存のISMS成熟度、対象範囲、拠点数、システム数、クラウド利用状況、外部公開資産、委託先数、必要な技術診断、現状の証跡整備状況などで大きく変わります。 ISMS取得済みで運用が定着している企業は、文書整備の工数を抑えやすい一方、技術検証で重大な課題が見つかれば、改修費や再診断費用が発生します。また、複数事業を一括で対象にするか、主要サービスから段階的に対象化するかでもプロジェクト規模は変わります。 社内稟議では「制度取得費用」だけを説明するのではなく、重要顧客との取引継続、入札要件への対応、委託先監査への回答工数削減、セキュリティ事故による事業停止リスクの低減といった事業上の目的を合わせて示すと、投資判断につながりやすくなります。 SCS評価制度の支援会社を選ぶポイント 支援会社を選ぶ際は、規程作成だけを行う会社か、技術診断だけを行う会社かではなく、制度要求と技術対策を横断して支援できるかを確認することが重要です。 RFPや見積依頼では、SCS要求事項とのギャップ分析、既存ISMS文書の活用範囲、対象範囲の決定支援、脆弱性診断・ペネトレーションテストの実施可否、改善計画の作成、再診断、証跡整備、経営層向け報告まで、どこまで含まれるのかを確認します。 また、診断で個人情報や機密情報に触れる可能性がある場合は、データの保存場所、アクセス権限、再委託、報告書の保管・廃棄、インシデント発生時の連絡方法について契約前に確認しておく必要があります。 よくある失敗と注意点 「ISMSがあるから大丈夫」と判断して差分確認をしない 最も避けたいのは、ISMS認証をSCS適合の証明と同一視することです。重複する領域は多くても、SCS独自の要求や技術検証を確認しなければ不足を見落とします。 評価直前に診断を実施し、改修期間が取れない 脆弱性診断で重大な問題が見つかる可能性を考えると、評価直前ではなく早めに技術確認を行う方が安全です。改修、テスト、再診断までを含めて計画します。 情報システム部門だけで進める 契約、調達、委託先管理、教育、事業継続、経営判断は複数部門にまたがります。管理部門、法務、調達、営業、事業部門、経営層を早期に巻き込むことで、後戻りを減らせます。 Librus株式会社が提供できるSCS評価制度対応支援 Librus株式会社では、SCS評価制度への対応を、チェックリストの作成だけで終わらせず、現状分析、技術検証、改善、運用まで一気通貫で支援します。 ISMS取得済み企業に対しては、既存の規程・リスクアセスメント・運用証跡を活かしながらSCS要求事項とのギャップを整理し、追加対応が必要な領域を明確化します。ISMSを未取得の企業についても、SCS取得に必要な体制・ルール・技術対策を企業規模や取引状況に応じて設計できます。 技術面では、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、レッドチーム演習などを組み合わせ、制度上の要求と実システムのリスクを結び付けて確認します。診断で課題が見つかった場合も、優先順位付け、改善方針、再診断、継続運用まで支援可能です。 さらに、経営層向けのリスク整理、情報システム部門と現場部門の役割整理、取引先監査への対応、SOC／CSIRT構築・運用支援、インシデントレスポンス、教育・訓練など、SCS評価制度の取得後を見据えた運用設計にも対応します。 よくある質問 Q1．ISMSを取得していればSCS評価制度の★3・★4も取得済み扱いになりますか？ いいえ。ISMS認証とSCS評価制度は別の制度です。ISMS取得済みであっても、SCSの要求事項・評価基準に沿った評価・申請が必要です。ただし、既存のISMS文書や運用証跡を活用できる領域は多くあります。 Q2．SCS評価制度に対応するためにISMSを取得する必要がありますか？ SCS評価制度の取得要件として、企業がISMS認証を事前取得しなければならないとは公表されていません。SCSの要求事項に適合する体制と対策を整備することが重要です。 Q3．ISMSとSCS評価制度はどちらを優先すべきですか？ 取引先要求と自社の経営目的によって異なります。取引先からSCSの★取得を求められる可能性が高い場合はSCS対応を優先しつつ、中長期的な情報セキュリティ管理の基盤としてISMSを活用する方法も考えられます。すでにISMS取得済みであれば、その仕組みをSCS対応の土台として利用するのが効率的です。 Q4．★4では脆弱性診断やペネトレーションテストが必須ですか？ ★4では技術検証が制度上明示されています。具体的な検証内容は対象環境や評価手順に従って決まります。IPAは技術検証事業者の業務として脆弱性診断を挙げており、対象によってはWebアプリケーション診断、プラットフォーム診断、ペネトレーションテスト等が関連します。 Q5．★3を取得してからでないと★4を取得できませんか？ いいえ。IPAは、上位段階が下位段階の事項を包含するものの、★3を事前取得していなければ★4を取得できない関係ではないと説明しています。自社の取引上の必要性と現状のセキュリティ水準を踏まえて検討します。 Q6．SCS評価制度への対応はいつから始めるべきですか？ ★3・★4は2027年3月頃の運用開始が予定されています。対象範囲整理、ギャップ分析、技術診断、改修、証跡整備には一定の期間が必要になるため、主要取引先から要求される可能性がある企業は、制度開始前から現状確認を進めることが望ましいでしょう。 Q7．まだ★3と★4のどちらを目指すか決まっていなくても相談できますか？ 可能です。まず取引先から想定される要求、自社の事業・システム・情報の重要度、現状のISMS運用や技術対策を整理することで、どの水準を目指すべきか判断しやすくなります。 まとめ：ISMS取得済みでも、SCS評価制度は「差分確認」が必要 SCS評価制度とISMS（ISO/IEC 27001）は、いずれも企業の情報セキュリティ向上に役立つ仕組みですが、目的と評価方法は同じではありません。ISMSは情報セキュリティマネジメントシステムを継続的に運用する枠組みであり、SCS評価制度はサプライチェーンにおけるセキュリティ対策状況を共通基準で可視化し、取引時に活用しやすくする制度です。 そのため、ISMS認証を取得済みでもSCSへの対応が不要になるわけではありません。一方で、ISMSで蓄積した規程、リスクアセスメント、運用証跡、内部監査などは大きな資産です。既存の仕組みをSCS要求事項へマッピングし、技術面を含む不足箇所だけを補強することで、効率的な準備が可能になります。 特に重要なのは、制度取得だけを目的にせず、主要取引先との関係、事業継続、顧客データの保護、実際のシステムリスクまで含めて対応計画を作ることです。 SCS評価制度と既存ISMSの整理からご相談いただけます 「ISMSを取得しているが、SCS評価制度で何が追加になるのか分からない」「★3と★4のどちらを目指すべきか判断できない」「取引先から求められる前に準備しておきたい」といった段階でもご相談いただけます。 Librus株式会社では、既存のISMS文書・運用状況を確認したうえで、SCS要求事項とのギャップ、追加で必要な技術対策、脆弱性診断やペネトレーションテストの対象、改善優先順位を整理します。対象範囲や実施方法がまだ決まっていない場合でも、事業上の重要度や取引先との関係を踏まえて、過不足のない進め方を検討できます。 制度対応を単なる認証取得の作業にせず、取引先への説明力向上と実際のセキュリティ強化を同時に進めたい場合は、現状整理の段階からご相談ください。 参考・出典 IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」：https://www.ipa.go.jp/security/scs/index.html IPA「SCS評価制度の詳細情報」：https://www.ipa.go.jp/security/scs/details.html IPA「要求事項・評価基準」：https://www.ipa.go.jp/security/scs/requirements-criteria.html IPA「よくある質問」：https://www.ipa.go.jp/security/scs/faq.html IPA「指定申請について（評価機関・技術検証事業者・研修事業者向け）」：https://www.ipa.go.jp/security/scs/security-experts-organization/shiteishinsei.html ISMS-AC「情報セキュリティマネジメントシステム（ISMS）適合性評価制度の概要」：https://isms.jp/isms/about.html 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎） 105-0004 東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F 03-6772-8015 お問い合わせフォーム https://librus.co.jp/contact
VIEW MORE
取引先から「SCS★3を取得してください」と言われる前に準備すべきこと
取引先からSCS★3の取得を求められた時点で、社内体制や規程、IT資産、証跡を一から整理し始めると、対応期限に間に合わない可能性があります。サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の★3は、単に申請書へチェックを付ければ取得できる制度ではありません。要求事項・評価基準を満たす対策を実際に行い、その状況を説明できる証拠をそろえ、セキュリティ専門家の確認を受けたうえで、経営層が自己適合を宣誓する仕組みです。 結論からいえば、取引先から正式な要請が来る前に着手すべきなのは「申請作業」ではなく、①適用範囲の整理、②IT資産とアカウントの棚卸し、③規程・運用・証跡の整備、④脆弱性や設定不備の是正、⑤インシデント対応とバックアップの実効性確認、⑥経営層を含む推進体制の構築です。これらはSCS★3への準備であると同時に、日常のサイバーリスク低減にもつながります。 SCS評価制度は2027年3月頃の★3・★4運用開始が予定されています。制度自体は任意ですが、委託元が取引契約等で委託先に必要な★を提示し、その対策状況を確認する利用が想定されています。そのため、法令上の義務ではなくても、取引継続・新規受注・調達要件の観点で対応が必要になる企業は今後増える可能性があります。 出典：IPA「SCS評価制度」 https://www.ipa.go.jp/security/scs/index.html 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html この記事で分かること SCS★3が取引先との関係でどのように使われる可能性があるか 正式な取得要請を受ける前に準備しておくべき項目 経営層・情報システム部門・現場部門それぞれの役割 規程だけでなく、運用証跡や技術対策まで必要になる理由 Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストをどの場面で活用するか 社内稟議、予算化、外部支援会社の選定で確認すべきポイント SCS評価制度とSCS★3の基本を押さえる SCS評価制度はサプライチェーンの対策状況を可視化する制度 SCS評価制度は、委託元から見えにくい委託先のセキュリティ対策状況を共通の尺度で確認しやすくするとともに、委託先が複数の取引先から異なるチェックシートを求められる負担を軽減することを狙った制度です。IPAが制度を運営し、経済産業省と内閣官房国家サイバー統括室が監督する枠組みで構築されています。 対象は特定業種だけに限定されていません。IPAは全てのサプライチェーン企業を対象とし、とりわけ対策リソースが限られる中小企業にも活用効果が大きいとしています。従業員100～1,000名規模の企業では、取引先が大企業、重要インフラ事業者、製造業、金融業などである場合、自社が「委託先」「システム運用会社」「開発会社」「業務受託会社」などの立場で要求を受ける場面を想定しておくべきでしょう。 出典：IPA「SCS評価制度」 https://www.ipa.go.jp/security/scs/index.html ★3は「一般的なサイバー脅威に対処しうる水準」 ★3は、広く認知された脆弱性などを悪用する一般的なサイバー攻撃に対処しうることを水準としており、基礎的な組織対策とシステム防御策を中心に、サプライチェーン企業が最低限実装すべき対策として位置付けられています。★4はこれより広く、組織ガバナンス、取引先管理、検知、インシデント対応などを含む包括的な水準です。 ★3の評価方法は「専門家確認付き自己評価」です。取得希望組織が自己評価を行い、登録されたセキュリティ専門家が内容を確認・助言し、経営層の自己適合宣誓を含む評価結果を事務局へ提出します。IPAのFAQでは、★3取得には定められた全ての要求事項・評価基準を満たす必要があると示されています。したがって、「大部分はできているから申請する」というより、不足項目を事前に洗い出し、運用まで定着させる準備が重要です。 出典：IPA「よくある質問」 https://www.ipa.go.jp/security/scs/faq.html なぜ「取引先に言われてから」では遅れやすいのか 規程作成よりも、実際の運用と証跡づくりに時間がかかる セキュリティ評価では、方針や規程が存在することと、実際に運用されていることは別問題です。たとえばアカウント管理規程を作成していても、退職者アカウントが残っている、管理者権限の棚卸し履歴がない、アクセス権の承認記録を保存していないといった状態では、運用実態を説明しにくくなります。 同様に、バックアップを「実施している」だけでは、復元できるか、ランサムウェア感染時にも利用できるか、担当者不在でも復旧手順を実行できるかという実効性までは確認できません。取得要請を受けてから数週間で、規程・設定・記録・教育・訓練を同時に整備するのは現実的でない場合があります。 部門横断での調整が必要になる SCS★3準備を情報システム部門だけの仕事と考えると、途中で止まりやすくなります。人事部門は入退社や異動に伴う権限管理、総務・法務は委託契約や機密情報管理、購買部門は外部委託先の管理、経営層は方針と予算、人員配置に関与します。クラウドサービスを各部門が独自契約している企業では、SaaSの棚卸しだけでも時間を要します。 取引先から「1～2か月以内に取得方針を回答してほしい」といった相談が来たとき、社内責任者や対象範囲が決まっていなければ、技術対策以前に意思決定で時間を消費します。事前準備の価値は、対策そのものだけでなく、社内の判断速度を上げる点にもあります。 対応が遅れた場合に起こり得る経営上の問題 SCS評価制度自体は任意の制度であり、★3を取得していないことだけを理由に法律違反になるものではありません。一方、経済産業省のFAQでは、★の取得は委託元または委託先との取引契約で決められるものとされています。つまり、実務上重要なのは「制度上の義務か」だけではなく、「自社の主要顧客が調達条件として何を求めるか」です。 出典：経済産業省「SCS評価制度に関するよくあるお問い合わせ」 https://www.meti.go.jp/press/2025/03/20260327001/20260327001-gr.pdf 取得や準備が間に合わなければ、取引先から追加のセキュリティ説明を求められたり、是正計画の提出、契約条件の見直し、競合企業との比較で不利になる可能性があります。特に自社が顧客データを預かる、基幹システムへ接続する、システム開発・保守を担う、製造ラインや物流を支えるといった役割を持つ場合、サイバー事故は自社だけでなく取引先の事業継続に影響します。 経営層はSCS★3を「認証を取るためのコスト」とだけ捉えず、売上維持、調達要件への対応、信用毀損リスクの低減、事故時の復旧力向上に関係する経営課題として判断することが重要です。 取引先からSCS★3を求められる前に準備すべき7項目 1．適用範囲と重要業務を先に整理する 最初に決めるべきなのは、どの会社・拠点・業務・IT基盤を対象にするかです。対象範囲が曖昧なまま規程や診断を始めると、後から対象システムが増え、見積りやスケジュールが崩れます。主要取引先へ提供している業務、預かっている情報、外部接続、クラウド利用、重要な拠点を整理し、「停止すると取引先に影響する業務」から優先順位を付けます。 経営層は、主要顧客・売上・事業継続の観点から対象範囲を判断し、情報システム部門は対象に含まれるサーバ、ネットワーク、クラウド、端末、アプリケーションを具体化します。 2．IT資産・アカウント・外部公開資産を棚卸しする セキュリティ対策は、守る対象が分からなければ設計できません。PCやサーバだけでなく、VPN装置、ファイアウォール、ルーター、クラウド環境、SaaS、ドメイン、Webサイト、管理画面、開発環境、外部委託先が管理するシステムも含めて整理します。 特に見落としやすいのが、過去案件で作成したテスト環境、利用者の少ない管理画面、旧VPN装置、退職者や委託先のアカウントです。攻撃者は「重要な本番システム」だけを狙うとは限りません。古い機器や公開設定の不備を侵入口として利用し、内部へ移動するケースを想定する必要があります。 3．規程と運用証跡をセットで整備する 情報セキュリティ基本方針、アカウント管理、端末管理、脆弱性管理、バックアップ、ログ管理、インシデント対応、委託先管理などのルールは、実態に合わせて整備します。既存のISMS規程や社内規程がある企業は、ゼロから作り直すのではなく、SCS★3の要求事項との対応関係を確認する方が効率的です。 同時に、アカウント棚卸し記録、パッチ適用記録、教育受講記録、インシデント訓練記録、バックアップ確認記録、外部委託先の確認記録など、実施を示せる証跡を残す運用へ変えます。「やっているが記録がない」は、評価時の説明負担を増やします。 4．脆弱性と設定不備を把握し、優先順位を付けて是正する インターネットからアクセス可能なシステムや重要システムは、設定ミスや既知の脆弱性が放置されていないか確認します。プラットフォーム診断では、サーバ、ネットワーク機器、OS、ミドルウェアなどの脆弱性や不要ポート、危険な設定を確認できます。Webアプリケーション診断では、認証・認可、入力値処理、セッション管理など、Web固有の問題を確認します。 なお、★3の評価スキームは書類確認を中心とする専門家確認付き自己評価であり、★4のような第三者による技術検証そのものが評価スキームとして必須とされているわけではありません。それでも、自社の実装状況を客観的に把握し、重大な弱点を申請前に解消する目的で脆弱性診断を活用する価値があります。ペネトレーションテストは、個別の脆弱性だけでなく、複数の弱点を組み合わせた侵入可能性や影響を検証したい場合に有効です。 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html 5．インシデント対応とバックアップを「使える状態」にする ランサムウェア感染、不正アクセス、情報漏えいなどが発生した際の連絡先、初動責任者、判断基準、取引先への報告経路、外部専門会社への連絡方法を決めておきます。文書を作るだけでなく、机上訓練を行い、「休日に検知した場合」「担当者が不在の場合」などを想定すると実効性を確認できます。 バックアップについては、取得頻度、保存先、世代数、アクセス権、復元手順を確認し、定期的な復元テストを行います。攻撃者が本番環境と同じ権限でバックアップまで削除できる構成では、復旧手段として十分とはいえません。事業継続の観点から、重要システムごとに許容停止時間や復旧優先順位も整理しておくと、経営判断につながりやすくなります。 6．従業員教育と委託先管理を定常業務にする フィッシングメール、パスワードの使い回し、クラウド共有設定の誤りなど、人の行動を起点とするリスクは技術製品だけでは抑えられません。入社時教育だけでなく、定期教育、注意喚起、標的型メール訓練などを組み合わせ、受講記録も残します。 また、自社が再委託やクラウドサービスを利用している場合、自社だけの対策でサプライチェーンリスクを完結させることはできません。契約時のセキュリティ確認、アクセス権付与、事故時の連絡義務、契約終了時のデータ返却・削除など、外部委託先管理を購買・法務・情報システム部門で連携して運用する必要があります。 7．経営層が「取得方針・予算・責任者」を決める ★3では経営層による自己適合宣誓が評価プロセスに含まれます。したがって、情報システム担当者が最後に社長印をもらうだけのプロジェクトではありません。どの取引を守るために取得するのか、どの範囲を対象にするのか、是正にどこまで予算を使うのか、残るリスクを誰が受容するのかを経営レベルで判断する必要があります。 推進責任者を定め、情報システム、人事、総務・法務、購買、事業部門を含む体制を作っておくと、正式な取得要請を受けた後の意思決定が速くなります。 実施前に準備しておきたい資料 外部のセキュリティ専門家やコンサルティング会社へ相談する場合、最初から全資料を完璧にそろえる必要はありません。ただし、以下の情報があると現状把握と見積りが進みやすくなります。 会社・拠点・主要業務の概要と組織図 主要取引先との業務内容、預かる情報、接続関係 ネットワーク構成図、システム構成図、クラウド利用一覧 サーバ・端末・ネットワーク機器・SaaS等の資産一覧 既存の情報セキュリティ規程、ISMS文書、社内ルール アカウント管理、パッチ適用、バックアップ、ログ管理等の運用記録 過去の脆弱性診断・監査・セキュリティチェックシートの結果 インシデント対応手順、緊急連絡網、訓練記録 外部委託先・再委託先・主要クラウドサービスの一覧 資料が存在しない場合も、それ自体が現状把握の結果です。まず「何がないか」を明らかにし、要求事項とのギャップを優先順位順に埋めていく方が、形式的な文書を急いで大量に作るより有効です。 SCS★3取得までの進め方 ステップ1：現状評価とギャップ分析 IPAが公開する★3・★4要求事項・評価基準を基準に、自社の対策状況を確認します。各項目について「規程あり／運用あり／証跡あり」を分けて見ると、文書不足と実装不足を混同せずに整理できます。取得には全ての要求事項・評価基準への適合が求められるため、未対応項目を一覧化し、担当者と期限を決めます。 出典：IPA「要求事項・評価基準」 https://www.ipa.go.jp/security/scs/requirements-criteria.html ステップ2：是正計画と予算化 ギャップを、短期間で直せる項目、システム改修が必要な項目、社内ルール変更が必要な項目に分類します。緊急度は「攻撃されやすさ」だけでなく、漏えい時の影響、取引先への影響、復旧難易度も含めて判断します。MFA導入、古いVPN機器の更新、EDR導入、バックアップ分離、ログ保存基盤の整備などは費用や調整を要するため、早期に予算化することが重要です。 ステップ3：運用定着と証跡蓄積 是正した対策は、実施して終わりではありません。月次のアカウント棚卸し、定期的なパッチ管理、教育、バックアップ確認など、継続運用に組み込みます。担当者依存を避け、異動後も同じ水準で運用できるよう、手順と責任分担を明確にします。 ステップ4：自己評価とセキュリティ専門家による確認 ★3では、取得希望組織が要求事項・評価基準に沿って自己評価を記入し、SCS評価制度のセキュリティ専門家が内容を確認します。専門家は必要に応じて評価結果の修正を含む助言を行い、提出内容を了承した場合に署名します。制度上のセキュリティ専門家には資格・研修等の要件が定められているため、依頼先を選ぶ際は「一般的なセキュリティ資格者」ではなく、制度上登録された専門家かを確認する必要があります。 ステップ5：経営層の自己適合宣誓と申請 専門家確認後、経営層による自己適合宣誓を含む評価結果を事務局へ提出し、申請内容に問題がなければ台帳へ登録・公開される流れが示されています。運用開始時の申請方法、様式、料金などはIPAの最新案内を必ず確認してください。制度の詳細は運用開始に向けて更新される可能性があるため、古い資料だけで申請準備を完結させないことが重要です。 準備期間と費用を左右する要因 SCS★3準備に必要な期間は、従業員数だけでは決まりません。同じ300名規模でも、単一拠点でSaaS中心の企業と、複数拠点・オンプレミス・製造設備・多数の外部委託先を持つ企業では作業量が大きく異なります。 期間を左右する主な要因は、対象範囲の広さ、IT資産台帳の整備状況、既存規程の有無、ISMS等の既存認証、未是正の脆弱性、クラウド・SaaSの数、外部委託先の数、経営会議や稟議の頻度です。特に機器更改やシステム改修が必要になる場合は、調達期間を含めて計画する必要があります。 費用についても、制度への申請・登録に関する公的な料金だけでなく、専門家確認、コンサルティング、規程整備、脆弱性診断、製品導入、システム改修、教育・訓練などが発生し得ます。見積りでは「★3取得支援一式」という総額だけを見るのではなく、何が含まれるかを分解して確認しましょう。 社内稟議で説明すべきポイント 稟議では「SCS★3取得が必要だから費用がかかる」という説明だけでは、優先順位を上げにくいことがあります。経営者や財務部門には、①主要取引先から将来要求される可能性、②取得準備が遅れた場合の受注・更新への影響、③既存のセキュリティ課題も同時に改善できること、④事故時の停止・漏えい・復旧コストの低減につながること、⑤今回の投資が次回評価や他社チェックシートにも再利用できることを整理して説明すると判断しやすくなります。 また、取得期限が確定していない段階でも「現状評価だけ先に行い、改修費用はギャップ確認後に段階承認する」という進め方が可能です。最初から大規模投資を決裁するのではなく、フェーズを分けることで予算化の不確実性を下げられます。 支援会社を選ぶ際のチェックポイント SCS★3の支援会社を選ぶ際は、制度説明だけでなく、要求事項を実際のシステム・運用へ落とし込めるかを確認します。RFPや見積依頼では、現状評価、適用範囲設定、規程整備、技術対策、診断、証跡整備、専門家確認前のレビュー、取得後の運用支援のうち、どこまで対応するかを明示すると比較しやすくなります。 また、診断会社とコンサルティング会社を別々に利用する場合、診断結果が「脆弱性一覧」のままで終わり、SCS要求事項や経営リスクとの関係が整理されないことがあります。技術的な問題を、業務影響、是正優先度、必要予算まで翻訳できる支援会社を選ぶと、社内調整が進みやすくなります。 個人情報や機密情報を外部へ共有する可能性もあるため、秘密保持、データ保管場所、アクセス権、再委託、作業終了後のデータ削除、事故時の連絡体制も契約前に確認してください。 よくある失敗と注意点 取得直前に規程だけ大量に作る 規程を整えることは重要ですが、現場で運用できないルールを増やすと、評価後に形骸化します。現在の業務フローを確認し、実施可能な頻度・責任者・記録方法まで決めることが重要です。 対象範囲を広げすぎる、または狭めすぎる 全社の全システムを無条件で対象にすると負担が膨らみます。一方、取引先に影響する重要システムを外すと、取得の目的と合わなくなります。取引関係、情報、接続、業務継続への影響から対象範囲を説明できるようにします。 脆弱性診断を実施して満足する 診断は課題発見の手段です。重要なのは、発見事項をリスクに応じて是正し、再診断や設定確認で改善を確かめ、再発防止の運用へつなげることです。特に「高リスク」と判定された問題は、システム所有部門と経営層で対応期限を合意しておくと放置を防げます。 Librus株式会社が支援できること Librus株式会社では、SCS評価制度への対応を「申請書作成だけのプロジェクト」とせず、現状評価から技術対策、改善、運用まで一気通貫で支援します。企業ごとの業務、IT環境、主要取引先との関係を確認したうえで、必要な範囲と優先順位を個別に設計します。 具体的には、SCS★3要求事項とのギャップ分析、対象範囲の整理、規程・運用・証跡の整備、Webアプリケーション診断、プラットフォーム診断、必要に応じたペネトレーションテスト、インシデント対応体制やSOC／CSIRTの構築・運用、セキュリティ教育などを組み合わせられます。診断結果を提示して終えるのではなく、改善策の優先順位付け、経営層への説明、実施後の再確認まで支援できる点が特徴です。 また、SCS評価制度への対応だけでなく、M&A、IPO、取引先監査などの経営上の重要局面を踏まえて、技術と経営の両面から課題を整理します。情報システム部門と経営層、現場部門の間で認識がずれている場合にも、共通の判断材料を作ることで意思決定を進めやすくします。 よくある質問 Q1．SCS★3は法律上、必ず取得しなければなりませんか？ いいえ。SCS評価制度自体は任意の制度です。ただし、委託元と委託先の取引契約で取得が求められる場合は、実務上の取引条件になる可能性があります。自社の主要顧客や業界でどのように利用されるかを確認することが重要です。 Q2．取引先からまだ何も言われていません。それでも準備する必要がありますか？ 全ての企業が直ちに取得プロジェクトを開始する必要はありません。ただし、主要顧客からセキュリティチェックシートを頻繁に求められる企業、顧客情報を預かる企業、顧客システムに接続する企業は、少なくとも現状評価とギャップ把握を先に行うメリットがあります。 Q3．ISMSを取得していればSCS★3は自動的に取得できますか？ 自動的に取得できるわけではありません。既存のISMS規程や運用はSCS対応に活用できる可能性がありますが、SCS★3の要求事項・評価基準に照らして不足がないかを個別に確認する必要があります。 Q4．SCS★3取得に脆弱性診断は必須ですか？ ★3は専門家確認付き自己評価であり、★4の評価スキームで行われる第三者の技術検証と同じ仕組みではありません。ただし、外部公開資産や重要システムの実装上の弱点を客観的に把握するため、Webアプリケーション診断やプラットフォーム診断を実施することは有効です。 Q5．ペネトレーションテストまで実施した方がよいですか？ 全ての企業で一律に必要とは限りません。重要システムへの侵入経路や、複数の弱点を組み合わせた場合の事業影響を検証したい場合には有効です。まず資産とリスクを整理し、目的に応じて診断方法を選ぶことが重要です。 Q6．取得準備は情報システム部門だけで進められますか？ 難しいケースが多いです。人事、総務・法務、購買、事業部門、経営層も関係します。特に入退社管理、外部委託、教育、インシデント時の顧客報告、予算判断は部門横断での対応が必要です。 Q7．取引先から急に取得を求められた場合、最初に何をすべきですか？ まず期限、求められている★、対象となる契約・業務、適用範囲を取引先と確認します。そのうえで要求事項に対する現状評価を行い、短期で是正できる項目とシステム改修が必要な項目を分け、現実的な対応計画を作ります。 Q8．取得後は何もしなくてよいですか？ いいえ。セキュリティ対策は継続運用が前提です。資産や脅威、取引先要件は変化するため、アカウント棚卸し、パッチ管理、教育、バックアップ確認、診断、インシデント訓練などを定期的に見直す必要があります。 まとめ｜SCS★3は「要請を受けてから」ではなく、平時の準備が重要 サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の★3は、一般的なサイバー脅威に対処しうる基礎的なセキュリティ水準を可視化する仕組みです。制度自体は任意でも、取引先が調達・契約上の要件として★取得を求める場面は想定されています。 そのため、正式な依頼を受ける前に、適用範囲、IT資産、規程、運用証跡、脆弱性、バックアップ、インシデント対応、教育、委託先管理、経営責任を整理しておくことが重要です。早めに現状を把握しておけば、取引先から要請を受けた際も、必要な追加対策と費用、スケジュールを具体的に説明できます。 SCS★3対応を「認証取得のためだけの作業」にせず、自社の事業継続と取引先からの信頼を強化する機会として活用することが、結果として最も実務的な進め方です。 SCS★3対応の準備段階からご相談いただけます Librus株式会社では、「自社がSCS★3の対象になりそうか分からない」「取引先から求められる前に現状だけ確認したい」「要求事項と自社規程の差分を整理したい」「技術対策がどこまで必要か判断できない」といった初期段階からご相談いただけます。 対象範囲や実施方法が決まっていない段階でも、主要取引先との関係、IT環境、既存のセキュリティ対策を確認し、優先順位を整理することで、過剰な対策や重複投資を避けながら現実的な準備計画を作ることが可能です。制度対応に加えて、脆弱性診断、ペネトレーションテスト、インシデント対応、SOC／CSIRT支援、教育などを必要に応じて組み合わせ、改善・運用まで一貫して支援します。 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎）105-0004東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact
VIEW MORE
中小企業もSCS評価制度対応が必要？取引先から求められる可能性を解説
中小企業であっても、SCS評価制度への対応を早めに検討する価値があります。SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、企業規模によって一律に取得を義務付ける制度ではありません。しかし、発注企業が委託先に対して必要なセキュリティ水準を示し、取引契約などで★の取得を求める使い方が想定されています。つまり、中小企業にとって重要なのは「法律で義務化されるか」だけではなく、「主要取引先の調達・委託条件として求められるか」という視点です。 特に、大企業の業務システムを運用する、個人情報や機密情報を預かる、クラウドサービスを提供する、取引先ネットワークへ接続する、といった企業は影響を受けやすいと考えられます。制度開始は★3・★4ともに2027年3月頃が予定されており、要求事項を満たすための規程整備、資産把握、脆弱性対策、ログ管理、教育、インシデント対応などには一定の準備期間が必要です。取引先から要請を受けてから慌てて始めるより、自社の現状との差分を先に把握しておく方が、予算・人員・優先順位を整理しやすくなります。 出典：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」 https://www.meti.go.jp/policy/netsecurity/scs.html 出典：IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」 https://www.ipa.go.jp/security/scs/index.html この記事で分かること ・中小企業もSCS評価制度への対応を検討すべき理由 ・取引先から★3・★4の取得を求められる可能性が高い企業の特徴 ・★3と★4の違いと、Webアプリケーション診断・プラットフォーム診断・ペネトレーションテストとの関係 ・取引先から要請される前に進めたい準備と社内稟議の考え方 ・支援会社を選ぶ際に確認すべきポイント SCS評価制度とは SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化する制度です。経済産業省と内閣官房国家サイバー統括室が制度構築方針を示し、IPAが制度を運営します。制度上は、発注企業が委託先に対して必要な段階（★）を提示し、委託先が必要な対策を実施したうえで、その状況を確認できる仕組みが想定されています。 制度の背景には、発注側と受注側の双方が抱える課題があります。発注側は、委託先のセキュリティ対策が十分かを外部から判断しにくく、独自チェックリストを作成しても水準が適切か判断しづらいという問題があります。一方、受注側は、複数の取引先から異なる質問票や証跡提出を求められ、対応負担が増えやすい状況です。SCS評価制度は、こうした確認を共通化し、サプライチェーン全体の対策水準を引き上げることを目的としています。 対象は、クラウド環境を含む企業等のIT基盤です。一般的にIT基盤に該当しない製造現場のOTシステムや、取引先へ提供する製品そのものは直接の評価対象とはせず、他の制度やガイドラインで対策する整理が示されています。 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html 中小企業もSCS評価制度への対応が必要になるのか 結論として、SCS評価制度は任意制度であり、すべての中小企業に一律の取得義務が課されるわけではありません。経済産業省も、★の取得は取引契約の中で決められるものであり、制度自体が規制を課すものではないと説明しています。 ただし、「任意だから自社には関係ない」と判断するのは早計です。制度では、2社間の取引契約等において発注側が委託先に適切な★を提示する利用が想定されています。したがって、法令上の義務ではなくても、取引先の調達条件、委託先管理基準、更新審査、RFP（提案依頼書）などを通じて対応が求められる可能性があります。 経済産業省とIPAは、中小企業向けに「サイバーセキュリティお助け隊サービス」の新類型を検討しています。これは、中小企業が★3・★4の要求事項へ対応しやすくするための支援策です。公的機関が中小企業向けの取得支援を具体化していることからも、中小企業が制度の主要な利用対象として想定されていることが分かります。 出典：経済産業省「SCS評価制度に係る不適切な勧誘に御注意ください」 https://www.meti.go.jp/policy/netsecurity/20260427_scs.html 出典：経済産業省「サイバーセキュリティお助け隊サービス（新類型）」 https://www.meti.go.jp/policy/netsecurity/otasuketai_jissho.html なぜ今、中小企業が準備を始めるべきなのか 取引先から要請されてからでは準備期間が不足しやすい SCS評価制度への対応は、申請書を作成するだけでは完了しません。要求事項に照らして、自社の規程、システム設定、運用記録、教育実績、インシデント対応体制などを確認し、不足があれば改善する必要があります。たとえば、多要素認証の導入、不要アカウントの整理、バックアップ手順の見直し、脆弱性管理の定着、ログの保存・監視、委託先管理、従業員教育などは、社内調整や予算確保を伴うことがあります。 取引更新の1～2か月前に「★取得をお願いします」と言われても、すべての未対応事項を短期間で整えるのは難しい場合があります。制度開始前の段階で現状評価を行い、「すぐ直せるもの」「予算が必要なもの」「契約更新やシステム更改に合わせるもの」に分けておくと、対応が現実的になります。 発注企業は委託先リスクを経営リスクとして見るようになっている サプライチェーン攻撃では、攻撃者が本命の大企業を直接狙うのではなく、セキュリティ対策が相対的に弱い取引先、保守事業者、クラウド運用会社などを経由して侵入するケースが想定されます。たとえば、委託先のVPN機器の脆弱性を悪用して侵入し、認証情報を窃取したうえで発注企業の環境へアクセスする、委託先のアカウントを乗っ取って正規メールに見せかけた不正ファイルを送る、といった攻撃です。 このため、発注側にとって委託先の対策不足は「委託先だけの問題」ではありません。情報漏えい、サービス停止、顧客対応、復旧費用、監督当局や取引先への説明など、自社の事業継続や信用に直結します。SCS評価制度は、こうした委託先リスクを共通の物差しで確認するための仕組みとして活用されることが想定されています。 取引先から対応を求められる可能性が高い中小企業 企業規模だけで対象を判断するのではなく、「取引先との接続関係」「扱う情報」「提供サービスの重要度」で考えることが重要です。特に、次のような企業は早めに検討した方がよいでしょう。 ・大企業や重要インフラ企業の業務を受託している企業 ・顧客の個人情報、設計情報、営業秘密、認証情報を取り扱う企業 ・SaaS、クラウド運用、システム開発、保守、ヘルプデスクなどITサービスを提供する企業 ・取引先のネットワークやクラウド環境へ接続する企業 ・調達先・再委託先を多数抱え、自社もサプライチェーン管理を求められる企業 ・IPO、M&A、大口取引開始などを控え、セキュリティ体制を客観的に説明する必要がある企業 一方、上記に当てはまらない場合でも、主要顧客がSCS評価制度を調達基準に取り入れる可能性があります。営業・調達・法務・情報システム部門で主要顧客の契約更新時期やセキュリティ条項を確認し、顧客からの質問票や監査依頼が増えていないかを把握しておくと、必要性を判断しやすくなります。 ★3と★4は何が違うのか ★3は「一般的なサイバー脅威に対処しうる水準」とされ、取得希望組織による自己評価に、登録されたSCSセキュリティ専門家の確認・助言を加える仕組みです。最終的には経営層による自己適合宣誓を含めてIPAへ提出し、問題がなければ登録・公開されます。 ★4は、初期侵入の防御だけではなく、侵入後の被害拡大防止や取引先のデータ・システム保護、サプライチェーン上の役割に応じた強靭化策まで求める水準です。評価機関による第三者評価に加え、文書確認、実地審査、技術検証が行われます。★3を先に取得しなければ★4へ進めない仕組みではありません。 2026年10月4日時点では、★3・★4はいずれも2027年3月頃の運用開始が予定されています。取得には各段階で定められたすべての要求事項・評価基準を満たす必要があります。 出典：IPA「要求事項・評価基準」 https://www.ipa.go.jp/security/scs/requirements-criteria.html Webアプリケーション診断・プラットフォーム診断は必要か 特に★4では、評価機関と技術検証事業者による技術検証が想定されており、IPAは技術検証事業者の業務として脆弱性診断を明示しています。実際の検証範囲は、自社が決めた適用範囲や評価対象のサンプリングなどによって変わるため、「SCS評価制度なら必ず同じ診断メニューを実施する」と決めつけることはできません。 ただし、外部公開しているWebシステムがある場合はWebアプリケーション診断、サーバやネットワーク機器が対象となる場合はプラットフォーム診断が候補になります。より高度な侵入経路や権限昇格、横展開まで確認したい場合は、ペネトレーションテストを組み合わせることも考えられます。重要なのは「診断を実施した」という事実ではなく、対象資産のリスクに応じて検証方法を選び、発見した脆弱性を改善し、再確認まで回せることです。 たとえば、インターネット公開サーバで重大な脆弱性が見つかった場合、CVSSなどの技術的な深刻度だけでなく、「顧客データへ到達できるか」「認証を回避できるか」「外部から攻撃可能か」「代替策があるか」といった事業影響を踏まえて優先順位を付ける必要があります。 中小企業が進めるSCS評価制度への対応手順 1．まず取引上の必要性を確認する 主要顧客の契約、セキュリティチェックシート、RFP、委託先管理基準を確認します。営業担当が把握している取引先の方針変更も重要な情報です。「取得要請が既にある」「次回更新で導入されそう」「まだ不明」の3段階程度に分類すると、優先順位を付けやすくなります。 2．評価対象の範囲を決める 全社を一度に対象にするのではなく、どの事業、拠点、システム、クラウド環境、従業員、委託先までを評価対象とするかを整理します。取引先へ提供するサービスと直接関係するIT基盤から考えると、対象範囲を決めやすくなります。対象を狭くしすぎると取引先の期待と合わず、広げすぎると対応コストが膨らむため、契約関係と情報の流れを踏まえて設定する必要があります。 3．現状と要求事項のギャップを洗い出す 規程類、資産台帳、アカウント一覧、ネットワーク構成図、クラウド構成、バックアップ手順、ログ管理方針、教育記録、インシデント対応手順、委託先一覧などを準備し、要求事項とのギャップを確認します。ここでは「実施しているが証跡がない」のか、「仕組み自体がない」のかを分けて整理することが重要です。 4．優先順位を付けて改善計画を作る 未対応項目をすべて同じ優先度で扱う必要はありません。外部から悪用されやすい脆弱性、管理者権限、リモートアクセス、バックアップ、認証、重要データへのアクセス制御など、事業停止や情報漏えいに直結しやすいものから改善します。そのうえで、規程改定、教育、運用記録の整備などを並行して進めます。 5．申請・評価に向けた証跡を整える 評価では、対策を「やっている」と説明するだけでなく、設定画面、台帳、ログ、議事録、教育履歴、点検記録などで確認できる状態が重要です。日常運用で記録が残る仕組みにしておけば、SCS評価制度だけでなく、取引先監査やISO27001、プライバシーマーク等の説明にも活用しやすくなります。 費用と期間は何で変わるのか 費用は、IPAへ支払う登録料だけでなく、専門家確認、第三者評価、技術検証、改善対応、ツール導入、社内工数などを含めて考える必要があります。IPAが2026年9月18日に公表した料金では、2028年3月31日までの★3登録料は1万円（1年分）、★4登録料は6万円（3年分）です。2028年4月1日以降は★3が2万円（1年分）、★4は6万円（3年分）とされています。これらは制度への登録料であり、外部専門家や評価機関、技術検証、コンサルティング等の費用は別に発生し得ます。 出典：IPA「SCS評価制度 料金設定のお知らせ」（2026年9月18日） https://www.ipa.go.jp/security/scs/rcu1hd00000075om-att/pricelist.pdf 準備期間も企業ごとに異なります。すでにISMS等を運用し、資産管理・アクセス制御・教育・インシデント対応などが整っている企業は比較的短期間でギャップを埋められる可能性があります。一方、規程や資産台帳が未整備、クラウド利用が部門ごとに分散、管理者アカウントを共有している、といった状況では、数か月単位の改善計画が必要になることがあります。 稟議では「SCS評価制度取得費」だけで申請するより、主要顧客との取引継続、セキュリティ監査対応の効率化、事故発生確率と影響の低減、今後の新規営業での説明力向上といった事業上の効果を併せて示すと、経営判断につながりやすくなります。 対応しなかった場合に起こり得る問題 SCS評価制度を取得していないことだけを理由に、直ちに法律上の制裁を受けるわけではありません。しかし、主要顧客が調達条件として★取得を設定した場合は、取引上の影響が生じる可能性があります。たとえば、新規案件の提案条件を満たせない、契約更新時に追加説明を求められる、個別のセキュリティ監査や質問票対応が増える、といったケースです。 また、制度対応を見送った結果として本質的な対策不足が残れば、サイバー攻撃による事業停止、情報漏えい、復旧コスト、顧客への補償や説明、信用低下などのリスクも残ります。SCS評価制度への準備は、マーク取得そのものだけではなく、自社のセキュリティ運用を見直す機会として捉える方が有効です。 支援会社を選ぶときのチェックポイント SCS評価制度の支援会社を選ぶ際は、チェックリストへの回答代行だけでなく、未達項目を技術面・運用面の双方から改善できるかを確認しましょう。特に、次の観点は見積依頼やRFPで確認しておきたい項目です。 ・★3・★4の要求事項と最新の制度情報を踏まえて支援できるか ・現状評価だけでなく、規程整備、設定変更、運用設計まで支援できるか ・Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト等の技術支援が可能か ・発見事項を技術的重大度だけでなく、事業影響と改善コストで優先順位付けできるか ・評価時に扱う個人情報・機密情報・構成情報の管理方法が明確か ・取得後の再診断、継続監視、教育、インシデント対応体制まで相談できるか 特に★4を視野に入れる場合、文書整備だけではなく技術検証が関係します。コンサルティング会社と診断会社を別々に選ぶと、対象範囲や改善方針の調整に時間がかかる場合があります。支援体制や役割分担を事前に確認し、自社の負担が過度に増えない進め方を選ぶことが重要です。 よくある失敗と注意点 「製品を買えば取得できる」と考える 経済産業省は、評価基準を満たすために特定のセキュリティ製品の導入を必須としていません。EDR、UTM、SIEMなどの製品が役立つ場面はありますが、重要なのは要求事項に対して必要な対策が実施され、運用されていることです。製品導入だけで規程、教育、アカウント管理、インシデント対応が整うわけではありません。 証跡を後からまとめて作ろうとする 評価直前に過去の点検記録や教育記録をまとめて整えようとしても、実運用と一致しない資料になりがちです。日常業務の中で点検・承認・変更履歴が残るようにし、証跡を運用の副産物として生成する設計が望まれます。 取引先の要求水準を確認せず★を決める 自社が★3を取得しても、主要顧客が★4を条件とするなら追加対応が必要です。逆に、現時点で★3で十分な取引先に対して、必要性を確認せず★4を急ぐとコスト過多になる場合があります。営業・経営・情報システムが連携し、取引上の必要水準を確認してから計画を立てることが大切です。 Librus株式会社が提供できるSCS評価制度対応支援 Librus株式会社では、SCS評価制度への対応を「申請書を作る作業」と切り分けず、現状評価から改善、技術検証、運用定着まで一気通貫で支援します。企業ごとの事業内容、取引先との関係、システム構成、既存のセキュリティ施策を確認し、必要な対応を個別に設計します。 たとえば、要求事項とのギャップ分析、評価対象範囲の整理、規程・手順の整備、リスクアセスメント、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、教育・訓練、SOC／CSIRTの構築・運用支援まで、課題に応じて組み合わせることが可能です。診断で問題を指摘するだけでなく、改善の優先順位、実施方法、運用への落とし込みまで支援できる点を重視しています。 また、経営層には取引継続・事業停止・信用毀損といった経営リスクの観点から、情報システム部門には技術・運用の観点から整理し、部門間の認識差を埋めながら進めます。M&A、IPO、取引先監査など、セキュリティの説明責任が高まる局面とあわせた支援にも対応します。 よくある質問 Q1．中小企業はSCS評価制度の取得が義務ですか？ いいえ。SCS評価制度は任意制度です。ただし、発注企業が取引条件として★取得を求める可能性があります。主要顧客の調達基準や契約条件を確認することが重要です。 Q2．従業員100名程度でも対象になりますか？ 企業規模だけで対象外にはなりません。SCS評価制度はサプライチェーンを構成する企業全体を想定しており、特に中小企業での活用効果が大きいとされています。 Q3．★3と★4のどちらを目指せばよいですか？ まず主要取引先が求める水準と、自社が扱う情報・サービスの重要度を確認します。一般的な脅威への対策水準を確認する★3と、第三者評価・技術検証を伴う★4では準備負担が異なります。 Q4．★3を取ってからでないと★4を取得できませんか？ いいえ。IPAは、上位段階が下位段階の要求を包括するものの、★3を事前取得しなければ★4を取得できない関係ではないと説明しています。 Q5．SCS評価制度の開始時期はいつですか？ 2026年10月4日時点で、★3・★4は2027年3月頃の運用開始が予定されています。制度情報は更新される可能性があるため、IPAの最新情報を確認してください。 Q6．取得費用はいくらですか？ IPAの登録料は、2028年3月31日まで★3が1万円（1年分）、★4が6万円（3年分）です。ただし、専門家確認、第三者評価、技術検証、改善対応などの費用は別途発生し得ます。 Q7．脆弱性診断やペネトレーションテストを必ず実施する必要がありますか？ 評価段階や対象範囲によります。特に★4では技術検証が行われますが、具体的な検証対象は適用範囲やサンプリングによって変わります。自社のシステムとリスクに応じて診断方法を設計する必要があります。 Q8．取引先から何も言われていない場合でも準備した方がよいですか？ 大口顧客や重要な委託関係がある場合は、少なくとも現状と要求事項のギャップ確認を先に行うことを推奨します。要請を受けてから不足項目を一度に解消するより、予算とスケジュールを組みやすくなります。 まとめ：中小企業は「義務か」より「取引で求められるか」を確認する サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は任意制度であり、中小企業だから一律に取得が義務付けられるものではありません。一方、発注企業が委託先に必要な★を提示し、取引契約の中で取得を求める活用が想定されています。そのため、中小企業にとっては「法令上の義務」よりも「主要取引先との取引継続や新規受注に必要になるか」が実務上の重要な判断軸です。 2027年3月頃の制度開始に向けて、まずは取引先の動向と自社の現状を確認し、要求事項とのギャップを可視化することが第一歩です。必要な対策をすべて同時に実施するのではなく、事業影響が大きいリスクから優先順位を付け、予算・人員・システム更改のタイミングに合わせて改善していくことが、無理のない対応につながります。 SCS評価制度への対応方針が未定でもご相談いただけます 「取引先から求められる可能性はあるが、★3と★4のどちらを目指すべきか分からない」「自社のどのシステムまで対象にすべきか判断できない」「規程整備と脆弱性診断をどの順番で進めるべきか」といった段階でもご相談いただけます。Librus株式会社では、現在の体制と取引上の必要性を整理したうえで、過剰な対応を避けながら、優先度の高い施策と実施順序を具体化します。 対象範囲や実施方法が固まっていない場合でも、現状整理から始めることで、社内稟議に必要な論点、概算の進め方、技術検証の要否、改善計画を明確にしやすくなります。SCS評価制度への対応を、取引先への説明のためだけでなく、今後の事業継続とセキュリティ運用の強化につなげたい場合は、Librus株式会社までご相談ください。 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎） 105-0004東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F 03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact
VIEW MORE
SCS評価制度は義務化される？対象企業・取引先への影響を解説
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は、法律で全企業に一律の取得を義務付ける制度ではありません。しかし、制度は「委託元が委託先に必要なセキュリティ水準を示し、取引契約等でその実施状況を確認する」ことを想定しており、今後は取引条件や委託先選定の基準として★3・★4の取得を求められる可能性があります。特に、大企業や重要なサプライチェーンにサービスを提供する中堅・中小企業では、「法的義務ではないから様子を見る」よりも、自社がどの取引でどの水準を求められ得るかを早めに整理することが実務上重要です。 出典：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」 https://www.meti.go.jp/policy/netsecurity/scs.html この記事で分かること ・SCS評価制度が法律上の義務なのか、取引上どのような影響が生じるのか ・★3・★4の違いと、どのような企業が対応を検討すべきか ・制度開始前に経営層・情報システム部門が準備しておくべき事項 ・Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストがどこで関係するのか ・取得にかかる費用・期間を左右する要因と、支援会社を選ぶ際の確認ポイント SCS評価制度とは SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価し、可視化するための制度です。経済産業省と内閣官房国家サイバー統括室が制度構築方針を公表し、独立行政法人情報処理推進機構（IPA）が制度運営を担います。★3・★4は2027年3月頃の運用開始が予定されています。 背景には、委託元にとって「取引先が十分な対策をしているか外から判断しづらい」という課題と、委託先にとって「顧客ごとに異なるチェックシートや監査に対応しなければならない」という課題があります。SCS評価制度は、取引先に求める対策水準を段階として示すことで、双方の確認負担を減らしながら、サプライチェーン全体のセキュリティ水準を引き上げることを目的としています。 出典：IPA「SCS評価制度」 https://www.ipa.go.jp/security/scs/index.html SCS評価制度は義務化される？結論は「任意だが取引条件になり得る」 結論から言えば、SCS評価制度そのものは任意制度です。経済産業省のFAQでも、★3や★4の取得は必須ではなく、制度として規制を課すものではないと明記されています。したがって、「従業員数が一定以上なら必ず取得しなければならない」といった一律の法的義務ではありません。 一方で、同じFAQでは、★の取得は委託元または委託先との取引契約において決められるものとされています。ここが企業実務で最も重要なポイントです。制度が任意であっても、主要顧客が「重要システムに関わる委託先は★4」「一般的な業務委託先は★3」といった調達基準を定めれば、受注を維持・獲得するために対応が必要になる場合があります。 つまり、経営層が見るべき論点は「国から義務付けられるか」だけではありません。「主要顧客や親会社、元請企業がどのタイミングで取得を求めるか」「未取得のままでも取引継続できるか」「新規入札やRFPで加点・必須条件になるか」を確認する必要があります。 出典：経済産業省「SCS評価制度 FAQ」 https://www.meti.go.jp/policy/netsecurity/scs.html 対象となる企業は？従業員100～1,000名でも無関係ではない IPAは、SCS評価制度について「全てのサプライチェーン企業が対象」としています。したがって、製造業だけの制度ではありません。ITサービス、ソフトウェア開発、クラウド運用、BPO、物流、設備保守、人材、専門サービスなど、他社の事業や情報資産に接続する企業は幅広く対象になり得ます。 特に従業員100～1,000名規模の企業では、大手企業の一次・二次委託先として重要業務を担う一方、専任のセキュリティ人員や監査対応体制が十分でないケースもあります。そのため、要求事項を読んでから個別対応するのではなく、既存の規程、資産管理、アカウント管理、ログ、バックアップ、インシデント対応、委託先管理などを横断的に棚卸しすることが効率的です。 取引先から取得を求められやすい場面 たとえば、顧客の基幹システムや個人情報を扱う業務、クラウド環境の管理権限を持つ運用業務、製品・サービスの継続提供に直結する外部委託、機密性の高い研究開発情報を扱う業務などは、取引先側から見た影響が大きくなります。こうした場面では、単なる自己申告ではなく、第三者評価や技術検証を含む★4を求める考え方が採られる可能性があります。 逆に、影響範囲が限定的な業務でも、取引先が全委託先に共通基準を適用すれば★3を求められることがあります。自社の業種だけで判断せず、「どの顧客の、どの業務に、どの情報・システムで関与しているか」を基準に考えるべきです。 ★3と★4の違い ★3は「専門家確認付きの自己評価」 ★3では、取得希望組織が要求事項・評価基準に沿って自己評価を行い、社内外のSCSセキュリティ専門家による確認・助言を受けます。そのうえで経営層による自己適合宣誓を含む評価結果を事務局へ提出し、問題がなければ登録される仕組みです。有効期間は1年とされ、年次で対策状況を点検して更新することが想定されています。 ★4は「第三者評価＋技術検証」 ★4では、指定された評価機関による第三者評価を受けます。評価には文書確認や実地審査に加え、技術検証が含まれます。IPAは、技術検証事業者の主な対象として脆弱性診断・ペネトレーションテストのサービス提供事業者を挙げています。つまり、規程や手順が整っているだけでなく、実際のIT環境に対して必要な技術的確認を行える状態が求められます。 ★4の有効期間は3年で、その間も1年ごとの自己評価が必要です。適用範囲や対策状況に大きな変更があった場合は、改めて評価を受けることが想定されています。大規模なクラウド移行、ネットワーク構成の変更、基幹システム刷新などは、取得後の維持にも影響するため、IT投資計画とSCS対応を別々に管理しないことが重要です。 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html 出典：IPA「指定申請について（評価機関・技術検証事業者・研修事業者向け）」 https://www.ipa.go.jp/security/scs/security-experts-organization/shiteishinsei.html 対応しない場合に起こり得る問題 未取得であることだけを理由に、自動的に行政処分や罰則が科される制度ではありません。しかし、取引先が★取得を契約条件や調達基準に組み込んだ場合は、別の問題が生じます。たとえば、既存取引の更新時に追加対応を求められる、新規案件の提案要件を満たせない、監査回答の工数が増える、競合企業との比較で説明力が弱くなる、といった影響です。 さらに、制度への対応準備が不十分な企業では、評価の直前になってアカウント管理台帳が揃わない、バックアップ復旧テストの記録がない、インシデント対応手順はあるが訓練実績がない、委託先の再委託先まで把握できていない、といった事実が判明しやすくなります。これらはSCS対応だけの問題ではなく、実際のサイバー攻撃が発生した際の事業継続や説明責任にも直結します。 経営上は、取得の有無そのものよりも、「重要顧客からの要求に期限内で応えられるか」「不足対策の費用をどの年度予算で確保するか」「重大な不備が見つかったときに事業側と優先順位を決められるか」を事前に整理しておくことが重要です。 制度開始前に企業が進めるべき対応手順 1. まず取引とシステムの関係を可視化する 最初に行うべきなのは、要求事項を上から順に埋めることではありません。主要顧客、提供サービス、利用システム、保有データ、外部委託先、クラウドサービスの関係を整理し、「どの取引に事故が起きると誰へ影響するか」を把握します。ここで対象範囲を曖昧にすると、後から評価対象が広がり、追加対応が増えます。 2. 現状と要求事項のギャップを確認する 次に、★3・★4の要求事項・評価基準に対して、現状がどこまで満たせているかを確認します。規程の有無だけでなく、実際に運用されているか、証跡を出せるかまで見ることが必要です。たとえば「多要素認証を導入している」と回答しても、特権IDやリモートアクセスの一部が対象外なら、追加対応が必要になる可能性があります。 出典：IPA「要求事項・評価基準」 https://www.ipa.go.jp/security/scs/requirements-criteria.html 3. 不足をリスクと取引影響で優先順位付けする すべての不足を同時に解消しようとすると、予算も人員も不足します。外部公開システムの重大な脆弱性、管理者権限の不備、復旧できないバックアップ、検知・初動体制の欠如など、侵害時の影響が大きいものから優先します。その際、技術的な深刻度だけでなく、停止した場合の売上影響、顧客への通知義務、契約上の責任、代替手段の有無も合わせて判断すると、経営会議や稟議で説明しやすくなります。 4. 技術検証が必要な領域を早めに洗い出す ★4を見据える場合は、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストなどの技術検証をどこまで行う必要があるかを早めに整理します。Webアプリケーション診断は、認証・入力処理・権限管理などWebアプリ固有の脆弱性を確認するものです。プラットフォーム診断は、OS、ミドルウェア、ネットワーク機器などの設定や既知脆弱性を確認します。ペネトレーションテストは、想定した攻撃シナリオで侵入可能性や影響を実践的に検証する手法です。 重要なのは、診断を実施したという事実ではなく、「対象範囲が評価対象と一致しているか」「重大な指摘を是正したか」「再診断で改善を確認したか」です。外部公開資産の棚卸しが不十分なまま診断を発注すると、評価対象システムが漏れることがあります。 5. 証跡を残せる運用に変える 評価では、口頭で「やっています」と説明するだけでは不十分です。アクセス権棚卸し記録、教育実施記録、インシデント訓練記録、脆弱性対応履歴、バックアップ・復旧テスト記録、委託先評価記録などを、担当者が変わっても追跡できる形で残す必要があります。SCS対応を一度きりのプロジェクトにせず、月次・四半期・年次の運用サイクルに組み込むことが、更新時の負担を減らします。 準備しておきたい資料と社内体制 情報システム部門だけで完結させようとすると、規程、委託契約、教育、人事異動、事業継続、個人情報管理などで情報が分断されます。実務では、経営層、情報システム・セキュリティ、法務・総務、人事、購買、事業部門をまたいだ責任分担が必要です。 事前に準備しておきたい資料としては、情報セキュリティ規程・手順書、IT資産台帳、ネットワーク構成図、クラウド利用一覧、アカウント・権限管理台帳、脆弱性管理記録、インシデント対応計画、BCP・バックアップ方針、委託先一覧と契約書、教育・訓練記録、監査結果、過去の診断報告書などがあります。資料があるだけでなく、最新状態に更新されているかも確認します。 経営層は、取得目標の★、対象となる事業・拠点・システム、責任者、改善予算、完了期限を決める役割を担います。特に複数事業を持つ企業では、「全社一括で取るのか」「特定サービスを適用範囲にするのか」で必要な工数が大きく変わるため、最初のスコープ設計が重要です。 費用と期間は何で決まる？ IPAが2026年9月18日に公表した料金設定では、2027年3月以降に受付開始予定の登録希望組織について、2028年3月31日までの登録料は★3が10,000円（1年分）、★4が60,000円（3年分）とされています。2028年4月1日以降は、★3が20,000円（1年分）、★4が60,000円（3年分）です。 ただし、企業が実際に負担する総費用は登録料だけではありません。★3では現状整理や専門家確認の支援費用、★4では評価機関による第三者評価や技術検証の費用、さらに不足対策の導入費用が加わります。自社の環境が複雑であるほど、対象拠点やシステムが多いほど、また証跡が未整備であるほど工数は増えます。 期間も同様です。既にISMS等の管理体系があり、資産管理・権限管理・インシデント対応・委託先管理が運用されている企業と、規程や台帳から整備する企業では準備期間が異なります。制度開始直前に外部支援を探すより、先にギャップ分析だけ実施して「制度開始までに何を直す必要があるか」を把握しておく方が、予算化と社内調整を進めやすくなります。 出典：IPA「SCS評価制度 料金設定のお知らせ」（2026年9月18日） https://www.ipa.go.jp/security/scs/rcu1hd00000075om-att/pricelist.pdf 社内稟議では「認証取得」ではなく「取引継続とリスク低減」で説明する SCS評価制度への対応を「セキュリティ部門の認証取得プロジェクト」として説明すると、経営層から費用対効果を問われやすくなります。稟議では、主要顧客から取得を求められる可能性、未対応時の受注・更新リスク、既存監査対応の効率化、インシデント発生時の損失低減など、事業上の効果と結び付けて説明することが重要です。 また、予算は「評価費用」と「改善費用」を分けて考えます。評価を受けるための費用を確保しても、診断で重大な脆弱性が見つかり、追加の改修や機器更新が必要になれば、別途予算が必要です。改善費を想定せずに評価日だけ決めると、指摘を解消できないまま期限を迎える可能性があります。 支援会社・評価関連事業者を選ぶ際のポイント SCS評価制度への対応では、「チェックリストを埋める支援」と「実態を改善する支援」を区別して考えることが大切です。制度要求を読めるだけでなく、ネットワーク、クラウド、Webアプリケーション、ID管理、ログ監視、インシデント対応などの技術面を理解し、経営・法務・購買を含む運用に落とし込める会社が望ましいでしょう。 見積依頼やRFPでは、対応可能な★の範囲、ギャップ分析の方法、技術検証との連携、成果物の内容、指摘事項の優先順位付け、改善支援の有無、再診断の条件、機密情報の取り扱い、担当者の経験を確認します。★4を目指す場合は、制度上の評価機関・技術検証事業者の指定状況も確認が必要です。IPAは評価機関を2026年12月末頃、SCSセキュリティ専門家を2027年1月頃から公表予定としています。 出典：IPA「SCSセキュリティ専門家・評価機関」 https://www.ipa.go.jp/security/scs/security-experts-organization/index.html よくある失敗と注意点 制度開始後に要求が来てから動く 取引先から期限付きで取得を求められてから現状確認を始めると、規程改定、システム改修、診断、再診断、社内承認が重なります。少なくとも主要顧客との契約更新時期と、2027年3月頃の制度開始予定を並べて、先に対応順を決めておくと安全です。 適用範囲を広く取りすぎる、または狭く取りすぎる 対象範囲を必要以上に広げるとコストが膨らみます。一方、取引先に提供する重要サービスのシステムが対象外になっていれば、取得しても説明力が不足します。組織図ではなく、顧客へのサービス提供経路と情報・システムのつながりから範囲を決めることが重要です。 診断を「実施済み」で終わらせる 脆弱性診断やペネトレーションテストで問題が見つかった後、改修・再検証まで完了しなければリスクは残ります。特に外部公開サービスの重大な脆弱性は、SCS対応のためだけでなく事業継続上も優先して是正すべきです。 個人情報・機密情報の取り扱いを確認しない 評価支援や技術検証では、構成図、脆弱性情報、管理者権限、ログなど機密性の高い情報を外部へ共有する場合があります。秘密保持契約、データの保管場所、アクセス権、再委託、削除方法まで事前に確認しましょう。 Librus株式会社が提供できるSCS評価制度対応支援 Librus株式会社では、SCS評価制度への対応を「申請書類の作成」だけで終わらせず、現状把握、リスク整理、技術検証、改善、運用まで一気通貫で支援します。企業ごとの環境や取引条件に応じて、必要な範囲を個別に設計できることが特徴です。 具体的には、★3・★4を見据えたギャップ分析、要求事項に対応する規程・運用の整備、情報セキュリティ体制の構築、リスクアセスメント、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、SOC／CSIRT構築・運用支援、インシデントレスポンス、デジタルフォレンジック、教育・訓練などを組み合わせて支援できます。 制度対応では、技術部門だけに負荷を集中させないことも重要です。Librusは技術と経営の両面から課題を整理し、経営層、情報システム部門、現場部門の橋渡しを行います。M&A、IPO、取引先監査など、短期間でセキュリティの説明責任が高まる局面も含め、優先順位を付けて対応計画を設計します。 よくある質問 SCS評価制度は法律で義務化されますか？ 現時点では任意制度であり、制度自体が全企業に取得を義務付けるものではありません。ただし、取引先が契約・調達条件として★取得を求める可能性があるため、取引上は実質的に必要となるケースがあります。 中小企業も対象ですか？ はい。IPAは全てのサプライチェーン企業を対象としています。特に大企業の委託先や重要なサービスを提供する企業では、企業規模にかかわらず対応を求められる可能性があります。 ★3と★4はどちらを目指せばよいですか？ 取引先から求められる水準と、自社が担う業務の重要性で判断します。★3は専門家確認付き自己評価、★4は第三者評価と技術検証を伴います。主要顧客の調達方針が未定の場合は、まず現状のギャップを把握し、どちらにも移行できる準備を進める方法があります。 SCS評価制度はいつ始まりますか？ IPAは★3・★4について2027年3月頃の運用開始を予定しています。制度運営基盤の整備状況等により変更される可能性があるため、最新情報はIPAの公式サイトで確認してください。 登録料はいくらですか？ 2026年9月18日公表の料金設定では、2028年3月31日までの登録料は★3が10,000円（1年分）、★4が60,000円（3年分）です。ただし、専門家支援、第三者評価、技術検証、改善対応などの費用は別途発生します。 脆弱性診断を実施していれば★4を取得できますか？ 脆弱性診断だけで十分とは限りません。★4は要求事項全体に対する第三者評価と技術検証を伴うため、組織的な管理策、運用記録、インシデント対応、委託先管理なども含めて適合状況を確認する必要があります。 ISMSを取得済みなら対応は不要ですか？ 既存の管理体系や証跡はSCS対応に活用できますが、SCS評価制度の要求事項・評価基準に対する確認は別途必要です。既存制度との重複を整理し、不足部分だけを補う進め方が効率的です。 制度の対象範囲がまだ決まっていなくても相談できますか？ 可能です。むしろ、対象範囲の決定前に取引・システム・データの関係を整理することで、過大なスコープや対象漏れを避けやすくなります。 まとめ：SCS評価制度は任意でも、取引上の重要性は高まる サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は、現時点で法律上の一律義務ではありません。しかし、委託元が委託先に必要な★を提示し、取引契約等で対策状況を確認する運用が想定されています。今後、主要顧客の調達基準や委託先管理の中で取得が求められれば、任意制度であっても事業上の対応優先度は高くなります。 重要なのは、制度開始を待つことではなく、自社の取引先、重要サービス、IT資産、現在の対策と証跡を整理し、「要求された場合にどの程度の期間と費用が必要か」を把握しておくことです。特に★4を視野に入れる場合は、文書整備だけでなく、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストなどの技術検証と、その後の改善まで計画に含める必要があります。 SCS評価制度への対応方針が決まっていない段階でもご相談いただけます 「取引先から求められる★がまだ分からない」「どこまでを評価対象にすべきか決められない」「現在の規程や技術対策で何が不足しているか知りたい」といった段階でも、対応準備を始めることはできます。Librus株式会社では、現状のヒアリングとギャップ整理から、対象範囲の設計、改善計画、脆弱性診断・ペネトレーションテスト、運用体制の整備まで、企業ごとの状況に合わせて支援します。早い段階で不足と優先順位を可視化することで、取引先から要請を受けた後の突発的な対応を減らし、予算化や社内稟議を進めやすくなります。 公的情報の確認先 SCS評価制度は運用開始に向けて規程・手続・評価機関等の情報が順次更新されています。公開前には、経済産業省およびIPAの最新情報を確認してください。 出典：経済産業省 SCS評価制度特設ページ https://www.meti.go.jp/policy/netsecurity/scs.html 出典：IPA SCS評価制度公式ページ https://www.ipa.go.jp/security/scs/index.html 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎） 〒105-0004 東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F 03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact
VIEW MORE
SCS評価制度はいつから？2027年開始までに企業が準備すべきこと
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の★3・★4は、2027年3月頃の運用開始が予定されています。制度開始まで待ってから準備するのではなく、2026年度中に「どの★を目指すか」「どの事業・拠点・システムを対象とするか」「現在の対策と要求事項の差分は何か」を整理し、規程・運用・技術対策を順に整えることが重要です。 特に従業員100～1,000名規模の企業では、情報システム部門だけで完結しない点に注意が必要です。経営層の関与、取引先管理、インシデント対応、アクセス管理、脆弱性管理、教育、証跡の整備など、複数部門をまたぐ準備が求められます。★4を想定する場合は、文書確認だけでなく実地審査や技術検証も視野に入るため、Webアプリケーション診断、プラットフォーム診断、必要に応じたペネトレーションテストなど、技術面の弱点を事前に把握しておくことも有効です。 本記事では、2026年10月4日時点で公表されている経済産業省・内閣官房国家サイバー統括室・IPAの情報を基に、制度開始までに企業が実務として何を進めるべきかを整理します。 公的情報：IPA「よくある質問」 / IPA「SCS評価制度の詳細情報」 この記事で分かること SCS評価制度の開始時期と、2026年10月時点の最新状況 ★3と★4の違い、どちらを検討すべきかの考え方 2027年3月頃までに経営層・情報システム部門が準備すべきこと Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストを準備にどう組み込むか 費用・期間を左右する要因と、支援会社を選ぶ際の確認ポイント SCS評価制度とは何か SCS評価制度は、企業が自社のセキュリティ対策の実施状況について評価を受け、その結果を登録・公表する仕組みです。経済産業省と内閣官房国家サイバー統括室が2026年3月27日に公表した制度構築方針に基づいて構築され、IPAが制度を運営します。 制度の背景には、サプライチェーンを構成する企業の対策状況を、取引のたびに個別の質問票や監査で確認する負担があります。発注側から見れば取引先の対策水準が見えにくく、受注側から見れば顧客ごとに異なる要求への対応が重くなりがちです。SCS評価制度は、共通の評価軸を設けることで、取引先との間で必要なセキュリティ水準を確認しやすくすることを狙っています。 出典：IPA「SCS評価制度の詳細情報」 / 経済産業省「制度構築方針」 ★3と★4の違い ★3は、一般的なサイバー脅威に対処し得る水準として位置付けられています。取得希望組織が自己評価を行い、SCSセキュリティ専門家による確認・助言を受け、経営層による自己適合宣誓を含めて事務局へ申請する「専門家確認付き自己評価」が基本です。 ★4は、初期侵入を防ぐだけでなく、侵入後の被害拡大を抑え、取引先のデータやシステムを保護することまで重視する水準です。評価機関による第三者評価に加え、技術検証が求められます。文書を整えるだけでなく、実際のシステムや運用が要求事項に沿って機能しているかを確認される点が大きな違いです。 なお、★4を取得するために先に★3を取得しておく必要はありません。自社の事業上の役割、取引先から求められる水準、扱う情報やシステムの重要度を踏まえて、目指す段階を判断します。 SCS評価制度はいつから？2027年3月頃に★3・★4の運用開始予定 IPAのFAQでは、★3・★4は2027年3月頃の運用開始予定とされています。2026年9月には、★4の第三者評価を担う評価機関や、技術検証を担う技術検証事業者などの指定申請が開始されました。指定機関は2026年12月下旬頃、SCSセキュリティ専門家は2027年1月頃から公表される予定です。制度開始に向け、評価を実施する側の体制整備は既に具体的な段階に入っています。 一方、取得希望企業向けの要求事項・評価基準の解説書や取得ガイドは、2026年10月4日時点のIPAページでは「2026年10月頃公開予定」とされています。申請方法も同様に10月頃公開予定と案内されています。そのため、現時点では細かな申請様式を待つより、既に公開されている要求事項・評価基準を基にギャップを把握し、改善に時間がかかる項目から着手するのが実務的です。 出典：IPA「よくある質問」 / IPA「要求事項・評価基準」 / IPA「指定申請について」 なぜ制度開始前の準備が必要なのか 取引先から求められてからでは、改善に時間がかかる SCS評価制度は、単に申請書を提出すれば取得できるものではありません。IPAのFAQでは、★3・★4を取得するには、それぞれで定められたすべての要求事項・評価基準を満たす必要があるとされています。未達項目が見つかった場合、規程を作るだけで解決するものもあれば、システム改修、権限設計の見直し、ログ取得、バックアップ方式の変更、委託先契約の改定、教育・訓練の実施など、数か月単位の対応が必要なものもあります。 評価のためではなく、取引継続と事業継続のために整える 制度対応を「認証マークを取る作業」と捉えると、書類作成が目的化しやすくなります。本来の目的は、サプライチェーンを通じた情報漏えい、不正侵入、サービス停止、ランサムウェア被害などのリスクを低減することです。発注企業が取引条件や選定基準に一定のセキュリティ水準を組み込むようになれば、対応状況は営業・調達・経営にも関係するテーマになります。 特に重要な取引先への依存度が高い企業では、セキュリティ要件への対応遅れが、商談機会の減少、取引条件の追加、監査対応の長期化などにつながる可能性があります。経営層は、制度取得の費用だけでなく、取引維持、事業継続、信用毀損の回避という観点で投資判断を行うことが重要です。 SCS評価制度の対象をどう考えるか 制度では、企業が決定した適用範囲の中から対象をサンプリングして評価することが想定されています。したがって、最初の実務は「会社全体を対象にするのか」「特定事業・拠点・サービスを対象にするのか」を整理することです。対象が曖昧なまま準備を始めると、必要以上に範囲が広がり、費用と期間が膨らみます。逆に狭く設定しすぎると、実際の取引や重要データの流れを反映できません。 対象範囲を決める際は、主要顧客との取引に使うシステム、顧客データや機密情報を扱う環境、インターネットに公開しているWebアプリケーション、基幹システム、クラウドサービス、リモートアクセス環境、委託先との接続点などを洗い出します。業務上の重要性と攻撃を受けた際の影響を基準に整理すると、経営層にも説明しやすくなります。 2027年の制度開始までに企業が準備すべき7つのこと 1．目指す★と対象範囲を経営判断する まず、★3と★4のどちらを目指すか、対象となる事業・拠点・情報資産をどこまで含めるかを決めます。主要取引先から求められそうな水準、扱う情報の重要度、システム停止時の事業影響、自社がサプライチェーンの中で担う役割を判断材料にします。経営層が決めるべきなのは、取得そのものではなく「どの事業リスクを、どの水準まで低減するか」です。 2．要求事項・評価基準に対するギャップ分析を行う 公開されている★3・★4の要求事項・評価基準に対し、現状が適合しているか、証跡を示せるかを確認します。ここで重要なのは「実施しているつもり」と「第三者が確認できる状態」を分けることです。たとえば退職者アカウントを削除していても、手順や実施記録が残っていなければ、評価時に説明が難しくなります。規程、手順、設定、ログ、教育記録、監査記録などを紐付けて確認します。 3．不足している規程・運用・証跡を整備する ギャップは、規程不足、運用不足、技術対策不足、証跡不足に分類すると改善計画を立てやすくなります。たとえば情報資産管理台帳、アカウント管理手順、脆弱性対応ルール、インシデント対応手順、委託先管理基準、バックアップ方針などです。文書を新たに作る場合も、現場で実行できない内容を形式的に定めるのではなく、既存業務に組み込める形にします。 4．技術的な弱点を事前に確認する ★4では技術検証が想定されています。制度上の正式な技術検証は指定された枠組みに従って行われますが、制度開始前の準備として、自社の弱点を先に把握することは有効です。Webアプリケーション診断では、認証・認可、入力値処理、セッション管理などWeb固有の問題を確認します。プラットフォーム診断では、OS、ミドルウェア、ネットワーク機器、クラウド設定などの脆弱性や設定不備を確認します。さらに、実際の攻撃者に近い観点で侵入可能性や横展開を検証したい場合は、ペネトレーションテストを組み合わせます。 5．インシデント対応と復旧の実効性を確認する 規程があっても、攻撃を検知した際に誰が判断し、誰が顧客へ連絡し、どこまでシステムを停止するかが決まっていなければ、実際の事故では動けません。情報システム部門だけでなく、経営、法務、広報、営業、総務などを含めた連絡体制を確認し、机上訓練や演習を行います。ランサムウェアを想定する場合は、バックアップからの復旧手順と復旧時間も確認しておくべきです。 6．委託先・クラウド・取引先との関係を整理する 自社が強固でも、委託先のアカウントや接続経路が侵入経路になることがあります。外部委託、クラウド、SaaS、保守ベンダーなどについて、アクセス権限、契約上のセキュリティ条項、事故時の報告、再委託、ログ取得、アカウント停止手順を確認します。調達部門や事業部門を巻き込み、契約更新のタイミングも考慮して改善を進めます。 7．2027年初頭の評価・申請を見据えて社内稟議を準備する 制度対応は、コンサルティング費用だけでなく、診断、システム改修、ツール導入、教育、評価機関への依頼など複数の費用が発生し得ます。年度内の予算確保が必要な企業では、2026年中に概算を作り、経営会議や稟議に載せられる状態にしておくことが重要です。稟議では「制度対応費」だけでなく、主要取引先との関係、停止時の損失、既存監査の効率化など、事業面の効果を説明すると判断されやすくなります。 Webアプリケーション診断・プラットフォーム診断・ペネトレーションテストの位置付け IPAが2026年9月に公表した指定申請情報では、技術検証事業者は、評価機関からの委託を受けて「技術検証（脆弱性診断）」を実施する事業者とされています。また、技術検証事業者の主な対象として、脆弱性診断・ペネトレーションテストのサービスを提供する法人が示されています。 ただし、制度対応のために自社で実施した脆弱性診断やペネトレーションテストが、そのまま★4の正式な技術検証に代替できるとは限りません。正式な評価では、指定された評価機関・技術検証事業者、評価手順、対象範囲に従う必要があります。準備段階の診断は「不適合や弱点を本番評価前に減らすための予備検証」と位置付けるのが適切です。 出典：IPA「指定申請について」 対応を先送りした場合に起こり得る問題 制度開始後に取引先から★の取得状況を確認され、その時点で準備を始めると、短期間で複数部門の対応を進めなければならない可能性があります。規程整備は比較的短期間でも、システム改修や委託先契約の見直し、ログ基盤の整備、教育の定着には時間がかかります。結果として、取得時期が取引先の要求時期に間に合わない、緊急対応でコストが上がる、通常業務にしわ寄せが出るといった問題が起こり得ます。 また、評価のために急いで文書だけを整えると、実際の運用と規程が一致しない状態になりやすくなります。制度対応を機に、現在のセキュリティ対策が事業の実態に合っているかを棚卸しすることが、長期的には監査対応や顧客説明の効率化にもつながります。 実施期間の目安はどの程度か 準備期間は、現在の成熟度、対象範囲、目標とする★、技術改修の有無で大きく変わります。既にISMS等の管理体制が整い、証跡も蓄積されている企業と、規程や資産管理から整備する企業では必要な期間が異なります。 実務では、最初に2～4週間程度で対象範囲とギャップを整理し、その後、優先度の高い改善を数か月かけて実施する進め方が考えられます。★4を想定し、診断やシステム改修、再診断まで行う場合は、さらに余裕を持たせるべきです。これは制度が定める標準期間ではなく、準備プロジェクトを設計する際の実務上の目安です。 費用を左右する要因 2026年10月4日時点で、取得希望組織が★3・★4を申請・登録する際の費用はIPAのFAQで「今後公開予定」とされています。2026年9月に公表された申請料・指定料は、評価機関・技術検証事業者・研修事業者として指定を受ける側の料金であり、★を取得したい一般企業の申請費用とは別です。混同しないよう注意が必要です。 企業側の総コストは、制度上の申請・評価費用だけでは決まりません。対象拠点やシステム数、現状とのギャップ、規程整備量、診断対象のIP数・URL数・画面数、クラウド構成、ペネトレーションテストの範囲、システム改修の有無、再診断の回数、社内教育の規模などで変動します。見積りでは「制度取得支援」「技術診断」「改善支援」「本番評価」を分けて確認すると、比較しやすくなります。 出典：IPA「よくある質問」 / IPA「指定申請について」 支援会社を選ぶ際のチェックポイント SCS評価制度の準備では、制度文書の読み込みだけでなく、現場の技術対策まで落とし込める支援会社を選ぶことが重要です。RFPや見積依頼では、①★3・★4のどちらを想定するか、②ギャップ分析の範囲、③規程・手順の整備支援を含むか、④Webアプリケーション診断・プラットフォーム診断等に対応できるか、⑤改善後の再確認を含むか、⑥経営層向け報告を用意できるか、⑦機密情報の取り扱いとデータ保管方法、⑧正式評価との役割分担をどのように整理するか、を確認します。 特に★4では、取得支援を行う会社と正式な第三者評価を行う評価機関の関係について、中立性・公平性の観点が重要になります。準備支援を依頼する段階から、将来の評価プロセスで利益相反や役割の混同が生じないよう確認しておくと安心です。 SCS評価制度の準備でよくある失敗と注意点 規程作成だけで終わる 文書は必要ですが、実態と一致していなければ意味がありません。アカウント棚卸し、パッチ適用、バックアップ復旧、教育、インシデント連絡など、実運用と証跡まで確認します。 対象範囲を最初に決めない 後から対象システムが増えると、診断や証跡収集をやり直すことがあります。主要取引・重要データ・外部接続を起点に範囲を定義します。 診断結果を修正せずに終える 脆弱性診断は発見が目的ではありません。重大度だけでなく、悪用可能性、外部公開状況、扱うデータ、事業影響を踏まえて優先順位を付け、期限と担当者を決めます。修正後は再診断または設定確認を行います。 情報システム部門だけで進める 委託先契約、教育、顧客報告、事業継続などは他部門の協力が不可欠です。経営責任者、情報システム、法務・総務、営業・調達、主要事業部門の役割を早期に決めます。 成果物・報告書に含めるべき内容 準備支援を外部に依頼する場合、最終的に何が残るかを確認してください。少なくとも、対象範囲、要求事項ごとの現状評価、根拠資料、未達事項、リスク、改善優先度、担当部門、期限、技術診断結果、再確認結果、経営層向けの要約があると、その後の社内推進や本番評価につなげやすくなります。 改善優先度は、単にCVSSなどの技術的な重大度だけで決めるのではなく、外部から到達可能か、権限昇格や横展開につながるか、重要データにアクセスできるか、停止時の影響が大きいかといった事業上の観点を合わせて判断します。 Librus株式会社が提供できるSCS評価制度対応支援 Librus株式会社では、SCS評価制度への対応を、単なるチェックリスト対応ではなく、企業ごとの事業・IT環境・取引関係に合わせて設計します。制度要求と現在の運用を照合するギャップ分析から、情報セキュリティ体制の整備、リスクアセスメント、規程・運用の改善、技術診断、教育、インシデント対応体制の構築まで、一気通貫で支援可能です。 技術面では、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、レッドチーム演習などを通じて、文書上では見えにくい実際の攻撃経路や設定上の弱点を確認できます。発見事項については、事業影響と対応難易度を踏まえて優先順位を整理し、診断だけで終わらず改善・再確認まで支援します。 また、経営層に対しては、セキュリティ上の論点を投資判断、事業継続、主要取引先への影響という言葉に置き換えて整理し、情報システム部門と経営・現場部門の橋渡しを行います。大企業だけでなく、中堅・中小企業にも対応し、M&A、IPO、取引先監査など経営上の重要局面を踏まえた支援も可能です。 SCS評価制度に関するよくある質問 Q1．SCS評価制度はいつから始まりますか？ ★3・★4は2027年3月頃の運用開始予定です。2026年10月4日時点では、IPAが制度運営の準備を進めており、評価機関等の指定申請も始まっています。 Q2．2027年3月まで何もしなくても問題ありませんか？ おすすめできません。要求事項を満たすためにシステム改修や契約見直しが必要になると、数か月を要することがあります。まずギャップ分析を行い、時間がかかる項目を先に進めるべきです。 Q3．★3を取らないと★4は取得できませんか？ いいえ。IPAは、★3を事前に取得していなければ★4を取得できない関係ではないと説明しています。自社のリスクと取引上の要請に応じて目標を選びます。 Q4．★3は自己評価だけで取得できますか？ 単独の自己評価ではありません。取得希望組織による自己評価に対し、SCSセキュリティ専門家の確認・助言と署名を受け、経営層による自己適合宣誓を含めて申請する仕組みです。 Q5．★4では脆弱性診断が必要ですか？ ★4では第三者評価と技術検証が求められます。IPAの指定申請情報では技術検証を「脆弱性診断」と表現しています。正式な対象・方法は制度の手順に従う必要があります。 Q6．ペネトレーションテストを実施すれば★4を取得できますか？ ペネトレーションテストだけで取得できるわけではありません。★4は要求事項全体への適合、第三者評価、技術検証などを含む制度です。ペネトレーションテストは準備段階で実効的な弱点を把握する手段の一つです。 Q7．申請費用はいくらですか？ 2026年10月4日時点で、★3・★4の取得希望組織が支払う申請・登録費用は今後公開予定です。9月に公開された評価機関等の申請料・指定料とは別の料金です。 Q8．まだ対象範囲や目指す★が決まっていなくても相談できますか？ 可能です。むしろ初期段階で、主要取引先、重要システム、扱う情報、既存認証・監査、今後の事業計画を整理すると、過不足のない対象範囲とロードマップを設計しやすくなります。 まとめ：SCS評価制度は「制度開始前のギャップ把握」が重要 サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の★3・★4は、2027年3月頃の運用開始が予定されています。2026年中に取り組むべきことは、申請書を待つことではなく、目標とする★と対象範囲を定め、公開済みの要求事項・評価基準に対して現状のギャップを把握し、改善を始めることです。 とりわけ、技術対策、委託先管理、インシデント対応、証跡整備は短期間では完成しにくい領域です。★4を視野に入れる企業では、Webアプリケーション診断やプラットフォーム診断、必要に応じたペネトレーションテストを活用し、本番評価前に重大な弱点を減らしておくことが現実的です。制度取得を目的化せず、取引継続と事業継続の両方を強くする機会として進めることが重要です。 SCS評価制度への対応方針が固まっていない段階でもご相談いただけます 「★3と★4のどちらを目指すべきか分からない」「対象範囲をどこまで含めるべきか判断できない」「現在の規程やセキュリティ対策で不足している点を知りたい」といった初期段階でも、Librus株式会社にご相談いただけます。 現状を整理したうえで、制度要求とのギャップ、優先して改善すべき項目、診断が必要なシステム、社内稟議に必要な費用・スケジュールの考え方まで整理することで、過剰な対策や手戻りを抑えながら準備を進めやすくなります。SCS評価制度の取得支援だけでなく、脆弱性診断、ペネトレーションテスト、体制構築、改善支援まで一気通貫で対応可能です。 主な公的情報 IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」：https://www.ipa.go.jp/security/scs/index.html IPA「SCS評価制度の詳細情報」：https://www.ipa.go.jp/security/scs/details.html IPA「要求事項・評価基準」：https://www.ipa.go.jp/security/scs/requirements-criteria.html IPA「よくある質問」：https://www.ipa.go.jp/security/scs/faq.html IPA「SCSセキュリティ専門家・評価機関」：https://www.ipa.go.jp/security/scs/security-experts-organization/index.html IPA「指定申請について（評価機関・技術検証事業者・研修事業者向け）」：https://www.ipa.go.jp/security/scs/security-experts-organization/shiteishinsei.html 経済産業省・内閣官房国家サイバー統括室「制度構築方針」（2026年3月27日）：https://www.ipa.go.jp/security/scs/rcu1hd0000007ajp-att/20260327001-br.pdf 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎） 105-0004 東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F 03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact
VIEW MORE
SCS評価制度とは？2027年開始の新しいセキュリティ評価制度をわかりやすく解説
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は、企業間取引で求めるセキュリティ水準を「★」で分かりやすく示し、委託元と委託先の双方が対策状況を確認しやすくするための制度です。★3・★4は2027年3月頃の運用開始が予定されており、IPA（独立行政法人情報処理推進機構）が運営します。 重要なのは、この制度が単なる「認証取得」の話ではない点です。SCS評価制度は任意制度ですが、実際の取引では委託元が委託先に必要な★を示し、その取得や対策水準を取引条件として確認することが想定されています。したがって、特に大手企業のサプライチェーンに入る中堅・中小企業にとっては、営業、調達、事業継続、情報システムの各部門に関わる経営課題として準備する必要があります。 出典：IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」 https://www.ipa.go.jp/security/scs/index.html 出典：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」 https://www.meti.go.jp/policy/netsecurity/scs.html この記事で分かること SCS評価制度の目的と、★3・★4の違い どのような企業が対応を検討すべきか 2027年の制度開始に向けて、経営層と情報システム部門が準備すべきこと Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストなどの技術検証との関係 対応期間や費用を左右する要因、支援会社を選ぶ際の実務的なポイント SCS評価制度とは SCS評価制度の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。2026年3月に経済産業省と内閣官房国家サイバー統括室が制度構築方針を公表し、その方針に基づいてIPAが制度を運営します。 背景には、委託先や取引先を経由したサイバー攻撃の増加があります。発注企業にとっては「取引先がどの程度の対策をしているか分かりにくい」、受注企業にとっては「取引先ごとに異なるセキュリティチェックシートへの回答負担が大きい」という双方の課題があります。SCS評価制度は、必要な対策水準を共通の段階で表し、サプライチェーン全体のセキュリティ水準を高めることを狙っています。 制度上は、2社間の取引契約などで委託元が委託先に適切な段階（★）を提示し、必要な対策を促したうえで、その実施状況を確認する使い方が想定されています。対象は特定業種だけに限定されておらず、IPAは「全てのサプライチェーン企業が対象」と説明しています。 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html ★3と★4は何が違うのか 2027年3月頃に運用開始が予定されている中心的な段階は★3と★4です。★3は、一般的なサイバー脅威に対処し得る水準を想定しています。★4は、侵入防止だけではなく、侵入後の被害拡大防止や、取引先のデータ・システム保護、サプライチェーン上の役割に応じた強靭化までを求める、より高い水準です。 区分評価の考え方主な評価方法★3一般的なサイバー脅威に対処し得る水準取得希望組織による自己評価＋SCSセキュリティ専門家による確認・助言★4被害拡大防止や取引先保護、サプライチェーン強靭化まで含む水準評価機関による第三者評価＋実地審査＋技術検証★5より高度な攻撃への対応を想定今後、要求事項・評価基準や評価スキームを具体化 なお、★4を取得する前に★3を取得しておく必要はありません。上位段階は下位段階の要求を包含する考え方ですが、取得手順として★3→★4が必須という制度ではありません。 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html SCS評価制度は義務なのか 結論から言えば、SCS評価制度そのものは任意制度です。経済産業省は、★3や★4の取得を法令上義務付ける制度ではなく、取引契約において委託元と委託先の間で取得要否が決められるものと説明しています。 一方で、任意であることと「事業上の影響がない」ことは別です。委託元が調達基準や取引先管理の中で一定の★を求める場合、受注企業にとっては実質的な商談要件になる可能性があります。大手企業との新規取引、既存取引の更新、重要システムの委託、機密情報を扱う業務などでは、早めに自社の現状を確認しておく意味があります。 出典：経済産業省「SCS評価制度」FAQ掲載ページ https://www.meti.go.jp/policy/netsecurity/scs.html なぜ今、企業にSCS評価制度への準備が必要なのか ★3・★4の運用開始は2027年3月頃が予定されています。2026年4月には★3・★4の要求事項・評価基準が公開され、2026年8月には基本規程なども公開されました。制度の輪郭はすでに具体化しており、運用開始直前になって初めて対策を始めるより、現時点でギャップを把握し、予算・人員・技術対策を計画しておく方が現実的です。 特に従業員100～1,000名規模の企業では、情報システム部門が少人数で運用している一方、取引先監査、クラウド管理、端末管理、脆弱性対応、インシデント対応、教育などが分散しているケースが少なくありません。SCS評価制度への対応は、単に申請書を作る作業ではなく、組織・規程・運用・技術対策が実態として整っているかを確認するプロジェクトとして捉える必要があります。 出典：IPA「要求事項・評価基準」 https://www.ipa.go.jp/security/scs/requirements-criteria.html 出典：IPA「制度規程・委員会」 https://www.ipa.go.jp/security/scs/regulation-advisory-committeess.html 経営層が判断すべき3つの事項 第一に、自社がサプライチェーンの中でどのような役割を担っているかです。顧客の機密情報を扱うのか、顧客システムへ接続するのか、自社サービス停止が顧客事業に影響するのかによって、求められる対策水準は変わります。 第二に、SCS評価制度への対応を「情報システム部門だけの課題」にしないことです。契約、調達、営業、経営企画、総務、人事などが関与するため、責任者と意思決定ルートを明確にする必要があります。 第三に、制度対応を取引維持のコストとしてだけでなく、顧客への説明力を高める投資として評価することです。セキュリティ対策の内容を共通の評価軸で説明できれば、取引先監査や新規商談における説明負担の軽減につながる可能性があります。 対応しなかった場合に起こり得る問題 SCS評価制度に対応しないこと自体に法的な罰則があるわけではありません。しかし、委託元が取引条件として一定の★や同等水準の対策を求める場合には、商談の遅延、追加監査、改善要求、契約条件の見直しなどにつながる可能性があります。 また、制度対応の有無とは別に、サプライチェーン攻撃によって委託先から認証情報が窃取され、顧客環境へ不正アクセスされるケースや、脆弱な公開サーバーを起点にランサムウェア被害が拡大するケースは、事業継続や信用に直結します。SCS評価制度への準備を機に、対策の「有無」だけでなく、実際に機能するかを確認することが重要です。 例えば、規程上は「脆弱性管理を実施する」と書かれていても、インターネット公開資産の棚卸しができていなければ、診断対象から漏れたシステムが攻撃の入口になる可能性があります。同様に、バックアップを取得していても、復旧テストをしていなければ、インシデント時に事業を予定どおり再開できるとは限りません。 SCS評価制度への対応を優先して検討したい企業・場面 特に優先度が高いのは、大手企業や重要インフラ関連企業のサプライチェーンに参加している企業、顧客の機密情報・個人情報を扱う企業、顧客ネットワークやクラウド環境へ接続する企業、SaaS・システム開発・運用保守などを提供する企業です。 また、M&A、IPO、重要な業務提携、新規大型取引の開始といった経営上の重要局面でも、セキュリティ体制を外部に説明できる状態が求められます。SCS評価制度への対応準備は、こうした場面で必要になる証跡、規程、資産台帳、脆弱性管理記録、インシデント対応体制の整備にもつながります。 SCS評価制度への具体的な対応手順 制度対応は、最初から申請書を埋めるのではなく、対象範囲と現状を整理し、要求事項との差分を把握してから改善するのが効率的です。以下は、実務上取り組みやすい進め方です。 1. 対象範囲と目指す段階を決める まず、どの法人・拠点・部門・システム・業務を評価対象にするかを整理します。取引先から具体的な要求がある場合は、その契約や委託業務との関係を確認します。要求がまだない場合でも、主要顧客の業種、取り扱う情報、システム接続の有無、サービス停止時の影響を踏まえ、★3または★4のどちらを目標にするか検討します。 2. 必要資料を集める 現状確認では、情報セキュリティ基本方針、各種規程、組織図、資産台帳、ネットワーク構成図、アカウント管理ルール、クラウド利用台帳、委託先一覧、脆弱性対応記録、教育記録、インシデント対応手順、バックアップ・復旧手順などを確認します。資料が存在するかだけでなく、実際の運用と一致しているかが重要です。 3. 要求事項とのギャップ分析を行う IPAが公開している★3・★4の要求事項・評価基準に照らし、「適合」「一部適合」「未対応」「対象外」を整理します。未対応項目は、取引先への影響、攻撃可能性、改善難易度、必要予算などを加味して優先順位を付けます。 出典：IPA「要求事項・評価基準」 https://www.ipa.go.jp/security/scs/requirements-criteria.html 4. 技術面の実効性を確認する 文書・規程だけでなく、実際のシステムに弱点がないかを確認します。Webサービスを提供している企業ではWebアプリケーション診断、サーバーやネットワーク機器にはプラットフォーム診断が有効です。さらに、実際の攻撃者の視点で侵入可能性や侵入後の影響を確認したい場合は、ペネトレーションテストを組み合わせます。 ★4では第三者評価に加えて技術検証が求められます。そのため、運用開始直前に初めて脆弱性を確認するのではなく、事前に主要システムの弱点を洗い出し、改修と再確認まで済ませておくことが合理的です。なお、どの技術検証が制度上の正式な評価に該当するかは、IPAが定める評価機関・技術検証事業者の仕組みと最新ルールに従う必要があります。 5. 規程・運用・技術対策を改善する ギャップ分析の結果に応じて、アクセス権管理、ログ管理、脆弱性管理、バックアップ、インシデント対応、委託先管理、教育などを改善します。ここで重要なのは、ルールを増やすことではなく、担当者、実施頻度、承認者、証跡の残し方まで運用可能な形にすることです。 6. 自己評価・第三者評価に備える ★3では、取得希望組織が自己評価を作成し、SCSセキュリティ専門家による確認・助言を受け、経営層による自己適合宣誓を含めて申請する流れが示されています。★4では、評価機関による第三者評価と技術検証を経た後に登録申請を行います。★3・★4とも、すべての要求事項・評価基準を満たす必要があるとIPAは案内しています。 出典：IPA「よくある質問」 https://www.ipa.go.jp/security/scs/faq.html 対応期間と費用を左右する要因 SCS評価制度の申請・登録費用は、2026年9月時点では今後公開予定です。そのため、現時点で一律の金額を断定することはできません。一方、企業側が準備に必要とする期間や支援費用は、自社の現状によって大きく変わります。 実務上、期間を左右しやすいのは、対象範囲の広さ、既存規程の整備状況、資産台帳の精度、クラウドや拠点の数、脆弱性診断の対象数、改修の必要量、委託先管理の複雑さ、社内承認に要する期間です。特に、診断で重大な脆弱性が見つかった場合は、改修・テスト・再診断までを計画に含める必要があります。 目安としては、すでにISMS等の管理基盤があり運用証跡も揃っている企業と、規程・資産管理・技術対策をゼロから整備する企業では、準備工数が大きく異なります。制度開始に合わせて取得を目指す場合は、まず短期間のギャップ分析を行い、その結果をもとに社内スケジュールと予算を確定する方法が現実的です。 出典：IPA「よくある質問」 https://www.ipa.go.jp/security/scs/faq.html 社内稟議で説明しておきたい内容 稟議では、「制度対応が必要だから」という説明だけでなく、主要取引先との関係、対象業務、現状のリスク、求める★、不足している対策、対応しない場合の事業影響、必要予算、完了予定時期をセットで示すと意思決定しやすくなります。 特に経営層には、セキュリティ施策をITコストとしてではなく、取引継続、顧客信用、サービス停止リスク、事故対応費用を含めた経営リスクの低減として説明することが重要です。 SCS評価制度の支援会社を選ぶ際のポイント 支援会社を選ぶ際は、制度文書の解説ができるだけでは不十分です。実際のギャップを埋めるには、規程整備、リスクアセスメント、脆弱性診断、ペネトレーションテスト、インシデント対応、教育など複数領域の実務能力が必要になるためです。 RFPや見積依頼では、①SCS要求事項とのギャップ分析の方法、②対象範囲の決め方、③技術検証の実施可否、④発見事項の優先順位付け、⑤規程や運用設計まで支援できるか、⑥改善後の再確認方法、⑦機密情報の取り扱い、⑧成果物の内容、⑨制度改定時のフォロー方針を確認するとよいでしょう。 また、★3の正式な確認を依頼する場合はSCSセキュリティ専門家としての登録要件、★4の正式評価や技術検証についてはIPAの指定・登録制度に基づく評価機関・技術検証事業者であるかを確認する必要があります。制度上の役割と、取得準備のコンサルティング支援は分けて考えることが大切です。 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html よくある失敗と注意点 よくある失敗の一つは、要求事項をチェックリストとして埋めること自体が目的になってしまうことです。形式上「実施済み」と回答できても、実運用が伴わなければ、事故時に機能しません。規程、設定、ログ、教育記録などの証跡と、実際の現場運用を一致させる必要があります。 二つ目は、対象範囲を曖昧なまま進めることです。どの拠点・システム・サービスを対象にするかが曖昧だと、診断や資産棚卸しに漏れが生じ、後から追加作業が発生します。 三つ目は、技術対策を最後に回すことです。脆弱性診断やペネトレーションテストで重要な問題が見つかると、改修には開発部門やベンダー調整が必要です。申請直前では間に合わない可能性があるため、早い段階で技術的な現状確認を行う方が安全です。 四つ目は、情報システム部門だけで対応することです。SCS評価制度は取引先管理、教育、契約、インシデント対応など部門横断の取り組みです。経営層を含めた責任分担を明確にして進めることが重要です。 Librus株式会社が提供できるSCS評価制度対応支援 Librus株式会社では、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）への対応を、制度要件の確認だけで終わらせず、実際のリスク低減まで一気通貫で支援します。 具体的には、現状ヒアリング、対象範囲の整理、要求事項とのギャップ分析、リスクアセスメント、情報セキュリティ体制・規程の整備、運用プロセスの設計、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、SOC／CSIRT構築・運用支援、インシデントレスポンス、デジタルフォレンジック、セキュリティ教育・訓練などを、企業ごとの環境に応じて組み合わせることが可能です。 SCS評価制度への対応では、「どこまでを対象にすべきか」「★3と★4のどちらを目指すべきか」「規程はあるが技術対策が十分か分からない」といった初期段階の整理が重要です。Librusでは、技術面と経営面の双方から課題を整理し、経営層、情報システム部門、現場部門の間にある認識差を埋めながら、実行可能な改善計画へ落とし込みます。 また、診断で問題を発見して終わるのではなく、改善の優先順位付け、改修後の再診断、継続監視、教育、インシデント対応体制まで含めた支援が可能です。M&A、IPO、取引先監査など、期限と説明責任が伴う局面にも対応します。 SCS評価制度に関するよくある質問 Q1. SCS評価制度はいつ始まりますか？ IPAは★3・★4について、2027年3月頃の運用開始を予定しています。ただし、制度運営基盤の整備状況などにより変更される可能性があるため、最新情報はIPA・経済産業省の公式情報で確認する必要があります。 Q2. SCS評価制度への対応は義務ですか？ 制度自体は任意です。法令で一律に★の取得を義務付けるものではありません。ただし、取引先が契約や調達条件として一定の★を求める可能性はあります。 Q3. 中小企業も対象ですか？ はい。IPAは全てのサプライチェーン企業を対象としています。特に、対策リソースが限られる中小企業では、共通の評価軸を活用する効果が大きいと説明しています。 Q4. ★3と★4のどちらを目指すべきですか？ 顧客からの要求がある場合はそれを起点に検討します。要求がない場合は、扱う情報の重要度、顧客システムへの接続、サービス停止時の影響、サプライチェーン上の役割などから判断します。 Q5. ★3を取得してからでないと★4は取得できませんか？ いいえ。IPAは、★3を事前に取得していなければ★4を取得できないという関係ではないとしています。 Q6. ISMSを取得していればSCS評価制度への対応は不要ですか？ 一律に不要とはいえません。既存の管理体制や証跡を活用できる可能性はありますが、SCS評価制度固有の要求事項・評価基準との適合状況を個別に確認する必要があります。 Q7. 脆弱性診断やペネトレーションテストは必要ですか？ 対象とする★やシステム、要求事項への対応状況によって異なります。★4では技術検証が制度上の評価プロセスに含まれます。取得準備の段階でも、公開システムや重要システムの弱点を把握するために診断を実施することは有効です。 Q8. 申請費用はいくらですか？ 2026年9月時点で、★3・★4の申請・登録にかかる費用は今後公開予定です。コンサルティング、診断、改修など取得準備の費用は、自社の対象範囲と現状によって変動します。 Q9. 何から始めればよいですか？ まず、主要取引先との関係と対象業務を整理し、IPAの要求事項・評価基準を使って現状とのギャップを把握することをおすすめします。その後、優先度の高い改善項目から計画化します。 出典：IPA「よくある質問」 https://www.ipa.go.jp/security/scs/faq.html まとめ：SCS評価制度は「申請」より前の準備が重要 サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は、企業間取引におけるセキュリティ水準を共通の段階で示し、サプライチェーン全体の対策を底上げするための制度です。★3・★4は2027年3月頃の運用開始が予定されています。 制度自体は任意ですが、取引先が求めるセキュリティ水準として利用されることが想定されています。そのため、対応の要否を「法的義務があるか」だけで判断するのではなく、主要顧客との取引、扱う情報、事業継続への影響、自社の営業戦略まで含めて判断することが重要です。 実務では、対象範囲の整理、ギャップ分析、規程・運用の改善、Webアプリケーション診断やプラットフォーム診断、必要に応じたペネトレーションテストなどを早めに進めることで、制度開始後の申請や取引先からの要求に対応しやすくなります。 SCS評価制度への対応方針が固まっていない段階でもご相談いただけます Librus株式会社では、「自社がSCS評価制度の対象になるのか分からない」「★3と★4のどちらを目指すべきか判断したい」「現在の規程やセキュリティ対策でどこまで対応できるか確認したい」といった初期段階からご相談いただけます。 現在の体制や取引先との関係を整理したうえで、必要な対象範囲、優先して改善すべき項目、技術検証の要否、社内で準備すべき資料や進め方を具体化します。対象範囲や実施方法が決まっていなくても、現状をもとに対応の全体像を整理できるため、社内稟議や予算化に向けた検討材料としても活用いただけます。 SCS評価制度への対応を、単なる制度対応ではなく、取引先への説明力向上と実効性のあるセキュリティ体制づくりにつなげたい企業は、Librus株式会社までご相談ください。 主な公的情報 出典：IPA「SCS評価制度」 https://www.ipa.go.jp/security/scs/index.html 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html 出典：IPA「要求事項・評価基準」 https://www.ipa.go.jp/security/scs/requirements-criteria.html 出典：IPA「よくある質問」 https://www.ipa.go.jp/security/scs/faq.html 出典：経済産業省「SCS評価制度」 https://www.meti.go.jp/policy/netsecurity/scs.html 監修者 鎌田光一郎：⻘山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎） 105-0004東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F 03-6772-8015 お問い合わせフォーム https://librus.co.jp/contact
VIEW MORE
SCS評価制度★4とは？第三者評価・技術検証の仕組みを解説
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の★4は、自己申告だけで対策状況を示す制度ではありません。評価機関による第三者評価に加え、脆弱性診断などの技術検証を受け、その結果を踏まえて登録を目指す仕組みです。★3よりも、取引先のデータやシステムを守るための対策が実際に機能しているかを客観的に確認する点が重視されます。 2026年10月4日時点では、★3・★4は2027年3月頃の運用開始が予定されています。評価機関・技術検証事業者の指定手続は始まっている一方、取得希望企業向けの申請方法や一部の運用詳細は今後公表予定です。そのため、★4を検討する企業は制度開始を待つのではなく、適用範囲の整理、規程・証跡の整備、脆弱性診断、改善計画の策定までを先行して進めることが重要です。 この記事で分かること ・SCS評価制度★4と★3の違い ・★4における第三者評価と技術検証の役割 ・Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストとの関係 ・★4取得を見据えて企業が準備すべき資料、体制、技術対策 ・評価機関・支援会社を選ぶ際の実務上のチェックポイント SCS評価制度★4とは SCS評価制度は、企業のサイバーセキュリティ対策を共通の基準で評価し、その結果を取引先などが確認しやすくするための制度です。経済産業省と内閣官房国家サイバー統括室が制度構築方針を公表し、独立行政法人情報処理推進機構（IPA）が制度を運営します。 ★4は、一般的なサイバー脅威への対処を主眼とする★3よりも一段高い水準です。IPAは、★4について「初期侵入の防御にとどまらず、内外への被害拡大防止・目的遂行のリスク低減によって取引先のデータやシステム保護に寄与すること」や、「サプライチェーンにおける自社の役割に適合した強靭化策」が講じられている水準と説明しています。 重要なのは、★4では書類上の整備だけでなく、第三者評価と技術検証が求められることです。規程が存在していても、実際のシステムに重大な脆弱性が残っている、運用手順が現場で機能していない、委託先管理が形骸化しているといった状態では、評価対応が難しくなる可能性があります。 出典：IPA「SCS評価制度の詳細情報」 ★3を取得してからでなければ★4を取得できないわけではない ★4を目指す場合、先に★3を取得することが必須だと誤解されることがあります。しかしIPAは、上位段階が下位段階の要求を包括する一方で、★3を事前取得しなければ★4を取得できない関係ではないと明示しています。自社の取引要件や重要情報の取扱い、顧客から求められる保証水準によっては、最初から★4を目標に準備する選択肢もあります。 SCS評価制度★4で求められる「第三者評価」とは ★4の第三者評価では、IPAから指定を受けた評価機関が、取得希望組織の対策状況を客観的に確認します。2026年9月に公開された指定申請情報では、評価機関の業務として、文書確認・実地審査・技術検証を含む第三者評価を行い、評価報告書を交付することが示されています。 文書確認では「規程があるか」だけでなく運用証跡が重要になる 企業側で準備すべきものは、情報セキュリティ基本方針や各種規程だけではありません。アクセス権限の棚卸し記録、脆弱性対応履歴、バックアップ・復旧試験の記録、インシデント対応訓練の記録、委託先評価資料、教育実施記録など、「定めたルールを継続的に運用していること」を示す証跡が重要です。 たとえば、退職者のアカウントを削除する規程があっても、実際のアカウント棚卸し記録がなく、長期間利用されていない特権IDが残っていれば、統制が実効的に機能しているとは説明しにくくなります。規程と現場運用を一致させることが、★4準備の基本です。 実地審査では適用範囲の中からサンプリングされる想定 IPAは、★4では文書確認に加えて実地審査と技術検証を行い、取得希望組織が決定した適用範囲の中から対象をサンプリングして評価することを想定しています。したがって、一部の部署やシステムだけを評価直前に整えるのではなく、適用範囲全体で一定水準の運用を定着させておく必要があります。 特に従業員100～1,000名規模の企業では、本社の情報システム部門と事業部門、拠点、子会社、外部委託先でルールや管理方法が異なることがあります。評価対象を決める段階で、どこまでを同一の統制で説明できるのかを整理しておくと、その後の準備が進めやすくなります。 SCS評価制度★4の「技術検証」とは ★4の大きな特徴が技術検証です。IPAの2026年度指定申請情報では、技術検証事業者は、評価機関から委託を受けて「技術検証（脆弱性診断）」を実施し、その結果報告書を評価機関へ交付する役割とされています。また、技術検証事業者の主な対象として、脆弱性診断やペネトレーションテストを提供する法人が示されています。 つまり、★4では「対策を実施していると説明できること」に加えて、システムの弱点が実際に残っていないかを技術的に確かめる工程が組み込まれます。これにより、書面上は対策済みでも、設定ミスや古いソフトウェア、認証設計の不備などが残っている状態を発見しやすくなります。 出典：IPA「指定申請について（評価機関・技術検証事業者・研修事業者向け）」 Webアプリケーション診断 Webアプリケーション診断は、Webサイトや業務システムのアプリケーション部分に存在する脆弱性を確認する診断です。認証・認可の不備、入力値検証の不足、セッション管理の問題などを確認します。顧客向けポータル、ECサイト、取引先向けシステム、クラウド上の業務アプリケーションなど、インターネットから利用できるサービスを持つ企業では重要な確認領域になります。 プラットフォーム診断 プラットフォーム診断は、サーバー、ネットワーク機器、OS、ミドルウェアなどの設定や既知の脆弱性を確認する診断です。不要なポートの公開、古いソフトウェア、危険な暗号設定、管理画面の露出などは、攻撃者の初期侵入につながる可能性があります。 ペネトレーションテストとの違い ペネトレーションテスト（侵入試験）は、単に脆弱性を列挙するだけでなく、攻撃者の視点で複数の弱点を組み合わせ、どこまで侵入・権限拡大・重要情報への到達が可能かを検証する手法です。★4の技術検証がすべての企業に対して一律にペネトレーションテストを要求するという意味ではありません。具体的な対象や方法は、最新の制度文書、評価機関の指示、適用範囲、システムのリスクに沿って判断する必要があります。 実務では、Webアプリケーション診断やプラットフォーム診断で広く弱点を把握し、重要システムや高リスク領域では必要に応じてペネトレーションテストを組み合わせる考え方が有効です。制度対応のためだけに診断を行うのではなく、事業停止や情報漏えいにつながる経路を実際に減らすことが本来の目的です。 なぜ★4では技術検証まで求められるのか サプライチェーン攻撃では、標的となる大企業を直接狙うのではなく、取引先や委託先を経由して侵入するケースがあります。取引先のシステムに侵入された結果、認証情報や接続経路が悪用されれば、自社だけでなく顧客や上流企業にも影響が波及する可能性があります。 そのため、重要な機密情報を扱う企業や、事業停止がサプライチェーン全体に波及し得る企業では、「規程を整備している」という説明だけでは十分な保証にならない場合があります。第三者評価と技術検証を組み合わせることで、ガバナンスと実システムの両面から対策状況を確認できる点が★4の特徴です。 出典：経済産業省「SCS評価制度の構築方針」 ★4を取得しない場合に想定される事業上の課題 SCS評価制度は、2026年10月時点で、すべての企業に一律に★4取得を義務付ける制度として公表されているわけではありません。ただし、制度が普及すれば、発注企業が取引先選定や継続評価の際に★の取得状況を参照する場面が増える可能性があります。 特に、機密情報を受託する企業、基幹業務を担うIT事業者、製造ラインや物流など事業停止の影響が大きい企業では、取引先から高い保証水準を求められることがあります。未取得だから直ちに取引停止になると断定することはできませんが、セキュリティ質問票や個別監査への対応負荷、競争入札での説明力、顧客とのリスクコミュニケーションに影響する可能性は考慮すべきです。 SCS評価制度★4の対象をどう決めるか ★4準備で最初に難しくなるのが適用範囲です。会社全体、特定事業、特定拠点、特定サービスなど、どこを対象とするかによって必要な資料、診断対象、費用、期間が大きく変わります。 経営層が判断すべきこと 経営層は、どの取引・事業・情報資産を守るために★4を取得するのかを明確にする必要があります。主要顧客から求められる可能性、売上に占める重要取引の比率、事業停止時の損失、機密情報の重要度、今後の新規取引や入札への影響などを踏まえ、取得の目的と優先順位を決めます。 情報システム部門が整理すべきこと 情報システム部門は、対象となるネットワーク、クラウド環境、Webアプリケーション、端末、ID管理基盤、外部公開資産、委託先との接続、バックアップ環境などを洗い出します。資産台帳と実態が一致していない場合、技術検証の対象漏れや、想定外の公開資産が見つかる原因になります。 ★4取得に向けた具体的な準備手順 1．要求事項・評価基準とのギャップを確認する まず、IPAが公開している★3・★4の要求事項・評価基準を基に、自社の現状とのギャップを洗い出します。ここでは「規程がある・ない」だけで判断せず、責任者、実施頻度、対象範囲、証跡、例外管理まで確認します。 出典：IPA「要求事項・評価基準」 2．適用範囲と重要資産を確定する 次に、評価対象となる組織、拠点、システム、サービス、委託先を整理します。対象範囲を広げれば説明力は高まりますが、審査・診断・改善の負荷も増えます。一方、狭すぎる範囲では、顧客が期待する事業やサービスをカバーできない可能性があります。営業部門や事業責任者も交え、取引上意味のある範囲を設定することが重要です。 3．規程と運用証跡を整備する 情報セキュリティ規程、アカウント管理、ログ管理、脆弱性管理、バックアップ、インシデント対応、委託先管理、教育などのルールを確認し、運用記録を残します。過去の証跡が不足している場合は、無理に取り繕うのではなく、現時点から運用を開始し、改善計画と実施記録を積み上げる方が実務的です。 4．技術診断を先行実施し、重大な問題を改善する 評価直前に初めて脆弱性診断を行うと、重大な問題が見つかった際に改修期間を確保できません。制度対応とは別に、準備段階でWebアプリケーション診断やプラットフォーム診断を実施し、重大度の高い問題から改善しておくことが有効です。 優先順位は、脆弱性の深刻度だけでなく、インターネットから悪用可能か、機密情報や管理者権限に到達できるか、代替対策があるか、事業停止につながるかといった観点で決めます。技術的なスコアが同じでも、対象システムの重要度によって対応順序は変わります。 5．模擬審査と是正確認を行う 評価機関への依頼前に、要求事項ごとに「何を提示すれば説明できるか」を確認します。責任者へのヒアリング、証跡の確認、サンプルとなる端末やアカウントの確認などを模擬的に行うと、規程と現場運用のずれを発見しやすくなります。 実施期間と費用を左右する要因 2026年10月4日時点で、★4取得企業が負担する申請・登録費用の詳細はIPAから今後公開予定とされています。また、第三者評価や技術検証の費用は、評価機関・技術検証事業者の料金体系や対象範囲によって変わるため、一律の金額を示すことはできません。 実務上、費用と期間を左右しやすいのは、対象拠点数、システム数、外部公開資産数、Webアプリケーションの画面・機能数、クラウド環境の複雑さ、委託先数、既存規程や証跡の整備状況、診断で発見された問題の改修量です。海外拠点や複数子会社を含める場合は、追加の調整期間も見込む必要があります。 制度開始後すぐに取得したい企業ほど、評価機関が公表されてから準備を始めるのではなく、今の段階でギャップ分析と改善を進めておく方がスケジュールを組みやすくなります。IPAは評価機関を2026年12月末頃から公表予定としています。 出典：IPA「SCSセキュリティ専門家・評価機関」 社内稟議で説明すべきポイント SCS評価制度対応を単なる「認証取得費」として稟議に上げると、費用対効果が伝わりにくいことがあります。経営層には、主要顧客との取引維持・新規取引の要件、個別監査や質問票対応の効率化、インシデント発生時の事業停止リスク、サイバー保険やBCPとの関係など、事業上の目的を整理して説明することが重要です。 また、取得そのものだけでなく、事前診断、改修、規程整備、運用定着、再診断までを一つのプロジェクトとして予算化した方が現実的です。評価で不適合が見つかってから追加予算を申請すると、取得スケジュールが遅れる可能性があります。 評価機関・支援会社を選ぶ際のチェックポイント ★4の正式な第三者評価は、IPAから指定された評価機関に依頼する必要があります。評価機関が自ら技術検証も実施する場合と、別の指定技術検証事業者へ委託する場合があります。したがって、正式評価を依頼する際は、IPAの指定機関台帳で最新の指定状況を確認することが前提です。 一方、取得前のギャップ分析、規程整備、脆弱性診断、改善支援などは、正式評価とは役割が異なります。支援会社を選ぶ際は、要求事項の解釈だけでなく、Webアプリケーション、ネットワーク、クラウド、ID管理、インシデント対応まで技術面を理解しているかを確認するとよいでしょう。 RFPや見積依頼では、対象範囲、成果物、診断手法、再診断の有無、報告会、機密情報の取扱い、データ保管期間、再委託の有無、発見事項の優先順位付け方法を明確にします。「SCS対応一式」という依頼だけでは、各社の作業範囲が揃わず、見積比較が難しくなります。 SCS評価制度★4でよくある失敗と注意点 評価直前に規程だけを作る 規程を短期間で作成しても、実際の運用記録がなければ、第三者評価で説明が難しくなります。ルールを決めた後に、棚卸し、レビュー、訓練、教育などを実際に回し、証跡を残す期間を確保してください。 脆弱性診断を「報告書をもらう作業」にしてしまう 診断の目的は報告書を保管することではなく、攻撃につながる弱点を減らすことです。発見事項について、担当者、期限、暫定対策、恒久対策、再診断結果まで追跡する管理プロセスが必要です。 情報システム部門だけで進める ★4では、委託先管理、教育、事業継続、経営判断など、情報システム部門だけでは完結しない項目が含まれます。経営層、法務・総務、人事、営業、事業部門、購買部門などを巻き込み、役割分担を決めることが重要です。 正式評価と事前コンサルティングの役割を混同する 取得支援と正式な第三者評価は区別して考える必要があります。特に同一法人が複数の役割を担う場合は、中立性・公平性など制度上の要件を確認しなければなりません。依頼前に、誰が正式評価を行い、誰が改善支援を行うのかを明確にしておくことが重要です。 Librus株式会社が提供できるSCS評価制度対応支援 Librus株式会社では、SCS評価制度の取得を見据えた現状整理から、技術対策、改善、運用まで一気通貫で支援します。制度文書の読み合わせだけではなく、企業ごとの事業構造、取引先から求められる水準、既存のセキュリティ体制、システム構成を踏まえて対応範囲を設計します。 具体的には、要求事項・評価基準に対するギャップ分析、規程・運用プロセスの整備、リスクアセスメント、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、インシデント対応体制、SOC／CSIRT、教育・訓練、委託先管理などを組み合わせて支援できます。 ★4対応では、経営・統制面の整備と技術検証を分断しないことが重要です。たとえば、診断で重大な脆弱性が見つかった場合、単に技術部門へ改修を依頼するだけではなく、脆弱性管理規程、責任者、対応期限、例外承認、再診断までの運用に落とし込む必要があります。Librusでは、診断結果を改善計画と継続運用につなげるところまで支援します。 なお、SCS評価制度における正式な★4第三者評価は、制度上指定された評価機関が実施するものです。支援を検討する際は、最新の制度要件と役割分担を確認しながら進めることが重要です。 SCS評価制度★4に関するよくある質問 Q1．SCS評価制度★4はいつから始まりますか？ IPAは、★3・★4について2027年3月頃の運用開始を予定しています。2026年10月4日時点では、評価機関・技術検証事業者の指定手続が進行中です。 Q2．★3を取得していないと★4を取得できませんか？ いいえ。IPAは、★3を事前取得しなければ★4を取得できない関係ではないと説明しています。自社の取引要件やリスクに応じて★4から目指すことも可能です。 Q3．★4では第三者評価が必須ですか？ はい。★4は、指定された評価機関による第三者評価と技術検証を組み合わせるスキームです。文書確認だけでなく、実地審査や技術検証が行われる想定です。 Q4．技術検証とは何をするのですか？ IPAの指定申請情報では、技術検証事業者の業務として脆弱性診断が示されています。具体的な対象・方法は、適用範囲や最新の制度文書、評価機関の指示に沿って決まります。 Q5．Webアプリケーション診断は必要ですか？ 対象範囲にWebアプリケーションが含まれ、リスク上確認が必要と判断される場合は重要な検証手段になります。ただし、すべての企業・システムに同一の診断が一律に求められると断定することはできません。 Q6．ペネトレーションテストも必須ですか？ 2026年10月4日時点の公表情報から、全企業に一律でペネトレーションテストが必須とは言えません。一方、技術検証事業者の対象にはペネトレーションテスト提供法人も含まれており、高リスク領域では有効な検証手法になり得ます。 Q7．既に実施した脆弱性診断の報告書を使えますか？ 既存診断結果の扱いは、診断時期、対象範囲、手法、実施事業者、最新の制度要件などによって判断が必要です。評価対応を前提にする場合は、正式評価を依頼する評価機関や最新ガイドを確認してください。 Q8．準備はいつから始めるべきですか？ 2027年の制度開始を待たず、ギャップ分析、資産棚卸し、規程整備、技術診断、改善を先行して進めることを推奨します。重大な問題ほど改修や社内調整に時間がかかるためです。 まとめ｜SCS評価制度★4は「書類」と「技術」の両面で準備する SCS評価制度★4は、第三者評価と技術検証によって、企業のセキュリティ対策が実際に機能しているかを客観的に確認する仕組みです。★3と比べて、被害拡大の防止や取引先のデータ・システム保護、サプライチェーン上の役割に応じた強靭化までを重視します。 取得を目指す企業は、要求事項への回答を作ることだけに集中するのではなく、適用範囲の確定、規程と運用証跡の整備、Webアプリケーション診断・プラットフォーム診断などの技術検証、発見事項の改善、再確認までを一つのプロジェクトとして進めることが重要です。 2026年10月4日時点では、取得希望企業向けの申請方法や申請・登録費用など、今後公表される情報も残っています。未確定情報を推測で補うのではなく、IPA・経済産業省の最新公表内容を確認しながら、現時点で確実に進められる基盤整備から着手することが現実的です。 SCS評価制度★4の準備段階からご相談いただけます 「★4を目指すべきか判断できていない」「どのシステムまで対象にすべきか分からない」「規程はあるが技術面に不安がある」「診断と制度対応を別々に進めると負荷が高い」といった段階でも、Librus株式会社へご相談いただけます。 現状の体制や取引先から求められる水準を整理したうえで、ギャップ分析、対象範囲の設計、技術診断、改善計画、運用定着まで、必要な範囲から支援します。制度対応を目的化せず、取引継続や事業継続に実際に役立つ対策へ落とし込むことで、社内稟議や経営層への説明もしやすくなります。対象範囲や実施方法がまだ決まっていない場合も、検討材料の整理から対応可能です。 制度情報の確認日：2026年10月4日 主な公的情報： IPA SCS評価制度 IPA SCS評価制度の詳細情報 IPA よくある質問 IPA 要求事項・評価基準 経済産業省 SCS評価制度の構築方針 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎）105-0004東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact
VIEW MORE
SCS評価制度の★3・★4とは？違いと企業が目指すべき水準を解説
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は、取引先に求めるセキュリティ対策の水準を共通化し、実施状況を可視化するための制度です。★3は「一般的なサイバー脅威に対処できる最低限の実装水準」、★4は「侵入後の被害拡大防止や技術検証まで含む標準的な水準」と位置付けられています。 従業員100〜1,000名規模の企業では、まず取引先から求められる水準と自社の事業リスクを整理し、★3で十分なのか、★4までを目指すべきなのかを判断することが重要です。特に、機密情報や個人情報を預かる企業、重要な業務システムを運用する企業、停止時に取引先へ大きな影響が出る企業は、★4を視野に入れた準備が現実的です。 本記事では、2026年10月4日時点でIPA・経済産業省が公表している一次情報をもとに、★3・★4の違い、対象企業、対応手順、技術検証、費用・期間、社内稟議、支援会社の選び方まで実務目線で解説します。 この記事で分かること SCS評価制度の目的と、★3・★4の位置付け ★3と★4の要求水準・評価方法・技術検証の違い 自社が★3と★4のどちらを目指すべきかの判断基準 申請前に準備すべき資料、体制、診断・テストの考え方 費用・期間を左右する要因と、稟議・ベンダー選定のポイント SCS評価制度とは SCS評価制度は、サプライチェーンを通じたサイバーリスクへの対応を目的として、経済産業省と内閣官房国家サイバー統括室の監督のもと、独立行政法人情報処理推進機構（IPA）が運営する評価制度です。★3・★4は2027年3月頃の運用開始が予定されています。 背景にあるのは、委託元が取引先のセキュリティ対策を評価しにくい一方、委託先は複数の取引先から異なるチェックシートへの回答を求められ、双方に負担が生じているという問題です。SCS評価制度では、取引契約等において委託元が適切な段階を示し、委託先がその水準を満たしているか確認できる共通の枠組みを目指しています。 出典：IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」 https://www.ipa.go.jp/security/scs/index.html 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html SCS評価制度の★3・★4の違い 結論からいえば、★3と★4の最大の違いは「求められる対策の深さ」と「評価の客観性」です。★3は専門家の確認を受けた自己評価で取得を目指します。一方、★4は指定された評価機関による第三者評価に加え、実地審査や技術検証まで行われます。 比較項目★3 Basic★4 Standard実務上の意味位置付け最低限実装すべき対策標準的に目指すべき対策取引先への影響や扱う情報の重要性が高いほど★4を検討要求事項数26項目44項目★4は★3を包括し、より広い対策が必要評価方法専門家確認付き自己評価第三者評価★4は社外から説明できる客観性が高い確認内容主に書類確認文書確認・実地審査・技術検証★4は実装状況まで検証される有効期間・登録料1年・10,000円（2028年3月31日まで）3年・60,000円登録料以外に支援・評価・技術検証等の費用が発生し得る 出典：IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版 説明資料」 https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_setsumeisiryou.pdf 出典：IPA「料金設定のお知らせ」 https://www.ipa.go.jp/security/scs/rcu1hd00000075om-att/pricelist.pdf ★3とは｜一般的な脅威に対処する最低限の実装水準 ★3は、一般的なサイバー脅威に対処し得ることを水準として定めた段階です。IPAの整理では「最低限実装すべき対策（26項目）」とされ、取得希望組織が自己評価を行い、SCSセキュリティ専門家の確認と助言を経た上で、経営層による自己適合宣誓を含む申請を行う仕組みです。 ここで重要なのは、単なるチェックシート回答ではない点です。すべての要求事項・評価基準を満たす必要があり、「規程はあるが運用されていない」「端末対策はあるが、対象範囲に漏れがある」といった状態では適合が難しくなります。 ★4とは｜侵入後の被害拡大防止と第三者評価まで求める水準 ★4は、初期侵入を防ぐ対策だけではなく、侵入された場合の被害拡大防止、攻撃者による目的遂行のリスク低減、取引先のデータ・システム保護、サプライチェーンにおける自社の役割に応じた強靭化策まで求める段階です。要求事項は44項目で、評価機関による第三者評価と技術検証が行われます。 技術検証では、規程や設定値を読むだけでは見つからない弱点を確認します。例えば、インターネット公開されたWebアプリケーションに認証不備や入力値検証の欠陥がないかを確認するWebアプリケーション診断、サーバー・ネットワーク機器・クラウド基盤の設定不備や脆弱性を確認するプラットフォーム診断、さらに攻撃者と同様の観点で侵入経路や横展開の可能性を検証するペネトレーションテストなどが、対象範囲やリスクに応じて重要になります。 ★3を取ってからでないと★4に進めないわけではない ★4は★3の内容を包括しますが、★3の取得が★4申請の前提条件ではありません。自社の取引上の立場や顧客要求から★4が必要であれば、最初から★4を目指すことも可能です。ただし、現状が★3相当にも達していない場合、いきなり第三者評価へ進むと是正項目が増え、期間や費用が膨らみやすくなります。実務上は、まずギャップ分析で★3相当の基礎を固め、その後★4要求へ広げる進め方が効率的です。 出典：IPA「よくある質問」 https://www.ipa.go.jp/security/scs/faq.html なぜ今、SCS評価制度への準備が必要なのか SCS評価制度は法令上の一律義務として全企業に取得を求めるものではありません。しかし、制度が取引契約における共通の確認手段として使われることが想定されているため、調達条件や取引先監査の中で「★3以上」「重要委託先は★4」といった要求が出てくる可能性があります。 特に従業員100〜1,000名規模の企業は、大企業の重要な委託先である一方、専任のセキュリティ人材や予算が十分でないことがあります。制度開始後に顧客から対応を求められてから着手すると、規程整備、資産棚卸し、アクセス権見直し、ログ管理、バックアップ、教育、脆弱性対応などを短期間で並行して進めることになり、現場負荷が高くなります。 経済産業省は、2024年度の中小企業実態調査を踏まえ、サイバー攻撃の被害を受けた中小企業の約7割で取引先にも影響が及んだと紹介しています。セキュリティ対策は自社のIT課題だけではなく、取引継続や信用維持に関わる経営課題として考える必要があります。 出典：経済産業省「中小企業のための実例で学ぶサイバーセキュリティリスク事例集等を公表」 https://www.meti.go.jp/press/2025/03/20260327002/20260327002.html 対応しなかった場合に起こり得る問題 SCS評価制度を取得しないこと自体に直ちに罰則が生じる制度ではありません。実務上の問題は、取引先から求められた水準を説明できないことです。新規取引のセキュリティ審査で追加資料を求められる、既存取引先の監査で改善計画を要求される、重要業務の委託先候補から外れるといった影響が考えられます。 また、評価取得とは別に、対策不足そのものが事業継続リスクになります。例えば、VPNや公開サーバーの脆弱性から侵入され、認証情報を窃取された後に社内ネットワークへ横展開されると、基幹システム停止やランサムウェア被害につながる可能性があります。Webアプリケーションの認可不備があれば、顧客情報や取引データの漏えいに発展することもあります。 経営層は「制度取得のためのコスト」だけでなく、「取引停止・復旧費用・顧客説明・信用毀損を含む損失を抑えるための投資」として判断することが重要です。 どの企業が★3・★4を目指すべきか ★3を基本線にしやすい企業 ★3は、サプライチェーン企業としてまず共通の最低限水準を整えたい企業に向いています。重要情報の保有量が比較的限定され、顧客から高度な第三者評価を求められていない場合でも、取引先からのチェックシート対応を効率化したい企業や、社内対策を一度体系的に整理したい企業には有効です。 ★4を優先的に検討したい企業 ★4は、次のような企業で優先度が高くなります。取引先の機密情報や個人情報を大量に扱う、クラウドやSaaSを顧客へ提供する、顧客の基幹業務を受託する、停止時にサプライチェーンへ波及する、インターネット公開システムが多い、M&A・IPO・大手企業との新規取引などで客観的なセキュリティ説明が必要、といったケースです。 判断の軸は会社規模だけではありません。「侵害されたときに誰へ、どの程度の影響が及ぶか」「顧客からどの程度の証明を求められるか」「第三者に検証されても説明できる状態か」を基準にすると、目標水準を決めやすくなります。 SCS評価制度への具体的な対応手順 1. 経営層が目標水準と対象範囲を決める 最初に決めるべきなのは、★3か★4かだけではありません。どの法人、事業、拠点、システム、クラウド環境を評価対象とするかを明確にします。対象範囲が曖昧なまま規程整備や診断を始めると、後から不足が見つかり、再作業が発生します。 経営層は、主要顧客の要求、事業停止時の売上影響、扱う情報の重要性、海外取引の有無、既存のISMS・Pマーク等との重複を踏まえて、対象範囲と期限、予算責任者を決定します。 2. 現状と要求事項のギャップ分析を行う 次に、★3・★4の要求事項・評価基準に対して、現状がどこまで満たせているかを確認します。この段階では「対応済み・未対応」の二択ではなく、規程、運用、証跡、技術設定の4つに分けて確認すると実務的です。 例えばアクセス制御について、規程に「最小権限」と書いてあっても、退職者アカウントが残っている、管理者権限の棚卸し記録がない、SaaSごとに承認方法が異なる場合は、運用・証跡面の改善が必要です。 3. 情報システム部門が資料と証跡を整える 実施前に準備しておきたい資料は、情報セキュリティ基本方針・各種規程、組織図、情報資産台帳、システム構成図、ネットワーク構成図、クラウド・SaaS一覧、アカウント・権限管理台帳、ログ管理方針、バックアップ手順、インシデント対応手順、委託先一覧、教育実施記録、脆弱性対応記録などです。 重要なのは「文書を作ること」ではなく、「運用されている証拠が残っていること」です。承認記録、棚卸し結果、教育受講記録、パッチ適用記録、バックアップ復元テスト結果などを定期的に残す設計にすると、評価対応だけでなく日常運用も安定します。 4. 技術対策を実装し、必要に応じて診断・テストを行う 技術面では、多要素認証、端末保護、パッチ管理、ネットワーク分離、ログ収集、バックアップ、メール対策、クラウド設定管理などを要求事項に沿って整備します。★4を目指す場合は、外部から確認できる脆弱性だけでなく、侵入後の横展開や権限昇格を含めた検証が重要です。 Webアプリケーション診断では、SQLインジェクション、クロスサイトスクリプティング、認証・認可不備、セッション管理などを確認します。プラットフォーム診断では、OS・ミドルウェア・ネットワーク機器・クラウド設定の脆弱性や不要ポート等を確認します。ペネトレーションテストは、個別の脆弱性を列挙するだけでなく、それらを組み合わせて実際にどこまで侵入・横展開できるかを検証する点が特徴です。 診断対象は「全システムを一律に実施」ではなく、公開範囲、重要情報、権限、顧客影響を基準に優先順位を付けます。対象が多い企業では、重要システムから段階的に実施し、年度計画へ落とし込む方が現実的です。 5. 指摘事項をリスクベースで是正する 改善項目は、重大度だけでなく、攻撃されやすさ、悪用時の事業影響、外部公開の有無、代替策の有無、修正難易度を合わせて優先順位付けします。例えば、外部公開VPNの重大な脆弱性や管理者アカウントへの多要素認証未導入は、社内向けの軽微な設定不備より優先して是正すべきです。 改善計画には、対応内容、責任部署、期限、暫定対策、再確認方法を明記します。システム改修に時間がかかる場合は、アクセス元制限やWAF、監視強化などの代替策を入れ、リスクを放置しないことが重要です。 6. ★3は専門家確認、★4は第三者評価・技術検証へ進む ★3では、取得希望組織が作成した自己評価をSCSセキュリティ専門家が確認し、必要に応じて修正助言を行います。★4では、指定された評価機関が文書確認、実地審査、技術検証を行い、評価報告書を作成します。 2026年10月4日時点では、IPAのFAQ上、★3・★4の申請方法や取得ガイド等は「2026年10月頃公開予定」とされています。公開後は、最新手順に合わせて申請準備を更新する必要があります。 出典：IPA「要求事項・評価基準」 https://www.ipa.go.jp/security/scs/requirements-criteria.html 費用と期間を左右する要因 IPAが2026年9月18日に公表した料金では、登録希望組織の登録料は、2028年3月31日まで★3が1年分10,000円、★4が3年分60,000円です。ただし、これは制度上の登録料であり、専門家確認、第三者評価、技術検証、コンサルティング、システム改修、診断などの費用は別途発生し得ます。 総費用を大きく左右するのは、対象範囲、拠点数、端末・サーバー数、クラウド数、既存規程の成熟度、証跡の整備状況、Webアプリケーションの数、ペネトレーションテストの範囲、是正に必要なシステム改修です。単に「★4はいくら」と一律に見積もるより、最初にギャップ分析を行い、必要な作業を分解して予算化する方が精度が上がります。 期間についても一律ではありません。規程や台帳が整っている企業と、資産棚卸しから始める企業では準備量が大きく異なります。制度開始に合わせたい場合は、評価機関の予約や技術検証の実施枠も考慮し、社内の是正期間を十分に確保して逆算することが重要です。 社内稟議では何を説明すべきか SCS評価制度対応の稟議では、「認証を取るため」という説明だけでは投資判断につながりにくいため、取引上の必要性と事業リスクをセットで示します。主要顧客から想定される要求、未対応時の取引影響、対象事業の売上規模、停止時の影響、情報漏えい時の対応コスト、既存施策との重複・流用可能性を整理すると説明しやすくなります。 また、費用を一括で示すのではなく、「現状評価」「規程・運用整備」「技術対策」「診断・テスト」「評価・登録」のように分けると、経営層が投資の意味を理解しやすくなります。複数年度での改善計画にできる項目と、制度開始前に必須となる項目を分けることも有効です。 支援会社・評価関連ベンダーの選び方 支援会社を選ぶ際は、制度文書を読めるだけでなく、現場へ実装できるかを確認することが重要です。規程作成だけを支援しても、実際の端末設定、クラウド構成、ログ管理、脆弱性対応、教育運用が伴わなければ評価時に不整合が生じます。 見積依頼やRFPでは、対象範囲、現状調査の方法、要求事項ごとの成果物、診断・技術検証の範囲、是正支援の有無、再確認の方法、個人情報・機密情報の取扱い、報告会の対象者、追加費用条件を明確にします。 特に★4を目指す場合は、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストなどを一貫して設計できるか、経営層向けと技術部門向けの双方に説明できる報告書を作成できるかを確認してください。評価機関としての第三者性が求められる場面では、コンサルティングと評価の役割分担や中立性についても、最新の制度規程に沿って確認する必要があります。 よくある失敗と注意点 規程作成だけで終わる SCS評価制度では、文書が存在することと、実際に運用されていることは別です。規程を短期間で整えても、権限棚卸しやバックアップ復元確認、教育、ログ監視などが実施されていなければ不十分です。制度対応を日常運用へ組み込む設計が必要です。 対象範囲を広げすぎる、または狭めすぎる 全社を一度に対象にして準備量が膨らむケースもあれば、重要システムを対象外にして評価の目的と合わなくなるケースもあります。取引先へ提供するサービスや守るべき情報とのつながりから対象範囲を決めることが重要です。 診断を実施して報告書を保管するだけ 脆弱性診断やペネトレーションテストは、実施自体が目的ではありません。発見事項の是正、再診断、再発防止、設計標準への反映まで行って初めて対策として機能します。高リスク項目には経営層も含めた期限管理が必要です。 制度公開前の古い情報で計画を固定する SCS評価制度は運用開始に向けて詳細化が進んでいます。2026年10月4日時点でも、申請方法や解説書等は公開予定段階のものがあります。過去の検討資料だけで対応を固定せず、IPA・経済産業省の最新情報を確認しながら計画を更新してください。 Librus株式会社が提供できるSCS評価制度支援 Librus株式会社では、SCS評価制度の取得そのものだけを目的にするのではなく、取引先から説明可能で、実際の攻撃にも耐えられるセキュリティ体制づくりを支援します。 具体的には、★3・★4要求事項に対するギャップ分析、対象範囲の整理、規程・運用プロセスの整備、リスクアセスメント、経営層向けのロードマップ策定に加え、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、レッドチーム演習、SOC／CSIRT構築・運用支援、インシデントレスポンス、デジタルフォレンジック、セキュリティ教育まで一気通貫で対応できます。 制度対応と技術対策を別々のベンダーへ依頼すると、要求事項と実装内容が分断されることがあります。Librus株式会社では、経営・ガバナンスと技術検証をつなぎ、企業ごとの事業環境や予算、既存システムを踏まえて優先順位を設計します。診断で指摘して終わるのではなく、改善、再確認、継続運用までを含めた支援が可能です。 SCS評価制度の★3・★4に関するよくある質問 Q1. SCS評価制度はすべての企業に義務ですか？ 一律の法的義務として全企業に取得を求める制度ではありません。ただし、取引先が契約や調達条件として一定の★を求める使われ方が想定されているため、自社の顧客要求を確認する必要があります。 Q2. ★3と★4はどちらを目指すべきですか？ 一般的なサイバー脅威への最低限の備えを共通水準として整えるなら★3、重要情報や基幹業務を扱い、第三者評価・技術検証を通じてより客観的に対策状況を示す必要があるなら★4が有力です。 Q3. ★3を取得してからでないと★4は取得できませんか？ いいえ。★3の事前取得は必須ではありません。自社の取引条件やリスクに応じて、最初から★4を目指すことも可能です。 Q4. ★3・★4は一部の要求事項だけ満たせば取得できますか？ IPAのFAQでは、★3・★4ともに、それぞれで定められたすべての要求事項・評価基準を満たす必要があるとされています。 Q5. 脆弱性診断は必ず必要ですか？ 対象範囲や要求事項との関係で必要性を判断します。特に★4では技術検証が行われるため、外部公開システムや重要システムについて、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト等を事前に実施して弱点を把握しておくことが有効です。 Q6. 申請前に何を用意すればよいですか？ 規程類だけでなく、資産台帳、構成図、アカウント管理、ログ、バックアップ、教育、脆弱性対応、インシデント対応などの運用証跡を準備します。まず要求事項とのギャップ分析を行うと効率的です。 Q7. 登録料はいくらですか？ 2026年9月18日公表の料金では、2028年3月31日まで★3は1年分10,000円、★4は3年分60,000円です。専門家確認、第三者評価、技術検証、コンサルティングや改修等の費用は別途考える必要があります。 Q8. ISMSを取得していればSCS評価制度への対応は不要ですか？ 両制度は目的と評価の考え方が異なります。ISMSの仕組みや証跡をSCS評価制度の準備に活用できる場合はありますが、SCS評価制度固有の要求事項・評価基準への適合確認が必要です。 まとめ｜SCS評価制度は「★の取得」ではなく取引継続に耐える体制づくりが重要 サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の★3は、一般的な脅威に対処する最低限の実装水準で、専門家確認付き自己評価が基本です。★4は、侵入後の被害拡大防止やサプライチェーン強靭化まで踏み込み、第三者評価と技術検証を伴う標準的な水準です。 企業が目指すべき段階は、従業員数だけでは決まりません。顧客要求、扱う情報の重要性、事業停止時の影響、公開システムの攻撃面、取引先への波及リスクを踏まえて判断する必要があります。制度対応を急いで書類だけ整えるのではなく、現状把握、優先順位付け、技術対策、運用証跡、再確認までを一つの改善プロセスとして設計することが重要です。 SCS評価制度への対応方針が固まっていない段階でもご相談いただけます 「★3と★4のどちらを目指すべきか判断できない」「要求事項と自社の現状を比較したい」「診断やペネトレーションテストをどこまで実施すべきか分からない」「社内稟議に必要な予算とロードマップを整理したい」といった段階でも、Librus株式会社へご相談いただけます。 現状の体制・システム・主要取引先から求められる水準を整理し、必要な対策を優先順位付きで可視化することで、不要な投資を抑えながら、制度対応と実効性のあるセキュリティ強化を同時に進めやすくなります。対象範囲や実施方法が決まっていない場合も、初期整理から支援可能です。 監修者 鎌田光一郎：⻘山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎）105-0004東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact
VIEW MORE
SCS評価制度★3とは？要求事項と取得に向けた対策を解説
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の★3は、一般的なサイバー脅威に対処するために、サプライチェーンを構成する企業が最低限実装すべきセキュリティ対策の水準です。取得では、企業自身が要求事項への適合状況を評価し、その内容をSCSセキュリティ専門家が確認したうえで、経営層による自己適合宣誓を含む申請を行う仕組みが予定されています。 ★3への対応で重要なのは、チェックリストを埋めることではありません。情報資産やネットワークを把握し、責任体制、アカウント管理、脆弱性対策、マルウェア対策、取引先との役割分担、インシデント対応などを「実際に運用できる状態」にすることです。制度開始は2027年3月頃が予定されているため、従業員100～1,000名規模の企業では、現状把握と不足対策の洗い出しを先行して進めておくことが現実的です。 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html 出典：経済産業省「SCS評価制度」 https://www.meti.go.jp/policy/netsecurity/scs.html この記事で分かること SCS評価制度★3の位置付けと、★4との違い ★3で求められる代表的な要求事項と実務上の対策 取得に向けて経営層・情報システム部門が準備すべきこと 申請までの進め方、期間や費用を左右する要因 脆弱性診断やペネトレーションテストをどのように活用すべきか SCS評価制度対応を支援する会社を選ぶ際の確認ポイント SCS評価制度★3とは SCS評価制度は、企業のセキュリティ対策状況を共通の基準で可視化し、委託元と委託先の双方が取引時に確認しやすくするための制度です。経済産業省と内閣官房国家サイバー統括室の監督のもと、IPAが制度を運営します。制度では★3、★4を設け、★5については今後具体化される予定です。 ★3は「一般的なサイバー脅威に対処しうる水準」とされ、広く認知された脆弱性の悪用、認証情報の窃取、マルウェア感染、不適切なアクセス権限など、企業が日常的に直面し得る脅威への基礎的な防御を重視します。経済産業省の資料では、★3は全てのサプライチェーン企業が最低限実装すべき対策として位置付けられています。 一方、★4では、初期侵入の防御に加えて、侵入後の被害拡大防止、監視・検知、インシデント対応、取引先管理などをより包括的に求めます。★3は専門家確認付きの自己評価、★4は第三者評価と技術検証という点でも違いがあります。なお、★4の取得前に★3取得が必須という仕組みではありません。 出典：IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html ★3は「製品を買えば取得できる制度」ではない ★3対策というと、EDR、資産管理ツール、多要素認証製品などの導入を先に検討しがちです。しかし、経済産業省は、SCS評価制度の評価基準を達成するために特定のセキュリティ製品の導入を必須としていません。重要なのは、自社の規模やシステム構成に応じて要求事項を満たせているかです。 例えば、アカウント管理であれば「製品を導入していること」ではなく、入社・異動・退職時に権限を付与・変更・削除するルールがあり、不要な権限が残らないよう管理されているかが重要です。脆弱性対策も同様で、単に診断を実施した実績ではなく、対象資産を把握し、更新情報を確認し、必要なパッチを適用する運用まで含めて考える必要があります。 出典：経済産業省「SCS評価制度」 https://www.meti.go.jp/policy/netsecurity/scs.html なぜ今、SCS評価制度★3への対応が必要なのか SCS評価制度そのものは任意の制度です。ただし、取引先が調達条件や委託先管理の基準として★3を求める可能性があります。制度上の義務と、商取引上求められる条件は別に考える必要があります。経済産業省も、どの段階を契約上の要件とするかは取引当事者間で決めるものと説明しています。 従業員100～1,000名規模の企業では、大手企業のシステム開発、業務委託、製造、物流、BPO、クラウド運用などを担っているケースも多く、自社のセキュリティ事故が取引先の事業に波及する可能性があります。自社の情報漏えいだけでなく、VPNやリモートアクセス環境を経由した侵入、委託元から預かった認証情報の悪用、業務停止による供給遅延などがサプライチェーンリスクになります。 そのため、★3取得の検討は「認証マークを得るための作業」ではなく、取引継続に必要な最低限のセキュリティ水準を整理するプロジェクトとして扱う方が実務的です。営業部門や調達部門が取引先から受け取っているセキュリティチェックシートを集約すると、SCS評価制度への対応が既存の顧客対応負荷を減らすきっかけになる場合もあります。 出典：IPA「SCS評価制度」 https://www.ipa.go.jp/security/scs/index.html SCS評価制度★3で求められる代表的な要求事項 ★3・★4の正式な要求事項・評価基準はIPAから公開されています。★3を取得するには、定められた要求事項・評価基準を満たす必要があります。ここでは経営者や担当者が全体像をつかめるよう、★3で特に重要となる対策領域を実務の観点から整理します。 出典：IPA「要求事項・評価基準」 https://www.ipa.go.jp/security/scs/requirements-criteria.html 1．セキュリティ責任者と方針を明確にする 最初に必要なのは、誰がセキュリティに責任を持つのかを明確にすることです。情報システム部門が実務を担当していても、重大なインシデント対応や予算投入は経営判断を伴います。担当者名、責任範囲、報告経路、経営層へのエスカレーション方法を整理し、情報セキュリティ方針や関連規程に反映します。 実務では、規程が存在していても、退職者IDの削除期限、重要な脆弱性への対応期限、事故発生時の報告先などが曖昧なケースがあります。★3準備では、文書の有無だけでなく、そのルールが日常業務に組み込まれているかまで確認する必要があります。 2．情報資産とネットワークを一覧化する 守る対象が分からなければ、対策の漏れを把握できません。サーバー、PC、ネットワーク機器、クラウドサービス、SaaS、外部公開システム、リモートアクセス環境などを棚卸しし、管理責任者と用途を明確にします。また、取引先と接続しているネットワークや外部情報システムも把握します。 特に注意したいのが、部署単位で契約したSaaS、保守終了したサーバー、管理者不明の公開IP、過去のプロジェクトで残ったVPNアカウントです。資産管理台帳と実際の環境が一致していない場合、脆弱性対応やアカウント削除の対象から漏れる可能性があります。 3．ID・パスワード・アクセス権限を管理する 不正アクセス対策の基本は、利用者を正しく識別し、必要な人に必要な権限だけを付与することです。アカウント発行、権限変更、退職時の削除、管理者権限の付与、共有IDの利用などについてルールを定めます。パスワードの設定・管理や、システムの重要度に応じた認証強化も確認対象になります。 例えば、退職者のクラウドアカウントが数か月残っていた、管理者権限が異動後も維持されていた、といった状態は実務上のリスクです。人事情報とID管理を連動させ、定期的な棚卸しを行う仕組みにすると、制度対応後も運用しやすくなります。 4．ソフトウェア更新と脆弱性管理を行う OS、ミドルウェア、VPN機器、ファイアウォール、Webサーバー、業務アプリケーションなどについて、脆弱性情報を確認し、必要なアップデートを適切なタイミングで適用する体制が必要です。不要なソフトウェアを削除することも基礎的な対策に含まれます。 この領域では、Webアプリケーション診断やプラットフォーム診断が有効です。Webアプリケーション診断では、SQLインジェクションや認証・認可の不備などアプリケーション固有の問題を確認します。プラットフォーム診断では、公開サーバーやネットワーク機器の脆弱性、不要なポート、古いソフトウェアなどを確認します。ただし、診断を一度実施するだけでは不十分であり、発見事項の改修、再診断、継続的なパッチ運用につなげることが重要です。 5．マルウェア感染とネットワーク侵入に備える 端末やサーバーのマルウェア対策、内外ネットワーク境界の分離・保護など、侵入を防ぐ基礎的な対策も重要です。メール添付ファイルや偽のログインページから認証情報を盗まれた場合でも、被害が広がりにくい構成にしておく必要があります。 ペネトレーションテストは、実際の攻撃者に近い視点で、複数の弱点を組み合わせた侵入可能性を検証する手法です。★3取得にペネトレーションテストが一律に必須という意味ではありませんが、重要システムや外部公開環境について「設定上の弱点が攻撃経路にならないか」を確認したい場合には有効です。 6．取引先との役割と機密情報の扱いを明確にする SCS評価制度では、自社だけでなくサプライチェーン上の関係も重視されます。取引先や委託先とどのシステムを接続しているか、どの情報を共有しているか、インシデント発生時に誰が何をするかを整理します。秘密保持契約や業務委託契約に事故時の報告義務が書かれていても、現場担当者が連絡経路を把握していなければ実効性は十分ではありません。 7．インシデント対応手順を整備する 攻撃を100％防ぐことは現実的ではありません。そのため、感染端末の隔離、管理者への報告、取引先への連絡、ログ保全、原因調査、復旧判断などを事前に決めておくことが重要です。最低限の手順書を作るだけでなく、誰が意思決定者なのか、夜間休日の連絡方法、外部専門会社への連絡方法まで整理すると実務で機能しやすくなります。 SCS評価制度★3の取得に向けた具体的な進め方 ステップ1．適用範囲とプロジェクト責任者を決める 最初に、どの組織・拠点・IT基盤を対象として準備するかを整理します。SCS評価制度は主にインターネットに接続する自社IT基盤を対象としており、一般的にIT基盤に該当しない製造設備などのOTシステムや、委託元へ提供する製品そのものは直接の対象とはしない考え方が示されています。ただし、自社環境とOTが接続している場合などは、境界を機械的に切り分けず、実際の侵入経路を踏まえて確認する必要があります。 出典：経済産業省「SCS評価制度」 https://www.meti.go.jp/policy/netsecurity/scs.html ステップ2．要求事項に対する現状評価を行う 次に、IPAが公開している★3要求事項・評価基準に沿って、現状を「対応済み」「一部対応」「未対応」「確認が必要」などに分類します。この段階では、担当者へのヒアリングだけで判断せず、規程、設定画面、資産台帳、アカウント一覧、運用記録などの証拠を確認します。 準備しておきたい資料には、情報セキュリティ規程、組織図、情報資産台帳、ネットワーク構成図、クラウドサービス一覧、アカウント管理手順、脆弱性対応手順、バックアップ運用資料、インシデント対応手順、委託先管理資料などがあります。資料が存在しない場合は、ゼロから整備するのではなく、現場で既に行っている運用を確認し、必要な形に文書化する方が定着しやすくなります。 ステップ3．不足項目をリスクと優先度で整理する 未対応項目を一度に解消しようとすると、予算と人的負荷が大きくなります。外部公開システム、管理者権限、既知の重大脆弱性、退職者アカウント、バックアップ不備など、事故に直結しやすい項目から優先します。対応の優先度は、技術的な深刻度だけでなく、停止した場合の売上影響、取引先への波及、個人情報・機密情報の有無も考慮して決めます。 ステップ4．必要な対策を実装し、証跡を残す 規程を改定しただけでは、実装済みとは言えません。パッチ適用記録、アカウント棚卸し結果、教育実施記録、ログ確認記録、バックアップ復元テスト結果など、運用の証跡を残します。証跡は専門家確認を受ける際にも説明材料になります。 ステップ5．SCSセキュリティ専門家の確認を受ける ★3は専門家確認付き自己評価です。取得希望組織が自己評価を記入し、SCSセキュリティ専門家が内容を確認し、必要に応じて修正や助言を行います。最終的に専門家が提出内容を了承した場合に署名し、企業は経営層による自己適合宣誓を含めて事務局に申請します。IPAは、SCSセキュリティ専門家の公表を2027年1月頃から予定しています。 出典：IPA「SCSセキュリティ専門家・評価機関」 https://www.ipa.go.jp/security/scs/security-experts-organization/index.html 実施期間と費用を左右する要因 ★3対応に必要な期間は、会社規模だけでは決まりません。既存の規程や資産管理が整っている企業では短期間でギャップを整理できますが、拠点ごとにネットワーク管理が分かれている、クラウド契約が分散している、アカウント管理が手作業であるといった企業では、現状把握だけでも相応の時間が必要です。 実務上は、①対象範囲の決定、②現状評価、③不足対策の実装、④運用実績・証跡の整備、⑤専門家確認、⑥申請という工程に分けてスケジュールを引くと管理しやすくなります。制度開始直前に着手すると、機器更新や社内規程改定、予算承認が間に合わない可能性があるため、次年度予算の策定時期から逆算することが重要です。 IPAが2026年9月18日に公表した料金設定では、★3登録希望組織の登録料は、2028年3月31日まで1年間10,000円、2028年4月1日以降は1年間20,000円とされています。ここで注意したいのは、この金額は制度上の登録料であり、SCSセキュリティ専門家による確認、コンサルティング、システム改修、脆弱性診断などの費用とは別だという点です。 総費用を左右する主な要因は、対象拠点・システム数、既存規程の整備状況、資産棚卸しの難易度、アクセス管理やネットワーク改修の必要性、診断対象の数、専門家支援の範囲です。見積依頼では「★3取得支援一式」だけで比較せず、現状評価、改善計画、文書作成、技術対策、専門家確認、申請支援のどこまで含まれるかを明確にしましょう。 出典：IPA「SCS評価制度 料金設定のお知らせ」 https://www.ipa.go.jp/security/scs/rcu1hd00000075om-att/pricelist.pdf 社内稟議で説明すべきポイント 経営層への説明では、「制度対応が必要だから予算が欲しい」という説明だけでは判断しにくくなります。SCS評価制度★3への対応によって、どの経営リスクを下げるのかを具体化することが重要です。 例えば、主要顧客からのセキュリティ要求への対応、取引継続リスクの低減、ランサムウェア等による事業停止リスクの低減、委託元の情報漏えいリスクの低減、セキュリティチェックシート回答の効率化などを整理します。そのうえで、現状の不足項目、対応しない場合の影響、必要予算、完了時期、取得後の運用負荷を示すと、投資判断を行いやすくなります。 また、★3は任意制度であるため、「法律上必須」と説明するのは適切ではありません。主要顧客からの要求状況や、自社がサプライチェーン上で担う役割を踏まえて、必要性を説明することが重要です。 SCS評価制度★3の支援会社を選ぶポイント 制度の説明だけでなく、実装まで支援できるか 要求事項とのギャップを指摘するだけでは、担当者側に「何をどう直すか」という作業が残ります。規程整備、ネットワーク設計、アクセス制御、脆弱性対応、教育、インシデント対応まで、必要に応じて改善支援ができる会社かを確認しましょう。 技術評価とマネジメントの両方を扱えるか SCS評価制度は、文書だけでも、技術対策だけでも完結しません。例えば「脆弱性管理を行う」という規程があっても、外部公開サーバーに重大な脆弱性が残っていれば実効性に問題があります。反対に、高価なセキュリティ製品を導入していても、責任者や運用手順が曖昧であれば継続性に課題が残ります。 RFPや見積依頼では、制度対応の経験、技術診断の対応範囲、改善後の再確認、専門家確認との役割分担、成果物の内容、個人情報・機密情報の取り扱い、プロジェクト管理方法を確認すると比較しやすくなります。 成果物が取得後の運用に使えるか 成果物は、単なるチェック表だけでなく、適用範囲、要求事項ごとの評価、確認した証跡、不足事項、リスク、改善案、優先度、担当部門、期限を追える形が望まれます。取得後に同じ状態を維持するには、年次のアカウント棚卸し、脆弱性診断、教育、インシデント訓練などを継続計画に落とし込む必要があります。 SCS評価制度★3対応でよくある失敗と注意点 規程作成だけを先行させる 規程が整っていても、現場の運用と一致しなければ実効性はありません。文書を作る前に実態を把握し、既存運用を生かして必要なルールを追加する方が現場に定着しやすくなります。 情報システム部門だけで完結させる アカウント管理には人事、取引先管理には調達・営業、事故時の対外対応には法務・広報、予算には経営層が関係します。情報システム部門だけで進めると、要求事項は理解できても実装が止まることがあります。初期段階で関係部門を明確にしましょう。 脆弱性診断を「実施したこと」で終わらせる 診断は現状把握の手段です。重要なのは、発見事項を業務影響と悪用可能性で優先順位付けし、改修し、必要に応じて再診断することです。診断報告書を保管するだけでは、セキュリティ水準は改善しません。 制度開始直前まで準備を待つ ★3・★4の運用開始は2027年3月頃が予定されています。システム改修、予算確保、規程改定、証跡の蓄積には時間がかかります。正式申請の直前ではなく、現状評価だけでも早めに行うことが有効です。 出典：IPA「よくある質問」 https://www.ipa.go.jp/security/scs/faq.html Librus株式会社が提供できるSCS評価制度★3支援 Librus株式会社では、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）への対応について、要求事項の読み合わせだけでなく、企業ごとの環境や取引関係を踏まえた実務設計を支援します。 具体的には、現状のセキュリティ対策と★3要求事項のギャップ整理、情報資産・ネットワーク・クラウド環境の棚卸し、規程・運用手順の整備、改善計画の策定、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、インシデント対応体制の整備、教育・訓練などを組み合わせて支援できます。 SCS評価制度だけを独立したプロジェクトとして考えるのではなく、既存のISMS、取引先監査、IPO準備、M&A、SOC／CSIRT、脆弱性管理などとの重複を整理することで、必要以上に運用を増やさないことも重要です。Librus株式会社は、技術と経営の両面から課題を整理し、経営層、情報システム部門、現場部門の間をつなぎながら、改善・運用まで一気通貫で支援します。 よくある質問 Q1．SCS評価制度★3は取得が義務ですか？ いいえ。制度自体は任意です。ただし、発注企業が取引条件として一定の★取得を求める可能性があります。自社の主要顧客や業界動向を確認し、商取引上の必要性を判断することが重要です。 Q2．SCS評価制度★3はいつから申請できますか？ IPAは★3・★4について2027年3月頃の運用開始を予定しています。制度運営基盤の整備状況等により変更される可能性があるため、最新情報はIPA公式サイトで確認してください。 Q3．★3を取得する前にISMSを取得する必要がありますか？ 必須ではありません。SCS評価制度★3・★4は代表的な脅威を踏まえて管理策を定めるベースラインアプローチであり、ISMSとは目的や評価の考え方が異なります。既にISMSを運用している企業は、既存の規程や証跡を活用できる可能性があります。 Q4．EDRや多要素認証製品を導入すれば★3を取得できますか？ 特定製品の導入だけで取得できる制度ではありません。要求事項を満たす方法は企業の規模やシステム構成によって異なります。製品導入と同時に、アカウント管理、資産管理、パッチ運用、インシデント対応などの運用も整備する必要があります。 Q5．脆弱性診断やペネトレーションテストは必須ですか？ ★3において、すべての企業に対して特定の診断サービスやペネトレーションテストを一律に必須とする考え方ではありません。ただし、外部公開システムや重要なIT基盤の技術的な弱点を把握するために、Webアプリケーション診断やプラットフォーム診断などが有効な場合があります。 Q6．★3の登録料はいくらですか？ IPA公表の料金設定では、2028年3月31日まで★3登録料は1年間10,000円、2028年4月1日以降は1年間20,000円です。専門家確認、コンサルティング、診断、システム改修などの費用は別途発生します。 Q7．まだ対象範囲が決まっていなくても準備を始められますか？ 始められます。まず、自社の主要なIT基盤、外部公開システム、クラウド利用、取引先との接続状況を整理し、要求事項とのギャップを把握することが有効です。対象範囲は、その結果を見ながら現実的に設計できます。 まとめ｜SCS評価制度★3は「取得準備」と「実際の改善」を同時に進める SCS評価制度★3は、サプライチェーンを構成する企業が、一般的なサイバー脅威に対処するための基礎的なセキュリティ対策を実装していることを示す仕組みです。専門家確認付き自己評価によって取得する制度であり、単なる書類作成ではなく、資産管理、アクセス管理、脆弱性対策、マルウェア対策、取引先管理、インシデント対応などを実際に運用できる状態にすることが重要です。 特に従業員100～1,000名規模の企業では、部門や拠点ごとにIT管理が分散していることも多く、最初の資産棚卸しとギャップ分析がプロジェクトの成否を左右します。2027年3月頃の制度開始を待ってから対策を始めるのではなく、現時点で公開されている要求事項を使って現状評価を行い、予算や改修期間を要する項目から対応を進めると、無理のない準備につながります。 SCS評価制度★3の対象範囲や進め方が決まっていない段階でもご相談いただけます Librus株式会社では、「自社が★3を目指すべきか判断したい」「要求事項と現状の差を把握したい」「どのシステムまで対象にすべきか整理したい」「脆弱性診断やペネトレーションテストをどこまで行うべきか検討したい」といった初期段階からご相談いただけます。 現状の体制・IT環境・取引先からの要求を整理したうえで、優先度の高い課題と、取得までに必要な対応を具体化します。対象範囲や実施方法が固まっていない場合でも、最初に論点を整理することで、不要なツール導入や過剰な対策を避けながら、社内稟議や予算策定につなげやすくなります。SCS評価制度への対応を、取得のためだけの作業ではなく、取引継続と事業継続に資する改善につなげたい企業はご相談ください。 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎） 105-0004東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F 03-6772-8015 お問い合わせフォーム https://librus.co.jp/contact
VIEW MORE
SCS評価制度に必要なインシデント対応体制とは？初動対応から報告まで
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）への対応では、攻撃を防ぐ対策だけでなく、異常を検知した後に被害を抑え、必要な相手へ報告し、事業を復旧できる体制が重要になる。結論から言えば、必要なのは「連絡網を作ること」ではない。判断権限、初動手順、証拠保全、社内外への報告、復旧判断、再発防止までを一つの業務プロセスとして整え、訓練で実効性を確認することである。 本記事では、従業員100～1,000名程度の企業を想定し、経営者と実務担当者が準備すべき内容を、初動対応から最終報告まで具体的に解説する。なお、SCS評価制度は制度設計や運用準備が進行中であり、申請時には経済産業省が公開する最新版の要求事項・評価基準を確認する必要がある。 この記事で分かること SCS評価制度を見据えたインシデント対応体制の全体像 発見直後から封じ込め、報告、復旧、再発防止までの実務手順 経営層、情報システム部門、現場部門、外部専門家の役割分担 報告先・報告期限を判断するための基準と、訓練・証跡の残し方 見積依頼や支援会社選定で確認すべきポイント SCS評価制度とインシデント対応体制の関係 SCS評価制度は、企業のサプライチェーン上の立ち位置や影響度に応じて、必要なセキュリティ対策を段階的に示し、取引先が対策状況を確認しやすくするための制度である。経済産業省の公表資料では、☆3・☆4・☆5の水準が想定され、☆3と☆4は2026年度末頃の制度開始が予定されている。制度への対応は、認証取得そのものを目的にするのではなく、取引先から求められる説明責任と、事故発生時の事業継続力を高める取り組みとして捉えることが大切だ。 出典：経済産業省：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） インシデント対応に関して重要なのは、方針や連絡先の存在だけではない。異常を検知できること、対応責任者が判断できること、影響範囲を把握できること、関係者へ適時に報告できること、そして訓練や点検を継続することが問われる。IPAの2026年版資料も、対応を「検知・初動対応」「報告・公表」「復旧・再発防止」の三段階で整理している。 出典：IPA：中小企業のためのセキュリティインシデント対応の手引き（2026年6月） なぜ今、インシデント対応体制が必要なのか サプライチェーンでは自社の事故が取引先の事業停止につながる 製造、物流、IT、人材、専門サービスなどでは、取引先から預かったデータ、接続用アカウント、共有システムを日常的に扱う。攻撃者が自社を踏み台にして取引先へ侵入すれば、自社の復旧だけで問題は終わらない。受発注停止、納期遅延、接続遮断、監査対応、契約見直しへ波及する可能性がある。このため、対応体制には「取引先への通知条件」と「接続を止める判断権限」をあらかじめ組み込む必要がある。 100～1,000名規模では、責任の空白が生まれやすい この規模の企業では、専任CSIRTがない一方、拠点、クラウド、委託先、子会社が増えていることが多い。情報システム部門が技術対応、総務が個人情報、広報が公表、営業が顧客説明を担当していても、全体を指揮する人が決まっていないケースは珍しくない。事故発生後に会議を開いて役割を決めるのでは遅い。平時に指揮命令系統と代行順位を決めておくことが重要となる。 法令・契約・業界ルールで報告が必要になる 個人データの漏えい等で個人の権利利益を害するおそれがある場合、個人情報保護委員会への報告と本人通知が必要となる。委員会は速報を概ね3～5日以内と案内している。業種によっては所管省庁への報告、犯罪性がある場合は警察への相談、契約に基づく委託元への通知も検討しなければならない。重要なのは、法務・個人情報担当を初動から参加させ、報告要否の判断を後回しにしないことである。 出典：個人情報保護委員会：漏えい等報告・本人への通知の義務化について 対応しなかった場合に起こり得る問題 初動が遅れると、感染端末から認証情報が窃取され、管理者権限の奪取やバックアップ破壊へ進むことがある。反対に、慌てて端末の電源を切ったり初期化したりすれば、メモリやログに残る調査材料を失い、侵入経路や漏えい範囲を説明できなくなる。技術的な失敗は、顧客対応や法的判断の遅れに直結する。 報告の遅れや不正確な公表は、事故そのもの以上に信用を損なう場合がある。第一報で原因や漏えい件数を断定し、その後訂正を重ねれば、取引先は管理能力に疑問を持つ。第一報では確認済み事実、未確認事項、実施済み措置、次回更新予定を分けて示すべきだ。 経営面では、復旧費、フォレンジック調査費、法律相談費、通知・問い合わせ対応費に加え、受注停止や契約解除による逸失利益が発生し得る。インシデント対応体制はIT部門の作業手順ではなく、事業継続と取引維持の仕組みである。 対象となる企業・システム・場面 対象は、SCS評価制度への申請を直接予定する企業だけではない。主要顧客からセキュリティ調査票を受ける企業、委託元の情報やシステムを扱う企業、M&A・IPO・大手企業との新規取引を控える企業にも有効である。対象システムは、基幹系だけに限定しない。Webアプリケーション、クラウド、VPN、メール、ID管理、工場・倉庫の設備、委託先が運用する環境まで、事故が取引先や事業継続に与える影響で優先順位を決める。 例えば、顧客向けWebシステムにはWebアプリケーション診断、サーバーやネットワークにはプラットフォーム診断が有効である。さらに、攻撃者が複数の弱点を組み合わせて目的を達成できるかを検証するにはペネトレーションテストが役立つ。ただし、これらは予防・検証策であり、インシデント対応体制の代替ではない。診断結果を監視ルール、対応手順、復旧計画へ反映して初めて、一連の管理になる。 SCS評価制度を見据えたインシデント対応の実施手順 1．経営層が対応方針と判断権限を決める 最初に、何を守るか、どの程度の停止を許容するか、誰が緊急停止や外部公表を決めるかを定める。経営層は、重要業務ごとの最大許容停止時間、顧客・社会への影響、法令・契約上の報告義務を確認し、対応責任者と代行者を任命する。現場に丸投げせず、事業停止と復旧の優先順位を判断する役割を担う。 2．対象範囲と重要資産を可視化する 資産台帳、ネットワーク構成図、クラウド一覧、データフロー、委託先一覧、取引先との接続関係を整える。すべてを同時に詳細化する必要はない。まず、停止すれば売上・生産・出荷に影響するシステム、機密情報を保有する環境、取引先へ接続する経路を優先する。資産の所有部門と技術的な管理者を分けて記録すると、事故時の連絡が速くなる。 3．検知・連絡受付を一本化する 従業員が「怪しいメールを開いた」「端末が暗号化された」「取引先から不審な通信を指摘された」と気づいたとき、迷わず連絡できる窓口を設ける。電話、チャット、専用メールなど複数経路を用意し、夜間・休日の受付方法も決める。連絡内容は、発見日時、端末・アカウント、現象、直前の操作、業務影響、連絡者を基本項目とする。 4．深刻度を分類し、対応体制を立ち上げる 深刻度は、技術的な派手さではなく、情報の機密性、影響人数、重要業務の停止、取引先への波及、攻撃継続の可能性、法令・契約報告の要否で判断する。重大事案では、インシデント責任者の下に、技術、法務・個人情報、事業部門、広報・顧客対応、経営判断の各担当を配置する。外部のフォレンジック会社、保守ベンダー、弁護士、保険会社への連絡条件も決めておく。 5．封じ込めと証拠保全を両立する 感染端末やサーバーはネットワークから隔離し、不正アカウントの停止、侵害された認証情報の変更、外部公開の一時停止などを行う。ただし、電源断、再起動、初期化、ログ削除は証拠を失うおそれがある。操作前に、実施者、日時、対象、目的、結果を記録し、必要に応じてメモリ、ディスク、ログ、クラウド監査証跡を保全する。証拠はアクセス権を限定し、取得者と受渡履歴を残す。 6．影響範囲を調査し、報告要否を判断する 発生日時、侵入経路、影響したアカウント・端末・データ、外部送信の有無、業務停止範囲を時系列で整理する。調査中で断定できない事項は「未確認」と明記する。報告先は、経営者、取締役会、委託元、顧客、個人情報保護委員会、所管省庁、警察、IPA、JPCERT/CCなどから、法令、契約、被害拡大防止の必要性に基づいて選ぶ。 7．第一報、続報、最終報を使い分ける 第一報の目的は、早期に事実と対応状況を共有し、相手が被害拡大防止策を取れるようにすることだ。発覚日時、確認済みの事象、現時点の影響、実施済み措置、顧客側に依頼する行動、問い合わせ先、次回更新予定を記載する。続報では調査の進展と影響範囲を更新し、最終報では根本原因、被害、対応経過、復旧確認、再発防止策、実施期限と責任者を示す。 8．安全を確認して復旧し、再発防止を管理する 復旧は、単にシステムが起動することではない。侵入経路の閉鎖、認証情報の再設定、マルウェア除去、バックアップの健全性、監視強化を確認したうえで段階的に行う。再発防止策は、緊急・短期・中長期に分け、重大度、悪用可能性、事業影響、実施難易度で優先順位を付ける。経営会議等で期限と担当を追跡し、完了後に再診断やペネトレーションテストで有効性を確かめる。 報告先と報告内容を平時に整理する 主な報告先判断の根拠第一報で重視する内容経営層・取締役会事業・財務・信用への影響業務停止、顧客影響、判断が必要な事項委託元・主要取引先契約、接続関係、被害波及防止影響可能性、遮断措置、相手に依頼する対応個人情報保護委員会個人情報保護法上の報告対象概要、漏えい項目、原因、二次被害防止策警察・IPA・JPCERT/CC等犯罪性、届出、技術支援・情報共有攻撃手口、痕跡、被害状況、支援依頼顧客・本人・社会法令、被害防止、説明責任確認済み事実、注意事項、問い合わせ窓口 出典：参考：IPAのインシデント対応手引き・報告先一覧 平時に準備すべき資料と成果物 実効性を示すには、規程だけでなく、使える資料と運用記録が必要になる。準備すべき主な資料は、インシデント対応方針、対応手順書、緊急連絡網、役割分担表、深刻度基準、資産台帳、ネットワーク・データフロー図、委託先・取引先一覧、法令・契約上の報告要件一覧、証拠保全手順、第一報・最終報のひな形、復旧判定チェックリストである。 成果物には、文書の制定日・承認者・版数を含める。訓練では、参加者、想定シナリオ、判断内容、所要時間、発見した課題、改善担当、期限を記録する。SCS評価制度への説明では、「文書がある」だけでなく、「誰がいつ点検し、訓練で何を改善したか」を示せる状態が望ましい。個人情報や機密情報を含む記録は、保管場所、閲覧権限、保存期間、廃棄方法を定める。 実施期間と費用を左右する要因 期間の目安は、現状把握から基本体制・手順の整備まで2～4か月、机上演習と改善まで含めると3～6か月程度で考えると計画しやすい。これは一般的な目安であり、対象拠点、システム数、委託先数、既存規程の成熟度、経営会議の承認サイクルによって変わる。SCS評価制度の最新要件とのギャップが大きい場合や、SOC・ログ管理・バックアップなど技術対策を同時に整備する場合は、より長い期間が必要になる。 費用は、対象範囲、インタビュー対象部門、規程や台帳の整備量、演習の規模、技術検証、24時間対応の有無、フォレンジックやインシデントレスポンスの待機契約を含むかで変動する。社内稟議では、制度対応費だけでなく、取引継続、顧客監査への回答力、事故時の停止時間短縮、報告遅延リスクの低減という効果を説明すると判断しやすい。 支援会社の選び方とRFP・見積依頼時の確認項目 支援会社は、制度文書を作成できるだけでなく、実際のインシデント対応、デジタルフォレンジック、診断、復旧支援まで理解しているかを確認したい。紙上の手順が技術的に実行できなければ、緊急時には機能しない。経営層への説明、現場ヒアリング、委託先との責任分界整理を一貫して支援できることも重要である。 RFPや見積依頼では、①参照するSCS評価制度資料の版、②対象組織・拠点・システム、③現状調査の方法、④作成・改訂する成果物、⑤演習シナリオと参加部門、⑥技術検証の範囲、⑦課題の優先順位付け方法、⑧機密情報の保管・再委託条件、⑨支援終了後のフォロー、⑩実際の事故発生時の支援可否を確認する。価格だけでなく、社内で運用を継続できる状態まで移管されるかを比較すべきだ。 よくある失敗と注意点 連絡網を作って終わる 担当者名が並んでいても、誰が重大度を判定し、誰が停止・公表を決めるか不明では動けない。権限、代行順位、判断期限まで定める。 IT部門だけで手順を作る 報告・公表、顧客補償、事業停止はIT部門だけでは決められない。法務、個人情報、広報、営業、事業責任者、経営層を設計段階から参加させる。 委託先と責任分界が曖昧 クラウドや保守を委託していても、顧客・当局への説明責任まで移転するとは限らない。ログ取得、初動、報告、証拠保全の担当と時間条件を契約・運用手順で確認する。 訓練が台本の読み合わせになる 実効性を見るには、情報が不足した状態で判断する訓練が必要だ。ランサムウェア、Webアプリケーション侵害、委託先からの漏えいなど、自社の事業に近いシナリオを使い、連絡速度と意思決定を測る。 復旧を急ぎ、根本原因を残す バックアップから戻しても、侵入経路や窃取された認証情報が残れば再侵入される。復旧条件を明文化し、脆弱性診断、プラットフォーム診断、ペネトレーションテスト、監視強化を適切に組み合わせる。 Librus株式会社が提供できる支援 Librus株式会社は、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）にかかるコンサルティングとして、現状評価、対象範囲の整理、要求事項とのギャップ分析、規程・手順・証跡の整備、経営層向け説明、机上演習、改善計画の策定を支援する。企業ごとの事業、組織、取引関係、既存システムを踏まえて個別に設計するため、既成の規程を導入するだけの対応にはしない。 また、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、レッドチーム演習、SOC／CSIRT構築、インシデントレスポンス、デジタルフォレンジックまで一気通貫で対応できる。制度対応で見つかった課題を、技術面と経営面の双方から整理し、改善・運用までつなげられる点が強みである。大企業から中堅・中小企業まで、M&A、IPO、取引先監査など重要局面にも対応している。 よくある質問 Q1．SCS評価制度への対応では、CSIRTの設置が必須ですか？ 名称としてのCSIRTより、責任者、役割、連絡経路、判断権限、外部支援先が明確で、実際に機能することが重要である。専任組織が難しい企業では、既存部門を横断する仮想チームとして設計できる。最終的には申請時点の評価基準を確認する必要がある。 Q2．情報システム担当者が数名でも体制を作れますか？ 可能である。社内は意思決定と事業影響の把握に集中し、24時間監視、フォレンジック、法的助言など専門性が必要な機能を外部と分担する設計が現実的だ。外部委託しても責任者と連絡手順は社内に残す。 Q3．インシデント対応手順はどの頻度で見直すべきですか？ 少なくとも年1回を基本とし、組織変更、システム更改、主要委託先の変更、重大インシデントや訓練後にも見直す。連絡先だけは人事異動の都度更新し、夜間連絡が通じるかも確認する。 Q4．机上演習では何を確認しますか？ 検知から責任者への連絡時間、重大度判定、隔離・停止判断、取引先や当局への報告、公表文の承認、復旧判断を確認する。正解を当てる場ではなく、手順と責任の空白を見つける場として実施する。 Q5．事故時に端末の電源を切ってはいけないのですか？ 常に禁止という意味ではない。被害拡大防止を優先しつつ、電源断で揮発性データやログを失う可能性を考慮する。可能ならネットワーク隔離を先に行い、専門家の指示を受ける。人命や設備安全に関わる場合は、安全確保を最優先する。 Q6．取引先への報告は、事実が確定してからでよいですか？ 契約上の期限や被害拡大のおそれによっては、確定前の第一報が必要になる。確認済み事実と未確認事項を分け、次回更新時刻を示す。自社だけで判断せず、法務・契約担当を交えて決める。 Q7．診断やペネトレーションテストだけで十分ですか？ 十分とは限らない。診断は弱点発見、ペネトレーションテストは攻撃経路の検証に有効だが、検知、報告、復旧、再発防止の組織運用は別途必要である。両者を連携させることで対応力が高まる。 Q8．まだ対象範囲が決まっていなくても相談できますか？ 相談できる。主要取引、重要業務、保有情報、システム構成、委託関係を確認し、優先順位の高い範囲から段階的に決める方法がある。最初から全社一律で始める必要はない。 まとめ：SCS評価制度対応は、動ける体制まで整備する サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）を見据えたインシデント対応では、方針、責任者、初動手順、証拠保全、報告先、復旧条件、再発防止を一つの流れとして整備する必要がある。重要な結論は、「誰が、何を根拠に、いつまでに判断するか」を平時に決め、訓練で確認することだ。 制度対応を取引先への説明資料づくりで終わらせず、事業停止時間の短縮、顧客との信頼維持、法令・契約対応の迅速化につなげることが望ましい。制度の最新版を確認しながら、自社の重要業務とサプライチェーン上の責任に合う体制を構築したい。 SCS評価制度への対応方針を、現状整理から相談できます Librus株式会社では、SCS評価制度の対象範囲や進め方が決まっていない段階から相談を受け付けている。現状の規程・体制・システムを整理し、優先すべき課題、必要な成果物、想定期間、技術対策の要否を可視化することで、経営会議や社内稟議に必要な判断材料を整えられる。インシデント対応手順の策定、机上演習、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、改善・運用まで、必要な範囲を組み合わせた支援が可能だ。まずは、取引先から求められている水準や現在の悩みを共有いただきたい。 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎） 〒105-0004 東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F 03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact
VIEW MORE
取引先からSCS評価取得を求められたら？受注を守る対応方法
サプライチェーン強化に向けたセキュリティ対策評価制度への実務対応 取引先から「SCS評価を取得してほしい」と連絡を受けた場合、最初に行うべきことは、回答期限、求められる段階、対象となる契約・拠点・システム、未取得期間中の取扱いを確認することです。そのうえで、要求事項との差分を調べ、受注継続に直結する不足から改善します。申請だけを急いでも、規程・運用・技術対策・証跡がつながっていなければ評価対応は進みません。 サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は、取引先ごとに異なりがちなセキュリティ要求を共通の基準で可視化し、サプライチェーン全体の対策水準を高めるための制度です。従業員100～1,000名規模の企業にとっては、情報システム部門だけの認証対応ではなく、営業、法務、総務、人事、経営層を含む「受注を守るプロジェクト」として扱うことが重要です。 この記事で分かること 取引先からSCS評価取得を求められた直後に確認すべき事項 ★3・★4の違いと、自社に求められる段階の考え方 要求事項へのギャップ分析、改善、技術検証、証跡整備の進め方 期間・費用を左右する要因と、社内稟議・ベンダー選定のポイント 取得準備を一過性で終わらせず、受注維持と事業継続につなげる方法 SCS評価制度とは SCS評価制度は、企業のサプライチェーン上の立ち位置や想定リスクに応じて必要な対策水準を示し、実施状況を段階（★）で可視化する制度です。経済産業省と内閣官房国家サイバー統括室の監督のもと、独立行政法人情報処理推進機構（IPA）が運営します。委託元が取引契約などで委託先に適切な段階を提示し、対策の実施を促して確認する利用場面が想定されています。 2026年9月6日時点で、★3・★4は2027年3月頃の運用開始が予定されています。★5の要求事項、評価方法、開始時期は検討中です。また、★3・★4を取得するには、それぞれに定められたすべての要求事項・評価基準を満たす必要があります。申請方法や申請・登録費用は今後公表予定であり、未確定の費用を確定情報のように予算化しない注意が必要です。 制度の最新情報：IPA「SCS評価制度」公式サイト／IPA「よくある質問」 ★3と★4は単なる優劣ではなく、想定リスクに応じて選ぶ 制度は企業同士を競わせる格付けを目的とするものではありません。取引先がどの段階を求めているかを確認し、自社の判断だけで低い段階に置き換えないことが基本です。一般に、★3は基礎的な組織対策とシステム防御を確実に行う水準、★4はより高度な組織ガバナンスや継続的改善、第三者評価を伴う水準として準備されます。正式な判断は、IPAが公開する要求事項・評価基準と取引先の指定条件に基づいて行います。 なぜ今、SCS評価取得が取引条件になり得るのか 委託元にとって、委託先の停止や情報漏えいは自社の事業停止、顧客対応、監督責任に波及します。典型例は、保守用アカウントの侵害から委託元環境へ侵入されるケース、受発注システムがランサムウェアで止まり納品できなくなるケース、委託先が保管する設計図・顧客情報が漏えいするケースです。Webサービス企業であれば、脆弱なWebアプリケーションから顧客情報を窃取される経路も考えられます。 従来は発注企業ごとの質問票に回答する運用が中心でした。しかし、質問の粒度や証跡の要求がばらばらだと、委託元は比較しにくく、委託先には回答負担が積み上がります。SCS評価制度は、この非効率を共通基準によって緩和する狙いがあります。したがって今後、調達要件、契約更新、入札参加、取引先監査の確認資料として利用される可能性があります。法令上の一律義務と決めつけるのではなく、個別契約上の要請として重要性を判断すべきです。 対応しなかった場合に起こり得る問題 未取得だけで直ちに取引停止になるとは限りません。問題は、取引先からの要請に対して、責任者も計画もなく「検討中」としか答えられない状態です。調達部門から代替候補との比較材料に使われたり、契約更新時に改善計画や追加保証を求められたりする可能性があります。新規案件では、提案内容や価格が優れていてもセキュリティ条件を満たさず、選定対象から外れるおそれもあります。 さらに、形式的な回答で実態を伴わない場合、事故発生後に説明の整合性が問われます。信用毀損、復旧費用、顧客対応、売上停止が重なるため、SCS評価対応は情報システム予算だけでなく、売上防衛、事業継続、取締役のリスク管理という観点で扱う必要があります。 まず取引先に確認する5つの事項 1．期限と取引上の位置づけ 回答期限、取得期限、契約更新日を確認します。「推奨」「将来の必須化を検討」「契約条件」「入札参加条件」では緊急度が異なります。取得まで猶予がある場合は、改善ロードマップの提示で取引継続が可能かも協議します。 2．求められる段階と対象範囲 ★3か★4か、全社か特定事業か、国内拠点だけか海外拠点も含むかを明確にします。契約対象サービスに利用するクラウド、データセンター、開発・保守委託先、リモートアクセス環境が範囲に入るかも確認します。 3．提出を求める証拠 マーク取得だけを求めるのか、申請前の自己評価、改善計画、脆弱性診断報告書、教育実績、インシデント対応体制なども必要かを確認します。報告書の原本提出は機密情報の露出につながるため、要約版、閲覧方式、秘密保持契約の利用も検討します。 4．未取得期間中の暫定措置 取得予定日、責任者、未達項目、代替統制を記載した計画書で暫定対応できるか確認します。制度開始前であれば、その事実を共有しつつ、要求事項に沿った準備状況を説明するのが現実的です。 5．再委託先への要求 自社だけが整備しても、重要業務を担う再委託先やSaaS事業者の管理が抜ければリスクは残ります。再委託の許可、事故報告期限、アクセス権管理、契約終了時のデータ削除など、委託先管理の範囲を取引先とそろえます。 SCS評価取得に向けた具体的な対応手順 ステップ1．経営責任者と推進体制を決める 経営層は、対象事業、目標段階、取得目標時期、許容できる残余リスク、予算枠を決定します。実務責任者を情報システム部門に置く場合でも、規程は総務・法務、教育は人事、委託先管理は購買、顧客説明は営業が担います。部門横断の会議体と意思決定者を先に定めると、改善が停滞しにくくなります。 ステップ2．必要資料と資産情報を集める 最初に、組織図、情報セキュリティ規程、資産台帳、ネットワーク構成図、アカウント一覧、クラウド・SaaS一覧、委託先一覧、事故対応手順、バックアップ設計、教育記録、過去の診断・監査報告書を集めます。文書があるかだけでなく、承認日、最新版、実施記録、対象者、例外処理まで確認します。 ステップ3．要求事項とのギャップを可視化する 各要求事項について「適合」「一部適合」「未適合」「対象外候補」に分け、根拠資料と責任部門をひも付けます。対象外は自己判断で除外せず、業務やシステム構成から妥当性を説明できるようにします。ギャップ表には、現状、必要な改善、優先度、担当者、期限、概算費用、確認方法を記載します。 ステップ4．事業影響を基準に改善順位を決める 優先順位は、単に項目数や導入の容易さで決めません。インターネット公開、特権ID、機密情報、停止時の売上影響、既知の脆弱性、攻撃可能性を組み合わせます。たとえば、多要素認証がない管理者アカウント、外部公開機器の重大な脆弱性、復元試験をしていないバックアップは、早期に是正すべき候補です。 ステップ5．規程・運用・技術対策を一体で改善する 規程だけを作っても運用記録がなければ実効性を示せません。一方、製品を導入しても責任者や監視手順がなければ継続しません。アクセス権の申請・承認・棚卸し、パッチ適用期限、ログ監視、バックアップ復元試験、インシデント連絡網、委託先評価、教育・訓練を、担当と頻度を含めて設計します。 ステップ6．技術検証で実態を確認する Webアプリケーション診断は、認証、入力処理、セッション管理などWeb固有の弱点を確認します。プラットフォーム診断は、サーバー、ネットワーク機器、OS、ミドルウェアの設定や既知脆弱性を調べます。ペネトレーションテストは、攻撃者の視点で複数の弱点を組み合わせ、重要情報や権限に到達できるかを検証するものです。目的が異なるため、「診断を1回実施した」だけで一律に代替できるわけではありません。対象資産と評価基準に応じて組み合わせます。 ステップ7．証跡を整え、模擬評価を行う 成果物には、適用範囲、要求事項ごとの判定、判定根拠、参照証跡、未達事項、是正計画、リスク受容の承認記録を含めます。規程、設定画面、ログ、会議議事録、教育受講記録などの証跡は、取得日と責任者が分かる状態にします。最後に第三者の視点で模擬評価を行い、文書と実態の不一致、説明の属人化、証跡の欠落を洗い出します。 対象範囲の決め方 範囲を狭くすれば安く早くなるとは限りません。共通の認証基盤やネットワークが全社で共有されている場合、特定部署だけを切り出しても依存関係の確認が必要です。反対に、契約対象と無関係な拠点まで含めると負担が膨らみます。まず守るべき取引・情報・サービスを特定し、それを支える人、端末、サーバー、クラウド、委託先、物理拠点をたどって境界を決めます。境界外との接続と責任分界も文書化します。 期間と費用を左右する要因 公式の申請・登録費用は2026年9月6日時点で未公表です。したがって予算は、制度側に支払う費用と、自社の準備・改善に必要な費用を分けて考えます。後者は、対象拠点・システム数、目標段階、既存規程の成熟度、資産台帳の精度、クラウドや委託先の数、技術診断の範囲、製品導入の有無、証跡の不足量によって変動します。 実務上は、初動確認と簡易ギャップ分析、詳細評価、改善、証跡蓄積、評価準備の順に進めます。小規模な範囲でも運用記録を一定期間蓄積する必要があるため、短期集中だけでは完了しない場合があります。取引先の期限から逆算し、まず重大な不足と暫定措置を示し、その後に中期改善を続ける二段階の計画が有効です。 社内稟議で説明すべき内容 稟議では「認証取得費」だけを提示せず、対象取引の売上・粗利、更新時期、未対応時の営業影響、事故時の停止影響、現状の不足、必要な人員と外部費用を説明します。成果を、①取引先への回答、②SCS評価取得準備、③重大リスクの低減、④今後の監査回答の共通化に分けると、投資効果を理解してもらいやすくなります。 また、規程整備や診断で終わらず、改善後の再診断、ログ監視、アカウント棚卸し、教育、インシデント訓練を運用費として見込む必要があります。初年度だけ予算を確保すると、更新時に証跡が不足し、再び突貫対応になりかねません。 支援会社の選び方とRFPで確認する項目 支援会社は、制度の説明だけでなく、要求事項を現場の設定・運用へ落とし込めるかで選びます。RFP（提案依頼書）や見積依頼では、対象範囲、目標段階、期限、既存認証、希望成果物、機密情報の取扱条件を伝えたうえで、次の点を確認します。 ギャップ分析、改善設計、技術検証、証跡整備、評価準備のどこまで含むか 要求事項ごとの判定根拠と、対象外判断の考え方を示せるか Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストを目的別に設計できるか 発見事項を技術的な深刻度だけでなく、事業影響と期限で優先順位付けするか 報告書の再利用権、保管場所、暗号化、再委託、削除方法を明示するか 改善後の再確認、継続監視、教育・訓練まで支援できるか 制度上の評価機関・専門家としての役割と、取得準備コンサルティングの役割を混同していないか 特に、支援会社が制度上の登録評価機関であるかのような誤認を招く説明には注意が必要です。準備支援と正式評価は役割を切り分け、最新のIPA公表情報で確認します。 よくある失敗と注意点 質問票を埋めることが目的になる 回答を完成させても、設定や運用が伴わなければ証跡確認で止まります。要求事項を業務プロセスへ変換し、誰がいつ何を記録するかまで決めます。 すべてを情報システム部門に任せる 委託先契約、採用・退職、教育、事故広報は情報システム部門だけでは完結しません。経営スポンサーのもとで各部門の責任を明確にします。 診断範囲が資産台帳と一致しない 公開資産の漏れや、開発・検証環境の除外があると、実際の攻撃面を見落とします。資産棚卸しを先に行い、除外理由を残します。 重大度の高い脆弱性だけを直して終わる 個別の脆弱性を修正しても、特権管理、ログ監視、バックアップ、事故対応などの仕組みが弱ければ再発します。技術対策と管理策を同じ改善計画で管理します。 取引先に機密情報を渡しすぎる 構成図や診断報告書は攻撃者に有用な情報を含みます。必要性、閲覧者、保存期間、二次利用、廃棄方法を確認し、必要に応じて要約やマスキングを行います。 Librus株式会社が提供できる支援 Librus株式会社は、SCS評価制度への対応方針整理から、対象範囲の設定、要求事項とのギャップ分析、規程・運用設計、技術的な対策、証跡整備、改善後の確認まで一気通貫で支援します。診断結果を渡して終えるのではなく、経営層、情報システム部門、現場部門の間に立ち、実行可能な改善計画へ落とし込みます。 必要に応じて、Webアプリケーション診断、プラットフォーム診断、ペネトレーションテスト、SOC／CSIRT構築・運用、インシデント対応、デジタルフォレンジック、教育・訓練を組み合わせます。グローバルスタンダードを踏まえながらも、日本企業の稟議、予算、人員、委託構造に合わせて個別設計する点が特徴です。大企業との取引を持つ中堅・中小企業、M&A・IPO・取引先監査など重要局面にある企業にも対応します。 よくある質問 Q1．SCS評価制度への対応は法律上の義務ですか？ 制度自体をすべての企業に一律に義務付けるものと捉えるべきではありません。ただし、委託元が契約や調達条件として取得を求める場合、受注・契約更新に実質的な影響が生じます。個別契約と要請文を確認してください。 Q2．★3と★4のどちらを目指すべきですか？ 取引先の指定がある場合は、その段階が出発点です。指定がない場合は、扱う情報、サービス停止の影響、サプライチェーン上の役割、既存対策を踏まえて判断します。単純に企業規模だけでは決まりません。 Q3．制度開始前でも準備できますか？ 可能です。公開済みの要求事項・評価基準を使い、対象範囲の整理、ギャップ分析、重大リスクの改善、証跡の蓄積を始められます。今後公開される解説書や申請方法に合わせて更新します。 Q4．ISO/IEC 27001やプライバシーマークがあれば十分ですか？ 既存の管理体制や証跡は活用できますが、SCS評価制度の要求事項を自動的にすべて満たすとは限りません。重複を生かしながら、項目単位で差分を確認します。 Q5．脆弱性診断は必須ですか？ 必要な技術検証は対象システムと要求事項により判断します。Webアプリケーション診断、プラットフォーム診断、ペネトレーションテストは目的が異なるため、リスクと評価範囲に合う手法を選びます。 Q6．取得までどの程度かかりますか？ 一律には決まりません。対象範囲、未達項目、製品導入、社内承認、委託先調整、運用証跡の蓄積期間で変わります。まず短期間のギャップ分析を行い、取引先期限に対する現実的な工程を作ることが重要です。 Q7．費用はいくらですか？ 公的な申請・登録費用は今後公表予定です。準備費用は、対象数、目標段階、診断範囲、規程・運用の成熟度、改善内容によって変わります。範囲と成果物をそろえた見積比較が必要です。 Q8．取引先への最初の回答はどうすべきですか？ 受領した旨を伝え、段階、範囲、期限、契約上の位置づけ、必要証跡を確認します。その後、現状評価の日程、責任者、暫定措置、取得・改善計画の提示日を回答します。根拠なく取得可能と断言しないことが大切です。 まとめ｜SCS評価対応は受注を守る経営課題 取引先からSCS評価取得を求められたら、まず要請条件を明確にし、サプライチェーン強化に向けたセキュリティ対策評価制度の要求事項と自社の実態との差を確認します。その後、事業影響の大きいリスクから改善し、規程・運用・技術対策・証跡を一つの計画で整えます。 SCS評価制度への対応は、マーク取得だけが目的ではありません。取引先への説明力を高め、事故による供給停止を減らし、営業部門が安心して案件を提案できる基盤を作る取り組みです。制度の詳細は今後も更新されるため、公式情報を確認しながら、期限に余裕を持って準備を進めることが受注維持につながります。 SCS評価取得の準備段階からご相談いただけます 「取引先から要請が来たが、何を回答すべきか分からない」「★3・★4のどちらが必要か整理できていない」「対象範囲や予算が決まっていない」という段階でもご相談いただけます。Librus株式会社が要請内容と事業影響を整理し、必要なギャップ分析、改善の優先順位、技術検証、社内稟議に使える工程を具体化します。早期に論点を可視化することで、過剰投資を避けながら、取引先への説明と受注継続に必要な準備を進めやすくなります。 参考資料 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」 IPA「SCS評価制度」 IPA「要求事項・評価基準」 IPA「よくある質問」 IPA「関連制度・施策」 監修者 鎌田光一郎：青山学院大学法学部卒業。SMBC日興証券株式会社にて証券営業、経営管理業務に従事したのちPwCコンサルティング合同会社に転籍。金融機関に対するコンサルティング業務に従事。その後、Librus株式会社を設立、代表取締役に就任。 お問い合わせ先 Librus株式会社（代表取締役 鎌田光一郎）105-0004 東京都港区新橋6丁目13-12 VORT新橋Ⅱ 4F03-6772-8015 お問い合わせフォーム：https://librus.co.jp/contact
VIEW MORE