SCS評価制度とは？★3・★4の違いと取引先要求への準備

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省と内閣官房国家サイバー統括室の制度構築方針に基づき、IPA（情報処理推進機構）が運営する制度です。サプライチェーンを構成する企業のセキュリティ対策を共通の基準で確認・評価して登録し、発注する側が取引先の対策を確かめやすくすることを狙いとしています（IPA：SCS-100 基本規程）。

制度は任意で、★の取得を契約でどう扱うかは、取引の当事者同士で合意するものとされています。経済産業省は、委託元が委託先に適切な段階（★）を示し、対策の実施を確認する使い方を想定しています。企業の対策の水準を競わせる格付けではありません。業種や企業規模を問わず対象になり得るもので、中小企業だけの制度でもありません（経済産業省：SCS評価制度）。

対象は企業等のIT基盤で、サーバー、パソコンなどの端末、クラウドサービス、ファイアウォールやVPN装置などのネットワーク機器が含まれます。製造現場の制御（OT）システムや、取引先に提供する製品そのものは直接の対象とせず、別の制度やガイドラインで対策することが想定されています（制度構築方針 p.8）。

★3・★4は、2027年3月頃に運用を始める予定とされています（確認日：2026年10月23日。IPA：SCS評価制度 よくある質問）。経済産業省は、制度の開始は申請の受付の開始を意味し、開始の時点で★を取得している企業はないと説明しています。開始の予定日は、各社が取得を終える期限ではありません。★5は、要求事項や評価の方法を今後検討するとされています。

要求事項・評価基準は、IPAと経済産業省のサイトで公開されています（IPA：要求事項・評価基準）。判断の基準や解説をまとめた資料の掲載状況と版は、準備を始める時点でIPAの公式サイトで確認します。

★3と★4は、どちらも登録を希望する組織が自社で自己評価を行うところから始まります。違いは、その結果を誰がどのように確認・評価するかです。制度構築方針は、★3を取引上の要請に応えるために最低限必要な対策、★4を侵害の早期発見・拡大防止等に必要な対策としています（IPA：SCS-100 基本規程 第3章、制度構築方針 p.28）。

表は横にスクロールできます →

★3は、社内のチェックだけで完了するものではありません。★3確認責任者は、所定の資格を持ち、研修を受けて登録したSCSセキュリティ専門家が担う役割で、社内の人にも社外の人にも依頼できます。ただし、資格を持っているだけで、または社内の情報システムの担当者であるだけで、確認ができるわけではありません。要件の詳細は、IPAの公表で確認します。

★4も、評価機関の評価を受ける前に、自社で自己評価を行います。★3を先に取得していなくても、★4の登録を目指せます（IPA：SCS評価制度の詳細）。どの段階が必要かは、取引先がどの業務・情報について何を求めているかで決まります。登録の後も、更新の時期と、自己評価をし直す担当を決めておきます。

取引先から「SCS評価制度に対応してほしい」と依頼されたら、準備を始める前に、依頼の内容を具体的にします。確認する事項は次のとおりです。

• 段階と資料：求められている段階（★3か★4か）と、参照する要求事項・評価基準の版
• 対象：どの会社・拠点・業務と、どのIT基盤（クラウドサービスを含む）が対象か
• 求めているもの：★の登録まで必要か、要求事項に沿った対策状況の説明や資料の提出でよいか
• 期限：いつまでに何を提出するか。制度の受付開始の予定と、契約上の期限を分けて確認する
• 窓口と判断者：取引先の問い合わせ先と、自社で回答と開示を承認する人
• 開示の条件：提出する資料の範囲、秘密保持、提出の方法

経済産業省は、★の取得の有無を確かめるほかに、要求事項・評価基準を共通のチェックリストとして、必要な対策を満たしているかを確認する使い方も想定しています（経済産業省：SCS評価制度 よくある質問）。登録を求められているのか、対策状況の確認を求められているのかで、準備の量と期限は変わります。

対象の範囲は、制度の定義と取引先の要請を照らし合わせて決めます。制度構築方針は、インターネットに接続している自社のIT基盤を対象とし、その範囲は制度の側で定めるとしています（制度構築方針 p.28）。依頼された業務で使うシステムだけに自社の都合で狭めたり、クラウドサービスだから対象外と決めたりはしません。対象外とする部分は、その根拠を記録します。

発注する側は、業務や扱う情報のリスクに応じて求める段階を選び、理由・対象・期間を示します。経済産業省は、★の取得を契約でどう扱うかは当事者同士で円満に合意するものとしたうえで、独占禁止法や取適法（2026年1月に下請法から改められた中小受託取引適正化法）に照らして適切に制度を活用するよう求めています。すべての取引先に一律に最上位の段階を求めるのではなく、求める理由と範囲を取引先と合意します。

準備は、次の順で進めます。

1. 公式資料の版と、求められた段階を確認する：要求事項・評価基準や規程の版と、確認した日を記録する
2. 対象のIT基盤と担当を把握する：機器・クラウドサービス・ネットワークの台帳と、管理者・委託先を確かめる
3. 基準ごとに、現状の事実と根拠を対応づける：規程、設定、運用の記録など、確認できたものを書く
4. 未確認と不足を分ける：資料がないのか、まだ確認していないのか、対策が足りないのかを区別する
5. 次の確認・改善の担当と期限を決める
6. 正式な確認・評価へ進む条件を整理する：★3確認責任者や評価機関に依頼する時期と、そろえる資料を決める

この順で整理すると、何ができていて、何が分からないかを、取引先や確認する人に説明できます。チェックした項目の数で、★を取得できるかどうかは判断できません。登録には、求められる段階の要求事項・評価基準をすべて満たしたうえで、所定の確認・評価を受ける必要があります。

評価基準を満たすために、特定のセキュリティ製品の導入が必須とされているわけではありません（経済産業省：SCS評価制度）。製品の購入や常時の監視の契約を先に決めず、基準と現状の差から、必要な対策を選びます。

準備票には、公式の要求事項・評価基準の1項目ごとに、資料名と版、基準No.と対象段階、対象のIT基盤、確認した事実、根拠と確認日、未確認・不足、次の担当と期限を記録します。

次の表は、★3の3つの評価基準を例にした記入例です。公式の自己評価や申請の様式ではなく、準備のための整理票です。基準の番号と内容は、「★3・★4要求事項・評価基準」（Excel）で確認しました。

表は横にスクロールできます →

4-1-3-2は、重要な機密情報を扱うクラウドサービスが対象で、すべてのサービスに一律に求める基準ではありません。どのサービスが対象かを根拠とともに記録します。手順書や連絡先の一覧があっても、それだけで評価基準を満たすとは限りません。手順書があることと実際に復元できたことは別に確認します。復元の確認の進め方はバックアップ復元テストの進め方で扱っています。連絡の判断者・代理者・委託先の決め方はセキュリティインシデント対応計画の作り方で扱っています。

正式な判断に必要な範囲と根拠は、公式の資料と、確認・評価を行う人の判断に従います。

ISMS認証は、組織が情報セキュリティの管理の仕組みを国際規格に沿って運用しているかを、第三者が審査する制度です。管理策は、リスクアセスメントの結果に基づいて組織が決めます。SCS評価制度の★3・★4は、代表的な脅威をもとに効果の高い対策を定めた基準で、段階ごとの具体的な対策が実装されているかを確認します。経済産業省は、両者を相互補完的な制度と位置づけています（制度構築方針 p.28）。

ISMS認証を持っていても、SCS評価制度に自動で登録されるわけではありません。SCS評価制度に登録しても、ISMS認証や取引先ごとの質問票が不要になるわけでもありません。ISMSで整えた規程、資産の台帳、リスクの記録、運用の記録は、SCSの要求事項の根拠として使えるかを1項目ずつ確認します。適用範囲や対象の期間が違う場合は、そのまま流用せず、不足を記録します。ISMSの適用範囲や管理策の考え方はISMS（ISO/IEC 27001）導入ロードマップで扱っています。

取引先から届くセキュリティ質問票にも、準備票と同じ根拠を使える場合があります。ただし、質問票ごとに対象や開示の範囲が異なるため、回答と提出する資料は質問票ごとに確認して合意します。質問票の回答と証跡の扱いは取引先のセキュリティチェックシート回答方法で扱っています。財務報告に関わるIT全般統制（ITGC）の整備も、目的が異なる別の取組みです。

SCS評価制度への対応では、関わる人の役割を分けて考えます。

• 自社（登録を希望する組織）：対象の範囲と事実の提示、資料の開示、改善の判断、自己評価、自己適合宣言、登録の申請
• 準備を支援する社内外の担当：公式資料と現状の照合、根拠・未確認・改善の担当と期限の整理
• ★3確認責任者：★3の自己評価の内容の妥当性を確認し、署名する
• 評価機関・技術検証事業者：★4の第三者評価（文書確認・実地審査・技術検証）を行う
• IPA（制度運営機関）：登録の申請を受け付け、登録した組織を公表する

準備の整理は、制度上の正式な確認・評価、技術検証、登録の代わりにはなりません。★4の評価機関には公平性の条件があり、例えば、評価に携わる人が過去3年以内にその組織へ構築や運用の支援をしていた場合は、その組織の評価を担当できません（IPA：SCS-310 評価機関指定基準 2.7）。準備を支援する人に正式な確認・評価も依頼したい場合は、段階と役割ごとの条件を現行の規程で確かめます。

費用は、社内の作業時間、準備の整理と改善、★3の確認や★4の評価・技術検証などの制度上の手続に分けて見込みます。対象の範囲、確認の深さ、使う外部の支援によって変わるため、一律の金額や期間では示せません。

Malakeでは、外部IT責任者・IT顧問の支援の一つとして、IT環境診断で、取引先から求められた内容、対象のIT環境、確認できた資料と未整理の運用をもとに、現状・根拠・未確認と改善の優先順位を整理します。★3の確認や★4の評価、技術検証、登録の申請は、この整理とは別の手続です。初回相談（無料）では課題と対象を確認し、有料の支援は対応の可否・役割・成果物を合意したうえでお見積もりします。

最後に、SCS評価制度への対応に関する主な疑問にお答えします。