SCS評価制度の★3とは：取引先に求められたときに確かめることと準備の順番

SCS評価制度は、取引先に示す対策の段階を★で表す制度です

正式な名前は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。経済産業省と内閣官房国家サイバー統括室が2026年3月27日に制度構築方針を公表し、IPA（情報処理推進機構）が運営します。

想定している使い方は、2社の取引の契約の中で、発注する会社が受注する会社に必要な★を示し、対策を促して、実施の状況を確かめることです。業種や規模を問わず、大企業も対象になり得ます。

★3

広く知られた脆弱性を悪用する、一般的なサイバー攻撃に対処できる水準

評価のしかた専門家の確認付きの自己評価

要求事項26（評価基準は81）

有効期間1年

★4

最初の侵入を防ぐだけでなく、被害の拡大を防ぎ、取引先のデータやシステムの保護に役立つ水準

評価のしかた評価機関による第三者評価と技術検証

要求事項43

有効期間3年

★5

未知の攻撃も含めた、高度なサイバー攻撃への対応

評価のしかた・要求事項今後検討

上の段階は下の段階の事項を含みます。ただし、★3を先に取っていないと★4を取れない、という関係ではありません。取引先がどちらの★を求めているかで、準備の重さが変わります。

任意の制度で、特定の製品を入れることは条件ではありません

経済産業省は、この制度は任意の制度で、商取引に規制をかけるものではないと説明しています。★の取得を契約の中でどう扱うかは、契約の当事者どうしで合意して決めるものです。

求められたら、期限・★の段階・範囲・契約の期間を確かめます

IPA は、★3と★4の運用開始を2027年3月ごろの予定としています。経済産業省は、制度の開始は申請の受付の開始のことで、開始の時点で★を持っている会社はないと説明しています。

1. 2026年3月27日制度構築方針と、要求事項・評価基準の公表経済産業省・内閣官房国家サイバー統括室
2. 2026年10月ごろ要求事項・評価基準の解説書と、自己評価のガイドの公表（予定）
3. 2027年1月ごろ確認を担う専門家の公表（予定）研修を行う事業者は2026年12月末ごろ
4. 2027年3月ごろ★3・★4の運用開始（予定）申請の受付が始まる

取引先から依頼を受けたら、次の4つを確かめます。答えは、メールなど文字に残る形で受け取ります。

工場の生産設備を動かす制御のシステムは、一般に IT 基盤に当たらないとして、この制度の直接の対象から外れています。製造業の会社は、範囲を決めるときにここを分けて考えます。

社内では、取引先との窓口を1人に決めます。最後に自己適合宣言をするのは経営層なので、準備の担当と経営層の役割も、この段階で分けておきます。

★3で見られるのは、7つの分類に分かれた26の要求事項です

IPA が公開している「★3・★4 要求事項・評価基準」では、★3の要求事項は26、評価基準は81あり、7つの大分類に分かれています。登録には、評価基準のすべてを満たすことが求められます。

棒の長さは、評価基準の数（81のうち）

1

ガバナンスの整備推進の体制と役割、守秘義務、セキュリティ対応方針

要求事項3・評価基準8

2

取引先管理取引先とつながるシステム、機密情報の取り決め、事故のときの役割

要求事項3・評価基準4

3

リスクの特定機器・OS・ソフトとネットワークの把握、外部のサービス、機密区分

要求事項4・評価基準11

4

攻撃等の防御ID とパスワード、アクセス権、教育と訓練、バックアップ、更新、マルウェア対策、ファイアウォール

要求事項13・評価基準48

5

攻撃等の検知不正な通信の検知と遮断、ログの分析

要求事項1・評価基準3

6

インシデントへの対応対応の手順、連絡先、報告の様式

要求事項1・評価基準6

7

インシデントからの復旧重要なシステムを復旧させる準備

要求事項1・評価基準1

4番目の「攻撃等の防御」だけで、評価基準81のうち48を占めます。中身は、新しい機器を買う話よりも、日々の運用の決まりと、その記録です。

決めて、伝えて、年1回点検する形の基準が多い

たとえばセキュリティ対応方針は、定めること、社員がいつでも最新の方針を見られること、改正のときに周知することの3つで見られます。守秘義務も、ルールを定めることと、入社のときに説明することが分かれています。

体制や管理のルールには、年1回以上の点検を求める基準もあります。作った日のままの書類では足りません。

多要素認証とアカウントの管理も入っています

• 重要な機密情報を扱うクラウドサービスでは、利用者も管理者も常に多要素認証を使う
• 退職した人や、一定の期間使われていないユーザ ID と管理者 ID は、速やかに削除するか無効にする
• 誰が管理者 ID を持っているかを把握する仕組みを整える
• 重大な脆弱性を直す更新は、公開から14日以内に当てる（会社が支給するパソコンの OS・ブラウザ・Office など）

Microsoft 365 での多要素認証とセキュリティの既定値群の設定は、解説動画の第17回で見られます。

社内で準備するのは、台帳・ネットワーク図・アカウント・バックアップ・規程です

自己評価の前に、評価基準に答えるための材料をそろえます。どれも、上の図の分類と対応しています。

台帳と図は、一度作って終わりではありません。年1回以上の点検を求める基準があるので、点検した日と見た人を残せる形にします。

IT の保守を外の会社に任せているなら、更新の適用やバックアップの確認を誰が受け持つかを、書面で確かめます。確かめ方はITサポートの選び方の記事にまとめています。

専門家の確認を受けて申請し、1年ごとに更新します

★3の登録までの順番です。2番目から後は、IPA の基本規程（2026年8月28日施行）が定める手続きです。

1. 範囲を決めて準備する適用範囲を決め、台帳・規程・記録をそろえる
2. 自己評価81の評価基準ごとに、満たしているかを自社で評価する。社内外の専門家の支援も受けられる
3. 専門家の確認★3確認責任者が自己評価の妥当性を確かめ、必要なら修正を含めて助言し、署名する
4. 自己適合宣言すべての基準に適合していることを、経営層が会社の責任で宣言する
5. 申請と登録IPA に申請する。不備がなければ登録され、公表される
6. 1年ごとに更新満了日の前に、専門家の確認と助言を受けた自己評価の更新版を出す

確認する専門家は、資格と研修と IPA への登録が要ります

★3の確認を担うのは、IPA に登録した SCS セキュリティ専門家です。情報処理安全確保支援士・公認情報セキュリティ監査人・CISSP・CISA・CISM・ISO27001主任審査員のいずれかの資格を持ち、研修を受けたうえで登録します。

確認する人は社内でも社外でもかまいません。ただし経済産業省は、社内の情報システム担当者であればよい、というものではないと説明しています。

外部の専門家に頼む費用は、その専門家との契約で決まります。このほかに、IPA への申請料と登録料がかかります。

1年ごとの更新で、記録を切らさない

★3の有効期間は、登録完了の通知の日から1年です。更新では、登録の内容が変わっていなくても、満了日の前に専門家の確認と助言を受けて、自己評価の更新版を IPA に出します。

満了日の前に出していれば、審査が終わるまで登録は有効なものとして扱われます。年1回の点検の記録が、そのまま翌年の更新の材料になります。

インフィニティにできること

インフィニティは名古屋・丸の内の会社で、サポート契約は280社強です。自社で開発したIT見えるBOXは、社内のネットワークに小さな箱を1台つなぎ、機器台帳・ネットワーク図・IT健康診断書をつくります。

シンプル版に足すオプションとして、SCS対応版があります。取引先から、SCS評価制度の★3にもとづく自己評価を求められた会社のためのものです。

シンプル版の機器台帳・ネットワーク図・バックアップ台帳と年1回の点検・退職のチェックリストが、上で挙げた準備の土台になります。

★3は、IT見えるBOX だけでは取れません。評価は、有資格の専門家による確認を含む手続きで決まります。SCS対応版は、自己評価の下書きと、決めたルールと記録と、専門家に渡す資料を、社内で切らさずに持つための道具です。

導入した後も伴走し、診断書をもとに、直す順番と予算を一緒に決めます。訪問は愛知・岐阜・三重と大阪、遠隔は全国です。

参考

• IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
• IPA「SCS評価制度の詳細情報」
• IPA「要求事項・評価基準」（★3・★4 要求事項・評価基準）
• IPA「SCS-100 基本規程」（2026年8月28日）
• IPA「SCS-330B 研修実施基準」
• IPA「SCS評価制度に対するよくある質問」
• IPA「SCSセキュリティ専門家・評価機関」
• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
• 経済産業省「SCS評価制度に係る不適切な勧誘に御注意ください」