SCS評価制度★3の評価項目とは？26項目の全体像をわかりやすく解説【連載第1回】

サイバー攻撃の被害は、大企業だけの問題ではありません。

近年は、中小企業、医療機関、地域の事業者、委託先企業、保守業者など、さまざまな組織が攻撃対象になっています。

特に問題となっているのが、サプライチェーンを通じたサイバー攻撃です。

攻撃者は、必ずしも最初から大企業や大規模組織だけを狙うわけではありません。

取引先、委託先、外部サービス、保守業者など、比較的対策が弱い組織を足がかりにして、最終的な標的へ侵入しようとすることがあります。

このような背景から、経済産業省とIPAは、サプライチェーン全体のセキュリティ水準を底上げするために、SCS評価制度の整備を進めています。

SCS評価制度は、正式には「サプライチェーン強化に向けたセキュリティ対策評価制度」と呼ばれる制度です。

企業のセキュリティ対策状況を共通の基準で確認し、取引先などに対して自社の対策状況を示しやすくすることを目的としています。

その中でも、まず多くの企業が意識することになるのが「★3」です。

この記事では、SCS評価制度の★3で求められる項目の全体像について、できるだけわかりやすく解説します。

なお、この記事では各項目の詳細な評価基準までは深掘りせず、まずは「★3ではどのような分野が確認されるのか」を把握することを目的としています。

各項目の詳細については、今後の記事で順番に解説していきます。

SCS評価制度の★3とは何か

SCS評価制度の★3は、企業が自社のセキュリティ対策について、要求事項・評価基準に基づいて自己評価を行い、その内容をセキュリティ専門家が確認する仕組みです。

つまり、単なる自己申告だけではなく、専門家の確認を経た自己評価という位置付けになります。

ここで重要なのは、★3は「何か特定のセキュリティ製品を導入していれば取得できる」という制度ではないという点です。

ウイルス対策ソフト、UTM、EDR、ログ監視サービス、バックアップ製品などは、セキュリティ対策を実現するための手段にはなります。

しかし、SCS評価制度で確認されるのは、製品の有無だけではありません。

実際には、以下のような幅広い観点が確認されます。

• 経営層や担当部署の責任体制が決まっているか
• セキュリティ方針やルールが整備されているか
• 取引先との関係や責任分担を把握しているか
• IT資産やネットワークを把握しているか
• ID、パスワード、アクセス権を適切に管理しているか
• バックアップやアップデートを実施しているか
• 不審な通信やログを確認できるか
• インシデント発生時の対応手順があるか
• 復旧に向けた準備ができているか

このように、★3は「基本的なセキュリティ対策を組織として実施できているか」を確認する制度だと考えると分かりやすいでしょう。

公式資料はどこで確認できるのか

SCS評価制度の★3・★4に関する要求事項・評価基準は、IPAおよび経済産業省の公式ページで公開されています。

本記事で紹介している★3の26項目は、IPAが公開している「★3・★4 要求事項・評価基準」および、経済産業省が公表している「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」の別添資料を基に整理しています。

IPA公式資料

IPAでは、SCS評価制度の要求事項・評価基準がExcel形式で公開されています。

• IPA：SCS評価制度 要求事項・評価基準
  https://www.ipa.go.jp/security/scs/requirements-criteria.html
• IPA：★3・★4 要求事項・評価基準 Excel
  https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/20260327001-c.xlsx

また、IPAのページでは、★3・★4の要求事項・評価基準に関する解説書は2026年10月頃公開予定とされています。

経済産業省公式資料

経済産業省では、SCS評価制度の制度構築方針とあわせて、★3・★4の要求事項及び評価基準が公開されています。

• 経済産業省：「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」を公表しました
  https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html
• 経済産業省：サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針
  https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_supply_chain/20260327_report.html
• 経済産業省：別添 ★3★4要求事項及び評価基準 Excel
  https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_supply_chain/downloadfiles/20260327_3.xlsx
• 経済産業省：参考 ★3★4要求事項・評価基準参考文献 Excel
  https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_supply_chain/downloadfiles/20260327_4.xlsx

なお、SCS評価制度は今後も解説書、取得ガイド、申請手続きなどの情報が追加・更新される可能性があります。

実際に★3取得を検討する際は、必ずIPAおよび経済産業省の最新情報を確認してください。

★3で求められる7つの大分類

SCS評価制度の★3要求事項は、大きく次の7つの分野に分かれています。

1. ガバナンスの整備
2. 取引先管理
3. リスクの特定
4. 攻撃等の防御
5. 攻撃等の検知
6. インシデントへの対応
7. インシデントからの復旧

これらを見ると、SCS評価制度が単なる技術対策だけを求めている制度ではないことが分かります。

例えば、ファイアウォールやウイルス対策ソフトの導入は「攻撃等の防御」に関係します。

しかし、それだけでは不十分です。

誰が責任を持つのか。

何を守るのか。

取引先とはどのような関係にあるのか。

攻撃を受けた時に誰へ連絡するのか。

どのように業務を復旧するのか。

こうした運用面まで含めて確認されるのが、SCS評価制度の特徴です。

★3の26項目一覧

ここからは、★3で求められる26項目を大分類ごとに整理して紹介します。

1.ガバナンスの整備

ガバナンスの整備では、セキュリティを組織として進めるための体制やルールが確認されます。

★3では、以下の3項目が該当します。

この分野で重要なのは、「担当者が何となく対応している状態」から脱却することです。

中小企業では、情報システム担当者や総務担当者がセキュリティ対応を兼務していることも少なくありません。

それ自体が悪いわけではありません。

しかし、誰が責任者なのか、誰が実務を担当するのか、何かあった時に誰が判断するのかが曖昧なままだと、インシデント発生時に対応が遅れます。

また、セキュリティ対応方針や守秘義務のルールは、作成するだけでは不十分です。

従業員、派遣社員、受入出向者など、実際に業務に関わる人が内容を確認できる状態にしておくことが求められます。

2.取引先管理

取引先管理では、自社と外部組織との関係、機密情報の取扱い、インシデント発生時の役割分担などが確認されます。

★3では、以下の3項目が該当します。

近年のサイバー攻撃では、攻撃者が直接本命の企業を狙うのではなく、取引先や委託先を経由して侵入するケースもあります。

そのため、自社の中だけを見ていれば安全という考え方は通用しにくくなっています。

例えば、以下のような取引先がある場合は注意が必要です。

• システム保守会社
• クラウドサービス提供事業者
• 会計・給与・人事システムの提供会社
• Web制作会社
• 予約システムや顧客管理システムの提供会社
• 医療機関であれば電子カルテ、レセコン、検査システム等のベンダー

こうした外部組織とどのような情報を共有しているのか、どのシステムが接続されているのか、インシデント発生時に誰が何をするのかを整理しておくことが重要です。

3.リスクの特定

リスクの特定では、自社が保有・利用しているIT資産、ネットワーク、外部サービス、機密情報などを把握できているかが確認されます。

★3では、以下の4項目が該当します。

セキュリティ対策の第一歩は、「何を守るのか」を把握することです。

どのPCがあるのか、どのサーバがあるのか、どのソフトウェアを使っているのか、どのネットワーク機器がどこに設置されているのかが分からなければ、適切な対策はできません。

また、近年はクラウドサービスの利用も増えています。

社内にサーバを置いていない場合でも、クラウド上で顧客情報、従業員情報、医療情報、契約情報などを取り扱っている場合があります。

そのため、SCS評価制度では、社内の機器だけでなく、外部情報サービスの管理も重要な確認項目になります。

よくある課題としては、以下のようなものがあります。

• PC台帳が古い
• 退職者が使っていたアカウントが残っている
• 誰がどのクラウドサービスを使っているか分からない
• ネットワーク構成図が更新されていない
• 重要な機密情報の保管場所が整理されていない

こうした状態では、攻撃を受けた際に影響範囲を正しく判断することが難しくなります。

4.攻撃等の防御

攻撃等の防御は、★3の中でも項目数が多い分野です。

ID管理、認証、パスワード、アクセス権、教育訓練、バックアップ、アップデート、マルウェア対策、ネットワーク境界防護など、実際のセキュリティ対策に直結する内容が含まれます。

★3では、以下の13項目が該当します。

この分野は、いわゆる「セキュリティ対策」と聞いて多くの方がイメージしやすい部分です。

ただし、SCS評価制度で求められるのは、単にツールを導入することではありません。

例えば、ID管理であれば、アカウントの発行、変更、削除が申請・承認に基づいて行われているかが重要です。

パスワード管理であれば、複雑なパスワードを設定しているかだけではなく、漏えいが疑われる場合に速やかに変更する手順があるかも重要になります。

バックアップであれば、取得しているだけではなく、何を、どの頻度で、どの期間保管し、どのように復旧するのかを定める必要があります。

また、セキュリティパッチやアップデートの適用も重要です。

攻撃者は、既に修正プログラムが公開されている既知の脆弱性を狙うことが少なくありません。

そのため、利用している機器やソフトウェアを把握し、必要なアップデートを適切に適用する体制が求められます。

5.攻撃等の検知

攻撃等の検知では、不審な通信や異常な動きを把握できる仕組みがあるかが確認されます。

★3では、以下の1項目が該当します。

セキュリティ対策では、防御だけでなく検知も重要です。

どれだけ対策をしていても、攻撃を100％防ぐことはできません。

そのため、万が一侵入された場合に、できるだけ早く異常に気づく仕組みが必要になります。

例えば、ファイアウォールやUTM、EDR、サーバ、クラウドサービスなどのログを確認することで、不審な通信や異常なアクセスに気づける場合があります。

しかし、ログを取得しているだけでは十分ではありません。

実際には、以下のような状態になっている企業も少なくありません。

• ログはあるが誰も見ていない
• アラートが出ても判断できない
• 通知先が決まっていない
• 何をもってインシデントと判断するのか基準がない
• 保守業者任せで自社側に状況が共有されない

攻撃等の検知では、ログやアラートを確認し、不審な事象があった場合に適切に判断・連絡できる体制を整えることが重要です。

6.インシデントへの対応

インシデントへの対応では、セキュリティインシデントが発生した際の手順や体制が確認されます。

★3では、以下の1項目が該当します。

インシデント対応は、発生してから考えるのでは遅すぎます。

マルウェア感染、不正アクセス、情報漏えい、ランサムウェア被害などが発生した場合、初動対応の遅れが被害拡大につながります。

例えば、感染が疑われる端末をネットワークから切り離すのか、電源を落とすのか、誰に連絡するのか、外部業者へどのタイミングで相談するのか。

こうした判断を現場任せにしていると、対応にばらつきが出ます。

★3では、少なくとも以下のような流れを整理しておくことが重要です。

• 発見・報告
• 初動対応
• 調査・対応
• 復旧
• 最終報告

また、関係当局、所管省庁、取引先、委託元、保守業者など、社外への連絡ルートも整理しておく必要があります。

医療機関であれば、院内の情報システム部門だけでなく、経営層、各部門、保健所、システムベンダーなどとの連携も重要になります。

7.インシデントからの復旧

インシデントからの復旧では、事業上重要なシステムについて、攻撃を受けた後にどのように業務を回復するかが確認されます。

★3では、以下の1項目が該当します。

サイバー攻撃の被害で特に深刻なのは、業務停止が長期化することです。

ランサムウェア被害では、データが暗号化されるだけでなく、業務システムが使用できなくなり、復旧までに長期間を要するケースがあります。

そのため、重要なシステムについては、どの程度の時間で、どのレベルまで復旧する必要があるのかを考えておく必要があります。

例えば、以下のような観点です。

• どのシステムが止まると業務に大きな影響が出るのか
• どの業務を優先して復旧するのか
• バックアップから復旧できるのか
• 復旧手順書はあるのか
• 代替運用の方法はあるのか
• 紙運用や手作業への切り替えは可能か

特に医療機関では、電子カルテ、医事会計システム、検査システム、画像管理システムなどが停止すると、診療継続に大きな影響が出ます。

そのため、単にバックアップを取得するだけではなく、実際に復旧できるか、業務を継続できるかという視点が重要になります。

★3対応で重要なのは「製品導入」ではなく「運用と証跡」

SCS評価制度の★3に対応しようとすると、つい「どのセキュリティ製品を入れればよいのか」という話になりがちです。

もちろん、ウイルス対策ソフト、ファイアウォール、UTM、EDR、バックアップシステム、ログ監視サービスなどは有効な対策です。

しかし、★3で重要なのは、製品を入れていることそのものではありません。

重要なのは、次のような状態を作ることです。

• ルールがある
• 体制がある
• 台帳がある
• 手順がある
• 教育・訓練をしている
• 記録が残っている
• 定期的に点検している
• インシデント時に動ける準備がある

つまり、★3対応では「対策をしているつもり」ではなく、「対策していることを説明できる状態」にすることが重要です。

この説明に必要になるのが、証跡です。

例えば、以下のようなものが証跡になります。

• セキュリティ方針
• 役割分担表
• 連絡先一覧
• 守秘義務ルール
• IT資産台帳
• ネットワーク構成図
• クラウドサービス利用一覧
• アカウント管理記録
• バックアップ取得記録
• アップデート管理記録
• ログ確認記録
• 教育・訓練記録
• インシデント対応手順書
• 復旧手順書

これらは一度作って終わりではありません。

実態に合わせて更新し、定期的に点検し、必要に応じて改善していくことが重要です。

中小企業・医療機関が最初に確認すべきこと

SCS評価制度の★3取得を目指す場合、最初からすべての項目を完璧に整備しようとすると負担が大きくなります。

まずは、現状確認から始めることをおすすめします。

特に確認すべきなのは、以下の5点です。

1.誰がセキュリティを担当しているか

まず、セキュリティを統括する役員や担当部署、実務担当者が明確になっているかを確認します。

担当者がいる場合でも、責任範囲や判断権限が曖昧なケースは少なくありません。

2.何を守るべきか把握しているか

PC、サーバ、ネットワーク機器、クラウドサービス、機密情報などを把握できているか確認します。

台帳が古い場合や、実際の利用状況と合っていない場合は、まず棚卸しが必要です。

3.取引先との関係を整理できているか

自社の機密情報を共有している取引先、システム接続がある取引先、保守業者、クラウドサービスなどを整理します。

インシデント発生時の責任分担が契約や覚書で明確になっているかも重要です。

4.ID・パスワード・権限管理ができているか

退職者のアカウントが残っていないか、管理者権限が必要以上に付与されていないか、共有IDを安易に使っていないかを確認します。

攻撃者にとって、ID管理の不備は非常に狙いやすいポイントです。

5.インシデント時に動けるか

マルウェア感染や不正アクセスが発生した場合、誰が、何を、どの順番で行うのかが決まっているか確認します。

手順書がない場合は、まず初動対応の流れを整理することが重要です。

SCS評価制度★3は、セキュリティ運用を見直す良い機会

SCS評価制度の★3は、単なる認証取得のためだけに取り組むものではありません。

むしろ、自社のセキュリティ体制を見直す良い機会として活用することが重要です。

例えば、これまで「何となく担当者任せ」になっていたセキュリティ対応を、組織として整理するきっかけになります。

また、IT資産やクラウドサービスの棚卸しを行うことで、不要なアカウント、使われていないシステム、管理されていない端末などを発見できる場合もあります。

インシデント対応手順を整備することで、万が一の際に現場が慌てずに行動できるようになります。

つまり、SCS評価制度★3への対応は、単なる書類作成ではありません。

自社のセキュリティ対策を「説明できる状態」にし、実際の運用を改善していく取り組みです。

まとめ

SCS評価制度の★3は、単にセキュリティ製品の導入状況を確認する制度ではありません。

組織の体制、ルール、取引先管理、資産管理、技術的対策、検知、インシデント対応、復旧準備まで、幅広い観点から自社のセキュリティ対策状況を確認する制度です。

★3で求められる項目は、大きく以下の7分野に整理できます。

• ガバナンスの整備
• 取引先管理
• リスクの特定
• 攻撃等の防御
• 攻撃等の検知
• インシデントへの対応
• インシデントからの復旧

これらの項目を見ていくと、SCS評価制度への対応は、単なるチェックリスト対応ではなく、自社のセキュリティ運用を見直す良い機会になることが分かります。

特に中小企業や医療機関では、限られた人員と予算の中で、どこから手を付けるべきか悩むケースも多いと思います。

そのような場合は、まず現状確認を行い、足りている項目と不足している項目を整理することが重要です。

次回の記事では、★3の最初の分野である「ガバナンスの整備」について、セキュリティ推進体制、守秘義務のルール、セキュリティ対応方針の策定という観点から、より詳しく解説します。

SCS評価制度★3への対応を、どこから始めればよいか分からない方へ

SCS評価制度の★3に対応しようとした際、多くの企業が最初につまずくのは、「何をすればよいか分からない」という点ではありません。

実際には、

「自社は今、どこまでできているのか」

「不足しているのは製品なのか、ルールなのか、運用なのか」

「今ある規程や台帳は、そのまま使えるのか」

「★3取得を目指す場合、どの項目から手を付けるべきなのか」

といった、現状と要求事項の差が分からないことが大きな課題になります。

SCS評価制度では、26項目すべてについてゼロから新しい仕組みを作らなければならないとは限りません。

すでに社内で実施している対策や、既存の規程、台帳、運用ルールを整理することで、要求事項を満たせる場合もあります。

一方で、対策を実施しているつもりでも、

• 担当者しか運用を把握していない
• 文書化されていない
• 定期的な見直し記録がない
• 実際の運用と規程の内容が一致していない
• インシデント時の動きが決まっていない
• ログを取得しているが確認していない

といった状態では、見直しが必要になる可能性があります。

そのため、SCS評価制度★3への対応では、いきなり製品導入や規程作成から始めるのではなく、まず現在のセキュリティ対策を整理し、要求事項とのギャップを確認することが重要です。

株式会社クロイツでは、SCS評価制度★3への対応を支援しています

株式会社クロイツでは、中小企業や医療機関を中心に、実際の運用状況を確認しながら、SCS評価制度★3の要求事項に沿ったセキュリティ体制の整備を支援しています。

例えば、以下のようなご相談に対応しています。

• SCS評価制度★3に向けた現状確認
• 26項目に対する対応状況の整理
• 不足している項目の洗い出し
• セキュリティ規程やルールの整備
• IT資産台帳や各種管理台帳の整備
• アカウント・アクセス権管理の見直し
• バックアップやアップデート運用の確認
• ログ確認体制の整備
• インシデント対応手順書の作成
• サイバーBCPや復旧手順の整備
• セキュリティ教育や机上訓練の実施
• 継続的なセキュリティ運用の支援

弊社では、単にSCS評価制度のチェックリストを埋めることを目的とはしていません。

それぞれの企業や医療機関の規模、体制、予算、既存システムを確認したうえで、実際に継続できるセキュリティ対策を一緒に考えることを重視しています。

SCS評価制度への対応をきっかけとして、実際のセキュリティ体制そのものを見直すことが重要だと考えているためです。

「まず何から確認すればよいか分からない」という段階でもご相談いただけます

SCS評価制度★3への対応を検討しているものの、

「まだ取得を正式に決めていない」

「自社がどの程度対応できているのか分からない」

「何を準備すればよいのか分からない」

という段階でも問題ありません。

まずは現在の状況を確認し、どの項目は対応できているのか、どの項目は見直しが必要なのかを整理するところから始めることができます。

SCS評価制度★3への対応や、自社のセキュリティ体制の見直しについてお悩みの方は、お気軽に株式会社クロイツまでお問い合わせください。

SCS評価制度★3への対応について相談する