【SCS評価制度★3徹底解説 第11回】専門家確認では何を見られる？自己評価から確認・助言までの流れを実務目線で解説

情報セキュリティ

SCS評価制度★3への対応を進め、26の評価項目に沿った対策を実施し、必要な文書や台帳、記録、証跡を整理した後に待っているのが、セキュリティ専門家による確認です。

SCS評価制度★3は、企業が自社だけで自己評価を行えば取得できる制度ではありません。

制度上、★3は「専門家確認付き自己評価」と位置付けられており、企業が実施した自己評価の内容について、制度上の要件を満たすセキュリティ専門家による確認・助言を受ける仕組みとなっています。

IPAによると、SCS評価制度におけるセキュリティ専門家は、★3の自己評価結果について確認・助言を行う役割を担います。

しかし、企業の担当者からすると、

「専門家には何を見せればよいのか」

「自己評価で『実施済み』と回答すればよいのか」

「文書があれば評価されるのか」

「どこまで細かく確認されるのか」

といった疑問を持つのではないでしょうか。

本記事では、SCS評価制度★3取得に向けた実践編として、自己評価から専門家確認までに企業がどのような準備をしておくべきなのかを実務目線で解説します。

今回解説するテーマ

今回の第11回では、SCS評価制度★3の26の評価項目そのものではなく、これまでの連載で解説してきた対策を、実際の★3取得に向けてどのように確認していくのかを取り上げます。

主なポイントは次のとおりです。

  • SCS評価制度★3における専門家確認とは何か
  • 自己評価では何を確認するのか
  • 専門家は何を見るのか
  • 文書だけではなく運用実態が重要な理由
  • 専門家確認前に準備しておきたい資料
  • 指摘を受けた場合にどのように対応するのか
  • 専門家確認で起こりやすい問題
  • 企業が今から準備しておくべきこと

なお、2026年8月時点では、SCS評価制度の具体的な実施内容については2026年度中に引き続き詳細化される予定です。★3・★4の要求事項・評価基準はIPAから公開されていますが、解説書は2026年10月頃の公開予定とされており、申請開始時期も2026年度末頃、すなわち2027年1月から3月頃が予定されています。したがって、本記事では現時点で公表されている制度構築方針やIPAの公式情報を基に、企業が準備すべき実務上の考え方を整理します。

前回までの連載記事

公式資料

IPA公式資料

IPAでは、SCS評価制度の要求事項・評価基準がExcel形式で公開されています。

また、IPAのページでは、★3・★4の要求事項・評価基準に関する解説書は2026年10月頃公開予定とされています。

経済産業省公式資料

経済産業省では、SCS評価制度の制度構築方針とあわせて、★3・★4の要求事項及び評価基準が公開されています。

なお、SCS評価制度は今後も解説書、取得ガイド、申請手続きなどの情報が追加・更新される可能性があります。

実際に★3取得を検討する際は、必ずIPAおよび経済産業省の最新情報を確認してください。

1．SCS評価制度★3は「専門家確認付き自己評価」

まず理解しておきたいのは、SCS評価制度★3の評価方法です。

★3は、一般的なサイバー脅威に対処できる水準を目指す段階として位置付けられており、企業自身が要求事項・評価基準に基づいて自己評価を行い、その自己評価結果についてセキュリティ専門家の確認・助言を受ける仕組みとなっています。

つまり、

自社で「できています」と判断するだけではなく、その判断が妥当なのかを専門家が確認する

という仕組みです。

ここが、単なるチェックリスト形式の自己診断との大きな違いです。

たとえば、

「バックアップを実施しています」

という回答があったとしても、

  • 何をバックアップしているのか
  • どのくらいの頻度で取得しているのか
  • バックアップ先はどこなのか
  • 攻撃者から分離されているのか
  • 復元できることを確認しているのか
  • 誰が管理しているのか

によって、実際のセキュリティ対策としての有効性は大きく異なります。

専門家確認では、単に「実施している」という回答だけではなく、その回答の根拠と実態が一致しているかが重要になると考えるべきです。

2．まず企業自身が26項目を自己評価する

専門家に確認してもらう前に、まず企業自身がSCS評価制度★3の要求事項・評価基準に沿って、自社の対策状況を確認する必要があります。

これまでの連載で解説してきた★3の評価項目は、大きく次の7分野に整理できます。

  1. ガバナンスの整備
  2. 取引先管理
  3. リスクの特定
  4. 攻撃等の防御
  5. 攻撃等の検知
  6. インシデントへの対応
  7. インシデントからの復旧

これらについて、

  • 対応できている
  • 一部対応できている
  • 対応できていない
  • 判断できない

といった形で、自社の現在地を整理していきます。

ここで重要なのは、最初からすべてを「できている」ことにしようとしないことです。

自己評価は、評価を良く見せるための作業ではありません。

現状を正しく把握し、不足している対策を明らかにするための作業です。

「できていない項目がある」

ということ自体よりも、

「できていないことに気付いていない」

「できていると思っていたが、実際には運用されていない」

という状態の方が問題です。

第9回で解説したように、まず26項目のギャップ分析を行い、第10回で解説した文書・台帳・記録・証跡を整理したうえで、自己評価を行うことが重要です。

3．自己評価で重要なのは「○を付けること」ではない

SCS評価制度★3への対応で起こりやすいのが、評価項目を単純なチェックリストとして扱ってしまうことです。

たとえば、

  • パスワードポリシーがあるから対応済み
  • ウイルス対策ソフトを導入しているから対応済み
  • ファイアウォールがあるから対応済み
  • バックアップを取っているから対応済み
  • インシデント対応マニュアルがあるから対応済み

と判断してしまうケースです。

しかし、セキュリティ対策は、製品や文書が「存在すること」と、「実際に機能していること」は同じではありません。

パスワードポリシーの場合

規程には複雑なパスワードを設定すると書かれていても、実際のシステムでは短いパスワードが設定できるかもしれません。

アカウント管理の場合

退職者や異動者のアカウントを削除するルールがあっても、実際には不要なアカウントが残っているかもしれません。

バックアップの場合

毎日バックアップを取得していても、ランサムウェアによってバックアップまで暗号化される構成になっているかもしれません。

インシデント対応の場合

対応手順書を作成していても、担当者がその存在を知らず、緊急時の連絡先も更新されていないかもしれません。

そのため、自己評価では、

「何を導入しているか」ではなく、「要求されている対策が実際に機能しているか」

という視点が必要です。

4．専門家は何を確認するのか

2026年8月時点では、★3の具体的な確認手続や提出様式などは引き続き詳細化の途中です。

一方で、IPAは、SCS評価制度のセキュリティ専門家について、★3の自己評価結果の確認・助言を担う存在であるとしています。

そのため、企業側は少なくとも次の3つを説明できる状態にしておくことが重要です。

① 何をルールとして定めているか

まず確認されるのは、組織としてのルールです。

たとえば、

  • 情報セキュリティ方針
  • アカウント管理ルール
  • パスワード管理ルール
  • 機密情報管理ルール
  • バックアップルール
  • インシデント対応手順
  • 取引先管理ルール

などです。

ただし、すべてについて立派な規程を新たに作成しなければならないという意味ではありません。

重要なのは、

誰が、何を、どのように実施するのかが明確になっていること

です。

② 実際にどのように運用しているか

次に重要になるのが、運用実態です。

たとえばアカウント管理であれば、

「不要なアカウントは削除する」

というルールだけではなく、

  • 誰がアカウントを発行するのか
  • 退職時に誰が削除を依頼するのか
  • どのくらいの頻度で棚卸しをするのか
  • 棚卸し結果をどこに記録するのか

まで説明できる状態が望まれます。

専門家確認を意識するのであれば、

規程に書かれていることと、現場で実際に行われていることが一致しているか

を事前に確認しておく必要があります。

③ 実施したことを何で確認できるか

そして重要になるのが、記録や証跡です。

たとえば、

  • IT資産台帳
  • アカウント一覧
  • アカウント棚卸し記録
  • パッチ適用記録
  • 脆弱性確認記録
  • バックアップ実施記録
  • リストアテスト記録
  • ログ確認記録
  • セキュリティ教育の実施記録
  • インシデント対応訓練の記録
  • 取引先との契約書や確認記録

などが考えられます。

こで大切なのは、証跡を評価の直前に急いで作ることではありません。

日常の業務として実施し、その結果として記録が残っている状態を目指すことです。

5．「文書はあるが実態がない」が最も危険

SCS評価制度★3への対応を進める中で、企業が特に注意したいのが、文書だけを整備してしまうことです。

外部のテンプレートを利用すれば、情報セキュリティ規程やインシデント対応手順書などを作成すること自体は可能です。

しかし、

  • 規程を誰も読んでいない
  • 担当者が決まっていない
  • 実際のシステム構成と内容が違う
  • 連絡先が古い
  • 記載された手順を実行できない
  • 一度も点検していない

のであれば、実効性のあるセキュリティ対策とはいえません。

たとえば、インシデント対応手順書に、

「感染端末をネットワークから隔離する」

と書かれていたとします。

しかし、実際の現場で、

  • 誰が判断するのか
  • LANケーブルを抜けばよいのか
  • Wi-Fi接続はどうするのか
  • サーバーの場合はどうするのか
  • 業務を停止してよいのか
  • 外部の誰に連絡するのか

が決まっていなければ、実際のインシデントでは動けません。

SCS評価制度への対応を、単なる「文書作成プロジェクト」にしてはいけません。

6．専門家確認前に準備しておきたいもの

実際の手続や提出様式は今後さらに具体化される予定ですが、企業としては、少なくとも次の情報を整理しておくことが有効です。制度の具体的な実施内容は2026年度に詳細化される予定であり、最新情報についてはIPAの公表内容を確認する必要があります。

① 26項目の自己評価結果

各項目について、

  • 対応状況
  • 実施内容
  • 担当部署または担当者
  • 根拠となる文書
  • 確認できる記録
  • 残っている課題

を整理します。

単純に「○」「×」だけを付けるのではなく、なぜその評価にしたのか説明できる状態にしておくことが重要です。

② 規程・ルール・手順書

すべてを一つの巨大な規程にまとめる必要はありません。

既存の、

  • 就業規則
  • 情報セキュリティ規程
  • IT機器利用ルール
  • アカウント管理手順
  • バックアップ手順
  • インシデント対応手順

などを活用することも考えられます。

重要なのは、SCS評価制度の要求事項に対して、

「このルールで対応している」

と説明できることです。

③ 各種台帳

代表的なものとして、

  • IT資産台帳
  • ソフトウェア台帳
  • ネットワーク構成情報
  • クラウドサービス一覧
  • 外部サービス一覧
  • アカウント一覧
  • 取引先一覧
  • 機密情報の管理情報

などがあります。

台帳は「作成すること」が目的ではありません。

内容が現在の実態と一致していることが重要です。

④ 運用記録

たとえば、

  • アカウント棚卸し記録
  • バックアップ確認記録
  • 復元確認記録
  • ログ確認記録
  • パッチ適用記録
  • 脆弱性情報の確認記録
  • 教育記録
  • 訓練記録

などです。

SCS評価制度への対応を始めたばかりの企業では、十分な過去記録が存在しない場合もあるでしょう。

その場合には、存在しない記録を後から形式的に作るのではなく、

今後どのような運用で記録を残していくのかを決め、実際に運用を開始すること

が重要です。

⑤ 実際のシステムや設定状況

文書や台帳だけでは、実際の対策状況を完全に確認できない場合があります。

そのため、

  • 多要素認証の設定状況
  • アカウント設定
  • ファイアウォールやUTMの設定
  • OSやソフトウェアの更新状況
  • バックアップ構成
  • セキュリティ製品の管理画面
  • ログの保存状況

などを確認できるようにしておくことも重要です。

ただし、SCS評価制度★3は、特定のセキュリティ製品を導入すること自体を目的とするものではありません。

重要なのは、要求される対策をどのような方法で実現しているかです。

7．専門家確認は「合否判定だけ」ではない

SCS評価制度★3の特徴の一つは、専門家が自己評価結果を確認するだけではなく、助言を行う役割も担うことです。IPAは、セキュリティ専門家の役割を、★3における自己評価結果の「確認・助言」と明記しています。

つまり、専門家確認は、

「できている」

「できていない」

を判定するだけの場ではありません。

たとえば、

「この運用では要求事項を満たしているとは判断しにくい」

「この記録方法では実施状況を確認できない」

「この対策方法であれば、現在の組織規模でも実施できる」

といった助言を受けながら、自己評価の内容を見直していくことが想定されます。

企業側としても、

専門家に指摘されないようにする

という考え方ではなく、

自社だけでは気付けない問題を確認してもらう

という姿勢で臨むことが重要です。

8．専門家から指摘を受けたらどうするのか

専門家確認の結果、自社が「対応済み」と判断していた項目について、追加対応や見直しが必要になることも考えられます。

これは決して珍しいことではありません。

たとえば、

  • ルールはあるが運用されていない
  • 運用はしているが記録がない
  • 一部の端末だけ対策が漏れている
  • 担当者しか仕組みを理解していない
  • 外部委託しているため自社で把握できていない

といった問題は、多くの企業で起こり得ます。

その場合には、指摘内容を、

すぐに修正できるもの

例：

  • 連絡先の更新
  • 台帳の不足項目追加
  • 責任者の明確化
  • 記録様式の作成

運用変更が必要なもの

例：

  • 定期的なアカウント棚卸し
  • ログ確認の開始
  • 脆弱性情報の確認体制
  • バックアップ復元テスト

システム変更や予算が必要なもの

例：

  • 多要素認証の導入
  • 古いシステムの更新
  • ネットワーク構成の見直し
  • バックアップ環境の改善

に分けて整理すると、対応を進めやすくなります。

すべてを同時に解決しようとするのではなく、優先順位を決めて改善していくことが重要です。

9．専門家確認で起こりやすい5つの問題

問題1　担当者の認識だけで「対応済み」にしている

「たぶん実施している」

「業者がやっているはず」

という状態では、正確な自己評価はできません。

事実を確認する必要があります。

問題2　規程と実態が一致していない

規程には立派な内容が書かれていても、実際の運用が違うケースです。

古い規程をそのまま使用している企業では特に注意が必要です。

問題3　外部委託しているため自社で把握していない

システム管理をITベンダーに委託していても、セキュリティに関する責任まで完全になくなるわけではありません。

少なくとも、

  • 何を委託しているのか
  • 誰が何を管理しているのか
  • インシデント時に誰が対応するのか

は把握しておく必要があります。

問題4　製品導入を対策そのものだと考えている

UTM、EDR、ウイルス対策ソフト、バックアップ製品などを導入していても、設定や運用が適切でなければ十分な効果は得られません。

重要なのは、

製品があるかではなく、必要な対策が実際に機能しているか

です。

問題5　評価の直前にすべて準備しようとする

SCS評価制度★3では、日常的な運用が重要になる項目が数多くあります。

そのため、評価直前に、

  • 台帳を作る
  • 記録を作る
  • 規程を作る
  • 担当者を決める

だけでは、本当に運用できる体制になっているとは限りません。

早い段階から実際の運用を始めることが重要です。

10．専門家確認を受ける前のチェックリスト

専門家確認を意識して、次の項目を確認してみてください。

自己評価

□ 26項目すべてについて確認した
□ 自己評価の根拠を説明できる
□ 「対応済み」とした理由を説明できる
□ 未対応項目を把握している
□ 課題の優先順位を決めている

文書・ルール

□ 必要な規程やルールがある
□ 現在の運用と内容が一致している
□ 担当者と責任者が明確である
□ 古い内容が放置されていない

台帳

□ IT資産を把握している
□ ソフトウェアや外部サービスを把握している
□ アカウントを把握している
□ 取引先や委託先との関係を把握している
□ 定期的に更新する仕組みがある

運用

□ アカウント管理を実際に行っている
□ パッチや脆弱性を確認している
□ バックアップを確認している
□ ログやアラートを確認している
□ インシデント対応体制がある
□ 復旧に向けた準備を行っている

記録・証跡

□ 実施したことを確認できる記録がある
□ 記録の保存場所が決まっている
□ 誰が確認したか分かる
□ 一度作成しただけでなく継続的に記録している

一つでも「分からない」という項目がある場合には、専門家確認の前に整理しておくことをおすすめします。

11．SCS評価制度の「セキュリティ専門家」とは

SCS評価制度におけるセキュリティ専門家は、単に「セキュリティに詳しい人」であれば誰でもよいわけではありません。

IPAによると、SCS評価制度のセキュリティ専門家は、所定の資格要件と研修受講要件を満たし、制度の事務局に登録された専門家とされています。

資格要件としては、

  • 情報処理安全確保支援士
  • 公認情報セキュリティ監査人
  • CISSP
  • CISA
  • CISM
  • ISO27001主任審査員

のいずれかの資格保有が必要とされています。

また、IPAはSCS評価制度のセキュリティ専門家について、2027年1月頃から公表する予定としています。

そのため、2026年8月時点では、

「資格を持つ専門家に相談すれば、そのまま★3の正式な確認者になれる」

と確定しているわけではありません。

正式な★3確認を行う専門家については、今後のIPAの公表内容を確認する必要があります。

一方で、制度開始を待ってから準備を始める必要はありません。

現在の段階から、

  • ギャップ分析
  • 規程整備
  • 台帳整備
  • 運用改善
  • 記録の蓄積
  • 自己評価の準備

を進めておくことは可能です。

むしろ、日常的な運用実績が重要になることを考えれば、制度開始前から準備しておくことに大きな意味があります。

12．「制度開始後に考える」では遅い可能性がある

経済産業省は、SCS評価制度の申請受付開始について、2026年度末頃、具体的には2027年1月から3月頃を予定しています。詳細なスケジュールや提出様式などは2026年度中に具体化される予定です。

ここで注意したいのは、

申請が始まってから対策を始める

のでは、準備に時間がかかる可能性があることです。

特に、

  • IT資産の把握
  • アカウント管理
  • 脆弱性管理
  • ログ確認
  • バックアップ確認
  • インシデント対応
  • 教育
  • 定期点検

などは、一度実施すれば終わるものではありません。

継続的な運用が必要です。

SCS評価制度★3への対応を考えている企業は、

  1. 現状を把握する
  2. 26項目とのギャップを確認する
  3. 優先順位を決める
  4. 必要な対策を実施する
  5. 文書・台帳を整備する
  6. 運用を開始する
  7. 記録を残す
  8. 自己評価する
  9. 専門家確認に備える

という順序で、今から準備を進めることが重要です。

まとめ｜専門家確認で重要なのは「説明できるセキュリティ対策」

SCS評価制度★3は、企業が自ら26の評価項目に沿って自己評価を行い、その結果についてセキュリティ専門家の確認・助言を受ける専門家確認付き自己評価の仕組みです。

そのため、企業に求められるのは、

「チェックシートに○を付けること」

ではありません。

重要なのは、

  • なぜ対応済みと判断したのか
  • どのようなルールがあるのか
  • 実際にどのように運用しているのか
  • 誰が担当しているのか
  • 実施したことを何で確認できるのか

を説明できることです。

言い換えれば、

「やっています」ではなく、「このように実施しており、この記録で確認できます」と説明できる状態をつくること

が重要です。

また、専門家確認を「指摘を受けないための試験」と考える必要もありません。

自社だけでは気付けなかった問題を見つけ、より実効性のあるセキュリティ対策へ改善する機会として活用することが重要です。

SCS評価制度★3への対応を通じて本当に目指すべきなのは、★を取得することだけではありません。

サイバー攻撃を受けた際に被害を防ぎ、被害が発生しても拡大を抑え、事業を継続・復旧できる組織をつくることです。

SCS評価制度★3への対応でお困りではありませんか？

株式会社クロイツでは、SCS評価制度★3への対応を検討されている企業様に対して、現状確認から実務的なセキュリティ体制の整備までご支援しています。

たとえば、

  • 26項目のギャップ分析
  • SCS評価制度★3対応ロードマップの作成
  • 規程・ルールの確認と整備
  • IT資産台帳・アカウント管理等の見直し
  • バックアップ・ログ・脆弱性管理の確認
  • インシデント対応体制の整備
  • 自己評価に向けた準備
  • 文書・記録・証跡の整理
  • 専門家確認を見据えた事前確認

など、企業の現在の状況に合わせて対応を進めることが可能です。

弊社では、単にチェックリストを埋めたり、規程のひな型を作成したりするだけではなく、

「実際にこの運用でサイバー攻撃に対応できるのか」

という実務の視点を重視しています。

現役のセキュリティ専門家・ホワイトハッカーとしての知見を活かし、攻撃者の視点も踏まえながら、企業規模やIT環境に合わせた現実的な対策をご支援します。

「何から始めればよいか分からない」

「自社の現在の対応で★3を目指せるのか確認したい」

「規程はあるが、実際の運用に不安がある」

「専門家確認を受ける前に一度整理したい」

といった段階からでもご相談いただけます。

SCS評価制度への対応を、単なる「評価取得のための作業」で終わらせず、今後のサイバー攻撃に耐えられる組織づくりにつなげたい企業様は、ぜひ株式会社クロイツまでご相談ください。

お問い合わせ

次回予告

次回はいよいよ本連載の最終回です。

【SCS評価制度★3徹底解説 第12回】★3取得はゴールではない｜取得後の継続運用とセキュリティ体制の改善を解説

SCS評価制度★3への対応は、評価を取得した時点で終わるものではありません。

IT環境は変化し、従業員は入れ替わり、新しいクラウドサービスやシステムが導入され、サイバー攻撃の手法も変化していきます。

最終回では、

  • ★3取得後に何を続けるべきか
  • 規程・台帳をどのように更新するか
  • 定期点検をどのように運用するか
  • セキュリティ教育や訓練をどう継続するか
  • ★3を取引先との信頼やセキュリティ経営にどう活かすか
  • ★4など次の段階をどう考えるか

を整理し、全12回の連載を総括します。