【SCS評価制度★3徹底解説・第12回】SCS評価制度★3対応は取得して終わりではない｜継続運用と★4を見据えた次の一手

情報セキュリティ

SCS評価制度★3の26項目を確認し、現在の対策状況を整理し、不足している対策を改善する。

必要な規程や台帳、手順書を整備し、自己評価を行い、セキュリティ専門家による確認を受ける。

ここまで進めることができれば、SCS評価制度★3への対応は大きく前進します。

しかし、本当に重要なのはその先です。

SCS評価制度★3は、評価を取得すること自体が最終目的ではありません。

サイバー攻撃の手法は変化します。
システムは更新されます。
従業員は入れ替わります。
新しいクラウドサービスが導入され、取引先との接続関係も変わります。

一度整備したルールや台帳、バックアップ、インシデント対応手順も、放置すれば少しずつ実態と合わなくなっていきます。

本連載では、第1回から第8回までSCS評価制度★3の26項目を分野ごとに解説し、第9回以降ではギャップ分析、実施ロードマップ、必要な文書や証跡、自己評価や専門家確認など、実際に★3対応を進めるための方法を解説してきました。

最終回となる今回は、

「SCS評価制度★3への対応を、その後どのように継続していくのか」

という視点から、制度対応を一過性のプロジェクトで終わらせないための考え方を解説します。

この記事でわかること

この記事では、次の内容を解説します。

  • SCS評価制度★3を「取得して終わり」にしてはいけない理由
  • ★3対応後も継続して確認すべき事項
  • 規程・台帳・ログ・バックアップなどを維持する方法
  • セキュリティ対策を形骸化させないための運用方法
  • ★3から★4へ進む際の考え方
  • SCS評価制度を自社のセキュリティ改善に活用する方法

前回までの連載記事

公式資料

IPA公式資料

IPAでは、SCS評価制度の要求事項・評価基準がExcel形式で公開されています。

また、IPAのページでは、★3・★4の要求事項・評価基準に関する解説書は2026年10月頃公開予定とされています。

経済産業省公式資料

経済産業省では、SCS評価制度の制度構築方針とあわせて、★3・★4の要求事項及び評価基準が公開されています。

なお、SCS評価制度は今後も解説書、取得ガイド、申請手続きなどの情報が追加・更新される可能性があります。

実際に★3取得を検討する際は、必ずIPAおよび経済産業省の最新情報を確認してください。

SCS評価制度★3の本当の目的は「マークを取得すること」ではない

SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を可視化し、サプライチェーン全体のセキュリティ水準向上につなげることを目的とした制度です。

経済産業省は、近年、取引先に影響を与えるサイバー攻撃が頻発する中、発注元からは「取引先のセキュリティ対策状況を判断しにくい」、受注側からは「複数の取引先から異なる要求を受け負担が大きい」といった課題が生じていると説明しています。SCS評価制度は、こうした課題に対応するための共通的な評価の仕組みとして構築されています。

★3は、IPAの説明では「一般的なサイバー脅威に対処しうること」を水準として設定されています。

つまり、★3の26項目は単なる申請書類ではありません。

企業として最低限、

  • 自社のIT環境を把握する
  • アカウントや権限を適切に管理する
  • 脆弱性やマルウェアへの対策を行う
  • 不審な通信や異常を検知する
  • インシデント発生時に対応する
  • 重要なシステムを復旧できるよう備える
  • 取引先との関係を含めてセキュリティを管理する

ための基礎を整えるものです。

したがって、

「評価のために資料を作る」

のではなく、

「実際にセキュリティ対策を行い、その実施状況を説明できる状態にする」

ことが本来の姿です。

★3対応で最も避けたいのは「審査のためだけの対策」

SCS評価制度への対応が始まると、企業によっては次のような状態になる可能性があります。

「台帳が必要だから急いでExcelを作った」

「手順書が必要だからインターネット上のひな形を使った」

「バックアップを取っていることにした」

「教育を実施したことにするため資料だけ作った」

「インシデント対応手順を作ったが、実際には誰も読んでいない」

形式上は資料が存在していても、実態が伴っていなければ、サイバー攻撃が発生した際には役に立ちません。

特にセキュリティ対策では、

文書があることと、実際にできることは別です。

例えば、インシデント対応手順書に、

感染端末をネットワークから隔離する

と書かれていたとします。

しかし実際にインシデントが発生した際、

  • 誰が判断するのか
  • 誰が端末を隔離するのか
  • LANケーブルを抜くだけでよいのか
  • 無線LANはどうするのか
  • サーバーへの影響はどう確認するのか
  • 経営層には誰が報告するのか
  • 取引先への連絡は誰が行うのか

が分からなければ、手順書が存在していても十分とはいえません。

SCS評価制度★3への対応では、「書いてある」状態から「実際にできる」状態へ進めることが重要です。

SCS評価制度★3対応後も継続して確認すべき7つのポイント

★3への対応を一度行った後も、少なくとも次の項目は定期的に見直す必要があります。

1．IT資産台帳は実態と一致しているか

パソコン、サーバー、ネットワーク機器、ソフトウェアなどは、日々変化します。

  • 新しいパソコンを購入した
  • 古い端末を廃棄した
  • サーバーを更新した
  • 新しいソフトウェアを導入した
  • クラウドサービスを契約した

こうした変更が台帳に反映されていなければ、数か月後には実態と一致しなくなります。

資産台帳は「年に一度作り直すもの」ではありません。

資産の追加・変更・廃棄が発生した際に更新される仕組みを作る必要があります。

2．アカウントやアクセス権が適切に管理されているか

従業員の入社、異動、退職によって、必要な権限は変化します。

特に注意したいのが、

  • 退職者のアカウントが残っている
  • 異動前の権限が残っている
  • 管理者権限を持つ利用者が増えている
  • 共用アカウントが使われ続けている
  • 一時的に付与した権限が解除されていない

といった状態です。

アカウント管理は、一度整理すれば終わるものではありません。

人事異動や組織変更と連動して見直す必要があります。

3．脆弱性対策が継続できているか

OSやソフトウェア、VPN機器、ファイアウォール、ネットワーク機器には、新たな脆弱性が発見され続けます。

そのため、

「導入時には最新だった」

「去年アップデートした」

だけでは十分ではありません。

重要なのは、

  • 使用している製品を把握する
  • 脆弱性情報を収集する
  • 自社への影響を確認する
  • 対応の優先順位を判断する
  • 必要な更新を実施する
  • 実施結果を確認する

という流れを継続することです。

セキュリティ対策は「製品を購入すること」ではなく、導入後に管理・運用し続けることが重要です。

4．ログやアラートを実際に確認できているか

UTM、EDR、ファイアウォール、サーバー、クラウドサービスなど、多くのシステムはログを記録します。

しかし、

ログを保存していることと、ログを活用していることは別です。

確認すべきなのは、

  • 誰がログを確認するのか
  • どの程度の頻度で確認するのか
  • 何を異常と判断するのか
  • 異常を発見した場合に誰へ報告するのか
  • 調査結果をどのように記録するのか

という運用です。

高価なセキュリティ製品を導入していても、アラートを誰も確認していなければ、攻撃を早期に発見できない可能性があります。

5．バックアップから本当に復旧できるか

バックアップについて最も危険なのは、

「バックアップを取っているから大丈夫だと思っている状態」

です。

実際には、

  • バックアップデータが破損している
  • 必要なデータが含まれていない
  • バックアップ先もランサムウェアの影響を受ける
  • 復旧手順が分からない
  • 復旧に想定以上の時間がかかる

といった問題が発生する可能性があります。

そのため、バックアップは取得するだけではなく、

実際に復旧できることを確認する

必要があります。

6．インシデント対応手順が現在の組織に合っているか

インシデント対応手順書を一度作成しても、

  • 担当者が退職した
  • 組織体制が変わった
  • システム構成が変わった
  • 委託先が変更された
  • 緊急連絡先が変わった

場合には、手順書も更新しなければなりません。

特に緊急時の連絡先一覧は、古くなりやすい情報です。

最低限、

  • 社内の責任者
  • 経営層
  • システム担当者
  • 保守ベンダー
  • セキュリティ支援先
  • 必要に応じた外部機関

への連絡方法が最新であるかを確認する必要があります。

さらに可能であれば、机上訓練などを通じて、

「実際にこの手順で動けるのか」

を確認することが重要です。

7．取引先や外部サービスとの関係が変わっていないか

新しい取引先やクラウドサービスを利用することで、自社のリスクも変化します。

例えば、

  • 新しい業務システムを導入した
  • 外部ベンダーにリモート接続を許可した
  • クラウド上で機密情報を扱うようになった
  • 新しい委託先へデータを提供するようになった

といった場合です。

自社内部だけを見ていても、サプライチェーン全体のリスクを管理することはできません。

SCS評価制度の目的そのものが、取引関係の中でセキュリティ対策を確認しやすくし、サプライチェーン全体の強靱性を高めることにあります。

SCS評価制度★3の継続運用は「PDCA」よりも日常業務への組み込みが重要

セキュリティ対策では、よくPDCAという言葉が使われます。

もちろん、定期的な見直しと改善は重要です。

しかし、中小企業や専任のセキュリティ担当者がいない企業では、

「毎年PDCAを回しましょう」

と言われても、実際には続かないことがあります。

そこで重要なのが、

セキュリティ対策を特別な作業にしないこと

です。

例えば、

パソコンを購入したとき

→ 資産台帳へ登録する

従業員が退職したとき

→ アカウントとアクセス権を削除する

新しいサービスを契約するとき

→ セキュリティ条件を確認する

システムを変更したとき

→ ネットワーク構成図を更新する

月に一度

→ アカウントとログを確認する

定期的に

→ バックアップの復旧確認を行う

年に一度

→ インシデント対応手順を確認し、訓練を行う

このように、既存の業務プロセスにセキュリティ確認を組み込むことで、継続しやすくなります。

「全部を毎日確認する」必要はない

SCS評価制度★3への対応を考えたとき、

「これだけ多くの項目をずっと管理するのは無理ではないか」

と感じる企業もあるでしょう。

しかし、すべての項目を毎日確認する必要はありません。

重要なのは、項目ごとに適切な確認タイミングを決めることです。

確認対象 確認のタイミング例
IT資産台帳 機器の追加・変更・廃棄時
アカウント 入退社・異動時、定期点検
管理者権限 定期的な棚卸し
脆弱性情報 継続的な情報収集
ログ 定めた頻度で確認
バックアップ 定期的な取得確認・復旧確認
インシデント対応手順 組織変更時・定期見直し
緊急連絡先 担当変更時・定期見直し
取引先との関係 契約・接続・委託内容の変更時
セキュリティ教育 定期実施・入社時

重要なのは、

「誰が、いつ、何を確認するのか」

を決めることです。

★3から★4へ進むべき企業とは

SCS評価制度では、★3と★4で評価の仕組みが異なります。

★3は、取得希望組織が自己評価を行い、その内容について制度上の要件を満たすセキュリティ専門家が確認・助言を行う専門家確認付き自己評価です。

一方、★4では、評価機関による第三者評価に加え、技術検証が求められます。

また、IPAは、★4について、初期侵入の防御だけではなく、被害拡大の防止や取引先のデータ・システム保護、サプライチェーン上の役割に応じた強靱化策まで含む水準として説明しています。

そのため、次のような企業では、将来的に★4を検討する意味が大きくなる可能性があります。

  • 多くの企業の重要情報を扱っている
  • 取引先のシステムへ接続している
  • 自社の停止が多くの取引先へ影響する
  • サプライチェーン上で重要な役割を担っている
  • 高いセキュリティ水準を取引先から求められている
  • 自社のセキュリティ対策をより客観的に確認したい

ただし、すべての企業が必ず★3を取得してから★4へ進まなければならないわけではありません。

IPAは、上位段階が下位段階の要求を包括するものの、★3を事前に取得していなければ★4を取得できないという関係ではないと説明しています。

自社がサプライチェーンの中でどのような役割を担っているのかを踏まえ、必要な水準を判断することが重要です。

まずは★3を「自社のセキュリティ基盤づくり」として活用する

多くの企業にとって重要なのは、いきなり高度なセキュリティ対策を導入することではありません。

まず、

  • 何を保有しているのか分からない
  • 誰が管理者なのか分からない
  • 退職者のアカウントが残っている
  • 脆弱性情報を確認していない
  • ログを見ていない
  • バックアップから復旧したことがない
  • インシデント時の連絡先が決まっていない

といった基礎的な問題を解消することが重要です。

攻撃者の立場から考えても、

  • 不要なアカウント
  • 過剰な権限
  • 未修正の脆弱性
  • 管理されていない端末
  • 誰も確認していないログ
  • 復旧できないバックアップ
  • 混乱するインシデント対応

は、攻撃を成功させやすくする要因になります。

逆にいえば、こうした基礎を一つずつ整えるだけでも、攻撃者にとっては攻撃を進めにくい環境になります。

SCS評価制度★3の26項目は、

高価なセキュリティ製品を大量に購入するためのリストではありません。

2026年4月には経済産業省と内閣官房国家サイバー統括室が、SCS評価制度について「取得していないと商取引が規制される」「特定の製品を導入しなければならない」といった誤解を招く勧誘に注意するよう公表しています。制度は任意であり、特定のセキュリティ製品の導入が必須とされているものではありません。

重要なのは、自社のリスクと現状を理解したうえで、必要な対策を実際に機能させることです。

SCS評価制度★3対応を形骸化させないための確認チェックリスト

最後に、★3対応後の継続運用を確認するためのチェックリストを整理します。

体制

□ セキュリティ対策の責任者が明確になっている
□ 担当者が変更された場合に引き継ぎが行われている
□ 経営層が自社のセキュリティ状況を把握している

資産・ネットワーク

□ IT資産台帳が現在の実態と一致している
□ ネットワーク構成の変更が反映されている
□ 新しいクラウドサービスや外部サービスを把握している

アカウント・権限

□ 退職者や異動者のアカウントを見直している
□ 管理者権限を必要な利用者だけに限定している
□ 不要な共用アカウントを放置していない

防御・脆弱性対策

□ 脆弱性情報を継続的に確認している
□ 必要なアップデートを実施している
□ マルウェア対策や境界防御の状態を確認している

検知

□ ログやアラートを実際に確認している
□ 異常を発見した場合の報告先が決まっている
□ 確認結果を記録している

インシデント対応

□ 対応手順が現在の組織体制と一致している
□ 緊急連絡先が最新になっている
□ 定期的に訓練や手順確認を行っている

復旧

□ バックアップが正常に取得されている
□ バックアップから復旧できることを確認している
□ 重要な業務の復旧優先順位を把握している

取引先

□ 新しい取引先や外部接続を把握している
□ 機密情報の取扱いを確認している
□ インシデント発生時の役割分担を確認している

2026年8月時点では、制度の詳細は今後も更新される

SCS評価制度については、2026年8月現在、★3・★4の要求事項・評価基準がIPAから公開されていますが、制度の具体的な実施内容については引き続き詳細化が進められています。

経済産業省は2026年度末頃の制度開始を目指しており、IPAも具体的な実施内容について2026年度中に検討・詳細化するとしています。

また、★3の自己評価結果を確認する制度上のセキュリティ専門家については、対象資格の保有に加えて所定の研修受講と制度事務局への登録が必要とされ、研修事業者は2026年12月末頃からの公表が予定されています。

そのため、今後、評価ガイドや申請方法などの詳細が公表された際には、その内容を確認し、必要に応じて対応方法を見直す必要があります。

ただし、

「制度の詳細がすべて決まるまで何もしない」

必要はありません。

IT資産の把握、アカウント管理、脆弱性対策、バックアップ、ログ確認、インシデント対応などは、SCS評価制度のためだけに必要なものではありません。

現在の評価基準を参考に、自社の不足している対策を整理し、改善を進めることには十分な意味があります。

まとめ｜SCS評価制度★3は「取得」ではなく、セキュリティを継続できる企業になるための出発点

全12回にわたり、SCS評価制度★3について解説してきました。

第1回では、★3の26項目と7つの分野の全体像を確認しました。

その後、

  • ガバナンスの整備
  • 取引先管理
  • リスクの特定
  • 攻撃等の防御
  • 攻撃等の検知
  • インシデントへの対応
  • インシデントからの復旧

という★3の要求事項を順番に確認し、さらに実践編として、ギャップ分析から実際の対応、文書・証跡の整備、自己評価や専門家確認までを解説してきました。

しかし、最も重要なことは、

SCS評価制度★3を取得するためだけのセキュリティ対策にしないこと

です。

セキュリティ対策に終わりはありません。

新しいシステムが導入されればリスクは変わります。

新しい従業員が入れば教育が必要になります。

新しい脆弱性が発見されれば対応が必要になります。

攻撃を完全に防ぐこともできません。

だからこそ、

自社の状況を把握し、必要な対策を行い、異常を確認し、問題が起きたときに対応し、復旧し、その後に改善する。

この仕組みを継続できる企業になることが重要です。

SCS評価制度★3は、そのための一つの基準として活用できます。

評価のために会社を変えるのではありません。

自社のセキュリティを本当に強くするために制度を活用する。

それが、SCS評価制度★3への対応で最も大切な考え方ではないでしょうか。

SCS評価制度★3への対応でお困りではありませんか？

SCS評価制度★3の26項目を確認しても、

「自社がどこまで対応できているのか分からない」

「何から始めればよいのか分からない」

「規程や台帳はあるが、評価基準を満たしているのか判断できない」

「ITベンダーに任せているため、自社の状況を把握できていない」

「セキュリティ担当者がおらず、継続的な運用が難しい」

といった企業も少なくないと考えられます。

株式会社クロイツでは、単にチェックリストを埋めるだけではなく、企業の実際のIT環境や運用状況を確認したうえで、SCS評価制度★3を見据えたセキュリティ対策の整備を支援しています。

ご支援では、例えば次のような内容に対応します。

  • SCS評価制度★3の26項目に基づく現状確認
  • ギャップ分析と対応優先順位の整理
  • IT資産・ネットワーク・アカウント管理状況の確認
  • 規程・台帳・手順書の整備支援
  • ログ確認や脆弱性管理の運用支援
  • バックアップ・復旧体制の確認
  • インシデント対応手順の整備
  • セキュリティ教育・訓練
  • 継続的なセキュリティ運用の支援

SCS評価制度への対応では、すべてを一度に行う必要はありません。

まず現在の状況を把握し、自社にとって重要な部分から順番に改善していくことが重要です。

「SCS評価制度★3に対応したいが、何から始めればよいか分からない」

という段階からでもご相談いただけます。

SCS評価制度への対応を、単なる申請準備ではなく、自社のセキュリティ体制を見直す機会として活用してみてはいかがでしょうか。

お問い合わせ

全12回の連載を終えて

SCS評価制度は、2026年度末頃の制度開始が予定されている新しい制度です。

今後、制度の詳細がさらに具体化されることで、企業が実際に対応を進める場面も増えていくと考えられます。

しかし、制度が始まってから慌てて資料を作るのではなく、今の段階から自社のセキュリティ対策を確認し、不足している部分を少しずつ改善しておくことが重要です。

本連載が、SCS評価制度★3への対応だけではなく、皆様の組織におけるセキュリティ対策を見直すきっかけになれば幸いです