【2026年8月最新】SCS評価制度の基本規程が公開｜★3・★4の取得方法とセキュリティ専門家の役割が具体化

情報セキュリティ

SCS評価制度の基本規程公開 ★3・★4の取得方法とSCSセキュリティ専門家の役割

2026年8月28日、独立行政法人情報処理推進機構（IPA）は、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、新たに基本規程や関連規則を公開しました。

今回公開されたのは、単なる検討資料ではありません。

SCS評価制度全体の基本ルールを定める「SCS-100 基本規程」をはじめ、評価機関、技術検証事業者、研修事業者などに関する正式な制度文書です。

これにより、

★3はどのように取得するのか
★3の確認を誰が行うのか
★3・★4の有効期間はどのくらいなのか
★4ではどのような第三者評価を行うのか
SCSセキュリティ専門家とは何者なのか

といった、これまで検討段階だった制度運用の姿がかなり具体的になってきました。IPAは2026年8月28日付で、基本規程を含む7つの規程・規則を正式に公開しています。

本記事では、今回公開された内容のうち、これから★3・★4の取得を検討する企業に特に関係するポイントを整理します。

SCS評価制度とは？

SCS評価制度は、サプライチェーンを構成する企業のサイバーセキュリティ対策状況を共通の基準で評価・可視化する制度です。

近年では、自社のセキュリティ対策だけを強化しても、委託先や取引先などを経由して攻撃を受けるケースが問題になっています。

一方、取引先企業側からすると、発注企業ごとに異なるセキュリティチェックシートへの回答を求められるなど、大きな負担が発生しています。

SCS評価制度では、共通の要求事項・評価基準に基づく★評価を利用することで、

「その企業が一定水準のセキュリティ対策を実施しているか」

を発注者側から確認しやすくすることを目的としています。IPAの基本規程でも、登録結果を取引時の確認に利用しやすくするとともに、サプライチェーン全体のリスク低減とサイバーレジリエンス強化につなげることが制度の目的として明記されました。

現在は主に、

★3
★4

の制度構築が進められており、2027年3月頃の運用開始が予定されています。★5については今後別途制度化される予定です。

2026年8月28日に何が公開されたのか

今回IPAから公開された主な制度文書は次の7つです。

文書番号	文書名
SCS-100	基本規程
SCS-110	制度運営機関規則
SCS-111	運営審議委員会規則
SCS-112	指定委員会規則
SCS-210	評価機関指定規則
SCS-220	技術検証事業者指定規則
SCS-230	研修事業者指定規則

中でも最も重要なのが「SCS-100 基本規程」です。

基本規程は、SCS評価制度に参加する企業だけでなく、

IPA
評価機関
技術検証事業者
研修事業者
SCSセキュリティ専門家

など、制度に関わるすべての者に適用される最上位の制度文書として位置付けられています。

これまでSCS評価制度については「制度構築方針」や委員会資料によって方向性が示されてきましたが、今回から正式な制度運用ルールが順次整備される段階に入ったと考えてよいでしょう。

★3は「専門家確認付き自己評価」

今回の基本規程で特に重要なのが、★3の取得方法です。

★3は第三者認証制度ではなく、

「専門家による確認を受けた自己評価」

という仕組みになります。

基本規程では、★3取得までの流れが次のように定められました。

★3登録までの基本的な流れ

企業が★3要求事項・評価基準に基づいて自己評価する
社内または社外の「★3確認責任者」が自己評価内容を確認する
★3確認責任者が確認したことを署名する
企業が自己適合宣言を行う
IPAへ★3登録申請を行う
IPAが登録し、公表する

ここで注目すべきなのが、

「社内外の★3確認責任者」

という点です。

つまり、必ず自社内に専門家を配置しなければならないわけではありません。

SCSセキュリティ専門家などの外部専門家による支援・確認を受けながら★3取得を目指す仕組みも正式に想定されています。

SCSセキュリティ専門家とは？

今回の基本規程では、「SCSセキュリティ専門家」についても正式な定義が設けられました。

SCSセキュリティ専門家とは、

一定以上のセキュリティ能力を持つと認められる資格を保有している
指定された研修事業者によるSCS研修を受講する
IPAにSCSセキュリティ専門家として登録する

という条件を満たした専門家です。

そして★3では、企業が実施した自己評価について、

評価内容の妥当性を確認する
必要に応じて評価内容の修正を助言する
確認・助言を行ったことを署名する

という役割を担います。

単に自己評価表へ署名するだけではなく、実際に評価内容を確認し、問題があれば修正を求める役割である点が重要です。

情報処理安全確保支援士も対象資格

では、誰がSCSセキュリティ専門家になれるのでしょうか。

IPAが公開しているFAQでは、資格要件として次のいずれかを保有する必要があるとされています。

情報処理安全確保支援士
公認情報セキュリティ監査人
CISSP
CISA
CISM
ISO27001主任審査員

このため、国家資格である「情報処理安全確保支援士」は、SCSセキュリティ専門家になるための対象資格の一つです。

ただし、ここには注意が必要です。

情報処理安全確保支援士だけでは★3確認はできない

「情報処理安全確保支援士であれば、そのままSCS★3の確認・署名ができる」

という意味ではありません。

現時点で示されている制度を整理すると、

情報処理安全確保支援士などの対象資格を保有
↓
SCS評価制度の所定研修を受講
↓
必要な要件を満たす
↓
IPAへSCSセキュリティ専門家として登録
↓
SCSセキュリティ専門家として活動

という流れになります。

IPAの基本規程でも、研修事業者がSCSセキュリティ専門家候補者に対し、制度知識だけでなく、専門家として業務を行う際の手順や注意事項について教育することが明記されています。

SCS専門家向け研修はいつ始まる？

2026年8月時点では、個人が申し込めるSCSセキュリティ専門家向け研修はまだ開始されていません。

IPAはまず、SCS研修を提供する「研修事業者」を指定します。

2026年8月20日の指定委員会では、研修事業者の指定が12月下旬となるため、評価機関等の要員に対する初回研修は2027年1月以降になるとの見通しが示されています。

また、IPAは2026年9月14日に、

評価機関
技術検証事業者
研修事業者

として制度参画を検討している企業向けの説明会を開催します。

したがって、SCSセキュリティ専門家になりたい個人については、指定研修事業者の決定後に研修募集が始まると考えられます。

なお、研修の具体的な時間、受講料金、申込方法、修了試験などの詳細は、今後公開される「研修実施基準」などによって明らかになる予定です。基本規程では研修実施基準について一般公開するとしています。

★3の有効期間は「1年間」

今回の基本規程でもう一つ重要なのが、★3の有効期間です。

★3の有効期間は、

登録完了通知から1年間

と正式に定められました。

したがって、一度★3を取得すれば終わりではありません。

更新する場合には、登録内容に変更がない場合でも、

要求事項の遵守状況を再度自己評価する
★3確認責任者による確認・助言を受ける
更新した自己評価をIPAへ提出する

必要があります。

これは企業にとって非常に重要です。

SCS評価制度では、

「取得時だけ書類を整える」

のではなく、

「毎年、実際にセキュリティ対策が継続されているか確認する」

ことが求められることになります。

★4は第三者評価＋技術検証

★4は★3とは大きく異なります。

★4では企業による自己評価だけではなく、IPAから指定された「評価機関」による第三者評価を受けます。

基本規程では第三者評価について、

文書確認
実地審査
技術検証

を行い、要求事項・評価基準への適合性を外部機関が公平・適正に評価する仕組みと定義しています。

さらに今回の基本規程では、「★4技術検証ガイド」が、

技術検証として実施される脆弱性診断

について定める文書であることも明記されました。

このため★4では、書類や規程だけではなく、実際のIT環境について技術的な検証を受けることになります。

★4の有効期間は3年間。ただし毎年自己評価が必要

★4の有効期間は、

登録完了から3年間

です。

ただし、「3年間何もしなくてもよい」という意味ではありません。

★4登録企業は有効期間中も1年ごとに自己評価を実施し、その結果を評価機関へ提出する必要があります。

また、

適用範囲を変更した
セキュリティ対策に大きな影響を与える変更があった

場合には、3年を待たずに再度評価機関による評価を受ける場合があります。

そして3年ごとの更新時には、再び第三者評価を受ける必要があります。

★3と★4の違いを整理

今回の正式規程を踏まえると、★3と★4は次のように整理できます。

項目	★3	★4
基本的な評価方法	自己評価	第三者評価
専門家	★3確認責任者	評価機関
自己適合宣言	必要	必要
文書確認	あり	あり
実地審査	原則★4	あり
技術検証	なし	あり
脆弱性診断	原則なし	技術検証として実施
有効期間	1年	3年
期間中の確認	毎年更新	毎年自己評価
更新時	専門家確認付き自己評価	3年ごとに第三者評価

つまり、

★3

「企業自身が対策状況を評価し、それをセキュリティ専門家が確認する」

制度。

★4

「企業の自己評価に加えて、外部評価機関による第三者評価と技術検証を受ける」

制度。

と理解すると分かりやすいでしょう。

今回の更新で「決まったこと」と「まだ決まっていないこと」

今回の規程公開によって制度は大きく具体化しました。

一方で、すべてが決まったわけではありません。

今後公開予定の重要文書として、基本規程では次のものが挙げられています。

評価機関指定基準
技術検証事業者指定基準
研修事業者指定基準
研修実施基準
★3・★4自己評価等ガイド
★4第三者評価ガイド
★4技術検証ガイド
★3・★4登録申請の手引
★3・★4要求事項・評価基準解説書

特に、企業側から見て重要なのが、

「★3・★4自己評価等ガイド」

と、

「★3・★4要求事項・評価基準解説書」

です。

IPAでは要求事項・評価基準の解説書を2026年10月頃に公開予定としています。

SCSセキュリティ専門家の詳細要件も今後さらに明確になる

SCSセキュリティ専門家についても、基本的な仕組みは決まりましたが、細かな要件はまだ確定していません。

基本規程でも、★3確認責任者・確認従事者の具体的要件については「別途定める」とされています。

2026年8月20日の指定委員会でも、

「SCSセキュリティ専門家に関する要件や取決めを早急に明確化すべき」

との意見が示されています。

特に、自社内にSCS専門家を配置したい企業が多いことから、早期公表を求める意見も出ています。

したがって、情報処理安全確保支援士などの資格保有者がSCS専門家を目指す場合も、今後公開される研修・登録要件を確認する必要があります。

企業はいま何を準備すべきか？

SCS評価制度の開始は2027年3月頃が予定されています。

「まだ制度開始まで時間がある」と考える企業もあるかもしれません。

しかし、★3・★4ともに要求事項・評価基準自体はすでに公開されています。

そのため、今から次の準備を始めることができます。

1．現在のセキュリティ対策を把握する

まずはSCS要求事項と現在の対策状況を比較します。

2．不足している対策を洗い出す

規程だけでなく、

アカウント管理
脆弱性管理
バックアップ
ログ管理
インシデント対応
委託先管理
教育・訓練

など、実際の運用状況まで確認します。

3．証跡を残す

SCS評価では、

「対策をやっています」

という説明だけではなく、実際に実施していることを示す記録が重要になります。

4．★3か★4かを検討する

すべての企業が最初から★4を目指す必要があるわけではありません。

取引先から求められる水準や、自社の事業・情報資産・サプライチェーン上の重要性を踏まえ、取得する段階を検討します。

5．制度開始直前ではなく、早めに準備する

特に★3でも、26項目について実際の対策と証跡を整える必要があります。

制度開始直前に規程だけを作成して対応するのではなく、実際の運用として定着させておくことが重要です。

まとめ｜SCS評価制度はいよいよ「制度設計」から「運用準備」へ

2026年8月28日の基本規程公開は、SCS評価制度にとって大きな節目となります。

今回明確になった主なポイントは、

★3は専門家確認付き自己評価
外部の★3確認責任者による支援も可能
SCSセキュリティ専門家制度が正式に位置付けられた
情報処理安全確保支援士は専門家になるための対象資格の一つ
ただし所定研修とIPAへの登録が必要
★3の有効期間は1年間
★4の有効期間は3年間
★4は毎年自己評価が必要
★4では第三者評価と技術検証を実施
技術検証では脆弱性診断が実施される

という点です。

これまでSCS評価制度は「どのような制度になるのか」という検討段階の情報が中心でした。

今回、基本規程が正式に公開されたことで、

「企業が実際にどうやって★を取得し、その後どのように維持するのか」

という運用段階がかなり見えるようになりました。

一方で、自己評価ガイド、登録申請の手引、研修実施基準など、まだ公開されていない重要資料もあります。

今後これらが公開されることで、★3・★4取得に必要な具体的な実務もさらに明確になると考えられます。

弊社でも引き続き、経済産業省・IPAの公表情報を確認し、制度変更や新しいガイドライン等が公開された際には随時情報を更新していきます。

SCS評価制度への対応をご検討の企業様へ

SCS評価制度への対応では、チェックシートへ回答するだけでなく、

「要求事項を満たすために何を整備するのか」

「現在できていることと不足していることは何か」

「実際に運用されていることを、どのような証跡で示すのか」

を整理することが重要です。

弊社では、SCS評価制度の★3・★4要求事項を踏まえた現状確認、ギャップ分析、規程・運用・証跡整備など、制度開始を見据えたセキュリティ対策のご相談を承っています。

「まず現在の対策状況だけ確認したい」

「★3を目指す場合、何から始めればよいか分からない」

といった段階でもご相談いただけます。

お問い合わせ

公式関連情報

今回の記事では、IPAが2026年8月28日に公開した「SCS-100 基本規程」および関連する公式資料を参照しています。

IPA「SCS評価制度制度規程・委員会」

IPA「SCS評価制度よくある質問」

IPA「SCS評価制度要求事項・評価基準」

IPA「評価機関、技術検証事業者、研修事業者向け説明会」