【2026年10月最新】SCS評価制度の評価ガイド公開｜★3・★4取得方法と変更点を徹底解説

情報セキュリティ

2026年10月28日、独立行政法人情報処理推進機構（IPA）は、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、新たに4種類の評価用ガイド・解説書を公開するとともに、要求事項・評価基準を改訂しました。

今回の更新は、これからSCS評価制度への対応を検討する企業にとって、非常に重要なものです。

これまでSCS評価制度については、★3・★4でどのようなセキュリティ対策が求められるかという「要求事項」が中心に示されていました。

しかし、企業が実際に評価を取得するためには、要求事項を理解するだけでは十分ではありません。

「どのシステムを評価対象に含めればよいのか」

「自己評価はどのように記入するのか」

「どのような証跡を残せばよいのか」

「SCSセキュリティ専門家は何を確認するのか」

「★4ではどのような技術検証が行われるのか」

こうした実務上の疑問に対して、今回公開されたガイドでは具体的な説明が示されています。

また、脆弱性管理に関する一部の評価基準も改訂され、セキュリティパッチの適用期限や、やむを得ず期限内に対応できない場合の考え方が整理されました。

本記事では、2026年10月28日に公開されたIPAの公式資料を基に、SCS評価制度の変更点、★3・★4の取得方法、企業が準備すべきことを詳しく解説します。

この記事の要点

今回の更新で特に重要なのは、次の点です。

  • ★3・★4の自己評価に使用する公式ガイドとアセスメントシートが公開された

  • 取得単位と評価対象の適用範囲を決定する方法が具体化された

  • ★3のSCSセキュリティ専門家による確認方法が明確になった

  • 自己評価結果をPDFとSHA-256のハッシュ値で保管する手順が示された

  • ★4の第三者評価・技術検証の具体的な方法が公開された

  • 脆弱性の14日以内対応に関して、リスクを踏まえた管理方法が整理された

結論からいえば、SCS評価制度への対応を検討する企業は、制度開始を待たずに、現在の情報資産、セキュリティ対策、規程、運用状況の確認を始めることができます。

関連記事一覧

1. SCS評価制度とは？企業に求められるセキュリティ対策を可視化する仕組み

SCS評価制度は、サプライチェーンを構成する企業のサイバーセキュリティ対策状況を、共通の基準によって評価・可視化する制度です。

経済産業省と内閣官房国家サイバー統括室が公表した制度構築方針に基づき、IPAが制度運営を担います。

なぜSCS評価制度が必要なのか

近年のサイバー攻撃では、攻撃者が目的とする企業へ直接侵入するとは限りません。

例えば、大手製造業を標的にする場合でも、その企業へ直接攻撃するのではなく、取引先の中小企業やシステム保守会社などを侵入口として利用することがあります。

発注企業が高度なセキュリティ対策を実施していても、取引先のセキュリティ対策が不十分であれば、サプライチェーン全体としてリスクを抱えることになります。

一方、取引先となる中小企業の立場では、複数の発注企業から、それぞれ異なるセキュリティチェックシートへの回答を求められることもあります。

回答するたびに担当者が資料を集め、同じような項目を繰り返し確認するのでは、限られた人員で対応する中小企業には大きな負担です。

SCS評価制度は、こうした問題を改善するために設けられるものです。

共通の評価基準を利用することで、発注企業は取引先の対策状況を確認しやすくなり、受注企業は自社のセキュリティ対策状況を説明しやすくなります。

ただし、ここで注意したいことがあります。

SCS評価制度は、すべての企業に取得を義務付ける制度ではない

2026年10月時点で、SCS評価制度は任意の制度です。

制度そのものによって、すべての企業に★3・★4の取得が義務付けられるわけではありません。

ただし、発注企業が取引条件として特定の評価段階を求める可能性はあります。

そのため、法的な取得義務がないことと、取引上の必要性が生じないことは別問題です。

自社が重要な製品やサービスを供給している場合や、大手企業との取引が多い場合には、今後の取引先の方針を確認しておくことが重要です。

なお、経済産業省も、SCS評価を取得していないことだけを理由に直ちに商取引が規制されるかのような不適切な勧誘について注意を呼びかけています。

参考：経済産業省「SCS評価制度に関する注意喚起」

2. 今回公開された4種類のガイド・解説書とは

2026年10月28日、IPAが公開した主な資料は以下のとおりです。

文書番号 文書名 主な対象
SCS-410 ★3・★4 自己評価等ガイド ★3・★4取得希望企業、★3確認責任者
SCS-420 ★4 第三者評価ガイド ★4評価機関
SCS-430 ★4 技術検証ガイド 評価機関、技術検証事業者、取得希望企業
SCS-620 ★3・★4 要求事項・評価基準 解説書 取得希望企業、SCSセキュリティ専門家

これらに加え、SCS-400「★3・★4 要求事項・評価基準」も更新され、自己評価で使用できるアセスメントシートのExcelテンプレートも公開されました。

SCS-410：★3・★4 自己評価等ガイド

今回、取得希望企業が最初に確認すべき資料です。

自己評価の進め方、取得単位・適用範囲の決定方法、アセスメントシートの記入方法、証跡の保持、★3確認責任者による確認方法などが説明されています。

特に★3取得を検討している中小企業にとって、実務上の基本資料になります。

SCS-420：★4 第三者評価ガイド

★4における評価機関の評価手順を定めた資料です。

評価契約から文書確認、実地審査、技術検証、評価結果の判定までが扱われています。

★4を目指す企業は、評価機関が何を確認するのかを理解するために参照するとよいでしょう。

SCS-430：★4 技術検証ガイド

★4の技術検証について、対象機器、診断方法、検出結果への対応、実施免除の条件などを説明した資料です。

特にインターネットとの境界に設置されているネットワーク機器の脆弱性管理が重要になります。

SCS-620：★3・★4 要求事項・評価基準 解説書

要求事項を満たすための考え方や、評価基準の解釈を詳しく説明した資料です。

「評価基準にこう書かれているが、具体的に何をすればよいのか」

という疑問を整理する際に役立ちます。

要求事項だけを読むのではなく、SCS-410とSCS-620を組み合わせて確認することが、今後のSCS対応では重要になります。

3. ★3と★4の取得方法はどう違うのか

SCS評価制度では、★3と★4で求められるセキュリティ対策の水準と評価方法が異なります。

比較項目 ★3 ★4
要求事項数 26件 43件
評価方法 専門家確認付き自己評価 第三者評価
評価に関わる専門家 ★3確認責任者 指定評価機関
文書確認 あり あり
実地審査 制度上の必須工程ではない あり
技術検証 ★4のような必須工程はない あり
有効期間 1年間 3年間
取得後の主な対応 毎年の自己評価・専門家確認による更新 毎年の自己評価、3年ごとの第三者評価

★3は、一般的なサイバー攻撃に対処するための基礎的な組織的・技術的対策を中心としています。

★4では、初期侵入の防止だけでなく、侵入後の被害拡大を防ぐ対策や、サプライチェーンにおける自社の役割に応じた対策まで含めて評価します。

なお、★4を取得するために、必ず先に★3を取得しなければならないわけではありません。

★3でも、単に自己評価表へ記入すれば取得できるわけではない

ここは誤解されやすい部分です。

★3の評価方式は「専門家確認付き自己評価」です。

自社で自己評価を実施した後、所定の要件を満たす★3確認責任者による確認を受け、経営層が自己適合宣言を行う必要があります。

つまり、社内担当者が「対策できている」と判断するだけで取得できる制度ではありません。

一方、★4では、評価機関が文書確認、実地審査、技術検証を通じて適合性を評価します。

4. ★3取得の第一歩は「取得単位」と「適用範囲」の決定

今回の自己評価等ガイドで、特に重要だと考えられるのが取得単位と適用範囲の考え方です。

セキュリティ対策を評価するとき、最初に決めなければならないのは「何を評価対象にするか」です。

例えば、本社と複数の支店を持つ企業がSCS★3を取得したい場合、どこまでの情報システムを評価対象に含めるのでしょうか。

本社のパソコンだけでしょうか。

支店のネットワーク機器やクラウドサービスも含むのでしょうか。

このような対象範囲が曖昧なままでは、適切な自己評価はできません。

取得単位は原則として法人単位

SCS-410では、取得単位は原則として法人または個人事業主単位とされています。

事業部単位や企業グループ単位で取得する場合には、合理性があるかどうかについて、★3確認責任者または評価機関による確認が必要です。

適用範囲には、IT基盤の全体像を踏まえた判断が必要

適用範囲を決める際には、例えば次のような情報が重要になります。

  • パソコン、サーバ、ネットワーク機器

  • クラウドサービス

  • インターネット公開サーバ

  • 拠点間ネットワーク

  • 外部委託先が管理するシステム

  • 評価範囲から除外する資産と、その理由

特にインターネットへ公開されているWebサーバやメールサーバなどについては、取得単位の組織が管理するものを適切に適用範囲へ含めているか確認する必要があります。

「管理が難しいから対象外」は通用しない

ここで注意したいのは、都合の悪いシステムを自由に評価対象から除外できるわけではないという点です。

例えば、古いサーバに脆弱性があるため、評価対象から外してしまおうと考えたとします。

しかし、そのサーバが社内ネットワークと接続され、他のシステムへ影響する可能性があるなら、単に書類上で除外するだけでは適切とはいえません。

取得単位の合理性、適用範囲の境界、必要な保護施策を説明できることが重要です。

これは、SCSへの対応以前に、企業の情報資産管理としても欠かせない考え方です。

5. アセスメントシートはどのように記入するのか

今回、IPAは自己評価で使用できる公式アセスメントシートをExcel形式で公開しました。

これは★3・★4の要求事項・評価基準への適合状況を整理するための資料です。

回答は「実施しています」だけでは不十分

例えば、次のような回答を考えてみてください。

「当社では情報セキュリティポリシーを整備しています」

この回答だけでは、どの規程が該当するのか、どの範囲に適用されるのか、現在も有効なのかが分かりません。

より適切な回答とするには、実際の規程名称や具体的な対策内容を明示する必要があります。

回答例を示します。

項目 不十分な回答例 改善した回答例
情報セキュリティ規程 規程を整備済み 情報セキュリティ基本規程を制定し、全従業員を対象として運用
情報資産管理 台帳で管理 情報資産管理台帳に機器名・利用者・管理責任者を記録し定期的に棚卸し
脆弱性管理 更新を実施 更新管理台帳で対象製品、脆弱性、対応期限、適用結果を管理
教育 年1回実施 年次教育の実施日、対象者、内容、受講記録を保存
バックアップ 毎日取得 対象システム、保存先、取得頻度、復元確認記録を管理

これは説明用の例であり、この文章を記入すれば自動的に適合となるわけではありません。

実際の回答では、各評価基準に必要な内容を満たしていることが前提です。

規程・記録・台帳は電子的なものでもよい

今回の自己評価等ガイドでは、「文書」「記録」「台帳」などに、管理システム上の設定や登録情報、ログ、スクリーンショット、CSV等も含まれることが示されています。

つまり、すべてを紙の書類として新たに作る必要があるわけではありません。

既に利用している情報資産管理ツールやチケット管理システム、ワークフローシステムなどの記録も、適切に管理されていれば活用できます。

これは、専任担当者の少ない中小企業にとって重要です。

新しい仕組みを増やす前に、現在使用しているシステムや記録を整理することから始めるとよいでしょう。

6. ★3のSCSセキュリティ専門家は何を確認するのか

SCS★3では、企業自身が実施した自己評価について、★3確認責任者による確認を受ける必要があります。

今回のSCS-410では、その確認方法が具体的に示されました。

専門家が確認する4つの観点

確認の観点 確認内容
網羅性 必要な質問項目が漏れなく回答されているか
正確性 回答が設問の趣旨と整合し、不自然な記載がないか
適時性 評価時点に対して情報が古くなっていないか
一貫性 他の回答内容との矛盾がないか

例えば、アセスメントシートに「情報資産の棚卸しを毎年実施」と回答しているにもかかわらず、最後に棚卸しを実施した日付が数年前であれば、回答の妥当性に疑問が生じます。

また、「重要なシステムには多要素認証を導入している」と回答しているのに、別の項目では対象システムへのパスワード認証のみを記載していれば、回答間の整合性を確認する必要があるでしょう。

このような矛盾や記載不足を確認することが、★3確認責任者の重要な役割です。

★3の専門家確認は、すべての実装状況を監査するものではない

今回のガイドで、特に理解しておくべき点があります。

★3における確認は、原則としてアセスメントシート等に記載された情報に基づいて妥当性を確認するものであり、回答したすべての対策について実際に実施されているかを検証することまで要求されていません。

このため、★3確認と★4第三者評価では、評価の深度が異なります。

ただし、これは企業が事実と異なる自己評価を行ってもよいという意味ではありません。

自己評価内容の真実性については、登録を希望する企業自身が責任を負います。

専門家による確認を受けることと、企業自身が適切な対策を実施することは、明確に区別しなければなりません。

SCSセキュリティ専門家になるには

SCSセキュリティ専門家には、情報処理安全確保支援士などの対象資格を保有し、所定研修を受講するなど、定められた要件を満たして登録する仕組みが設けられています。

情報処理安全確保支援士の資格を持っているだけで、自動的に★3確認責任者になれるわけではありません。

指定研修事業者の公表は2026年12月下旬頃に予定されており、制度開始までに専門家の登録体制が整備される予定です。

7. 自己評価結果をPDFとSHA-256のハッシュ値で保管する

今回の更新で、技術的に注目したいのが、アセスメントシートの保管方法です。

SCS-410では、登録申請時点のアセスメントシートが後から変更されていないことを確認できるよう、PDFファイルとハッシュ値を保管する仕組みが示されました。

なぜハッシュ値が必要なのか

ハッシュ値とは、ファイルの内容から計算される固定長のデータです。

同じファイルに対して同じハッシュアルゴリズムを使用すれば、同じハッシュ値が得られます。

一方、ファイルの内容が変更されると、通常はハッシュ値も変わります。

そのため、登録時に計算したハッシュ値と、後から保管ファイルに対して計算したハッシュ値を照合することで、ファイルが変更されていないかを確認できます。

SCS評価制度ではSHA-256を使用します。

★3での保管方法

★3では、専門家による適合判断と自己適合宣言に係る署名・記名が完了したアセスメントシート全体をPDF化し、そのPDFについてSHA-256のハッシュ値を算出します。

そのうえで、PDFファイルとハッシュ値を適切に保管し、ハッシュ値を制度運営機関へ提出します。

WindowsでSHA-256を確認する方法

WindowsのPowerShellであれば、追加の有料ソフトを導入せずにハッシュ値を算出できます。

例えば次のコマンドです。

Get-FileHash -Path "C:\SCS\assessment.pdf" -Algorithm SHA256

実行すると、対象ファイルのSHA-256ハッシュ値が表示されます。

ただし、ファイル名や保存場所は実際の環境に合わせて変更してください。

ハッシュ値で証明できること、できないこと

ここで注意したいのは、ハッシュ値は自己評価の内容が正しいことを証明するものではないという点です。

例えば、誤った内容のアセスメントシートであっても、そのファイルのハッシュ値を計算することは可能です。

ハッシュ値が示すのは、基準として保存したファイルとの同一性であり、記載内容の正確性ではありません。

したがって、適切な自己評価と、その記録の完全性を確保することは別々に考える必要があります。

また、ハッシュ値だけを保管しても元のファイルは復元できないため、PDF本体も必ず保管する必要があります。

8. 脆弱性の14日以内対応はどう変わったのか

今回、要求事項・評価基準自体にも一部修正が加えられました。

特に重要なのが、セキュリティパッチとアップデートに関する評価基準4-4-4-2です。

今回の変更を理解するうえで最も重要なのは、

「14日以内に対応するという原則がなくなったわけではない」

という点です。

従来の評価基準

従来の評価基準では、特定の重大な脆弱性を修正するアップデートプログラムについて、リリースから14日以内に適用することが求められていました。

期限内にアップデートできない場合には、対象機能の無効化やネットワーク分離などの代替対策を実施することとされていました。

今回の変更内容

2026年10月28日版では、要求事項・評価基準の本文から一部の具体的な代替対策の記載を整理し、自己評価等ガイドと解説書で詳しく説明する構成へ変更されました。

これは要求水準を単純に緩和するためではなく、脆弱性の悪用状況や運用上の制約を考慮したリスクベースの対応を整理するためです。

IPAは、CVSS基本値7.0以上で実際に攻撃が観測されている脆弱性について、引き続き14日以内の対応を重視しています。

また、攻撃が観測されていない脆弱性などについては、対応計画を策定し、期限と進捗を管理する考え方が示されています。

すべての脆弱性を同じ優先順位で扱うべきではない

例えば、次の2つの脆弱性を考えてみましょう。

ケースA：外部公開VPN装置で悪用が確認されている脆弱性

ある企業が利用するVPN装置について、CVSS基本値9.8の脆弱性が公表され、実際の攻撃も観測されているとします。

さらに、そのVPN装置はインターネットから直接アクセス可能な状態です。

この場合、侵入リスクは高く、迅速な対応が必要です。

パッチ適用がすぐにできない場合でも、ベンダーの回避策、対象機能の無効化、通信制御などを検討し、リスク低減策を実施する必要があります。

単に「運用上の都合で更新できない」と説明するだけでは十分ではありません。

ケースB：悪用が観測されていない社内システムの脆弱性

一方、社内で利用しているシステムにCVSS基本値7.5の脆弱性が見つかったものの、現時点では悪用が観測されておらず、外部から直接アクセスできない構成であるとします。

この場合も脆弱性対応は必要です。

ただし、適用による業務影響や動作検証の必要性などを踏まえ、対応計画を作成し、進捗や対応期限を管理することが認められる場合があります。

重要なのは、脆弱性を放置することではありません。

リスクを把握したうえで、必要な管理を継続することです。

実務では何を記録すればよいのか

脆弱性管理台帳には、例えば次のような情報を記録するとよいでしょう。

管理項目 記録例
対象機器 VPN装置、サーバ、業務端末等
脆弱性識別子 CVE番号
深刻度 CVSS基本値
悪用状況 攻撃観測の有無、KEV掲載等
公開状況 インターネット露出の有無
パッチ情報 提供日、適用予定日
対応期限 根拠とともに設定
代替策 機能無効化、通信制御等
対応状況 未対応、対応中、完了
承認・記録 判断者、対応履歴、再評価日

脆弱性情報の収集源としては、IPAの重要なセキュリティ情報や米国CISAのKEVカタログなどが挙げられています。

なお、CVSS基本値7.0未満であっても、攻撃が実際に観測されているインターネット境界機器の脆弱性などについては、早急な対応が強く推奨されています。

つまり、CVSSの点数だけで判断するのではなく、実際の悪用状況、機器の役割、外部公開状況、業務への影響を組み合わせて判断することが重要です。

9. サポート終了製品を使用している場合はどうなるのか

今回の要求事項・評価基準の修正では、サポートが終了したOSやソフトウェアの扱いも整理されました。

対象となるのは、主に次の評価基準です。

評価基準 主な内容
4-4-2-1（★4） サポートのあるOS・ソフトウェアの利用と、やむを得ず使用を続ける場合の対応
4-4-4-1（★3） 情報機器・OS・ソフトウェアのサポート状況とリスク低減策
4-4-4-2（★3・★4） セキュリティパッチ・アップデート対応

古いシステムは必ず即時撤去しなければならないのか

原則として、適切なサポートが提供されている製品を利用することが重要です。

ただし、現実の企業活動では、古い設備や業務システムをすぐに更新できない場合があります。

例えば、特定の製造設備を制御するソフトウェアが古いOSにしか対応していないケースです。

こうした場合には、単にサポート終了製品を使用しているという事実だけで判断するのではなく、適切なリスク低減策を実施し、更改計画を策定する必要があります。

具体的には、ネットワークからの分離、不要な機能の停止、通信制限、代替機器への移行計画などを検討することになります。

ただし、代替策を実施すれば無期限に使い続けてよいという意味ではありません。

残存するリスクを把握し、必要に応じて対策を見直すことが重要です。

10. ★4の技術検証は何を調べるのか

今回公開されたSCS-430では、★4の技術検証について具体的な方法が示されました。

特に注目すべきなのは、技術検証の対象です。

技術検証の中心はインターネット境界機器

SCS-430では、適用範囲内にあるIT基盤のうち、脆弱性を悪用された場合に組織内部への攻撃の起点となり得る機器を対象としています。

具体的には、

  • VPN装置

  • ルータ

  • ファイアウォール

  • その他、外部から直接アクセス可能な通信制御機器

などです。

こうした機器に対し、外部からの脆弱性診断によって、CVSS基本値7.0以上の脆弱性の有無などを確認します。

重要なのは、★4の技術検証が、必ずしもすべての業務アプリケーションや社内端末へ網羅的なペネトレーションテストを実施する制度ではないという点です。

今回のガイドで具体化された技術検証は、主として評価基準4-4-4-3への適合性を確認するものです。

既に脆弱性診断を実施している企業はどうなるのか

一定の条件を満たす場合、過去の脆弱性診断結果などを証跡として提出し、新たな診断の実施を免除できる仕組みもあります。

例えば、第三者評価の文書確認開始日から過去1か月以内に、ガイドと同等以上の範囲で診断を実施し、その診断事業者が指定技術検証事業者である場合などです。

ただし、過去に脆弱性診断を受けていれば無条件に免除されるわけではありません。

最終的には評価機関による審査が必要です。

そのため、★4取得を検討している企業が独自に脆弱性診断を発注する場合には、正式評価で利用できる診断結果になるかどうか、事前に評価機関等へ確認することが望ましいでしょう。

 

11. SCS★取得後も継続的な管理が必要

SCS評価制度は、一度取得すればその後の管理が不要になる制度ではありません。

★3は1年ごとに更新

★3の登録有効期間は1年間です。

更新時には、最新の状況に基づく自己評価と、★3確認責任者による確認が必要です。

★4は3年間有効。ただし毎年自己評価

★4の登録有効期間は3年間です。

ただし、有効期間中にも毎年自己評価結果を更新し、評価機関へ提出する必要があります。

3年ごとの更新時には再び第三者評価が必要です。

システム構成が大きく変わった場合にも注意

今回の自己評価等ガイドでは、要求事項の達成状況に大きく影響する変更が発生した場合、再確認や再評価が必要になることも示されています。

例えば、次のような変更です。

  • 重要システムの大規模な入れ替え

  • オンプレミス環境からクラウドへの大規模移行

  • ネットワーク構成の大幅な変更

  • 情報セキュリティ規程や運用方法の大きな変更

つまり、登録時の状態を維持するだけでなく、企業のIT環境の変化を継続的に管理する必要があります。

12. 中小企業は今から何を準備すべきか

SCS評価制度は2026年度末頃の運用開始が予定されています。

「正式な申請受付が始まってから準備しよう」と考える企業もあるかもしれません。

しかし、今回のガイド公開によって、既に準備できることはかなり明確になりました。

以下は、当社が推奨する準備の進め方です。

STEP 1：IT資産とネットワーク構成を把握する

最初に、自社が管理しているパソコン、サーバ、ネットワーク機器、クラウドサービス、外部接続点などを把握します。

ネットワーク構成図や情報資産管理台帳が古いままになっている場合には、最新の状態へ更新しましょう。

STEP 2：★3・★4のどちらを目指すか判断する

取引先の要求水準、自社の事業、取り扱う情報、サプライチェーン上の重要性を踏まえて検討します。

すべての企業が最初から★4を目指す必要があるわけではありません。

STEP 3：公式アセスメントシートを使用して現状を確認する

IPAが公開したExcel形式のアセスメントシートを利用し、実施できている対策と不足している対策を整理します。

この時点では、取得できるかどうかだけに注目するのではなく、具体的に不足している対策を洗い出すことが重要です。

STEP 4：不足している対策を優先順位に従って改善する

例えば、インターネット公開機器に重大な脆弱性がある場合には、規程整備より先に対処すべき場合があります。

一方、資産管理台帳が存在せず、何を管理すべきか把握できていない場合には、資産の洗い出しから始める必要があります。

すべてを一度に実施するのではなく、リスクと現場の負担を考慮して改善を進めます。

STEP 5：日常的な運用と証跡管理を整える

規程を作成しただけでは、運用されていることにはなりません。

教育記録、アカウント棚卸し、脆弱性対応、バックアップ確認、インシデント訓練など、実際の活動記録を残すことが重要です。

STEP 6：必要な専門家確認・第三者評価を受ける

★3であれば、所定の要件を満たす★3確認責任者による確認を受けます。

★4の場合は、指定評価機関による第三者評価を受けます。

そのうえで、経営層による自己適合宣言や登録申請へ進みます。

13. SCS評価制度の対応で企業が誤解しやすいこと

今回の更新を踏まえると、特に次のような誤解に注意する必要があります。

「SCS★3を取ればサイバー攻撃を防げる」

SCS評価制度は、一定の要求事項・評価基準への適合状況を示す制度です。

評価を取得しても、サイバー攻撃や情報漏えいが発生しないことを保証するものではありません。

「セキュリティ製品を導入すれば取得できる」

特定のセキュリティ製品を導入するだけで、すべての要求事項を満たせるわけではありません。

規程、責任分担、教育、リスク評価、継続的な管理など、組織的な対策も必要です。

「外部専門家に任せれば経営者は関与しなくてもよい」

★3・★4ともに、経営層による自己適合宣言が必要です。

自己評価の内容と実際のセキュリティ対策について、最終的な責任を外部専門家へ丸投げすることはできません。

「一度★を取得すれば、その後は何もしなくてよい」

取得後も定期的な自己評価や更新が必要です。

また、IT環境や運用方法に大きな変更があった場合には、再確認や再評価が必要になることがあります。

「★3より★4の方が上だから、すべての企業が★4を取得すべき」

★4は★3よりも高度な評価段階ですが、どの水準が適切かは企業の役割や取引先との関係によって異なります。

必要性を確認せずに、過剰な費用や運用負担をかけることが望ましいとは限りません。

 

14. よくある質問（FAQ）

Q1. SCS評価制度の★3は、いつから申請できますか？

2026年10月28日時点では、2026年度末頃の制度開始が予定されています。具体的な申請方法などは、今後公開される登録申請の手引やIPAの公式案内を確認する必要があります。

Q2. ★3は自分の会社だけで自己評価すれば取得できますか？

いいえ。★3では自社による自己評価に加えて、所定の要件を満たす★3確認責任者による確認が必要です。確認責任者は社内または社外の専門家を想定しています。

Q3. ★4を取得する前に★3を取得する必要がありますか？

いいえ。★4の取得に★3の事前取得は必須ではありません。ただし、★4では第三者評価や技術検証が必要となるため、求められる準備はより高度になります。

Q4. SCS★3では脆弱性診断が必須ですか？

★3では、★4のような指定評価機関による技術検証は登録手続上の必須工程ではありません。ただし、要求事項への対応状況を把握するために、自主的な脆弱性診断が有効な場合はあります。

Q5. 脆弱性の14日以内対応は廃止されましたか？

いいえ。原則となる14日以内のアップデート要求は維持されています。今回の改訂では、悪用状況や対応計画、代替策に基づくリスク管理について、ガイドと解説書で詳細化されました。

Q6. サポートが終了したOSやソフトウェアを利用している場合、★は取得できませんか？

サポート終了製品の利用には注意が必要ですが、やむを得ず継続使用する場合について、リスク低減策などを踏まえた扱いが示されています。対象の評価基準や実際の対策状況に応じて判断する必要があります。

Q7. SCS評価制度はISMSの代わりになりますか？

SCS評価制度とISMSは目的や評価方法が異なります。SCS評価制度はサプライチェーンにおける共通の対策水準の可視化を重視しています。ISMSの代替として単純に同一視するのではなく、相互補完的な制度として整理することが適切です。

Q8. 中小企業は何から始めればよいですか？

最初に、IT資産とネットワーク構成を把握し、取得単位・適用範囲を検討することを推奨します。そのうえで、IPAの公式アセスメントシートを使って現在の対策状況を確認すると、不足している部分を整理しやすくなります。

15. まとめ｜SCS評価制度への対応は「取得できる状態」を作ることが重要

2026年10月28日のガイド公開によって、SCS評価制度は実務上の準備を進めやすい段階になりました。

今回の更新は、評価方法が明らかになったというだけではありません。

企業が自社のIT基盤をどのように把握し、適用範囲をどう決め、自己評価の結果をどのように説明し、証跡を管理すればよいのかが具体化されたことに意味があります。

また、脆弱性管理についても、単純にCVSSの点数やアップデート期限だけを見るのではなく、攻撃の観測状況や事業への影響、代替策を含めて考えることが重要になっています。

これは、実際の企業のセキュリティ対策でも欠かせない考え方です。

SCS評価制度への対応で大切なのは、★を取得するためだけに書類を作ることではありません。

情報資産を正確に把握する。

必要な対策を継続する。

問題が見つかった際には、優先順位を判断して改善する。

その活動を記録し、必要に応じて説明できる状態にする。

こうした基本的な管理を、日々の業務として継続できる状態にすることが重要です。

高度なセキュリティ製品を導入することも、必要に応じて有効な選択肢となります。

しかし、製品を導入しただけで組織のセキュリティ対策が完成するわけではありません。

限られた人員と予算の中で、できることから着実に改善を続ける。

SCS評価制度を、そうした組織づくりのきっかけとして活用することが望ましいと考えます。

 

SCS評価制度への対応をご検討の企業様へ

株式会社クロイツでは、医療機関や中小企業に対して、情報セキュリティ対策の現状把握、リスク評価、規程・運用整備、職員教育、脆弱性管理などの支援を行っています。

当社が重視しているのは、新しいセキュリティ製品を導入すること自体ではなく、実際の業務や現場の運用を踏まえ、継続できる対策を整えることです。

SCS評価制度への対応についても、単にアセスメントシートを埋めるのではなく、現在の対策状況を確認し、不足している部分を整理して、実行可能な改善方法を検討することが重要だと考えています。

「自社が★3を目指すべきか分からない」

「要求事項を読んでも、具体的に何を準備すればよいか分からない」

「情報システム担当者が兼務のため、対策を進める時間がない」

「現在の対策でどこまで対応できているのか確認したい」

こうした段階からでもご相談いただけます。

なお、SCS評価制度における正式な専門家確認や第三者評価については、それぞれ制度で定められた資格・登録・指定要件を満たした者や機関が実施するものです。当社の取得準備支援と、制度上の正式な確認・評価は区別してご案内します。

お問い合わせ

参考資料・公式情報

本記事は、2026年10月28日時点のIPA、経済産業省等の公式情報に基づいて作成しています。

  1. IPA「SCS評価制度の評価用ガイド等を公開」（2026年10月28日）

  2. IPA「SCS評価制度 要求事項・評価基準」

  3. SCS-410「★3・★4 自己評価等ガイド」

  4. SCS-420「★4 第三者評価ガイド」

  5. SCS-430「★4 技術検証ガイド」

  6. SCS-620「★3・★4 要求事項・評価基準 解説書」

  7. IPA「要求事項・評価基準の変更箇所」

  8. 経済産業省「SCS評価制度」

※本記事は2026年10月28日時点の公表内容を基にした解説です。制度開始時期、申請方法、各種手続については、今後の公式発表により変更される場合があります。