SCS 評価制度伴走支援サービス( セキュリティ診断 )

SCS 評価制度伴走支援サービス
( セキュリティ診断 )コラム

SCS評価制度★3取得のための要求事項とは？｜基準を読み解く分類の考え方・自社対応の見極め

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の★3を取得するには、何項目に取り組むのか。どんな内容で、どのくらいの量なのか。自社で対応できそうなのか。取得を考え始めたとき、まず知りたいのはこの全体像ではないでしょうか。

★3の要求事項は26項目と公表されていますが、この26項目にはそれぞれにいくつかの評価基準が設けられています。IPA（独立行政法人 情報処理推進機構）が公開する「要求事項・評価基準」を数えると、評価基準は合計81あります。つまり、26項目を満たすには81の基準を検討することになります。

当社では、この81の基準を、社内ルールを文書にした「規定」、ルールを守れるようにする「ツール」、運用の証拠となる「記録」の3つに分けて整理しています。さらに★3では、要求事項を満たしていることについて、専門家の確認を受ける必要があります。この記事では、要求事項・評価基準の全体像から、自社で対応できる範囲の見極め方までを解説します。

この記事のポイント

  • ★3取得の要求事項は26項目。それぞれの達成状況を判断する評価基準が81項目ある
  • 評価基準の数は、要求事項ごとに1〜8項目
  • 評価基準は、規定・ツール・記録類を組み合わせて満たしていく
  • 自社で対応できるかは、81項目の現状と、専門家確認を担える人が社内にいるかの2点で判断できる

そもそもSCS評価制度とは？

本題に入る前に、SCS評価制度がどのような制度なのか、この記事で扱う★3の評価方法や有効期間とあわせて図にまとめます。

SCS評価制度とは（サプライチェーン強化に向けたセキュリティ対策評価制度）

サプライチェーンを構成する企業のセキュリティ対策状況を、共通の基準で評価・可視化する制度です。経済産業省と内閣官房国家サイバー統括室の監督のもと、IPAが運営します。

段階内容評価・有効期間要求事項
★3（この記事で扱う段階）全てのサプライチェーン企業が最低限実装すべき対策専門家確認付き自己評価
有効期間：1年		26項目
★4サプライチェーン企業等が標準的に目指すべき対策第三者評価・技術検証
有効期間：3年		43項目
★5（検討中）さらに目指すべき高度な対策第三者評価内容：今後検討
使われ方取引の際に、発注側が受注側に必要な段階（★）を示し、対策の実施状況を確認する使い方を想定した任意の制度です。いわゆる「格付け」制度ではありません。
対象企業等のIT基盤（クラウドで運用するものを含む）です。製造環境（工場など）の制御（OT）システムや、取引先に提供する製品は、直接の対象ではありません。
開始時期★3・★4は、2026年度末頃の制度開始（申請受付の開始）を目指しています。予定は変更となる可能性があります。

※ ★は、取得・更新の時点で定められた水準を満たしていることを示すもので、完全なセキュリティを保証するものではありません。

出典：経済産業省「SCS評価制度の構築方針」（2026年3月27日公表）、IPA「SCS評価制度の詳細情報」

→ SCS評価制度の概要や★3・★4の違いを知りたい方は、★3・★4の解説記事もご覧ください。

★3の要求事項は26項目、その評価基準は81項目

IPAが2026年4月に公開した「★3・★4　要求事項・評価基準」には、★3で求められる内容が1枚の一覧表にまとめられています。

この一覧表の中心になるのが、要求事項と評価基準です。要求事項とは、★3で取り組むことを「何をすべきか」の形で示した項目です。評価基準とは、その要求事項ができているかを確かめるための具体的な条件です。たとえば、要求事項「管理者IDの発行・変更・削除の手続を定めること。」には、「管理者IDの付与・変更・削除は申請・承認制にすること。」など8つの評価基準があります。

要求事項の上には、それらをまとめる見出しとして大分類と中分類があります。

★3の構成：26の要求事項の中に、81の評価基準があります

要求事項（何をすべきか）ごとに、できているかを確かめるチェック項目が決まっています。それぞれの要求事項に、1〜8項目の評価基準があります。

要求事項（26項目）
何をすべきか		評価基準の数評価基準（81項目）
できているかを確かめるチェック項目
セキュリティ推進活動部門3・役割・責任を決める
・連絡先リストを作る
・年1回以上点検する
管理者IDの管理手続8・管理者・責任者を決める
・IDを持つ人を把握する
・申請・承認制にする
・ほか5項目
マルウェア感染からの保護3・対策ソフトを入れる
・範囲・頻度を決めてスキャンする
・パターンファイルを更新する
適切なバックアップ3・対象・頻度・保管期間を決めて取得する
・重要な機密情報は遠隔地にも保管する
・復元手順書を作る
ほか22項目
ユーザIDの管理手続、インシデント対応手順 など		64ほか64項目
合計81合計81項目

※ 項目数は、IPA「★3・★4　要求事項・評価基準」（2026年4月21日公開）を鈴与システムテクノロジーが集計したものです。評価基準の内容は要約です。

81項目の評価基準は26項目の要求事項ごとにまとめられており、自社の対策と照らし合わせて一つずつ確かめる単位になります。

評価基準は、規定・ツール・記録類を組み合わせて満たす

鈴与システムテクノロジーでは、評価基準を満たすために整えるものを、次の3つに分けて整理しています。

01　規定類

社内で守るルールを文書にしたものです。
例：管理者IDの発行・変更・削除の手順、パスワードの決め方

02　セキュリティツール

決めたルールを守れるようにする、技術的な仕組みです。
例：マルウェア対策ソフト、多要素認証（パスワード、ワンタイムパスワード、指紋などのうち、2種類以上の要素で本人を確かめる方式）、バックアップの仕組み

03　記録類（様式・台帳・記録）

ルールどおりに運用していることを示すものです。次の3種類があります。

様式申請書やチェックリストなど、決まった書式
例：管理者IDの申請書
台帳管理する対象を一覧にまとめた表
例：管理者IDを持つ人の一覧、社内のパソコンの一覧
記録実施したことを書き残したもの
例：インシデント発生時の対応に関する教育・訓練の実施記録

図の「管理者IDの管理手続」に当てはめると、手順を規定に定め（規定類）、必要最低限の権限をシステムで設定し（ツール）、申請書で承認を受け（様式）、管理者IDを持つ人を一覧で管理します（台帳）。このように、規定・ツール・記録類を組み合わせて、8つの評価基準に対応していきます。

なお、経済産業省は、評価基準を満たすうえで特定のセキュリティ対策製品の導入は必須ではないと説明しています。評価基準を満たす具体的な実装例などをまとめた評価用ガイド等は、2026年度下期（2026年10月〜2027年3月）に公表される予定です。

81項目で現状を確かめると、自社で対応できる範囲が見える

評価基準の単位で見ると、要求事項の文面だけでは見えない未達まで洗い出せます。

先ほど例に挙げた「管理者IDの発行・変更・削除の手続を定めること。」という要求事項は、規定に手続を書けば対応済みに見えます。評価基準では、そのうえで、申請・承認制になっているか、管理者IDを持つ人を把握できているかまで確かめることになります。

★3は「専門家確認付き自己評価」

★3では、81項目への評価を自社で記入し、その内容についてセキュリティ専門家の確認を受けます。IPAはこの方法を「専門家確認付き自己評価」としています。

専門家には、社内・社外どちらの人も想定されています。専門家になるには、次の要件を満たす必要があります。

  • 次のいずれかの資格を持っている
    情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001主任審査員
  • 所定の研修を受講している
  • SCS評価制度の事務局に登録している

社内に要件を満たす人がいない場合は、社外の専門家に確認を依頼します。また、★3の有効期間は1年です。評価結果はSCS評価制度の事務局に提出します。

自社で対応できるかを判断する2つの軸

① 81項目それぞれについて、必要な規定・ツール・記録類がそろっているか
② 専門家確認を担える人が社内にいるか

    まとめ

    ★3の要求事項26項目の中には、できているかを確かめる評価基準が81項目あります。評価基準は要求事項ごとに1〜8項目あり、規定・ツール・記録類を組み合わせて満たしていきます。自社で対応できるかは、81項目それぞれの現状と、専門家確認を担える人が社内にいるかの2点で判断できます。

    参考文献

    一覧に戻る

    まずはお気軽に
    ご相談ください

    お問い合わせ・ご相談はこちら

    SCS 評価制度対策の第一歩を、
    SSTと共に。

    SCS 評価制度の★取得、静岡で伴走します

    お問い合わせ・ご相談