SCS評価制度、★3・★4の評価用ガイド等が公開。企業が今確認すべきポイントを解説
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の★3・★4取得に向けた評価用ガイド等が公開され、これまで見えにくかった「実際にどう確認・評価するのか」が具体化してきました。
SCS評価制度は、サプライチェーン企業のセキュリティ対策状況を★で可視化する制度です。★3は26の要求事項を対象とする専門家確認付きの自己評価で有効期間1年、★4は43の要求事項を対象とする第三者評価で有効期間3年とされ、IPAへの登録受付は2027年3月に開始予定です。
これまで、
「評価用ガイドが出てから具体的に検討したい」
と考えていた企業にとって、大きな節目となる公表です。
今回の記事では、特に★3取得を検討する中堅企業の担当者向けに、今回の公開で何が具体化したのか、企業側は何を準備すればよいのかを整理します。
目次[非表示]
今回のポイントを3つにまとめると
今回のポイントは大きく3つです。
1. 「何を満たすか」だけでなく「どう確認するか」が重要になった
要求事項を読んで「対応済み」と判断するだけではなく、アセスメントシートや関連資料をもとに、その判断が妥当か確認する考え方が具体化しています。
2. 評価対象となる範囲の整理が重要になる
本社、工場、営業所、システムなど、どこまでを評価の対象にするのかを整理する必要があります。
3. 規程を作るだけではなく、「実施している証拠」が重要になる
規程、台帳、システム構成、設定、実施記録などを通じて、対策を実際に行っていると説明できる状態を作る必要があります。
確認・評価を担当する人材向けの研修でも、アセスメントシート等から対策状況を読み取り、適用範囲の妥当性、要求事項・評価基準への適合、不足情報、追加確認事項などを判断することが学習目標になっています。
ここからは、企業側への影響を具体的に見ていきます。
最初に「どこまでを評価対象にするか」を整理する
SCS評価制度への対応というと、
「26件の要求事項に対応すればよい」と考えがちです。
しかし、実際の評価ではその前に、自社のどこを評価対象にするのかを整理することが重要になります。
例えば、
- 本社だけを対象とするのか
- 工場や営業所も含めるのか
- 拠点ごとにIT基盤が異なっていないか
- どのシステムで重要な情報を扱っているのか
- インターネットに公開しているシステムは何か
- グループ会社とのIT環境の境界はどこか
といった情報です。
多拠点企業は特に注意
ここで重要なのは、従業員数だけでは対応の難易度を判断できないという点です。
例えば従業員150名でも、本社と複数の工場でネットワーク構成やPC管理の方法が大きく異なれば、それぞれの状況を確認しなければならない可能性があります。
逆に複数拠点があっても、端末やID、ネットワークなどが共通の仕組みで管理されていれば整理しやすいケースもあります。
そのため、最初から要求事項を1件ずつ確認するのではなく、
「取得・評価の対象を整理する → 現状を確認する → 不足を改善する」
という順番で進める方が、手戻りを減らしやすくなります。
「規程があります」だけでは終わらない
次に重要なのが証拠（証跡）です。
★3では、セキュリティ推進体制、IT資産管理、アクセス管理、パッチ管理、インシデント対応など、組織面と技術面の両方で対策が求められます。
既存の要求事項・評価基準でも、例えばセキュリティ推進体制について、
- セキュリティを統括する役員や担当部署の役割・責任を定める
- 必要な連絡先リストを定める
- その体制を年1回以上点検する
といったところまで評価基準として示されています。
つまり、
「情報セキュリティ規程があります」
だけでは十分とは限りません。
「その規程の内容どおり、実際に運用されていますか？」
を説明できることが重要になります。
確認者向けのケーススタディでも、アセスメントシートだけでなく、組織概要、対象システム構成図、対策実施状況一覧などを材料に、客観的証拠の有無を確認することが想定されています。
「作る」よりも「運用する」が難しい
SCS★3対応では、規程や台帳など多くの文書・記録を整えていくことになります。
例えばIT資産管理台帳。
ExcelでPC一覧を作るところまでは、それほど難しくありません。
問題になるのは、その後です。
- PCを購入したら台帳へ追加する
- 利用者が変われば更新する
- OSなどの状態を把握する
- 端末を廃棄したら台帳にも反映する
- 定期的に実機と台帳を照合する
という運用を続けなければなりません。
YOROZUでもこれまで★3対応について、規程・台帳・技術対策の3つに分けて考えていますが、実際の負担は「作ること」の先にある社内調整や継続運用に生じやすいと整理してきました。
評価方法が具体化するほど、「あるか」ではなく「使われているか」が重要になります。
★3は「自己評価だから簡単」とは限らない
★3は★4と異なり、第三者評価方式ではありません。
★3は専門家確認付きの自己評価で、26の要求事項を対象とし、有効期間は1年です。
一方、★4は43の要求事項を対象とする第三者評価で、有効期間3年とされています。
ここで注意したいのが、
「自己評価なら、自社でチェックシートを埋めれば終わりなのでは？」
という誤解です。
確認を担当する人材には、
- ★3・★4の要求事項と評価基準を理解する
- アセスメントシートをレビューする
- 適用範囲の妥当性を確認する
- 不足している情報を特定する
- 必要に応じて追加確認を行う
- 判断の根拠を説明する
といった実務能力が求められています。
だからこそ、確認直前になって慌てて資料を作るのではなく、日常の運用の中で必要な記録を残せる仕組みにしておくことが大切です。
★3は特に技術対策のボリュームが大きい
★3は「規程を整えれば取得できる制度」でもあります。
YOROZUで従来の要求事項・評価基準を整理したところ、★3の26要求事項・81評価基準のうち、「攻撃等の防御」に48の評価基準が集中しています。
この中には、
- ID・パスワード
- アクセス権
- バックアップ
- パッチ管理
- マルウェア対策
など、情報システム部門が実際に設定・運用しなければならない領域が多くあります。
そのため、
「規程を作る担当者」と「IT環境を変更する担当者」が分かれている企業ほど、早めに関係者を巻き込むこと
をおすすめします。
Microsoft 365など、既存環境を活かせる場合もある
技術対策についても、SCS評価制度のためにすべて新しい製品を導入する必要があるとは限りません。
例えばMicrosoft環境であれば、
- Microsoft Entra IDによるMFAや条件付きアクセス
- Microsoft Intuneによる端末管理やパッチ運用
- Microsoft Defenderによるエンドポイント保護
- BitLockerによる端末データ保護
など、すでに契約中のライセンスや製品で対応できる可能性があります。
重要なのは、
「SCS対応だから新しい製品を買う」のではなく、まず既存環境と要求事項との差分を見ることです。
すでにあるものを利用し、不足している部分だけを補った方が、費用も運用負荷も抑えられる可能性があります。
では、★3を目指す企業は今、何をすればよい？
今回の公開を受けても、いきなり規程を大量に作ったり、新しいセキュリティ製品を購入したりする必要はありません。
おすすめする順番は、次の3ステップです。
STEP 1 評価対象を整理する
まずは、
- 本社・支社・工場などの拠点
- 従業員・組織
- 業務システム
- ネットワーク
- PC・スマートデバイス
- 重要な情報
などを整理します。
「どこを守るのか」が決まらなければ、必要な対策も決まりません。
STEP 2 要求事項とのギャップを確認する
次に要求事項・評価基準に対し、
- できている
- 一部不足している
- 未実施
- 情報が足りず判断できない
を切り分けていきます。
単純な○×判定ではなく、不足が確認できたものと、情報不足で判断できないものを分け、不足箇所、次に行う対応、完了を判断する証拠まで整理することが重要です。
STEP 3 不足部分だけを改善する
診断結果をもとに、
「規程 → 台帳・記録 → 技術対策 → 運用」
の順で不足している部分を整えていきます。
すでにできているものを作り直す必要はありません。
これが、手戻りと不要な投資を減らす一番重要なポイントです。
「ガイドを待つ」段階から、「自社との差分を見る」段階へ
これまでYOROZUでは、2026年10月頃の申請方法・解説書・取得ガイド等の公表を、SCS評価制度への具体的な対応が本格化する「実質的な号砲」と位置付けてきました。
今回、そのフェーズに入ったと考えています。
また、★3・★4は2027年3月にIPAへの登録受付開始が予定されています。
これまで、
「ガイドが出ていないから、まだ動けない」
と考えていた企業も、ここからは、
「公開された内容と、自社の現状にはどんな差があるのか」
を確認する段階です。
YOROZUでは「診断して終わり」ではなく、実装・運用まで伴走します
YOROZU SCS評価制度 対応支援では、SCS対応を3つの段階に分けて支援しています。
① YOROZU SCS評価 現状診断
要求事項・評価基準と現在の対策状況を照らし合わせ、不足している部分を可視化します。
まず必要な対策を明らかにした上で、次の投資を判断できる設計です。
② YOROZU SCS評価 実装伴走
診断で判明した不足について、
- 規程・手順書の草案作成
- 台帳・記録類の整備
- 運用の立ち上げ
- 技術対策の導入
- 工程・進捗管理
まで、一緒に手を動かして進めます。
③ YOROZU SCS評価 運用・更新支援
★3は有効期間1年のため、取得がゴールではありません。
台帳更新、記録、見直し、翌年度の更新まで、運用を継続できる状態を支援します。
YOROZUは、アドバイスやレポートを渡して終わりではなく、規程づくりやツール設定まで実際に手を動かす実行部隊型の支援を特徴としています。
まとめ
今回の評価用ガイド等の公開で、SCS評価制度は「概要を理解する段階」から「実際の評価を見据えて準備する段階」へ進んできました。
特に押さえておきたいのは、次の4点です。
- 要求事項だけでなく、評価対象となる範囲を整理する
- 規程だけでなく、実施していることを示す証拠を準備する
- 台帳や記録を、継続して更新できる運用にする
- いきなりツールを購入せず、まず現状との差分を確認する
「自社ではどこまで対応できているのか分からない」という場合は、まず要求事項と現在の対策を照らし合わせてみることをおすすめします。
YOROZUでは、無料の簡易ギャップ診断から、現状診断、実装伴走、取得後の運用・更新まで一気通貫でサポートしています。
よくある質問
Q. SCS評価制度の★3は自己評価だけで取得できますか？
★3は専門家確認付きの自己評価方式です。企業自身が評価するだけで完結するという意味ではなく、確認を行う側には要求事項・評価基準、適用範囲、アセスメントシート、不足情報などを客観的に判断する能力が求められています。
Q. ★3では何件の要求事項への対応が必要ですか？
★3は26の要求事項を対象とし、有効期間は1年です。★4は43の要求事項を対象とする第三者評価で、有効期間は3年です。
Q. 規程や台帳を作れば対応できますか？
規程や台帳の整備は重要ですが、それだけではなく、実際に運用していることを説明できる記録や客観的証拠を残しておくことも重要です。
Q. 何から始めるのがおすすめですか？
まず評価対象となる範囲を整理し、次に要求事項とのギャップを確認することをおすすめします。その結果を見てから、不足する規程・記録・技術対策を優先順位順に改善すると、不要な投資や手戻りを抑えやすくなります。
