SCS評価制度の公表資料を読む。中小企業が今決めることと詳細確認が必要なこと

2026年3月27日に経済産業省と内閣官房国家サイバー統括室から公表された「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」により、企業のセキュリティ対策を段階的に評価するSCS評価制度の枠組みが示されました。

中小企業の経営者がまず最初に行うべきことは、自社が取引先からどのようなセキュリティ水準を求められる可能性があるかを検討し、制度の「★3」と「★4」のどちらを目指すかの方向性を定めることです。

本制度は、IPA（独立行政法人情報処理推進機構）が運営を担い、サプライチェーン（製品やサービスの供給網）全体の強靭化を目的としています。まずは、公表された資料から読み取れる各段階の定義と、評価を受けるために必要な体制の違いを正しく把握しましょう。

SCS評価制度の各段階は何を目指すものか

★3は専門家の確認を得た自己評価である

★3の評価水準は、一般的なサイバー攻撃などの脅威に対して、一定の対処ができている状態を目指すものです。この段階では、企業が自ら「★3要求事項・評価基準」に基づいて自己評価を行い、その内容を書類にまとめます。ただし、単に自社だけで完結するものではなく、社内外の「セキュリティ専門家」による確認と助言を受けることが求められます。

専門家が内容を確認し、最終的に事務局へ提出する内容に対して了承した場合に署名を行う仕組みです。

例えば、自社の情報管理ルールが整備されているかをチェックし、その結果を専門家に確認してもらうイメージです。経営層による「自己適合宣誓」も必要となるため、現場の担当者任せにするのではなく、経営課題として取り組む姿勢が求められます。

専門家への依頼を検討する際は、その人が制度に定められた要件（情報処理安全確保支援士などの資格保持や研修受講など）を満たしているかを確認することが、スムーズな取得への第一歩となります。

★4は第三者による厳格な審査と技術検証が必要

★4は、★3よりも一段高い水準として規定されています。単に初期段階の侵入を防ぐだけでなく、万が一侵入された際にも被害を拡大させないための対策や、自社の役割に応じたサプライチェーン全体の強靭化に寄与できる能力が求められます。

この段階では、自社による自己評価に加え、指定された「評価機関」による第三者評価と、「技術検証事業者」による技術的な検証の両方を実施する必要があります。

評価の手順としては、まず自社で自己評価を作成し、それを評価機関に依頼する流れとなります。評価機関は、書類の確認だけでなく、必要に応じて実地での審査や、システムに対する技術的な検証を組み合わせて実施します。例えば、技術検証事業者による技術的な検証が行われることが想定されています。

★4を目指す場合は、★3のような書類の整備だけでなく、実際のシステム運用や技術的な防御力が、外部の厳しい目によってチェックされる準備をしておく必要があります。

★5は最高水準のマネジメントと対策が求められる

★5は、より高度なサイバー攻撃を想定した、現時点でのベストプラクティス（最も効率的で効果的な手法）に基づく対策が実行されている状態を想定しています。自組織のリスクを適切に把握し、それを継続的に管理（マネジメント）できていることが前提となります。既存のガイドラインなどを踏まえ、極めて高いレベルのセキュリティ対策が求められる水準です。

ただし、★5の具体的な内容は、★3や★4の精査を踏まえて今後さらに具体化される予定となっています。そのため、現時点で「★5を目指そう」と無理な計画を立てる必要はありません。まずは★3や★4の基準を理解し、自社の現在の実力と、取引先から期待される役割とのギャップを埋めていくことが現実的な進め方です。

上位の段階は下位の事項を包括する性質がありますが、★3を取得していなければ★4を取得できないといった、段階的な取得が必須となる関係ではない点も、計画を立てる上での留意点です。

評価を受けるために準備すべき体制と役割

セキュリティ専門家にどのような助言を求めるか

★3の取得において重要な役割を担うのが「セキュリティ専門家」です。彼らは、企業が作成した自己評価の内容が、制度の基準に照らして適切かどうかを確認し、必要に応じて修正の助言を行います。

専門家は、単に「合格か不合格か」を判定するだけでなく、自社の現在の対策に足りない部分はどこか、どのように改善すれば基準を満たせるかといった、実務的なアドバイスをくれるパートナーとしての側面を持ちます。

専門家へ相談する際は、「制度の基準を満たすための書類作成のサポート」と「現状の対策における弱点の指摘」の2点を中心に依頼するのが効果的です。例えば、社内のセキュリティ規定が最新の脅威に対応できているか、あるいは運用ルールが形骸化していないかといった点について、客観的な視点での確認を求めます。

セキュリティ専門家には、情報処理安全確保支援士やCISSPなどの特定の資格保持と研修受講、および事務局への登録が要件とされています。依頼時には、その要件を満たしているかを確認することが推奨されます。

評価機関と技術検証事業者の違いを理解する

★4の評価を目指す場合、関わる組織はさらに増えます。まず、第三者としての審査を行う「評価機関」と、技術的な検証を行う「技術検証事業者」の2種類が存在します。評価機関は、企業のルールや体制が基準に合っているかを審査し、技術検証事業者は、システムが実際に攻撃に耐えられるかといった技術的な側面を検証します。

これらは、評価機関が技術検証も兼ねるケースと、評価機関から委託された別組織が技術検証を行うケースがあります。

中小企業の担当者が混乱しやすいのは、この「誰に何を頼むのか」という点です。基本的には、評価機関に対して検証・評価の依頼を行うことになります。評価機関が技術検証まで一括して請け負うのか、あるいは別の事業者が入るのかによって、打ち合わせの回数や準備すべき資料が変わる可能性があります。

検討段階では、評価機関に対して「技術検証は貴社で実施されますか、それとも外部の事業者が入りますか？」と質問しておくことで、プロジェクトの全体像を把握しやすくなります。

事務局と指定委員会の役割を知っておく

制度全体の運営を支えるのは、IPA（事務局）と、評価機関などを監督する「指定委員会」です。事務局は、★3や★4の登録手続き、台帳への登録、そして制度の普及促進を担当しています。企業が評価を受け、その結果を公表するためには、最終的に事務局への申請が必要となります。

事務局は、申請内容に問題がないことを確認した上で、企業の情報を台帳に登録し、公開する役割を担います。

一方で、指定委員会は、評価機関や技術検証事業者、研修事業者などを「指定」し、その活動を監督する立場にあります。つまり、私たちが「この評価機関は信頼できるか」と判断する際の基準を作っているのが指定委員会です。企業が直接指定委員会とやり取りすることはありませんが、制度のルールや評価機関の選定基準などは、この委員会の審議を経て決定されます。

制度の運用ルールが変更された場合などは、事務局が公表する最新情報を常にチェックしておくことが、正しい運用を行うための鍵となります。

評価取得に向けた具体的な進め方

自社の適用範囲をどこまでにするか決める

評価を受ける際には、会社全体のすべての業務を対象にする必要はありません。制度上では、各組織が決定した「適用範囲」の中から、対象をサンプリング（一部を抽出）して評価を行うことが想定されています。自社で対象候補を整理する際には、部門やシステムだけでなく、その業務を支える管理者・外注先・接続先も含めて検討します。

都合のよい範囲だけに絞ってよいと解釈せず、取引先の要求と制度の適用範囲の定め方を公式資料や評価を担う窓口に確認してください。

適用範囲を広げすぎると、準備すべき書類や対策の範囲が膨大になり、コストや工数が跳ね上がってしまいます。逆に、範囲を狭めすぎると、取引先から「本当に自社の重要な業務が守られているのか」という疑念を持たれるリスクがあります。

まずは、自社の主要な製品やサービスが、サプライチェーンの中でどのような位置付けにあるのかを整理しましょう。その上で、「どの業務を守ることが、取引先への最大の貢献になるか」という視点で、評価の対象とする範囲を検討してください。

自己評価の書類作成で準備すべき資料

★3や★4の取得には、まず自社による「自己評価」の記入が不可欠です。これは、制度が定める要求事項や評価基準に対して、自社の現状がどうなっているかを回答していく作業です。この際、単に「実施している」と回答するだけでなく、その根拠となる資料（エビデンス）を整理しておく必要があります。

具体的には、以下のような資料が想定されます。

• セキュリティに関する社内規定やマニュアル
• ネットワーク構成図や資産管理台帳
• 従業員へのセキュリティ教育の実施記録
• インシデントが発生した際の対応手順書

これらの資料は、日頃から整備されていることが理想ですが、評価に向けて改めて見直し、最新の状態に更新しておく作業が必要になります。専門家に助言を求める際も、「この資料があれば、基準を満たしていると判断してもらえますか？」といった形で、準備した資料の妥当性を確認していく進め方が効率的です。

評価機関への依頼と審査の流れをシミュレーションする

★4を目指す場合、評価機関への依頼から登録完了までのプロセスをあらかじめイメージしておくことが重要です。まず、自社で作成した自己評価に基づき、評価機関へ検証・評価を依頼します。その後、評価機関による「文書確認」「実地審査」「技術検証」が行われます。

これらは、評価機関が決定したサンプリングに基づき実施されるため、抽出された箇所だけを整えるのではなく、適用範囲に必要な対策と運用記録を揃え、抽出しても実態を説明できるよう準備します。

評価機関から「評価報告書」が提供されます。取得希望組織は、その報告書を受け取った後、事務局に★4の登録を申請し、事務局が申請内容に問題がないと判断した場合には台帳に登録・公開されます。この一連の流れの中で、特に「実地審査」や「技術検証」は、現場の担当者が直接対応を求められる場面です。

いつ、どのような形で審査が入る可能性があるのか、社内で役割分担を明確にしておくことが、スムーズな審査通過のポイントです。

失敗を防ぐための判断基準と相談のポイント

専門家への依頼時に確認すべき要件

セキュリティ対策を外部の専門家に任せる際、単に「セキュリティに詳しい人」という理由だけで選ぶのは避けるべきです。本制度では、★3の確認や★4の評価責任を担う「セキュリティ専門家」には、明確な要件が設けられています。

具体的には、情報処理安全確保支援士やCISSP、CISA、CISMといった、国際的・国内的に認められた高度な資格を保持していること、および制度が定める研修を受講していることが求められます。

専門家へ相談・依頼する際は、以下の点を確認してください。

• 「SCS評価制度の事務局に登録されている専門家ですか？」
• 「★3の確認や★4の評価責任を担う要件を満たしていますか？」
• 「過去に同様の評価支援の実績はありますか？」

これらの確認を怠ると、せっかく準備を進めても、最終的な提出書類に専門家の署名ができない、あるいは評価の妥当性が認められないといった事態を招く恐れがあります。資格の有無だけでなく、制度の仕組みを正しく理解しているかどうかも、重要な判断基準となります。

評価機関を選ぶ際の比較ポイント

★4の取得において、評価機関は非常に重要なパートナーです。評価機関を選ぶ際は、単に費用だけで判断せず、以下の観点から比較検討を行うことが推奨されます。

比較項目	確認すべき内容
実施体制	技術検証を自社で行うか、外部委託するか
審査のスタイル	文書確認だけでなく、実地審査のノウハウがあるか
報告書の質	改善に向けた具体的な助言が含まれているか
費用体系	評価範囲や検証内容に応じた明確な見積もりが出るか

例えば、技術検証を別組織に委託するタイプの評価機関の場合、評価機関との連携がスムーズに行われるか、あるいは検証結果の連携に時間がかからないかといった点も、スケジュール管理の観点から重要になります。自社の予算と、求められる評価の厳格さのバランスを考えながら、複数の候補から最適な機関を選定しましょう。

制度の更新情報をどうキャッチアップするか

SCS評価制度は、2026年度を通じて詳細化が進められる段階にあります。制度の具体的な実施内容や、評価機関・技術検証事業者の詳細な要件などは、順次公開される予定です。参照ページには公表予定も記載されていますが、予定日を過ぎた項目がある場合は関連する公式ページで実際の公開状況を確認してください。申請や依頼を決める際は、予定と実施済みを分けて記録します。

中小企業の経営者や担当者が陥りやすい罠は、「一度決めた対策をそのまま使い続ける」ことです。制度の詳細が決まるにつれて、求められる基準や手続きが変わる可能性があります。

そのため、IPAの公式サイトを定期的に確認する習慣をつけるか、あるいは顧問としているセキュリティ専門家に「制度の更新情報について、自社に関連する変更があれば教えてほしい」と依頼しておくことが賢明です。常に最新の情報を基に判断を下せる体制を整えておくことが、無駄な投資を防ぎ、確実に評価を取得するための近道となります。

自社の現在のセキュリティ対策が、どの程度の水準にあるのか、あるいは取引先からどの程度の評価を求められる可能性があるのか。まずは現在の状況を整理し、専門家への相談や、制度の詳細情報の確認といった具体的なアクションへ進んでください。" }