【SCS評価制度解説 第2回】 SCS評価制度とは？情シス担当者が今から整理しておきたい★3・★4のポイント

こんにちは。セキュリティ担当の加藤です。

近年、サイバー攻撃による不正アクセスや情報漏洩が深刻化しています。特に、取引先や委託先を経由したサプライチェーン攻撃への対策も欠かせません。

こうした背景から、企業のセキュリティ対策状況を可視化する仕組みとして、2026年度末からの実施が見込まれる「サプライチェーン強化に向けたセキュリティ対策評価制度」が注目されています。
本記事では、同制度を「SCS評価制度」と表記します。

本記事では、2026年8月28日から施行された規程・規則をもとに、制度の概要、★3・★4の違い、登録後に必要となる運用について解説します。
なお、2026年10月末には要求事項・評価基準の解説書が公表されました。本記事では制度の概要を中心に解説し、評価で確認される証跡や具体的な運用については別途解説する予定です。

1.サプライチェーン全体で求められるセキュリティ対策
2.SCS評価制度とは
3.★3・★4の登録に必要な評価と有効期間
4.8月28日に施行された規程・規則のポイント
5.おわりに　

1. サプライチェーン全体で求められるセキュリティ対策

サイバー攻撃では、自社だけでなく、取引先、委託先、グループ会社、保守ベンダー、クラウドサービスなどが侵入経路となる可能性があります。

自社のネットワークや端末を適切に管理していても、外部との接続や委託先管理に抜け漏れがあれば、情報漏洩やランサムウェア被害、業務停止につながるおそれがあります。

各組織では、ネットワーク対策、端末管理、ID管理、脆弱性対応、ログ監視などが日常的に実施されています。SCS評価制度を検討するうえでは、こうした個別の対策に加え、次の点を説明できる状態にしておくことが重要です。

・自社が管理するIT基盤やクラウドサービスを把握できているか

・グループ共通基盤、SaaS、委託先運用のシステムを含め、責任分界が明確か

・セキュリティ規程、台帳、点検記録、ログ、教育記録などを提示できるか

・システム更改やクラウド移行などの変更時に、セキュリティへの影響を確認できるか

特にクラウドや外部サービスを利用する環境では、すべての対策を自社だけで完結できるものではありません。サービス事業者が担う部分と、自社が設定・運用すべき部分を整理しておく必要があります。

SCS評価制度は、こうした対策状況を共通の基準で可視化し、発注者・受注者の双方が取引先のセキュリティを確認しやすくするための仕組みです。［注1］

2. SCS評価制度とは

SCS評価制度は、IPA（独立行政法人情報処理推進機構）が運営する制度です。登録を希望する組織は、制度で定められた要求事項・評価基準への適合性を確認・評価したうえで、登録を申請します。制度には★3、★4、★5の区分があります。このうち、2026年8月28日に施行された基本規程では、★3と★4の登録手続きが具体的に定められています。★5の詳細は、今後別途定められる予定です。［注1］

制度の目的は、受注者のセキュリティ対策状況を一定の基準で示し、発注者が取引先のリスクを判断しやすくすることです。受注者にとっても、取引先ごとに異なる質問票へ個別対応するだけでなく、共通の枠組みで自社の対策状況を説明しやすくなることが期待されます。［注1］

対象となるIT基盤には、サーバ、PCやスマートデバイス、クラウドサービス、ネットワーク機器、VPN装置、グループ共通ネットワーク、他組織との接続点などが含まれます。［注1］

評価対象には、オンプレミス環境だけでなく、SaaS、IaaS/PaaS、リモートアクセス環境、外部連携も含まれます。

制度対応にあたっては、利用しているシステム・サービス、管理主体、評価対象範囲を整理する必要があります。

3. ★3・★4の登録に必要な評価と有効期間

★3は「自己評価＋専門家による確認」

★3では、登録希望組織が自社で自己評価を行い、その内容について★3確認責任者の確認を受けます。制度上は「専門家確認付き自己評価」とされています。

大まかな流れは、次のとおりです。

①自社で★3要求事項・評価基準に基づく自己評価を実施する

②★3確認責任者が、自己評価の内容が妥当か確認する

③経営層が自己適合宣言を行う

④IPAへ★3の登録を申請する

⑤申請内容に不備がなければ、登録組織台帳に登録・公開される［注1］

★3確認責任者は、社内・社外のどちらでもよいとされています。ただし、形式的な確認にとどめることは適切ではありません。確認責任者には自己評価の結果が妥当であるかを確認し、虚偽などが含まれないよう留意する責務があります。［注1］

★3の有効期間は、登録完了の通知日から1年間です。更新する場合は、登録内容に大きな変更がなくても、あらためて自己評価を更新し、★3確認責任者の確認・助言を受ける必要があります。［注1］

更新時期が近づいてから資料を探し始めるのではなく、日頃から変更履歴や運用記録を残しておく必要があります。たとえば、利用するクラウドサービスの追加、ネットワーク構成の変更、委託先の変更、インシデント対応手順の見直しといった内容を記録・追跡できる状態にしておくことで、年次の自己評価を円滑に実施できます。

★4は「第三者評価＋技術検証」

★4では、自己評価に加えて、IPAから指定を受けた評価機関による第三者評価が必要です。★3よりも、より客観的な確認が求められる仕組みといえます。

★4の登録は、基本的に以下の流れで進みます。

①自社で★4要求事項・評価基準に基づく自己評価を行う

②経営層が自己適合宣言を行う

③指定評価機関に自己評価結果を提出し、第三者評価を依頼する

④評価機関が文書確認、実地審査、技術検証を実施する

⑤評価機関が適合・不適合を判断し、評価報告書を作成する

⑥適合と判断された場合、IPAへ★4の登録を申請する

⑦申請内容に問題がなければ、登録組織台帳に登録・公開される

［注1］［注5］

第三者評価では、規程や台帳の提出のみで完了するものではありません。文書確認に加えて、ヒアリング、運用状況の確認、画面や記録の確認といった実地審査が行われます。［注1］

さらに、技術検証も実施されます。

技術検証は、対象となるIT基盤に対して技術的な手法で適合性を確認するものです。評価機関が自ら実施する場合のほか、指定を受けた技術検証事業者へ委託する場合もあります。［注1］［注6］

★4の有効期間は3年間です。ただし、有効期間中にも継続的な対応が必要です。有効期間中は毎年、自社で自己評価を実施し、その結果を評価機関へ提出する必要があります。［注1］

また、登録時に定めた適用範囲が変わった場合や、要求事項への適合に大きく影響する変更があった場合には、再度評価機関の評価を受ける必要があります。たとえば、主要システムのクラウド移行、大規模なネットワーク更改、認証基盤の変更、主要委託先の変更などは、影響確認が必要になる可能性があります。［注1］

★4の登録を検討する組織では、評価時に限った対応ではなく、変更管理・証跡管理・年次自己評価を通常のセキュリティ運用に組み込むことが重要です。

4. 2026年8月28日から施行された規程・規則のポイント

今回施行された規程・規則では、登録組織に関する手続きだけでなく、制度を支える評価機関、技術検証事業者、研修事業者、各委員会の役割も整理されています。本章では、主なポイントを整理します。

IPAが制度の運営・登録を担う

SCS評価制度の運営機関はIPAです。IPAは、★3・★4の登録申請を審査し、登録組織台帳への追加・公開、登録完了の通知、ロゴマークの発行などを行います。

また、虚偽申請や情報隠蔽などの不正行為が疑われる場合には、調査や改善指示を行い、改善が認められない場合には登録を取り消すことができます。

登録は取得時点で完結するものではありません。登録後も、申請時に宣言した内容を維持し、必要に応じて見直すことが前提となります。［注1］［注2］

★4の評価機関・技術検証事業者は指定制

★4の第三者評価を実施する評価機関、技術検証を実施する技術検証事業者、専門人材向けの研修を提供する研修事業者は、IPAから指定を受ける必要があります。

それぞれの事業者は、必要な能力や体制を備えているかについて審査を受け、指定委員会の審議・決定を経て指定されます。指定の有効期間は、いずれも3年間です。［注4］［注5］［注6］［注7］

★4の登録を検討する企業では、評価を依頼する際に、費用やスケジュールに加え、SCS評価制度における指定状況、評価体制、技術検証の実施体制などを確認する必要があります。

評価機関および技術検証事業者にも継続的な品質管理が求められている点は、制度の信頼性を担保する仕組みの一つです。［注5］［注6］

不正行為やインシデントへの対応も規定された

規程では、虚偽申請、情報隠蔽、それらを指示・強要・黙認する行為などについて、通報を受け付ける窓口を設置することが定められています。

また、登録組織で情報漏洩や不正アクセスなどのセキュリティインシデントが発生した場合、IPAは事実関係の確認、原因究明、再発防止策の検討に向けた調査への協力を求めることができます。［注2］

この点からも、SCS評価制度は一時的な資料整備を目的とするものではなく、日常的なセキュリティ運用と密接に関係する制度です。

インシデント対応手順、連絡体制、ログの保管、原因分析、再発防止策の記録などは、制度対応のためだけに整備するものではありません。しかし、こうした基本的な運用ができているかどうかは、インシデント発生時の対応力や評価への対応力にも影響します。

利益相反を避け、公平性を確保する仕組み

制度運営機関や委員会の関係者には、公平・公正に職務を遂行することが求められています。商業上・財政上の圧力や利害関係の影響を受けないこと、不当な利益を受けないこと、知り得た情報を適切に扱うことなどが規定されています。［注2］［注3］［注4］

特に、制度運営機関の関係者は、評価・登録の対象となるIT基盤を運用することや、登録取得に向けた個別支援を行うことが禁止されています。一般的な制度情報の提供は可能ですが、個別のコンサルティング支援とは切り分けられています。［注1］［注2］

評価制度としての信頼性を担保するため、制度の運営と個社支援を明確に分けている点も、今回の規程・規則で確認できるポイントです。

5. おわりに

SCS評価制度は、サプライチェーンにおけるセキュリティ対策の状況を可視化し、発注者・受注者の双方が共通の基準で確認しやすくするための制度です。

★3では、自己評価に加えて★3確認責任者による確認が求められます。★4では、自己評価に加え、指定評価機関による第三者評価、実地審査、技術検証が必要です。

また、★3は1年ごとの更新、★4は毎年の自己評価と3年ごとの更新評価が必要です。登録取得後も継続的な管理・改善が求められる点に留意が必要です。［注1］

今回紹介した規程・規則は、制度の仕組みや登録・評価に関わる役割分担を把握するうえで重要です。一方、実際の準備では、要求事項ごとに必要な対策、整備すべき規程・台帳・記録、評価時の確認事項を具体的に整理する必要があります。

SCS評価制度への対応にあたっては、以下の観点から自社の状況を確認することが重要です。

・自社のIT基盤、クラウド、外部接続、委託先管理システムを整理できているか
・セキュリティ対策の責任分界を説明できるか
・規程や台帳、ログ、点検記録、教育記録などを必要に応じて提示できるか
・システム変更時に、セキュリティへの影響を確認する仕組みがあるか
・取引先から求められる水準を踏まえ、★3・★4のどちらを目指すべきか検討できているか

SCS評価制度への対応は、登録取得のみを目的とするものではありません。
自社のIT資産管理、クラウド利用、委託先管理、インシデント対応などを見直し、セキュリティ運用を強化するよい機会となります。

SCS評価制度を見据えた現状整理、対策状況の可視化、評価に向けた準備をご検討の際は、お問い合わせください。

※本記事は、公開日時点で公表されている情報をもとに作成しています。制度の内容、評価基準、申請手続き、開始時期等は変更される場合があります。最新情報は、IPAおよび関係省庁が公表する一次情報をご確認ください。

※本記事は一般的な情報提供を目的としたものであり、個別の制度適合性、登録可否、法的評価等を保証するものではありません。

出典・参考情報

・注1:独立行政法人情報処理推進機構（IPA）「SCS-100 基本規程」
https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-100.pdf

・注2:独立行政法人情報処理推進機構（IPA）「SCS-110 制度運営機関規則」
https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-110.pdf

・注3:独立行政法人情報処理推進機構（IPA）「SCS-111 運営審議委員会規則」
https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-111.pdf

・注4:独立行政法人情報処理推進機構（IPA）「SCS-112 指定委員会規則」
https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-112.pdf

・注5:独立行政法人情報処理推進機構（IPA）「SCS-210 評価機関指定規則」
https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-210.pdf

・注6:独立行政法人情報処理推進機構（IPA）「SCS-220 技術検証事業者指定規則」
https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-220.pdf

・注7:独立行政法人情報処理推進機構（IPA）「SCS-230 研修事業者指定規則」
https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-230.pdf