IDKオリジナル連載 SCS評価制度 連載記事｜第１９回
サプライチェーン・セキュリティ対策評価制度（SCS評価制度）
SCS評価制度の「詳細」がついに出揃った──10月28日、自己評価ガイド・解説書など文書一式を公開。2027年3月の受付開始に向けて、販売店が考え始めるべきこと
[2026.11.09]
| 【速報】2026年10月28日、IPAがSCS評価制度の評価用ガイド類を一斉公開しました。「★3・★4 自己評価等ガイド」(111ページ)、アセスメントシート、「★4 第三者評価ガイド」(130ページ)、「★4 技術検証ガイド」(25ページ)、「要求事項・評価基準 解説書」(122ページ)──これまで「10月公開予定」とされてきた文書が、ほぼ出揃いました。 評価基準本体もVer.1.1に改訂されましたが、変更はパッチ関連の3基準のみ。★3は26要求事項・81評価基準、★4は43要求事項・153評価基準のままです。そして★3・★4の登録受付開始は2027年3月の予定──あと5か月を切りました。 400ページ近い文書群のすべてを一度に消化する必要はありません。今回は「何が確定したのか」の全体像と、販売店がまず考え始めるべきことの"入口"を整理します。各論の深掘りは次回以降に続けます。 |
１．何が公開されたのか──制度の「取扱説明書」一式
| 文書番号 | 文書名 | 位置づけ |
| SCS-400 | ★3・★4 要求事項・評価基準 Ver.1.1 | 基準本体の改訂版(変更は3基準のみ) |
| SCS-410 | ★3・★4 自己評価等ガイド(111ページ) | ★3の手続・適用範囲・自己評価のやり方を初めて具体化 |
| SCS-410AP | アセスメントシート(Excel) | 自己評価・専門家確認・自己適合宣言の公式様式 |
| SCS-420 | ★4 第三者評価ガイド(130ページ) | 評価機関による文書確認・実地審査の手続 |
| SCS-430 | ★4 技術検証ガイド(25ページ) | 境界機器の脆弱性診断の仕様(対象・方法・合格基準) |
| SCS-620 | 要求事項・評価基準 解説書(122ページ) | 全基準の趣旨・適合基準・証跡の考え方を解説 |
| (未公開) | 登録申請の手引 | 申請手続・費用等。別途公開予定 |
これまでの連載で「10月のガイド公開を待って」と繰り返してきた、その文書群です。これで「★3を取るには具体的に何をどこまでやればよいか」が、推測ではなく文書で答えられるようになりました。残る大物は「登録申請の手引」(申請手続・費用)と、12月末ごろ公表予定のSCSセキュリティ専門家の研修事業者です。
２．基準の変更は3件だけ──パッチ運用が「現実的」になった
評価基準Ver.1.0からVer.1.1への変更は、パッチ・サポート切れ関連の3基準(4-4-4-2、4-4-4-1、4-4-2-1)に限られます。方向はいずれも、中小企業にとって現実的になる緩和です。
・「重要な更新は14日以内」の原則は維持しつつ、14日以内に適用できない場合の扱いがリスクベースになりました。実際に攻撃が観測されている脆弱性(IPA「重要なセキュリティ情報」、CISA KEV等に掲載)は確実に14日以内。攻撃が観測されていないものは、対応計画を作って期限を管理すれば15日以上も許容され得ます
・サポート切れの機器・ソフトは「使うな」一択でしたが、やむを得ず使い続ける場合は「リスクを低減する対策(分離・機能無効化等)を実施」する道が★3でも明文化されました。古い端末や設備系PCを抱える中小企業には大きな緩和です
・背景にあるのは「深刻度の高い脆弱性のうち実際に悪用されるのは約4%」という考え方。「全件を14日で」から「悪用中のものを確実に14日で」へ、重心が移りました
ただし緩和は「記録とセット」です。対応計画の台帳(CVE番号・対象・CVSS値・期限・対応履歴)を作り、リスクを受容したものも含めて漏れなく記録・追跡することが前提になっています。
・サポート切れの機器・ソフトは「使うな」一択でしたが、やむを得ず使い続ける場合は「リスクを低減する対策(分離・機能無効化等)を実施」する道が★3でも明文化されました。古い端末や設備系PCを抱える中小企業には大きな緩和です
・背景にあるのは「深刻度の高い脆弱性のうち実際に悪用されるのは約4%」という考え方。「全件を14日で」から「悪用中のものを確実に14日で」へ、重心が移りました
３．★3の取得手続が確定──「シートに書き、専門家が確認し、経営者が宣言する」
自己評価等ガイドにより、★3の「専門家確認付き自己評価」が初めて手続として定まりました。流れは次のとおりです。
| ステップ | 内容 |
| ①範囲を決める | 取得単位(原則は法人単位。事業部・グループも可)と適用範囲を決め、★3確認責任者の妥当性確認・合意を得る。合意がなければ先に進めない |
| ② シートに記入 | 公式アセスメントシートに、適用範囲の質問12問、対象外とその理由、適合/不適合、各質問への回答を記入(★3は81基準・108行) |
| ③専門家が確認 | ★3確認責任者が「網羅性・正確性・適時性・一貫性」の4観点で記載を確認し、全基準適合と判断できたら署名 |
| ④経営層が宣言 | 宣言者が役職・氏名・宣言日を記入し、自己適合宣言 |
| ⑤ 提出・保管 | 署名済みシートをPDF化してSHA-256ハッシュ値を算出。ハッシュ値をIPAへ提出し、PDFとともに保管(署名後の改変は照合で発覚する仕組み) |
押さえておきたいポイントが3つあります。第一に、適用範囲は「絞れない」方向で確定しました。インターネット公開サーバ(外部のレンタルサーバ上のコーポレートサイトも含む)は必ず範囲に含め、クラウドサービスや業務に使う私物スマホ(BYOD)も対象。除外するにはFWやVLANなどネットワーク層での境界保護が条件で、「IDとパスワードで分けている」は境界と認められません。
第二に、「定める」=「文書化し、その運用を行うこと」と定義されました。規程を書いただけでは足りず、年1回の点検8項目は「直近の実施日」を質問されます。初回申請の前に一度は点検を実施しておく必要がある──つまり、申請の数か月前から運用を回し始める必要があります。教育も、資料を配るだけでは不適合で、eラーニングか集合教育の実施記録が要ります。
第三に、専門家の確認は原則「シートに記載された情報のみ」で行われ、記載の真実性に責任を負うのは企業側です。「専門家が見てくれるから適当に書いても大丈夫」は通用しません。虚偽記載は登録取消しの対象であり、お客様への説明では最初に釘を刺すべき点です。
４．厳しくなった点・緩くなった点──中小企業への説明に効く例
解説書とガイドの別紙で、81基準すべてに適合基準・自己評価方法・質問事項が付きました。細部は次回以降に譲りますが、お客様との会話で早速使える例をいくつか挙げます。
| 項目 | 確定した内容 |
| 多要素認証(4-1-3-2) | 重要な機密情報を扱うクラウドは全てMFA。メール・SMSのワンタイムパスワードやプッシュ認証も可。パスキーも可。「パスワード+PIN」はMFAと認められない |
| パスワード(4-1-5-3) | MFAか10回ロックがあれば8文字以上でよい。どちらもなければ英大小文字+数字の10文字以上。実際の設定画面も確認対象 |
| 検知の仕組み(5-1-1) | 内→外と外→内の双方向をリアルタイムで検知・遮断(UTM、EDR等)。製品・サービスの導入が事実上の前提で、アラートを人が分析・判断する運用も必要 |
| 生成AI・Web会議(3-1-3) | 「外部情報サービス」として利用申請の手続と利用規約の確認記録が必要。見落としやすい新論点 |
| インシデント連絡先(6-1-1-2) | 警察・IPA・個人情報保護委員会・所管省庁を含める。漏れやすい |
| 復旧(7-1-1-1) | 電話・FAX・紙による人手の業務継続も認められる。サイバー保険も有効とされ、中小企業に現実的 |
| ISMSとの関係 | 「ISMS取得済みなら省略できる」という規定はどの文書にもない。安易な説明は禁物 |
★4については、文書確認・実地審査(原則1拠点、オンライン可)・技術検証(外部公開のVPN装置・ルータ・FW等を外部から診断し、CVSS7.0以上の脆弱性がないこと)の全てを通過する必要があり、不合格なら3か月間再申請できないという厳しいルールも確定しました。★4を目指すお客様には、受審前の模擬評価と境界機器の事前診断が実質必須と考えるべき内容です。
５．販売店が考え始めるべきこと──まずはこの4つから
文書が出揃った今、★3支援は「概要を語れる人」から「ガイドを読み込んで手続を回せる人」の勝負に変わります。すべてを一度にやる必要はありません。入口として、次の4つから着手することをおすすめします。
①ガイドの「読む順番」を決めて、社内で読み始める
おすすめは、解説書(SCS-620)の総論→自己評価等ガイド(SCS-410)の本文(手続・適用範囲)→アセスメントシートの実物、の順です。全部で約400ページありますが、この3点の要所を押さえれば、お客様の初回相談には十分対応できます。★4関連の2冊は、★4案件が出てから読めば間に合います。
②お客様との最初の論点は「適用範囲」と心得る
ガイドを読むと、最初に決めるべきは対策の中身ではなく「取得単位と適用範囲」だと分かります。公開サーバはどこにあるか、私物スマホを業務に使っていないか、除外したい拠点はないか、「重要な機密情報」をどう定義するか──ここを誤ると後の作業がやり直しになります。お客様のヒアリングシートを「範囲の質問」から組み立て直しておくと、2027年3月以降の支援がスムーズになります。
③「申請前に1年分の運用」を逆算して、年次点検を今から回し始める
年次点検は申請前に一度実施しておく必要があり、教育も実施記録が要ります。2027年3月の受付開始直後に申請したいお客様がいるなら、点検・教育・記録づくりは年内～年明けに始めるのが逆算の答えです。「制度が始まってから考える」では、最初の波に乗れません。
④検知(5-1-1)とパッチ運用は、機器・サービス提案とセットで
5-1-1は製品・サービスの導入が前提となる基準で、予算の話が避けられません。UTM・EDRの提案は「★3の5-1-1対応」という明確な根拠を得ました。またVer.1.1のパッチ運用(悪用中は14日以内・その他は対応計画)は、VPN装置やUTMのファームウェア更新を「誰がいつやるか」を決める話であり、保守契約の価値を説明し直す好機です。
| 【今後の注目点(未確定事項)】 ・「登録申請の手引」(申請手続・費用・更新の運用)は別途公開予定 ・SCSセキュリティ専門家の研修事業者は2026年12月末ごろ公表予定──★3確認責任者を担う人材の育成日程がここで確定 ・★4実地審査で必須となる要求事項・年度指定の要求事項は制度運営機関が別途公表 |
| 【関連リンク】 ・IPA SCS評価制度の詳細情報： https://www.ipa.go.jp/security/scs/details.html ・SCS評価制度 トップページ： https://www.ipa.go.jp/security/scs/index.html |
| 石渡電気では、今回公開されたガイド・解説書の読み解きと、お客様の適用範囲整理・年次点検の立ち上げ支援を始めています。 「まず何から読めばいいか」「うちのお客様はどこから手を付けるべきか」など、お気軽にご相談ください。 |
本記事はIPAが2026年10月28日に公開・更新した「★3・★4 要求事項・評価基準 Ver.1.1」「★3・★4 自己評価等ガイド」「アセスメントシート」「★4 第三者評価ガイド」「★4 技術検証ガイド」「★3・★4 要求事項・評価基準 解説書」をもとに、2026年10月29日時点の情報で当社が整理したものです。
受付開始時期(2027年3月予定)を含め今後変更される可能性があります。個別の適合判断は各文書の原文と最新のIPA公表情報をご確認ください。
石渡電気が一緒に準備します
石渡電気では、販売店様がSCS評価制度に関する顧客対応力を早期に身につけられるよう、制度情報の提供・勉強会・製品提案サポートを継続的に行っていきます。
制度は動き始めています。「顧客から聞かれてから考える」では遅いかもしれません。今この時期に情報を蓄え、提案の準備を整えた販売店が、これからの競争で先行優位を得ることになります。
ご不明な点・ご相談は石渡電気までお気軽にお問い合わせください。
