- 10月28日に公開された4つの文書と、これからの予定
- ★3と★4の違い（想定する攻撃・確かめ方・登録料・更新の周期）
- 取得は義務か、取引先から求められたらどう考えるか
- 制度が始まる前に、小さな会社がしておけること
結論
SCS評価制度は、取引先を含めたサプライチェーン全体のセキュリティ対策の水準を上げるために、会社の対策の段階を★で示す仕組みです。2026年10月28日、運営する IPA が、評価の手順を示すガイドと、要求事項の考え方を説明する解説書を公開しました。IPA は2027年3月の制度開始に向けて準備を進めているとしています。取得は任意ですが、取引先から求められる場面は増えると考えられます。今のうちに要求事項に目を通し、できていることとできていないことを分けておくと慌てずに済みます。
何が公開されたのか
10月28日に公開されたのは、「★3・★4 自己評価等ガイド」「★4 第三者評価ガイド」「★4 技術検証ガイド」「★3・★4 要求事項・評価基準 解説書」の4つです。登録を目指す会社がまず読むのは、自己評価等ガイドと解説書です。今後は登録申請の手引の公開や制度のロゴの制定があり、2026年12月下旬には評価機関などの指定と公表が予定されています。
★3と★4の違い
IPA のよくある質問をもとにまとめます。
- 想定する攻撃：★3は一般的なサイバー攻撃。★4は、供給が止まったり情報が漏れたりすると大きな影響が出る攻撃
- 確かめ方：★3は自社の評価を「SCSセキュリティ専門家」が確認。★4は評価機関による第三者の評価と技術検証
- 更新：★3は1年ごと、★4は3年ごと
- IPAへの登録料：★3は20,000円（2028年3月31日までは10,000円）、★4は60,000円
EDR（パソコンの不審な動きを見張るソフト）や資産管理のシステムのような、特定の製品を入れることは求められていません。製品を買えば取れる仕組みではありません。★4は会社の規模ではなく、取引先から見た役割の重さで求められるものなので、少人数でも求められることがあります。
登録料のほかに、確認や評価を頼む専門家・評価機関への費用がかかります。金額は頼む相手ごとに確かめてください。
取得は義務なのか
よくある質問は「★の取得は任意」としています。取引の条件にするかどうかは契約する当事者どうしが決めることで、要求事項をすべて満たしていないことを理由に、ただちに取引の停止などを求めるものではない、とも書かれています。公共の入札の条件になるかは、発注する機関の判断です。
取引先から「★3をお願いしたい」と言われたら、どちらの★を、いつまでに、会社全体か取引に関わる範囲だけか、を聞きます。取得までの間は、要求事項を共通のチェックリストとして使い、対策の状況を示す使い方もよくある質問で想定されています。自社が外注先に★を求める側になるときも、同じ考え方で、預けている情報の重さから妥当な水準を決めます。
制度が始まる前にしておけること
確認リスト
- IPAの「要求事項・評価基準」と解説書に目を通し、できていること・手を入れればできること・大きな手当てが要ることに分けたか
- 社内のパソコン、サーバー、クラウドサービス、アカウントの一覧があるか
- 修正の適用、バックアップ、退職者のアカウント削除を、誰がいつやるか決まっているか
中小企業向けには、★3・★4の取得の支援を目的とした「サイバーセキュリティお助け隊サービス」の新しい類型も示されています。
IPA への問い合わせはメールだけで、電話での対応はしていないとされています。「IPAの者です」という電話で★の取得や支払いを求められたら、IPAの公式サイトで案内を確かめてください。
今日、まず確認すること
IPAのSCS評価制度のページを開き、「要求事項・評価基準」の文書を確かめて、社内の担当者を一人決めてください。