取引先から「SCS評価制度に対応してほしい」と連絡を受けても、その場で取得を約束する必要はありません。まず、求められている内容を文書で確認してください。
2026年8月時点では制度開始前のため、取引先独自のセキュリティ確認を「SCS対応」と呼んでいる可能性もあります。制度への対応と独自基準への回答では、準備する内容が異なる場合があります。
回答前に確認しておきたい7項目
- 求められているのは★3、★4、取引先独自の基準のどれですか
- 対象は自社全体ですか、特定の業務やシステムに限られますか
- 回答、取得、再評価の期限はいつですか
- 規程、ログ、報告書など、どのような証跡が必要ですか
- 契約上の必須条件ですか、努力目標ですか
- 再委託先やクラウド事業者も確認の対象ですか
- 基準を満たさない場合、どのような対応を求められますか
口頭で確認した内容は、担当者名や期限とともに記録しておくと認識の違いを防ぎやすくなります。契約上の扱いが不明な場合は、社内の契約担当者や必要に応じて専門家へ確認してください。
社内では現状を基に答える
対象範囲が分かったら、端末、サーバー、クラウド、VPN、管理者アカウント、バックアップ、ログ、事故時の連絡先を確認してください。すでに作成している資産台帳や規程があれば、それらを基に確認すると負担を減らせます。
規程と実際の運用が異なる場合は、その差も記録してください。未対応の項目については、現状を曖昧にせず、対応する担当者と予定時期を添えて説明できる状態にしておくことが大切です。
支援会社との契約は公表情報を確認してから
IPAは、中小企業を支援できる登録セキスペの情報を試行公開しています。一方、SCSの評価機関や確認を担う専門家の情報は、今後公表される予定です。「必ず取得できる」「唯一の公式支援」といった案内を受けた場合は、経済産業省やIPAの公表内容と照合してください。
外部へ相談する場合は、対象資産、作業範囲、成果物、費用、機密情報の扱いを文書で確認してください。セキュリティ対策の改善支援を受けることと、制度上の評価を得ることは別の作業です。支援を依頼する際は、どこまでが契約に含まれるのかも確認が必要です。