SCS評価制度の★3と★4は、2027年3月ごろに始まる予定です。申請方法や費用はまだ公表されていませんが、社内のIT資産や基本的な対策については、制度開始前から確認できます。

IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」には、情報資産の管理や社内規程に使えるひな形が用意されています。これらはSCS取得を保証するものではありませんが、自社の現状を把握する際の参考になります。

責任者と対象範囲の確認

セキュリティ製品や支援サービスを選ぶ前に、経営判断を行う責任者と実務担当者を決めてください。担当が明確でないまま対策を導入すると、更新や点検が続かなくなることがあります。

退職者のアカウント削除、機器の更新、バックアップの確認、事故発生時の連絡など、日常の作業を誰が担当するのかも明記してください。専任担当者を置けない場合は、委託先への連絡を誰が行うのかまで決めておくと、対応が止まりにくくなります。

制度開始前に確認できる6項目

1. 経営責任者、実務担当者、緊急時の連絡先の確認
2. 端末、クラウド、アカウント、外部公開資産の一覧化
3. IPA「5分でできる情報セキュリティ自社診断」による現状確認
4. 基本方針、資産管理台帳、従業員向け手順の見直し
5. バックアップ、アクセス権、ログ、更新、教育の運用
6. 取得ガイド公表後のSCS要求事項との比較

一度にすべて進める必要はありません。管理している機器やサービスの一覧がない場合は、まず現状を把握するところから始めてください。その後、自社診断の結果を参考に、影響が大きい項目から担当者と対応時期を決めてください。

ひな形は自社の運用に合わせる

ガイドライン第4.0版は、個人事業主や小規模事業者も対象としています。従来の「情報セキュリティ5か条」にはバックアップが加わり、「情報セキュリティ6か条」となりました。不要な外部通信の遮断や、Webサイトの安全な運用に関する項目も自社診断へ反映されています。

公開されている規程や台帳のひな形をそのまま保存するだけでは、実際の運用にはつながりません。利用しているサービス、社内の承認方法、事故時の連絡先に合わせて内容を調整してください。

ガイドラインに沿って対策を行っても、★3や★4の取得が保証されるわけではありません。正式な取得ガイドが公表された時点で、SCSの要求事項と自社の対策に違いがないか、改めて確認してください。

関連リンク

• IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」
• IPA「SCS評価制度 FAQ」

取引先から「SCS評価制度に対応してほしい」と連絡を受けても、その場で取得を約束する必要はありません。まず、求められている内容を文書で確認してください。

2026年8月時点では制度開始前のため、取引先独自のセキュリティ確認を「SCS対応」と呼んでいる可能性もあります。制度への対応と独自基準への回答では、準備する内容が異なる場合があります。

回答前に確認しておきたい7項目

1. 求められているのは★3、★4、取引先独自の基準のどれですか
2. 対象は自社全体ですか、特定の業務やシステムに限られますか
3. 回答、取得、再評価の期限はいつですか
4. 規程、ログ、報告書など、どのような証跡が必要ですか
5. 契約上の必須条件ですか、努力目標ですか
6. 再委託先やクラウド事業者も確認の対象ですか
7. 基準を満たさない場合、どのような対応を求められますか

口頭で確認した内容は、担当者名や期限とともに記録しておくと認識の違いを防ぎやすくなります。契約上の扱いが不明な場合は、社内の契約担当者や必要に応じて専門家へ確認してください。

社内では現状を基に答える

対象範囲が分かったら、端末、サーバー、クラウド、VPN、管理者アカウント、バックアップ、ログ、事故時の連絡先を確認してください。すでに作成している資産台帳や規程があれば、それらを基に確認すると負担を減らせます。

規程と実際の運用が異なる場合は、その差も記録してください。未対応の項目については、現状を曖昧にせず、対応する担当者と予定時期を添えて説明できる状態にしておくことが大切です。

支援会社との契約は公表情報を確認してから

IPAは、中小企業を支援できる登録セキスペの情報を試行公開しています。一方、SCSの評価機関や確認を担う専門家の情報は、今後公表される予定です。「必ず取得できる」「唯一の公式支援」といった案内を受けた場合は、経済産業省やIPAの公表内容と照合してください。

外部へ相談する場合は、対象資産、作業範囲、成果物、費用、機密情報の扱いを文書で確認してください。セキュリティ対策の改善支援を受けることと、制度上の評価を得ることは別の作業です。支援を依頼する際は、どこまでが契約に含まれるのかも確認が必要です。

関連リンク

• 経済産業省「SCS評価制度」
• IPA「中小企業向けサイバーセキュリティ対策支援者リスト」

SCS評価制度は、★3と★4から運用が始まる予定です。星の数で企業の優劣を決めるのではなく、取引関係で求められる対策の範囲と、その確認方法を区分しています。

取引先から対応を求められた場合は、星の数だけで判断せず、対象となる業務やシステム、必要な証跡まで確認することが大切です。

★4は対象範囲と評価方法が異なる

経済産業省の制度構築方針では、★3の要求事項と評価基準を基礎として、★4ではより広い範囲の対策を求める考え方が示されています。★3は自己評価に専門家の確認を加える方法、★4は第三者評価機関による評価が想定されています。

いずれも、定められた要求事項と評価基準をすべて満たすことが必要になる予定です。一部の対策だけを実施すれば取得できる仕組みではありません。自社に求められている段階が分からない場合は、準備を始める前に取引先へ確認してください。

申請方法と費用は未公表

2026年8月時点では、★3・★4の申請方法、取得ガイド、申請・登録費用は公表されていません。IPAは、取得ガイドを2026年10月ごろ、評価機関の情報を同年12月末ごろ、確認を担う専門家の情報を2027年1月以降に公表する予定としています。

今後、予定や制度の詳細が変更される可能性もあります。申請や支援サービスの利用を検討する際は、経済産業省とIPAの最新情報を確認してください。

取引先に確認しておきたい項目

• 求められているのは★3、★4、取引先独自の基準のどれか
• 対象は自社全体か、特定の業務やシステムに限られるのか
• 回答や取得の期限はいつか
• 規程やログなど、どのような証跡が必要か

制度開始前でも、端末、クラウド、アカウント、外部接続の状況を一覧にし、バックアップやログの運用状況を確認できます。ただし、この準備だけで★3や★4の取得が決まるわけではありません。正式な取得ガイドが公表された後に、要求事項との差を改めて確認してください。

関連リンク

• IPA「SCS評価制度 FAQ」
• 経済産業省「SCS評価制度」

企業のセキュリティ対策を共通の基準で確認する「SCS評価制度」は、★3と★4について2027年3月ごろの運用開始が予定されています。取引先ごとに異なる確認作業を減らし、サプライチェーン全体の対策状況を確認しやすくするための制度です。

法律で一律に取得が義務付けられる制度ではありませんが、取引先から対応を求められる可能性はあります。制度の開始を待つのではなく、対象となる業務や現在の対策状況を確認しておくと、依頼を受けた際に対応しやすくなります。

企業の順位を決める制度ではない

正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。委託元が取引先に求める対策の段階を示し、その実施状況を確認する使い方が想定されています。

星の数は企業の順位を示すものではありません。取引関係や業務の性質によって、必要とされる対策の範囲が異なるためです。取引先から「SCSへの対応」を求められた場合は、★3と★4のどちらを想定しているのか、最初に確認してください。

対象は企業のIT基盤

制度の対象は、サプライチェーンを構成する企業などのIT基盤で、クラウド環境も含まれます。一方、製造現場のOTシステムや、取引先へ納入する製品そのものは直接の対象ではありません。

同じ会社でも、すべての業務が一律に対象になるとは限りません。確認を求められた際は、自社全体が対象なのか、特定の業務やシステムに限られるのかを取引先へ確認してください。

2026年8月時点では、申請の受け付けは始まっていません。★3と★4は2027年3月ごろの運用開始が予定されており、★5の要求事項や開始時期は引き続き検討されています。

今のうちに確認できること

• 端末、クラウド、アカウント、外部接続の一覧は最新か
• バックアップ、アクセス権、ログはどのように運用しているか
• 事故が発生した場合の責任者と連絡先は決まっているか
• 取引先から求められる対象範囲と期限は明確か

これらはSCSの申請に限らず、日常のセキュリティ対策を確認するうえでも役立ちます。まずは把握できていない項目を洗い出し、社内の担当者や委託先に確認してください。

申請方法や費用など、まだ公表されていない項目もあります。「取得を保証する」といった案内を受けた場合は、その場で契約せず、経済産業省とIPAが公表している最新情報を確認してください。

関連リンク

• 経済産業省「SCS評価制度」
• IPA「SCS評価制度 FAQ」