ここが変わったSCS評価制度 ― これまでのガイドラインと比べて見えてくる傾向とは

2026年10月28日、IPA（独立行政法人情報処理推進機構）は、SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の★3・★4について、要求事項・評価基準の改訂版とあわせて「自己評価等ガイド」や「解説書」を公開しました。これにより、適合と判断される水準が初めて具体的に示されました。

一方で、これまで中小企業向けのガイドラインや自社診断ツールを使って対策を進めてきた企業にとっては、「今までの取り組みで足りるのか」が気になるところではないでしょうか。本記事では、従来のガイドラインと比較しながら、SCS評価制度で何が変わったのか、その傾向と備え方を解説します。

中小企業向けのセキュリティ指針としては、IPAの「中小企業の情報セキュリティ対策ガイドライン」が2009年の初版以来、広く使われてきました。2026年3月に公開された第4.0版では、SCS評価制度の考え方を取り込み、取り組みを4つのSTEPで段階的に進める構成になっています。STEP1では「情報セキュリティ6か条」、STEP2では25項目の「5分でできる！情報セキュリティ自社診断」で現状を把握し、STEP3以降で体制や規程の整備に本格的に取り組む、という流れです。

これらのガイドラインは「まず何から始めるか」を示す入門書としての性格が強く、自社診断も「実施している」「一部実施している」といった自己申告で点数をつける形式でした。

これに対してSCS評価制度は、取引先に対して自社の対策水準を示すための評価制度です。★3・★4は2027年3月頃の運用開始が予定されており、取得には定められた要求事項・評価基準をすべて満たす必要があります。「取り組みの目安」から「適合か不適合か」へ、物差しの性格そのものが変わったと言えます。

まず目に付くのは項目数です。IPAが公開した「★3・★4 要求事項・評価基準」（Ver.1.1）では、要求事項が43項目、その下に評価基準が153項目あります。このうち★3で求められるのは要求事項26項目・評価基準81項目で、★4ではさらに72項目の評価基準が加わります。

加えて「★3・★4 自己評価等ガイド」では、評価基準ごとに「対象外となるための条件」「適合基準」「自己評価方法」が示されています。たとえばセキュリティパッチについては、ベンダーが「重大」「高リスク」とする脆弱性や、CVSS（脆弱性の深刻度を示す共通指標）の基本値が7.0以上の脆弱性を修正するアップデートを、公開から14日以内に適用することが★3の評価基準になっています。パスワードも、多要素認証かアカウントロックと組み合わせる場合は8文字以上、どちらも使えない場合は英大文字・小文字・数字を含む10文字以上と、条件付きで定められています。

「何をどこまでやればよいか」が明確になった分、取り組みやすくなったのは確かです。

次の特徴は、運用面のステップが細かく規定されたことです。153項目の評価基準のうち22項目が「年1回以上」の実施や点検を求めており（★3では8項目）、★4には脆弱性対応の漏れや認証ログを月次で確認する基準もあります。

自己評価方法の多くは、規程や記録を確認したうえで「その文書名を確認する」という書き方になっています。ルールを決めるだけでなく、そのルールがどの文書に書かれ、いつ点検されたのかを示せる状態が前提です。

手続き面でも、★3では自己評価結果を記入したアセスメントシートを★3確認責任者に確認してもらい、署名されたシートをPDF化して、ハッシュ値（データの改ざんを確認するための値）とともに保管することが求められます。確認の観点には「適時性」が含まれ、年次点検の最新実施日が1年以上前であれば指摘の対象になる、と例示されています。

中小企業ガイドライン第4.0版の付録5「情報セキュリティ関連規程（サンプル）」には、SCS評価制度の要求事項との対応表が付いています。ただし、この対応は要求事項単位のもので、2026年10月に示された評価基準ごとの適合基準までをカバーするものではありません。

適合基準を読むと、「ルールを定めていること」と「そのルールを実際に適用していること」が分けて書かれている項目が目立ちます。たとえば★3のパスワード設定ルールでは、ルールを定めることに加えて、認証の設定に実際に反映されていることが適合基準になっています。★4では、暗号化のルールどおりに実際に暗号化されていることの確認や、ファイアウォール・プロキシサーバ・認証サーバのログを6か月間保管することも求められます。

規程の文言は書き換えれば整いますが、設定やログで裏付ける部分は、機器やシステムを読み解ける人がいなければ対応できません。IT・セキュリティに通じた人材の関与が、これまで以上に前提になったと言えます。

評価基準は特定の製品を指定しておらず、製品を導入しなければ取得できない制度ではありません。一方で、自己評価等ガイドは「文書」「記録」の範囲に、管理ツールの画面表示やログ、CSV出力なども含まれると明記しています。自己評価方法の例示にも、「IT資産管理ツール」や「IPSの設置、EDRの導入」が挙げられています。

専任者を確保しにくい企業にとっては、日々の運用と記録を製品に任せ、人は判断と点検に集中するという役割分担が、有効な選択肢になります。

評価基準が具体的になった今こそ、「何を、誰が、どう示すか」を早めに整理しておくことが大切です。

取得単位は原則として法人単位で、インターネットに公開しているサーバはすべて適用範囲に含める必要があります。範囲が決まらなければ、点検対象も決まりません。

IPAが公開しているアセスメントシートの利用は任意ですが、推奨されています。質問事項に沿って回答していくと、どの規程や記録が必要になるのかを一覧で把握できます。

年次・月次の点検を一つの年間計画にまとめ、担当者と記録の保存先を決めておきます。

規程整備や判断は社内、台帳更新やログ取得・監視は製品やサービス、内容の確認は外部の専門家、というように役割を分けると、少人数でも運用を続けやすくなります。販売店の方が提案する際も、評価基準の番号と結び付けて説明すると、導入目的が伝わりやすくなります。

こうした対策には、端末やソフトウェアの情報を自動で集めて台帳を最新に保つIT資産管理、端末の不審な挙動を検知して記録を残すEDR、ネットワーク境界で不正な通信を遮断するUTM、ログの保管や管理、IDと多要素認証を一元管理するIDaaSといったカテゴリの製品が有効です。

SCS評価制度は、いままで発表されてきたガイドラインより適合の判断基準と運用の手順が具体的になりました。取り組みやすくなった一方で、規程整備や記録の負担は増え、設定やログで裏付けるための専門性も求められます。人と仕組みの役割を整理し、計画的に準備を進めることが大切です。

当社では、SCS評価制度を見据えた製品選定のご相談を承っております。資料請求やお問い合わせは、お気軽にご連絡ください。

※本記事の内容は、2026年10月時点で公表されている情報に基づき作成しております。制度の詳細は今後変更となる可能性があるため、最新の内容は公式発表にてご確認ください。

本記事はサイバーセキュリティ対策に関する一般的な情報提供を目的としたものです。自社の規模・環境を考慮した上で、最適な製品をご選定ください。