SCS評価制度★3の26項目、やることと取らないとどうなるか

2026年10月28日、IPA（情報処理推進機構）が「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の実務文書をまとめて公開しました。★3・★4の「要求事項・評価基準」がVer.1.1に更新され、あわせて自己評価のやり方を示すガイド、★4の第三者評価・技術検証のガイド、解説書が初めて出ています（IPA 要求事項・評価基準）。

SCS評価制度は、取引先にどこまでのセキュリティ対策ができているかを「★」で示す国の制度です。登録の受付は2027年3月に始まる予定です。今回の公開で「何を満たせば★3になるのか」「どう確認を受けるのか」がほぼ出そろいました。この記事では、公表資料に書かれている事実だけで、中身・やること・取らないとどうなるかを整理します。

ヒント: この記事の結論

★3は「すべての取引先企業が最低限実装すべき」対策で、要求事項は26件（評価基準は81個）。すべてを満たす必要がある。特定のセキュリティ製品の導入は求められていない
取得の流れは、自己評価 → SCSセキュリティ専門家の確認 → 申請 → 登録・公開。有効期間は1年、登録料は2028年3月31日まで1万円（通常2万円）
取得は任意で、取らないことで直ちに取引停止になるわけではない。ただし、★を取引の条件にするかは発注者との契約で決まる。取得企業はIPAのサイトで公開される
受付開始までの5か月でやることは、26項目の棚卸し、すぐ効く3つの対策、確認を頼む専門家の目星、取引先への確認

10月28日に何が公表されたか

✎ Ex.2026年10月28日に公開・更新された文書（IPAのページより）

文書（番号）	中身	主に読む人
★3・★4 要求事項・評価基準（SCS-400）Ver.1.1	満たすべき対策の一覧（Excel）。3月版から3か所を修正	取得したい会社
★3・★4 自己評価等ガイド（SCS-410）＋アセスメントシート	取得単位・適用範囲の決め方、自己評価のやり方と適合基準、★3の確認手続き	取得したい会社・専門家
★3・★4 要求事項・評価基準解説書（SCS-620）	解釈に迷う点や対策の具体例	取得したい会社・専門家
★4 第三者評価ガイド（SCS-420）	評価機関が行う★4の評価手続き	評価機関
★4 技術検証ガイド（SCS-430）	★4の技術検証のやり方と留意点	評価機関・技術検証事業者

申請の具体的な手続きを示す「登録申請の手引」は、2026年11月末頃に公表予定とされています（IPA よくある質問）。

★3と★4の違い

✎ Ex.★3と★4の比較（IPAのリーフレット・よくある質問より）

	★3	★4
想定する攻撃	広く知られた脆弱性などを悪用する一般的な攻撃	供給停止や機密情報の漏えいで大きな影響が出る企業への攻撃
位置づけ	すべてのサプライチェーン企業が最低限実装すべき対策	標準的に目指すべき対策
要求事項	26件	43件
評価のしかた	専門家確認付き自己評価	評価機関による第三者評価
有効期間	1年	3年（毎年、自己評価を提出）
登録料	2万円（2028年3月31日までは1万円）	6万円

中小企業がまず目指すのは★3です。

★3の26項目で何をするか

26件は7つの分類に分かれています。評価基準から、とくに具体的な数字や頻度が書かれているものを抜き出しました。

✎ Ex.★3の要求事項26件の内訳と、評価基準の具体例（SCS-400 Ver.1.1より）

分類（件数）	主な中身
ガバナンスの整備（3）	セキュリティの担当役員・部署と連絡先を決める（年1回点検）。守秘義務のルール。セキュリティ対応方針を定めて周知
取引先管理（3）	取引先のシステムとのつながりを把握（年1回点検）。機密情報の扱いを共有先と明確に。事故時の役割分担
リスクの特定（4）	パソコン・サーバの台数やOSの把握。ネットワーク構成。機密情報を扱うクラウドサービスの管理。機密区分ごとの管理ルール
攻撃等の防御（13）	重要な機密情報を扱うクラウドは常に多要素認証（併用するパスワードは8文字以上）。端末ロックは6文字以上。使い回し禁止のルール。重大な脆弱性の更新は14日以内。全パソコン・サーバにマルウェア対策。遠隔地バックアップと復元手順。事故対応の教育を入社時と年1回以上
攻撃等の検知（1）	不正な通信をリアルタイムに検知・遮断する仕組みと、異常時の通知
インシデントへの対応（1）	対応手順、社内外の連絡先、報告フォーマット
インシデントからの復旧（1）	重要なシステムの復旧に必要な準備

注意したいのは、「ルールを定める」だけでなく「年1回以上点検する」「記録を残す」まで求める項目が多いことです。紙の規程を作るだけでは足りず、運用した跡を残す必要があります。

3月版から変わった点Ver.1.1

主な変更は、セキュリティ更新の扱いです。「リリースから14日以内」の原則は変わりません。動作確認などでやむを得ず間に合わない場合の扱いが、ガイドと解説書で具体的になりました（変更箇所の説明資料）。

✎ Ex.14日以内に更新できないとき（自己評価等ガイドの記載の要旨）

脆弱性の状況	求められること
すでに攻撃が観測されている	対応計画を作ったうえで、機能の無効化・ベンダーの回避策・ネットワークからの分離・監視の強化などを行う
攻撃が観測されていない	対応計画を作り、完了するまで管理・記録する

取得までの流れ（★3）

★3を取得するまで（自己評価等ガイド・リーフレットより）

① 取得単位と適用範囲を決める

原則は会社（法人）単位

② アセスメントシートで自己評価

26件・81の評価基準に回答

③ ★3確認責任者の確認と署名

社内・社外のどちらでも可

④ PDF化してハッシュ値を保管

登録期間中は保管

⑤ 事務局に申請し、台帳に登録・公開

受付は2027年3月から

③の確認をするのは、情報処理安全確保支援士・CISSP・ISO27001主任審査員などの資格を持ち、研修を受けて登録した「SCSセキュリティ専門家」です。専門家の公表は2027年1月以降の予定です。確認は、アセスメントシートの記載に漏れや矛盾がないかを確かめるもので、書いた内容が事実かどうかの責任は申請する会社が負うとされています。

④は見落としやすい点です。署名済みのアセスメントシート全体をPDFにし、SHA-256でハッシュ値を計算して保管し、ハッシュ値は制度運営機関に提出します。登録後に中身を書き換えていないかを、調査のときに照合するためです。★3は1年ごとの更新なので、この作業を毎年行うことになります。

取らないとどうなるか

IPAのよくある質問は、はっきりこう答えています。

★の取得は任意で、制度が義務付けるものではない
すべての基準を満たしていないことを理由に、直ちに取引停止などが求められるものではない
★を取引の条件にするかどうかは、契約当事者の間で決める
★の有無だけでなく、要求事項を共通のチェックリストとして使い、対策状況を確認することも想定している
公共調達の入札要件になるかは、調達する機関の判断

つまり、すぐに困ることはありません。ただし、制度のねらいは発注者が委託先に「★3以上」のように求める水準を示すことです。経済産業省と公正取引委員会は、発注者が制度に基づいて対策を求め、受注者と協力して対策と価格の交渉を進める事例を、独占禁止法・取適法上「問題とならない」と考えられる例として公表しています。取得企業はIPAのサイトで公開されるため、取引先が★の有無を確かめられるようになります。

「求められてから」では1年ごしの作業になる

26件のうち多くは、ルールを作るだけでなく「年1回の点検」「教育の記録」のような運用の実績が必要です。取引先から求められてからルールを作り始めると、記録がそろうまでに時間がかかります。受付開始の2027年3月より前に、まず社内の現状を26件に照らして○×をつけておくことをおすすめします。

作成者矢嶋

今からやること（受付開始まで）

2027年3月までにやることの順番

① 26項目の○×をつける

1〜2時間。IPAのExcelで

② すぐ効く3つを先に固める

多要素認証・14日更新・バックアップ

③ SECURITY ACTIONを宣言する

無料。★取得の第一歩

④ 確認を頼む専門家と取引先の意向を確かめる

1月以降

1. 26項目の○×をつける所要 1〜2時間

IPAのページから「要求事項・評価基準」のExcelと、自己評価等ガイドのアセスメントシートを入手し、★3の行だけを見て、今できているものに○をつけます。×は「ルールがない」「記録がない」に分けておくと、次の手が決まります。

2. すぐ効く3つを先に固める所要半日〜

×が多くても、次の3つは★3の要求に直結し、取得とは関係なく被害を減らせます。

✎ Ex.先に手を付けたい3つ

対策	★3の評価基準での扱い
重要なクラウド（メール・ファイル共有など）の多要素認証	重要な機密情報を扱うクラウドは常に多要素認証。併用するパスワードは8文字以上
セキュリティ更新を14日以内に当てる手順	重大な脆弱性の更新はリリースから14日以内。間に合わないときは計画と代替策
バックアップと復元手順	対象・頻度・保管期間を決め、重要な情報は遠隔地にも。復元の手順書を用意

パスワードの使い回し禁止もルール化が求められています。当サイトの無料チェックでは、10月8〜28日に結果が出た488件のうち152件（約3割）で、過去の漏えいデータに「パスワード」が含まれていました（危険度ランクS。運営側の動作確認を含む可能性がある参考値です）。社員の業務用アドレスが過去の事件に含まれていないかを無料チェックで確かめておくと、ルールを作る理由を社内で説明しやすくなります。使い回しが危ない理由はパスワードの使い回しの記事で図解しています。

3. SECURITY ACTIONを宣言する無料

IPAのリーフレットは、★3・★4取得に向けた第一歩として、中小企業が自ら対策に取り組むことを宣言する「SECURITY ACTION」の一つ星・二つ星から始めることを勧めています。あわせて、IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版の付録5には、★3・★4の要求事項に対応した社内規程のサンプルと対応表が載っています。規程づくりはここから始めるのが近道です。

4. 専門家の目星と取引先の意向を確かめる2027年1月以降

★3の確認をする専門家は2027年1月以降に公表される予定です。社内に資格者がいなければ外部に頼むことになるので、早めに目星をつけておきます。並行して、主な取引先に「今後★を求める予定があるか」を聞いておくと、★3と★4のどちらを目指すか決めやすくなります。

当サイトの法人向けサービスでも、26項目の棚卸しから★3の準備を手伝う「SCS★3準備サポート」を用意しています（法人向けページ）。正式な確認や登録は制度の手続きに従う必要があり、取得を保証するものではありません。

まとめ

今年の漏えいの状況は2026年秋の漏えい急増の記事にまとめています。

2027年3月の受付開始までにやること

IPAのExcelで★3の26項目に○×をつけ、「ルールがない」「記録がない」に分けた
重要なクラウドの多要素認証、14日以内の更新手順、バックアップと復元手順を固めた
パスワードの使い回し禁止をルールにして、社員のアドレスを無料チェックで確かめた
SECURITY ACTIONを宣言し、IPAガイドラインの規程サンプルを入手した
主な取引先に、★を求める予定があるかを確認した