SCS評価制度の「★」は対策の実態を示すのか――公開された評価ガイドから読み解く、サンプリング中心の「プロセス確認型」審査

経済産業省と内閣官房国家サイバー統括室が進め、IPAが運営する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」。取引先に求めるセキュリティ対策の水準を★3・★4という共通の物差しで示し、企業ごとにばらばらだったチェックシートのやり取りを減らすことを目指す制度です（制度の概要）。

2026年10月28日、IPAは自己評価や第三者評価の具体的な進め方を示すガイド類を公開しました。これまで「どの水準の対策が求められるか」は示されていましたが、「それをどうやって確かめるのか」が明らかになったのは今回が初めてです。公開後、セキュリティや認証審査の専門家の間では、評価の設計をめぐる議論が広がっています。

この記事では、公開されたガイドの原文をもとに、★3と★4で実際に何が確かめられるのかを整理し、その設計が持つ意味と、取得する企業・発注する企業それぞれが気をつけたい点を考えます。

制度のおさらい：★3と★4の違い

★3・★4とも、原則としてすべての評価基準を満たす必要があります。登録申請の受付は2027年3月に始まる予定です。

公開ガイドで分かった「確かめ方」

★3：確認するのは「書かれた内容」

★3の進め方を示した「★3・★4 自己評価等ガイド（SCS-410）」は、★3確認責任者が行う確認を、アセスメントシート（自己評価の回答票）の網羅性・正確性・適時性・一貫性の4つの観点で確かめるものと説明しています。回答の漏れはないか、設問の趣旨とずれていないか、古い情報が残っていないか、他の回答と矛盾していないか、という確認です。

そのうえでガイドは、★3の「確認」は「アセスメントシート等に回答された対策等が実際に講じられているかを確かめることまでを求めるものではなく、原則として、アセスメントシート等に記載された情報のみをもって」妥当性を確かめるものだと明記しています。記載された内容が事実かどうかの責任は申請する組織が負い、確認責任者は記載が事実と異なっていたことについて責任を負わない、とも書かれています。

★3の確認は、いわば「記入内容の専門家チェック」です。実地での確認や、設定画面を見ての検証は行われません。

★4：実地審査はあるが、多くは「質問」で確かめる

★4の進め方を示した「★4 第三者評価ガイド（SCS-420）」では、評価機関はまずアセスメントシートの文書確認を行います。この段階では証跡の閲覧は必ずしも必要なく、証跡の確認は実地審査で行うことを想定しています。

実地審査を行う拠点は原則1拠点で、どこにするかは申請する組織と協議して決めます。評価の手法は次の3つで、評価基準ごとに「最低限実施すべき手法」が決められています。

ガイドの別紙で評価基準ごとの手法を見ると、150余りの評価基準のうち、「観察」は8割以上の基準で「原則として実施しない」とされ、「閲覧」も半数近くで原則として実施しないとされています。多くの基準では、規程や手順書の名前、実施の頻度などを「質問」することが最低限の確認になります。

観察を行う場合も、対象は抽出した一部です。たとえば端末のロック設定はパソコンとスマートデバイスを1台ずつ、マルウェア対策はパソコンとサーバーを1台ずつ抽出して設定画面を確かめる、といった形です。対象機器は申請組織の申告に基づいて決めてもよいとされています。脆弱性への対応では、脆弱性を1件抽出し、更新プログラムが公開から14日以内に適用されたかを確認する、といった方法が示されています。

一方でガイドは、別紙の手法はあくまで最低限のものであり、評価機関が必要に応じて手法を追加したり、確認の対象を広げたりすることを認めています。実際にどこまで確かめるかは、評価機関の運用にも左右されます。

ガイド自身が書いている「保証しないこと」

SCS-420は冒頭で、第三者評価の結果について次の4点に留意するよう求めています。

• インシデントが起きないことを保証するものではない
• 一部の機器、端末、規程、手順などに対して行うもので、すべての機器や手順が適合していることを保証するものではない
• 特に実地審査は一部の要求事項に対して行うもので、すべての要求事項に漏れなく適合していることを保証するものではない
• 評価時点の適合性を評価するもので、有効期間のあいだ適合が続くことを保証するものではない

制度の側が、評価の限界をはっきり書いている点は評価できます。裏を返せば、★を見る側もこの前提を理解しておく必要があるということです。

ISMSの審査とよく似た「プロセス確認型」

抽出した対象で、「決めた方法で管理・運用できているか」を確かめる。この設計は、情報セキュリティマネジメントシステム（ISMS、ISO/IEC 27001）の審査とよく似ています。

この設計には、はっきりした利点があります。すべての評価基準について証跡や設定画面を一つひとつ確かめれば、受ける側も評価する側も膨大な手間がかかります。セキュリティの専任者がいない中小企業が多いサプライチェーン全体に制度を広げるには、負担を抑えることが欠かせないからです。ISMSに慣れた組織にとっても、なじみやすい形です。

ただし、ISMSで以前から言われてきた課題も、そのまま持ち込まれる可能性があります。「決めた方法で管理できている」ことと、「実際にリスクが下がっている」ことは同じではない、という点です。

専門家の見方は「必要だが、実効性はこれから」

ガイド公開後、X上ではセキュリティや認証審査の専門家から、さまざまな意見が出ています。主な論調は次のとおりです。

• 評価のメリハリは現実的：すべての項目で証跡の提示や設定画面の確認を求めれば相当な負担になる。そうなっていない点は、普及を考えれば妥当だという評価
• 実態を確かめられるのか、維持されるのか：一方で、この評価方法で対策の実態を適切に確認できるのか、★を取った後も対策が維持されるのかには疑問が残る、という指摘。共通の物差しとして制度は必要だと認めたうえで、継続的な検証を求める声
• ★3と★4は重みがまったく違う：書類確認だけの★3と、実地審査と技術検証がある★4を、同じ「★」として並べて見てはいけないという指摘
• 海外の認証で起きたことが繰り返されるおそれ：米国のSOC 2では、テンプレートで形だけ整えるサービスや、審査の独立性の問題が指摘されてきた。似た構図の支援サービスが、すでに国内市場にも出始めているという警告
• 「取ること」が目的になる組織と、仕組みとして使い倒す組織に分かれる：PマークやISMSと同じ道をたどる可能性が高いという見方
• 現場からの懐疑：「文書の目録を整えれば★3は取れるのではないか」「解説書の記述は評価の厳密さより例示が中心」といった声

おおむね、「共通の物差しとして必要だが、★がそのまま対策の実効性を示すわけではない」という認識で一致していると言えます。

「管理できている」と「リスクが下がっている」の差

この差が具体的に何を意味するのか、脆弱性対応を例に考えます。

★4の評価では、脆弱性を1件抽出し、更新プログラムが公開から14日以内に適用されたかを確かめる方法が示されています。手順が決まっていて、抽出された1件で守られていれば、評価基準は満たされます。しかし、2026年10月の「ブラックオクトーバー」のように重大な脆弱性が短期間に重なる状況では、抽出されなかった機器のうち1台が更新されていないだけで、そこが侵入口になります。PHPの脆弱性では、ファイアウォールの管理画面が攻撃の対象になりました（既報）。

★4には、インターネットに公開している機器の脆弱性を調べる技術検証があり、こうした入口の確認は一定程度カバーされます。それでも、評価は「評価した時点」の結果であり、次の脆弱性は評価の翌週に出るかもしれません。★が示すのは「対策を回す仕組みがある」ことであり、「今この瞬間に穴がない」ことではないのです。

取得する企業へ：★を「仕組みを回す道具」にする

この設計を逆に見れば、★の取得を、社内の仕組みを整える機会として使えるということでもあります。審査を通るためだけの文書づくりで終わらせないために、次の点を意識することをおすすめします。

• 抽出されるのは1台でも、管理は全数で回す：資産の台帳、更新の状況、設定の基準を、評価の対象になりそうな機器だけでなく、適用範囲のすべてで管理する
• 回答は「実態」で書く：★3では記載内容の真実性は申請する組織の責任になる。事故が起きたとき、取引先や保険会社に回答と実態の食い違いを指摘されれば、信頼を大きく損なう
• 年次の自己評価を形だけにしない：★3は毎年の更新、★4も毎年の自己評価がある。ここを、対策が続いているかを点検する機会にする
• 評価の外にある技術的なリスクは自分で確かめる：★3には技術検証がない。外から見える機器やサイトの脆弱性診断、端末の監視などで、「仕組み」と「実態」の差を埋める

発注する企業へ：★の「中身」を見る

取引先に★を求める側も、★の有無だけで判断しないことが大切です。なお経済産業省は、「SCS評価制度を取得しないと入札から除外される」といった趣旨の案内が一部で見られるとして、注意を呼びかけています（既報）。

よくある質問

Q. ★3は「書類だけで取れる」というのは本当ですか？

★3の確認は、原則としてアセスメントシートに記載された情報で妥当性を確かめるもので、実地での確認は行われません。その意味では書類中心の評価です。ただし、すべての評価基準を満たすことが求められ、確認責任者が記載の漏れや矛盾、設問の趣旨とのずれを確かめます。また、記載内容が事実かどうかの責任は申請する組織が負うため、実態と異なる回答をするのは大きなリスクになります。

Q. ISMSを取得していれば、SCS評価制度の★は自動的にもらえますか？

いいえ。ISMSとSCS評価制度は考え方が近い部分もありますが、要求事項は同じではありません。特に取引先の管理など、SCS評価制度に固有の項目もあります。ISMSで整えた文書や記録を活用しつつ、要求事項・評価基準と照らし合わせて不足を確認する必要があります。

Q. ★4を持っている取引先なら、安心してよいですか？

★4は実地審査と技術検証を含み、★3より確認は深くなります。それでも、評価は一部の機器や手順を抽出して行うもので、評価時点の結果です。IPAのガイド自身が、すべての機器の適合や、有効期間中の適合の継続を保証するものではないと明記しています。★は取引先を判断する材料の一つとして使い、重要な取引先には個別の確認も組み合わせてください。

Q. 評価機関によって評価の厳しさは変わりますか？

ガイドで示された評価手法は最低限のもので、評価機関は必要に応じて手法を追加したり、確認の対象を広げたりできるとされています。どこまで確かめるかは評価機関の運用にも左右されると考えられます。評価機関の指定は2026年12月下旬に公表される予定です。

まとめ：★は「ゴール」ではなく「共通の出発点」

公開された評価ガイドから見えてきたのは、全数ではなく抽出した対象で、決めた方法で管理できているかを確かめる、ISMSに近い「プロセス確認型」の設計です。中小企業を含むサプライチェーン全体に制度を広げるうえでは、理にかなった選択だと言えます。

一方で、★が示すのは「対策を回す仕組みがある」ことであり、すべての機器が安全であることや、その状態が続くことではありません。取得する企業は★を仕組みを回す道具として使い倒し、発注する企業は★の中身まで見る。そうした使い方が広がるかどうかが、この制度がサプライチェーン全体の水準を本当に引き上げられるかを左右することになりそうです。

参照：IPA「SCS評価制度の詳細情報」／IPA「★3・★4 自己評価等ガイド（SCS-410）」／IPA「★4 第三者評価ガイド（SCS-420）」／IPA「★3・★4 要求事項・評価基準 解説書（SCS-620）」／IPA「要求事項・評価基準」／IPA「SCS評価制度 基本規程（SCS-100）」／IPA（PR TIMES）「SCS評価制度の評価用ガイド等を公開」（2026年10月28日）／経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」