「取引先から、セキュリティ対策の評価制度で★を取ってほしいと言われるかもしれない」。こうした話を耳にしたとき、まず思い浮かぶのは「何か機器を入れれば済むのか」という問いかもしれません。
経済産業省と内閣官房国家サイバー統括室は、サプライチェーンを構成する企業が満たすべき対策を示し、その対策状況を見える形にする仕組みとして、「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の構築を進めています。運営主体はIPA（情報処理推進機構）で、2026年度末頃の運用開始が予定されています。
IPAが2026年9月に公表した「サイバーセキュリティお助け隊サービス（新類型）実証事業」の資料は、この制度の★3について、機器を入れるだけでは届かない部分があることをはっきり書いています。
★3の「機器で埋まらない項目」とは何か？
★3の機器で埋まらない項目とは、SCS評価制度の★3の要求事項のうち、セキュリティ機器やソフトウェアを導入しても満たしたことにならず、社内で担当や手順を決め、記録を続けることで満たす項目を指します。IPAは、★3の要求事項にはポリシー策定などの組織的対策が多く含まれ、現行のお助け隊サービスを導入していても★3の要求事項の一部しか達成できない、と説明しています。実証の資料にも、SCS評価制度には機器導入では充足とならない項目もある、と書かれています。「機器で埋まらない項目」はこの記事で使う呼び方で、制度やIPAが定めた用語ではありません。
★3と★4は何が違うのか？
IPAの資料によると、SCS評価制度の★3と★4は次のように整理されています。★5は検討中です。
- ★3: 要求事項26件、有効期間1年、評価は専門家確認付きの自己評価
- ★4: 要求事項43件、有効期間3年、評価は第三者評価
★3は、すべてのサプライチェーン企業が最低限実装すべき対策として、基礎的な組織的対策とシステムの防御策を中心に置いています。要求事項は、ガバナンスの整備、取引先管理、リスクの特定、攻撃等の防御、攻撃等の検知、インシデントへの対応、インシデントからの復旧という7つの分類で構成されています。★3では毎年自己評価を行い、その結果を評価機関へ提出する仕組みです。
★3の項目を、機器で支える部分と社内で決める部分に分けると？
資料には、★3で達成すべき対策の例として次の項目が挙げられています。
- 自社のセキュリティ担当の明確化
- セキュリティ対応方針の策定
- 情報資産やネットワークの把握
- 外部情報サービスの管理、接続している外部情報サービスの把握
- 他社との機密情報の取扱いの明確化
- ID管理の手続、アクセス権限の設定
- パスワードの安全な設定と管理
- 社内外のネットワーク境界の分離・保護
- 適時のアップデート適用、不要なソフトウェアの削除
- 端末等へのマルウェア対策
- ネットワーク接続・データの監視
- インシデント対応手順の作成
- インシデントから復旧するための対策の整備
ここからは、この記事による整理です。境界の保護、マルウェア対策、通信の監視のように、機器やソフトウェアが働きの中心を担う項目があります。一方で、担当者を決める、方針を定める、使っている端末や外部サービスを一覧にする、誰にどの権限を与えるかの手続を決める、手順書を作る、といった項目は、機器を入れても自動では埋まりません。アップデートの適用のように、ツールで効率化はできても「どの端末が対象か」を社内で把握していなければ確かめようがない項目もあります。
専任の情シス担当がいない、または総務や経営者が兼任している会社では、この「社内で決めて記録し続ける」部分が、担当者の手が空いたときに進める作業になりがちです。★3は有効期間が1年で、毎年の自己評価が前提です。一度そろえて終わりではなく、続ける仕組みが問われます。
新しい類型のお助け隊サービスは、何を支援するのか？
IPAによると、既存のお助け隊サービスは2021年度から運用され、累計導入企業数は約10,900社（2026年3月末時点）です。今回の新類型は、★3・★4の取得に向けて次の3段階をまとめて提供する形を想定しています。
- 課題の可視化: SCS評価制度の要件項目ごとに対策状況を診断し、未達成の項目について実施すべき対策を改善計画書にまとめる
- 対策の実施: 推奨されるITツールの導入と、セキュリティポリシーやインシデント手順書の整備、セキュリティ教育など、自助努力で達成しづらい項目の支援を組み合わせる
- ★取得の申請支援: 要求事項の充足を確認し、セキュリティ専門家による確認・評価や申請書の作成を支援する
実証には公募で採択された15事業者が参加し、参加企業は無償で利用できます。実証期間は2026年10月から2027年9月までの1年間の予定で、IPAは2027年度末までの制度化を目指すとしています。
専任の情シス担当がいない会社で、先に始められることは？
新しい類型の制度化や、自社の取引先からの要請を待たずに始められることもあります。この記事の整理として、機器で埋まらない項目のうち、日々のIT管理と重なるものを挙げます。
- セキュリティの担当を決めて書き出す。 兼任でもかまいません。誰が判断し、誰に相談するかを決めておくことが、担当の明確化の出発点です。
- 端末とネットワーク機器の一覧を作る。 情報資産やネットワークの把握は、アップデートの確認やマルウェア対策の対象を決める前提にもなります。一覧の作り方は「更新は当たっているか」で止まる会社や会社のLANに何がつながっているか分からないで整理しています。
- 使っている外部サービスとアカウントを書き出す。 誰がどのサービスにどの権限でログインしているかは、ID管理の手続を決めるための材料になります。
- 障害や事故のときの連絡と記録の手順を決める。 インシデント対応手順の土台は、起きたことを記録に残す習慣です。障害対応の記録が残らない会社で起きることも参考になります。
よくある質問
取引先から★の取得を求められたら、必ず取らなければなりませんか？
SCS評価制度はまだ運用開始前で、IPAの資料では2026年度末頃の運用開始が予定されています。資料は、取引先からの対策の要請によって制度の活用が進むことを想定していますが、個々の取引で取得が必須になるかどうかは、取引先との関係や要請の内容によります。まずは要請があったときに、何が求められているのかを確かめることが出発点です。
セキュリティ機器を入れれば★3は取れますか？
機器の導入だけでは取れません。IPAは、★3の要求事項にはポリシー策定などの組織的対策が多く含まれ、現行のお助け隊サービスを導入していても一部しか達成できないと説明しています。担当者の明確化や方針の策定、情報資産の把握など、社内で決めて記録する項目が残ります。
実証事業に参加するには、どうすればよいですか？
IPAのページでは、実証を行う15事業者のサービスの中から自社の取組みに合うものを選び、その事業者へ直接連絡する方法が案内されています。参加は無償で、複数の事業者への重複参加はできません。事業者の実証予定数に達している場合などは参加できないことがあるとされています。
まとめ
- SCS評価制度の★3は要求事項26件・有効期間1年で、専門家確認付きの自己評価を毎年行う
- ★3には担当者の明確化、方針の策定、情報資産の把握、ID管理の手続、インシデント対応手順など、機器を入れても埋まらない項目が含まれる
- IPAは、現行のお助け隊サービスでは★3の一部しか達成できないとして、機器以外の支援まで含む新しい類型の実証を2026年10月から始める
- 担当を決める、端末と外部サービスを一覧にする、記録の手順を決めることは、制度の開始や取引先の要請を待たずに始められる
- 「★3の機器で埋まらない項目」は、この記事で使う呼び方である
ForceJOSYSは、オフィスLANを継続的に観測して端末台帳を育て、異常時には原因候補と次の行動を証拠付きで調査票にまとめる、専任の情シス担当がいない会社向けのIT運用支援機器（観測装置）です。情報資産の把握や障害の記録のように「記録し続ける」部分を仕組みにし、必要ならフォースネットのエンジニアが同じ調査票で対応を引き継ぎます。提供中・導入相談受付中で、企業ごとに個別カスタマイズして提供しています。詳しくは機能紹介やお問い合わせからご確認ください。