IPA、企業のセキュリティ対策を評価する「SCS評価制度」の新ガイド公開

IPA（情報処理推進機構）は10月28日、企業のセキュリティ対策状況を段階別に評価する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、評価手順などを解説するガイド4種類を公開した。

公開されたガイドは「★3・★4 自己評価等ガイド」「★4 第三者評価ガイド」「★4 技術検証ガイド」「★3・★4 要求事項・評価基準 解説書」。

SCS評価制度は、企業のセキュリティ対策状況を共通の基準で評価し、サプライチェーン全体のセキュリティ対策水準を引き上げることを目的とする制度。取引先を経由したサイバー攻撃や情報漏えいなどが問題となる中、企業が取引先のセキュリティ対策状況を把握するための仕組みとして整備が進められている。

SCS評価制度とは？ 「★3」と「★4」で評価方法が異なる

SCS評価制度では、企業のセキュリティ対策水準を星の数で示す。先行して制度化される★3と★4では、求められる対策水準と評価方法が異なる。

★3は、一般的なサイバー脅威に対処できる水準を想定したもの。企業が要求事項に基づいて自己評価を実施し、セキュリティ専門家による確認を受ける方式を採用する。

一方、★4は、外部からの侵入を防ぐだけでなく、侵入後の被害拡大防止や取引先のデータ・システムの保護など、より高度な対策を求める。評価機関による第三者評価に加え、脆弱性検査などの技術検証も実施する。

要求事項は★3が26項目、★4が43項目。いずれも原則としてすべての評価基準への適合が求められる。なお、★4の取得に当たり、★3を事前に取得する必要はない。

• 

  SCS評価制度の概要　出典：IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）概要説明資料」｜

自己評価や第三者評価の手順を解説

今回公開されたガイドでは、企業が評価を受ける際の手続きや、評価機関が実施する審査・技術検証の方法を具体的に示している。

「★3・★4 自己評価等ガイド」は、評価を受ける企業が対象範囲を決定し、自己評価を実施する際の手順などを解説するもの。

「★4 第三者評価ガイド」では、評価機関が行う審査の手続きを示している。また、「★4 技術検証ガイド」では、技術検証事業者などが実施する検証手順や、評価を受ける企業の留意事項を説明している。

さらに、「★3・★4 要求事項・評価基準 解説書」では、要求事項を満たすための考え方や、評価対象の設定、自己評価を行う際の留意点などを整理した。

• 

  要求事項・評価基準、ガイド、解説書等の位置づけ　出典：IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）概要説明資料」｜

IPAは今回のガイド公開に合わせ、SCS評価制度のWebサイトも更新。これまでに寄せられた問い合わせを踏まえ、Q&Aを充実させるなど、制度の内容を確認しやすくした。

なお、IPAは今回のガイド公開に合わせて、「★3・★4 要求事項・評価基準」も更新した。更新前後の変更箇所をまとめた資料も公開している。

SCS評価制度の理解に役立つ資料と確認先

SCS評価制度について、IPAは制度の概要や評価基準、評価手順などを説明する資料を公開している。制度の全体像や具体的な評価項目を確認する際には、以下の資料が参考になる。

制度の全体像を把握するには、「SCS評価制度 概要説明資料」（PDF）が役立つ。制度の目的や★3・★4の違い、評価方法、制度開始までのスケジュールなどが図表を交えて整理されている。

具体的な評価項目や評価手順を確認したい場合は、「要求事項・評価基準」のページを参照できる。今回公開された4種類のガイドに加え、企業が自社の対策状況を確認する際に利用できるアセスメントシートも掲載されている。

また、「SCS評価制度の詳細情報」では、★3・★4の評価方法や要求事項、制度の運用スケジュールなどを確認できる。

評価機関の指定など制度運営に関する情報は、「制度規程・委員会」にまとめられている。

2027年3月の受付開始に向け準備

IPAは今後、「★3・★4 登録申請の手引」の公開や制度ロゴマークの制定を進める。

2026年12月下旬には、評価機関、技術検証事業者、研修事業者を指定・公表する予定。2027年3月の★3・★4の受付開始に向け、制度の運営体制を整備する。

SCS評価制度は、企業が自社のセキュリティ対策水準を確認するだけでなく、取引先のセキュリティ対策状況を把握するための共通の指標として活用されることが期待されている。