ベンダー資料だけではわからない、SCS評価制度の本当の論点

Open株式会社　代表の開です。

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）について、セキュリティベンダー各社が解説資料を出しています。内容は正確で、全体像をつかむには役に立ちます。私も読んでいます。

ただ、それらを読んだお客様から同じ質問を繰り返し受けます。「結局、うちは何を買えばいいんですか」。

この質問が出ること自体が、ベンダー資料の限界を表しています。あの種の資料は、自社製品がどの要求事項に効くかを示すために作られています。目的がそこにある以上、製品が関与しない領域は薄くなる。そしてSCS評価制度でつまずくのは、たいていその薄い部分です。

経済産業省の制度構築方針、IPAの公開情報、★3・★4の要求事項・評価基準を読み込んだうえで、ベンダー資料には出てきにくい5つの論点を整理します。

前提となる事実

• 経済産業省と内閣官房国家サイバー統括室が制度構築方針を策定し、IPAが運営する制度です。

• ★1から★5の段階があり、★1・★2は既存のSECURITY ACTION自己宣言を活用します。

• ★3の要求事項は26件、★4は43件です。

• ★3の評価方法は「専門家確認付き自己評価」、★4は第三者評価に加えて技術検証が行われます。

• 有効期間は★3が1年、★4が3年です。

• ★3・★4の運用開始は2026年度末頃が想定されています。

• 要求事項はNIST CSF 2.0の6コア（統治・識別・防御・検知・対応・復旧）に「取引先管理」を加えた7分類です。

ここまではどの資料にも書いてあります。問題はここからです。

論点1　★3の関門は製品ではなく専門家の署名である

★3は自己評価だけで完結しません。制度構築方針では、取得希望組織が自己評価を記入したあと、セキュリティ専門家がその内容を確認し、必要に応じて修正を含む助言を行い、了承した場合に署名するという流れが定められています。そのうえで経営層による自己適合宣誓を含めて事務局に提出し、問題がなければ台帳に登録・公開されます。社内で丸をつけて終わりではなく、第三者の目が入り、結果は公開されます。

その専門家にも要件があります。IPAの公開情報では、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO/IEC 27001主任審査員のいずれかを保持したうえで、制度が定める研修を受講し、事務局に登録する必要があるとされています。研修事業者の公表は2026年12月末頃の予定です。運用開始が2026年度末頃ですから、専門家の登録が本格化するのは運用開始の直前ということになります。

製品はお金を出せば納期の範囲で手に入ります。専門家の確認はそうはいきません。ベンダー資料にこの話は出てきません。製品の話ではないからです。

論点2　「部分的に対応」は適合ではない

ベンダー資料でよく見るのが、要求事項と自社製品のマッピング表です。要求事項ごとに製品名が並び、ところどころに「部分的」という注記がついています。この表は有用ですが、読み方を間違えると判断を誤ります。

制度構築方針では、★3・★4ともに原則としてすべての評価基準への適合を求めるとされています。部分点はありません。「製品Aで部分的にカバー」と書かれているなら、残りは自社の宿題として残っているということです。

たとえば要求事項4-4-1では、許可していないソフトウェアを削除または無効化することに加えて、サーバ及びネットワーク機器の設定変更を申請・承認制にすることが求められます。前半はツールで実現できますが、後半は申請と承認の記録の話で、製品では埋まりません。

マッピング表は、製品名が入っている欄ではなく、空欄と「部分的」を先に数えてください。そこが自社の作業量です。

論点3　要求事項の動詞は「導入する」ではない

★3・★4の要求事項・評価基準を通しで読むと、文末に強い傾向があります。

「ルールを定めること」「役員、従業員、派遣社員及び受入出向者へ周知すること」「年1回以上の頻度で点検すること」「記録し、保管すること」「把握するための仕組みを整備すること」。

「製品を導入すること」と明示された項目は多くありません。マルウェア対策ソフトの導入（4-4-5-1）のような例はありますが、一部です。大半は、ルールを決めて、伝えて、記録を残して、定期的に見直すという管理のサイクルを求めています。誰が責任者か、どこまでが自社の責任か、何を証跡として残すか。この整理は自社でやるしかありません。

制度が評価しているのは、対策を実施していること以上に、実施していると説明できる状態にあることです。

論点4　★3の有効期間は1年である

見落とされやすいのが有効期間です。★3は1年、★4は3年。★3を毎年更新するということは、毎年、専門家の確認を受けられる状態を維持するということです。しかも要求事項には、★3の段階から年1回以上の実施が明記されたものが含まれています。

• 平時のセキュリティ推進体制の点検（1-2-1-3）

• 取引先とのシステム上の関係について把握した情報の点検（2-1-1-2）

• 情報機器・OS・ソフトウェアの管理ルールの遵守状況の点検（3-1-1-4）

• 機密区分に応じた情報の管理ルールの点検（3-1-4-2）

一度やって終わりではなく、毎年回すことが前提です。つまり★3対応とは取得プロジェクトではなく、年次の運用サイクルを社内に作る話です。初年度に丸投げして書類を整えれば、翌年も同じ費用がかかります。最初から自社で回せる形にしておくかどうかで、3年後のコストが変わります。

論点5　★3を取らないと★4が取れないわけではない

制度構築方針には、上位の段階は下位の段階の要求を包括するため、★3を事前に取得していなければ★4を取得できないという関係にはならない、と明記されています。ただし、これを「だから最初から★4を」と読むのは早い。

第1回SCS評価制度運営審議委員会の議事要旨では、コンサルティング会社等が営業目的で「今の段階から★4を取得する必要がある」と危機感をあおる広告事例が見受けられるとして、まずは多くの企業が★3を目指し、その上でさらに対策を進めたい企業のために★4を用意しているというメッセージを強調する必要がある、という趣旨の意見が示されています。あわせて、本制度はインシデントが起きないことを保証する制度ではなく、各企業がセキュリティの運用やプロセスを回していることを評価する制度だと明確に伝えるべきだとされています。

判断の軸は星の数ではありません。取引先が何を求めているか、自社が止まったときにサプライチェーンにどれだけ影響するか。そこから逆算します。多くの中小企業にとっては、まず★3です。

なお★4では実地審査に加えて技術検証があります。インターネットに公開している機器のうち、VPN装置やルータのように侵入リスクが高いものを対象とした脆弱性検査が想定されています（評価基準4-4-4-3が対象）。★4を検討するなら、ここに耐えられるかが実務上の分かれ目です。

よくある質問

Q. まず何を買えばいいですか。 最初に買うものはありません。★3の26項目に対して、既に満たしているもの、ルールを書けば満たせるもの、運用を変えれば満たせるもの、本当に製品が必要なものに仕分けるのが先です。

Q. EDRを導入すれば対応できますか。 できません。EDRは★4のいくつかの評価基準に効きますが、要求事項の多くはルールの策定、周知、記録、年1回以上の点検を求めています。製品は必要条件になり得ても、十分条件にはなりません。

Q. ★3は自己評価だから簡単ですか。 セキュリティ専門家による確認と署名、経営層による自己適合宣誓が必要で、合格基準は原則すべての評価基準への適合です。「自己申告」という言葉から受ける印象より高いと考えたほうが安全です。

今からやるべきこと

製品を買わずに今日から始められることが3つあります。

1つ目は、★3の26項目に対する現在地を出すこと。◯×ではなく「満たしている」「文書がないだけ」「運用していない」「仕組みがない」の4段階で仕分けると、次の打ち手が見えます。

2つ目は、責任体制を紙に書くこと。統括する役員は誰か、担当部署はどこか、インシデント時に誰が何をするか。要求事項1-2-1と6-1-1の出発点です。

3つ目は、取引先との責任分界の確認。機密情報の取扱いとインシデント発生時の役割・責任は★3の段階から求められています（2-1-2、2-1-4）。契約書と実態がずれていないかを見てください。

この3つが終わっていない状態で製品を検討しても、判断材料がありません。

ご相談ください

SCS評価制度への対応は、製品選定からではなく、自社の現状と不足の把握から始めるべきです。

私は特定のセキュリティ製品を販売していません。そのため、既存の仕組みで足りるもの、運用改善で対応できるもの、規程や証跡の整備が必要なもの、本当に新規導入が必要なものを公正に切り分けてお伝えできます。CISSPとCISAを保有し、監査・統制・証跡確認の観点からの整理を得意としています。

（お問い合わせフォーム）
以下の弊社コーポレートサイトからのお問い合わせか、noteのメッセージ、XのDMで承っております。

弊社コーポレートサイト

X
https://x.com/Kento_Hiraki_