情報処理推進機構（IPA）は10月28日、取引先を含めたサイバー対策の水準を★の数で示す「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）について、★3と★4を取るための手続きを定めたガイド3種と、要求事項・評価基準の解説書を公開した。企業が自社の対策を点検する自己評価の進め方と、★4で評価機関が行う第三者評価・技術検証の進め方を初めて具体的に示した。★の登録申請の受け付けは2027年3月に始まる予定だ。
自己評価と第三者評価の進め方を示す4文書
SCS評価制度は、サプライチェーン（供給網）を通じたサイバー攻撃が相次いでいることを受け、取引先を含めた対策の底上げを狙う制度だ。IPAが制度を運営する「スキームオーナー」として準備を進めており、これまでに制度の規程類や登録料を公表してきた。今回はその次の段階として、★を取ろうとする企業（登録希望組織）と、審査を担う評価機関に向けた実務の手引を出した。
公開したのは次の4文書である。
| 文書 | 主な読み手 | 内容 |
|---|---|---|
| ★3・★4 自己評価等ガイド | 登録希望組織、★3確認責任者 | 取得単位・適用範囲の決め方、自己評価と確認の手続き |
| ★4 第三者評価ガイド | 評価機関 | ★4の第三者評価の手続き |
| ★4 技術検証ガイド | 評価機関、技術検証事業者、登録希望組織 | ★4の技術検証の手続きと、受ける側の留意事項 |
| ★3・★4 要求事項・評価基準 解説書 | 登録希望組織、SCSセキュリティ専門家 | 評価基準を満たすための考え方と留意点 |
出典: IPA「SCS評価制度の評価用ガイド等を公開」（2026年10月28日）
自己評価等ガイドには、自己評価の結果を書き込む「アセスメントシート」（Excel）が別紙として付く。IPAはあわせて、制度のウェブページのQ&Aを、これまでに寄せられた問い合わせを踏まえて拡充した。
制度の段階は、IPAのQ&Aによると、★3が「一般的なサイバー攻撃」、★4が「未知の攻撃も含めた高度なサイバー攻撃」を想定する。★を取るには、その段階で定められたすべての要求事項・評価基準を満たす必要がある。★の取得は任意で、取得を取引の条件にするかは契約の当事者同士が決める。★5の基準や開始時期は、経済産業省と内閣官房国家サイバー統括室が検討している。
★3は確認責任者の署名、シートは改変を照合
自己評価等ガイドによると、企業はまず★を取る単位（取得単位）と、評価の対象にするIT基盤の範囲（適用範囲）を自ら決める。取得単位は原則として法人または個人事業主とし、事業部やグループ単位にする場合は妥当かどうかの確認を受ける。適用範囲の妥当性は、★3では「★3確認責任者」、★4では評価機関が確かめる。
★3では、企業がアセスメントシートに自己評価の結果を記入し、社内または社外の★3確認責任者に確認を頼む。確認責任者は記入漏れが無いか、内容が妥当かを確かめ、すべての★3の基準を満たしていると判断すればシートに署名か記名をする。シートの利用は任意だが、使わない場合も、基準ごとの適合・不適合の欄などシートと同じ項目を含める必要がある。
署名済みのシートは全体をPDFにし、そのファイルのハッシュ値と合わせて保管する。制度の運営側が調査に入った際、登録申請時点のハッシュ値と照合し、登録後にシートの中身が書き換えられていないかを確かめるためだ。
この自己評価の支援は、IPAが10月から始めた実証事業の対象でもある（中小企業のサイバー対策、15事業者が1年間無償で伴走 IPAが10月から実証 ランサム被害226件の約6割が中小企業）。
★4は文書確認・実地審査・技術検証の3段
★4では、評価機関が文書確認、実地審査、技術検証の3つを通じて適合性を評価する。第三者評価ガイドによると、文書確認はアセスメントシートの記載だけを対象とし、証跡の閲覧は主に実地審査で行う。実地審査は事業所の現地で行うのが基本だが、秘密保持や通信方法について企業と合意できればオンラインでもよい。審査する拠点は原則1か所とする。
評価機関が基準への不適合を見つけた場合、企業は指摘文書を受け取った日から1か月以内に改善報告を出す。不合格と判定されると、通知の日から3か月は第三者評価を申請し直せない。★4の登録を取り消された場合は、取り消しの日から1年間、申請を受け付けない。
ガイドは、第三者評価がインシデント（事故）の起きないことを保証するものではないとも明記した。評価は一部の機器や手順、基準を対象に評価時点の状態を確かめるもので、全ての機器が基準を満たすことや、登録の有効期間を通じて適合が続くことまでは保証しないとしている。
VPN装置などに外部から脆弱性診断
技術検証ガイドが対象とするのは、★4の評価基準のうち「インターネットとの境界に設置されているネットワーク機器のOS及びファームウェアについては、CVSSの基本値が7.0以上の脆弱性を有していないこと」という1項目である。CVSSは脆弱性の深刻度を数値で示す指標である。
診断の対象は、外部から直接接続できるVPN装置、ルーター、ファイアウォールなど、悪用されれば社内のIT基盤への攻撃の起点となりうる機器だ。評価機関の指定を受けた技術検証事業者が、外部から疑似的な攻撃の通信を送る「外部診断」で確かめる。ポートの確認は、TCPが1〜65535番の全て、UDPが企業の把握している番号と、一般によく使われる上位100番が対象となる。
対象の機器が全て企業の管理外で、管理するインターネット接続事業者から診断の許可が得られない場合や、文書確認の開始日から1か月以内に指定事業者が同等以上の診断をしていた場合は、証跡の提出と審査をもって診断を免除できる。
あわせて要求事項・評価基準も3月27日公開の第1.0版から第1.1版に改めた。変更箇所の資料によると、深刻度の高い脆弱性を直すアップデートを14日以内に適用する基準のうち、すぐに適用できない場合の低減策の具体例は、ガイドと解説書に移した。情勢の変化に合わせて見直しやすくするためだという。IPAの「重要なセキュリティ情報」や米サイバーセキュリティ・インフラ安全保障庁（CISA）の「KEV」など公的機関のリストに載り、実際に攻撃が観測されている脆弱性は14日以内の対応を続ける。攻撃が観測されていないものは、対応計画と代替策を前提に期限の延長を認める旨をガイドと解説書に書いた。
登録料は★3が当面1万円、申請受付は2027年3月
Q&Aによると、登録料は★3が2万円（1年更新）、★4が6万円（3年更新）で、★3は2028年3月31日まで割引の1万円になる。★を取った企業はIPAのウェブサイトで公開する。評価基準を満たすために特定のセキュリティ製品の導入を求めることはないとしている。
Q&Aは取引との関係にも触れた。全ての基準を満たしていないことを理由に、ただちに取引の停止を求めるものではなく、★を取引上の要件としてどう扱うかは契約当事者が決める。★3の有効期間は1年で、取引が1年を超える場合については、契約の満了まで必要な★を維持し続けるよう求めるといった運用が考えられるとした。公共事業の入札要件にするかどうかは、調達する機関の判断に委ねる。
今後は、申請の手続きを示す「★3・★4 登録申請の手引」を2026年11月末ごろに公表する予定で、制度のロゴマークも定める。12月下旬には評価機関、技術検証事業者、研修事業者を指定して公表し、「SCSセキュリティ専門家」は2027年1月以降に公開する。登録申請の受け付けは2027年3月に始める予定だ。
今回の文書で、★を取るまでの手順と審査の中身はおおむね示された。企業は2027年3月の申請受付までに、取得単位と適用範囲を決め、アセスメントシートで自社の対策の不足を洗い出せる段階に入った。