SCS評価制度とは：★3と★4の違い、2027年3月の申請受付までの流れと登録料

まず取引先に確認すること

取引先からSCS評価制度への対応を求められたら、次の3点を取引先に聞きます。

1. 求められている段階（★3か★4か）と、その理由
2. 時期。申請受付は2027年3月からの予定で、それより前に★を取ることはできません。取得までの間は、チェックリストへの回答で足りるか
3. 範囲。全社か、取引に関わる部門・システムだけか

確認メールの例文です（編集部が作った例で、取引先との関係に合わせて直してください）。

件名：SCS評価制度への対応について（確認）

○○様　平素よりお世話になっております。SCS評価制度についてご連絡をいただき、ありがとうございます。対応を進めるため、次の3点を教えてください。

1. 当社に求められる段階（★3・★4）と、その理由

2. 希望される時期。申請受付が2027年3月からの予定のため、それまではチェックリストへの回答で対応できるか

3. 対象の範囲（全社か、御社との取引に関わる部門・システムだけか）

どうぞよろしくお願いいたします。

取得は法律上の義務か、取らないと取引にどう影響するかは SCS評価制度は義務？取らないとどうなるか にまとめています。

★3と★4は何が違うのか

どちらも、取引先へのサイバー攻撃をきっかけに、発注者の事業が止まる・機密情報が漏れる・発注者のシステムに侵入されるリスクを減らすための水準です。違いは、想定する攻撃の強さと、誰が確認するかです。

合格の基準は、★3・★4とも原則としてすべての評価基準に適合することです。不適合が見つかっても、★3は是正してSCSセキュリティ専門家の了承を得れば取得でき、★4は指摘から一定期間内（制度構築方針の例では1か月以内）に是正を報告して了承を得れば取得できます。

★1・★2に当たるのは、IPAの「SECURITY ACTION」（一つ星・二つ星の自己宣言）です。★5は2026年度以降に検討するとされ、基準は決まっていません。★4は★3を含む水準のため、★3を先に取っていなくても★4を取得できます。

取引先は★3と★4のどちらを求めてくるのか

制度構築方針は、発注者が取引先ごとに段階を割り当てる考え方の例を示しています。取引先の業務の多くがIT基盤に依存していることを前提に、次のどちらかに当てはまれば★4、どちらにも当てはまらなければ★3です。

• その取引先の事業が止まると、発注者の事業継続上重要な業務に許容できない遅れが出るか（代わりの調達先があるか、在庫を確保できるかなどで判断）
• その取引先が攻撃されると、発注者の機密情報の管理に重大な影響が出るか（発注者の重要な機密情報にアクセスできるか、発注者のシステム・ネットワークに接続できるかなどで判断）

単発の調達や、市販品のように代わりがすぐ見つかる取引は、対象から外すことも考えられるとされています。また、取引先がすぐに★を取れない場合、発注者が★3・★4の要求事項・評価基準を、自社が配るチェックリストとして使う方法も想定されています。

★4を取った企業には、要求事項2-1-3で、自社の機密情報を共有している・事業継続上重要・自社システムにアクセスできる取引先の対策状況を、年1回以上把握することが求められます。把握の方法の例は、★の取得状況の回答を受け取る、IPAのWebサイトで確かめる、訪問して点検する、チェックシートに回答してもらう、の4つです。制度構築方針は、これによって再委託先にも一定の適用が広がることを想定しています。

いつから申請できるのか

IPAは2026年9月11日の運営審議委員会で、★3・★4の申請受付を2027年3月に始める予定と告知することを決めました。経済産業省のFAQ（2026年3月27日更新）は「令和8年度末頃（1月〜3月頃）」としていました。制度の開始は申請受付の開始を意味し、開始の時点で★を持つ企業はまだいません。

IPAは、ガイドの作成などが遅れた場合は受付開始時期を見直すとしています。

申請受付の前に、今から準備できること

★3の要求事項のうち、受付の開始を待たずに始められるものです（番号は公式の「★3・★4 要求事項・評価基準」）。

• 機器の台帳を作る（ 3-1-1 ）：パソコンとサーバの製造元、OS、台数を把握する仕組みを整え、年1回点検します
• パスワードの社内ルールを決める（ 4-1-5 ）：初期パスワードの変更、推測されやすい単語の禁止、文字数、使い回しの禁止を決めて周知します
• 重要なクラウドサービスの多要素認証をオンにする（ 4-1-3 ）：重要な機密情報を扱うクラウドサービスで、パスワードに加えて別の方法でも本人を確かめるようにします
• バックアップの対象・頻度・保管期間を決める（ 4-3-4 ）：バックアップ対象ごとに、復元手順書も作ります
• 重大な更新を14日以内に適用する手続を決める（ 4-4-4 ）：OSやソフトウェアの更新の確認と適用の手続を定めます
• インシデント対応の手順書を作る（ 6-1-1 ）：発見報告、初動、調査・対応、復旧、最終報告の5つを含めます

★3を取るまでに、何をするのか

1. 申請する単位と範囲を決める。 原則は法人（個人事業主）単位です。範囲には、業務共通のサーバ群、パソコンやスマートフォン、利用しているクラウドサービス、ファイアウォール・ルータ・VPN装置（社外から社内につなぐ機器）などの社外との境界の機器が入り、ホームページやメールなどインターネットに公開しているサーバは必ず含めます。工場の制御システムや、発注者に納める製品は対象外です。
2. 自己評価をする。 ★3の81項目に自社が当てはまるかを、IPAの様式（アセスメントシート。10月下旬公表予定の自己評価等ガイドの別紙）に記入します。
3. SCSセキュリティ専門家に確認してもらう。 情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISM、CISA、ISO27001主任審査員のいずれかの資格を持ち、制度の研修を受けてIPAに登録した人です。社内の情報システム担当者が確認するだけでは足りません。社内にいなければ、社外の専門家と契約します。
4. 経営層が自己適合を宣言し、IPAに申請する。 専門家の署名と経営層の宣言が入ったアセスメントシートを提出します。
5. IPAの台帳に載る。 企業名・所在地・適用範囲・有効期限などが公開され、発注者が取得状況を確かめられるようになる予定です。

評価基準を満たすために、特定のセキュリティ製品を入れることは求められていません（経済産業省FAQ）。一方で、ポリシーの策定などの組織的な対策が多く、IPAは、現行のサイバーセキュリティお助け隊サービスを入れていても★3の要求事項の一部しか満たせないとしています。

★3の26件には、何が含まれるのか

経済産業省・IPAが公開している要求事項・評価基準（Excel、2026年3月27日版）のうち、★3の対象は次の26件です。

評価基準の数は要求事項ごとに違い、最も多いのは管理者IDの管理手続（8項目）とネットワーク境界防護（7項目）です。IPAは2026年9月11日の運営審議委員会で評価基準の軽微な修正を合意しましたが、★3・★4の区分と分類は変えない範囲とされています。各項目の判断のしかたは、10月下旬公表予定の解説書と自己評価等ガイドで示されます。

要求事項ごとの解説

★3の要求事項を1件ずつ、用意するもの・読み違えやすい点・進め方に分けて解説しています。残りの項目も順次追加します。

ガバナンスの整備

• 1-2-1 セキュリティ推進活動部門 ：担当する役員と部署を決める
• 1-3-1 セキュリティ対応方針の策定 ：セキュリティ対応方針を定めて周知する

リスクの特定

• 3-1-1 情報機器、OS及びソフトウェアに関する情報の把握 ：パソコンとサーバを台帳で把握する

攻撃等の防御

• 4-1-1 ユーザIDの管理手続 ：IDの申請・承認と、退職時の削除
• 4-1-2 管理者IDの管理手続 ：管理者を絞り、権限を最小限にする
• 4-1-3 認証の強度・実装方法の決定 ：多要素認証が必須になる範囲
• 4-1-4 アカウントロック制御 ：パソコン・スマホの画面ロックの設定
• 4-1-5 パスワード設定ルール ：パスワードの社内ルール
• 4-1-6 パスワード管理ルール ：パスワードの保管と、漏えい時の変更手順
• 4-1-7 アクセス権の管理ルール ：権限の申請・承認と台帳
• 4-3-4 適切なバックアップ ：バックアップの対象・頻度・保管期間
• 4-4-1 情報機器、OS及びソフトウェアの安全な構成 ：許可したソフトだけを使う、USBの自動実行を止める
• 4-4-4 セキュリティパッチ・アップデートの手続 ：重大な更新を14日以内に適用する
• 4-4-5 マルウェア感染からの保護 ：マルウェア対策ソフトとスキャン
• 4-5-1 ネットワーク境界防護 ：ルータ・ファイアウォールの設定

インシデントへの対応

• 6-1-1 インシデント対応手順 ：インシデント対応の手順と連絡先

インシデントからの復旧

• 7-1-1 事業継続要件に沿った復旧準備 ：止まったときに業務をどこまで続けるか

費用は、何にいくらかかるのか

IPAが公表している料金は、登録料だけです（2026年9月18日公表、税込、申請日で判断）。

社外のSCSセキュリティ専門家による★3の確認、評価機関による★4の第三者評価と技術検証、足りない対策の導入の費用は、依頼先ごとの料金で、IPAは公表していません。

IPAは、★3・★4の取得をワンパッケージで支援する「サイバーセキュリティお助け隊サービス（新類型）」を2027年度末までに制度化する予定で、その実証事業を15事業者と進めています。実証には無償で参加でき、期間は2026年10月〜2027年9月の予定です。対象地域・業種・募集状況は事業者ごとに異なり、すでに募集を終えた事業者もあります（IPAの実証事業ページ、2026年10月13日更新）。

取引先との費用の扱い

経済産業省と公正取引委員会の想定事例では、セキュリティ対策の費用を物件費・人件費などの間接経費として計上し、発注者との価格交渉の対象にできるとされています。