SCS評価制度のチェックリストは、IPAが公開している「要求事項・評価基準」と「アセスメントシート」です。
今日やることは1つです。IPAの公開ページからアセスメントシートのExcelを取り、★3のシートを開いて、担当部署の欄を1列足します。81項目を1人で埋めようとせず、誰に聞けば答えられるかを先に割り振ると、点検が止まりません。
サプライチェーンセキュリティの解説の中で、この記事は公表された項目を社内の点検表に置き換える手順を扱います。
チェックリストは何で構成されている？
使う文書は3つです。役割が違うので、分けて持ちます。
要求事項は、7つの大分類と16の中分類からなり、★3は26件、★4は43件です。Ver.1.1のExcelで評価基準の行を数えると、★3は81項目、★4は追加の72項目を含めて153項目でした。
大分類ごとの件数は次のとおりです。IPAの概要説明資料の表を大分類で足しました。
| 大分類 |
★3の要求事項 |
★4の要求事項 |
| ガバナンスの整備 |
3件 |
6件 |
| 取引先管理 |
3件 |
5件 |
| リスクの特定 |
4件 |
6件 |
| 攻撃等の防御 |
13件 |
21件 |
| 攻撃等の検知 |
1件 |
3件 |
| インシデントへの対応 |
1件 |
1件 |
| インシデントからの復旧 |
1件 |
1件 |
どちらから点検するかは、取引先から★4を示されていなければ★3からで十分です。IPAは、上位の段階は下位の事項を包括すると説明しています。★3で見つけた不足は、後から★4を目指すときにもそのまま使えます。
自社の点検表にどう置き換える？
アセスメントシートには、評価基準ごとの適合と不適合、適用対象外とその理由、質問への回答を書く欄があります。ガイドによれば、シートの使用は任意で推奨です。独自の様式を使う場合も、同じ項目を含める必要があります。
そこで、シートを写して次の列を足します。登録申請用の様式はそのまま残し、社内作業用を別に作ります。
- 担当部署：総務、情シス、製造、設計など、答えられる人
- 今の状態：適合、仕組みなし、記録なし、点検なし、対象外の候補
- 証跡の場所：規程の名前、管理画面、台帳のファイルの場所
- 直す人と期限：いつまでに誰が直すか
証跡は、紙の規程だけとは限りません。ガイドは、文書や記録、台帳に、システムの設定、ログ、管理ツールの画面表示やCSVなどの出力を含めています。すでに管理画面に残っているものは、新たに書類を作らなくて済みます。
足りない項目はどう見つける？
全項目を「はい・いいえ」で付けると、どの項目も曖昧なままです。次の4つに分けると、必要な作業が見えます。
仕組みがない
実施そのものが必要な項目です。たとえば、評価基準の4-3-4-2は、重要な機密情報の遠隔地バックアップを求めています。していなければ、方式と費用を決める工程になります。
やっているが記録がない
説明を求められたときに困るのが、この分類です。退職者のIDを消していても、手順と記録がなければ説明できません。評価基準の4-1-1-3は、不要になったユーザIDを速やかに削除または無効化することを求めています。
ここは費用をかけずに直せます。担当者の頭の中にある手順を文書にし、次回から申請と承認の形で残します。
年1回の点検がない
評価基準には「年1回以上の頻度で」点検や教育を求める項目があります。2-1-1-2の接続先の点検、3-1-4-2の管理ルールの点検、6-1-1-4のインシデント対応体制の点検、4-2-2-1の教育・訓練などです。
台帳を一度作って終わりにすると、ここで不足になります。点検の月を決めて、年間の予定に入れます。★3の有効期間は1年で、更新時にも自己評価の更新版を出すので、月を決めておくと更新の準備も兼ねられます。
対象外にできるか確かめる
ガイドの別紙には、評価基準ごとに対象外となるための条件が書かれています。自社で勝手に外さず、条件を読み、理由を書ける場合だけ対象外の候補にします。
製造業では、どの項目で詰まりやすい？
たとえば、金属加工の会社で点検する場合を考えます。
最初に切り分けるのは適用範囲です。IPAの資料によれば、適用範囲には自社のIT基盤と外部ネットワークの境界を含めます。製造環境の制御（OT）システムと、発注元に提供する製品は、直接の対象ではありません。工作機械の制御は外れても、図面を置くサーバ、受発注のパソコン、メールは範囲に入ると考えて点検します。シートの質問によれば、インターネットに公開しているサーバは必ず含めます。
次に見るのが、取引先管理の3件です。
| 要求事項 |
点検で確かめること |
| 2-1-1 取引先との関係 |
顧客の受発注システムやクラウドなど、他社が管理し自社の資産がつながるものの一覧があるか |
| 2-1-2 機密情報の取扱い |
図面を共有する相手と、利用制限や返還・廃棄を業務開始前に決めているか |
| 2-1-4 インシデント時の役割 |
図面を共有する相手と、事故のときの役割と責任を決めているか |
取引先ごとの秘密保持契約があっても、インシデント時の役割まで書いていない場合があります。契約書を1本ずつ読むより、取引先の一覧に「機密情報の取り決め」「事故時の役割」の2列を足して埋めるほうが速く進みます。
ネットワーク機器も確認します。評価基準の3-1-2-2は、製造元、モデル、保守事業者を把握する仕組みを求めています。4-1-2-1は、すべてのサーバとネットワーク機器に、システム管理者と責任者を定めることを求めています。保守会社に任せたままの機器があると、ここで止まります。
復旧の7-1-1は、事業上重要なシステムの目標復旧レベルを決め、必要な対策を整える項目です。例として、電話やFAXによる業務継続に備え、影響のある取引先の連絡先と複数の連絡手段を整えることが挙がっています。受発注が止まったときの紙の手順は、製造業なら話が通りやすい所です。
不足を見つけたあと、どう進める？
点検後の進め方
- 不足を「費用なしで直せる」「予算が要る」「外部の手が要る」に分ける
- 経営層に一覧を見せる。★3の自己適合宣言は経営層が行う
- 予算が要る項目だけ、製品やサービスを比べる
IPAのFAQは、特定の製品の導入を求めるものではないとしています。点検の前に製品を選ぶ必要はありません。
調査票の管理が負担になっている会社は、チェックシート回答・委託先管理ツールの比較が参考になります。委託先の状況を外から見る方法としては、セキュリティ評価サービスの比較があります。社内に体制がなく、規程づくりから手を借りたい場合はISMS・Pマーク取得支援ツールの比較も見ておくと、同じ文書を二度作らずに済みます。ISMSを取得する場合の工程と担当の決め方は別の記事にまとめました。
点検と登録は別の話です
社内の点検は誰でも始められます。登録するには、★3でも社内外の★3確認責任者による確認と署名、経営層の自己適合宣言、IPAへの申請が要ります。★3確認責任者を担うSCSセキュリティ専門家には、資格、研修、登録の要件があります。
登録の予定と費用は？
IPAのFAQ（2026年10月30日更新）によれば、★3・★4の登録申請は2027年3月の受付開始予定です。申請方法をまとめた「登録申請の手引」は2026年11月末頃に公表予定とされています。研修は2027年1月以降に研修事業者から提供される予定です。
IPAの資料にある登録料は、★3が2028年3月31日までは1万円（1年分）、同年4月1日以降は2万円（1年分）、★4が6万円（3年分）です。外部の★3確認責任者や評価機関に払う費用は、基本規程のとおり相手との契約で決まります。社内の担当者の時間も別にかかります。
取引上の扱いについて、FAQは、すべての項目を満たしていないことを理由に直ちに取引停止等が求められるものではないとしています。★の取得状況をどう扱うかは契約当事者間で決まり、要求事項を共通のチェックリストとして実施状況を確かめる使い方も想定されています。取引先から聞かれたときに、未対応の項目と直す時期を答えられる状態にしておくと、話が進めやすくなります。
項目は改定されることがあります。要求事項はすでに2026年10月28日にVer.1.1になっています。点検表には参照した版を書き、IPAのページで新しい版が出ていないかを確かめてから更新します。
