SCS評価制度の評価機関はどこ？公表情報の確かめ方と準備の進め方

SCS評価制度の評価機関は、2026年11月時点ではまだ公表されていません。IPAは、公式ページで2026年12月下旬に公表する予定としています。

今日やることは3つです。IPAのそのページを担当者全員で共有します。主な取引先に、求める段階（★3か★4か）⁠と期限を聞きます。アセスメントシート⁠を開いて自己評価を始めます。どれも評価機関の発表を待たずにできます。

公表の予定はどうなっている？

いま出ている予定は次のとおりです。いずれも予定なので、制度開始の時期⁠を含めて変わる可能性があります。

評価機関の指定申請は2026年9月18日から10月26日まで受け付けられ、すでに締め切られています。次回の受付は2027年度上期の予定です。そのため、12月下旬に出る顔ぶれのあとに、指定される会社が増える可能性もあります。

評価機関は何をする？★3でも使う？

評価機関は、IPAの概要説明資料⁠によると、制度運営機関の指定を受け、★4を希望する組織の自己評価の結果を評価する組織です。実地審査と技術検証を行い、適合か不適合かをまとめた評価報告書を渡します。

★3と★4では、評価の流れが次のように違います。

★3の登録料は2028年3月31日までの割引で、4月1日以降は20,000円です。★3を先に取らなければ★4を取れない、という関係ではありません。

つまり、取引先から求められているのが★3なら、探す相手は評価機関ではなく★3確認責任者です。SCSセキュリティ専門家⁠は情報処理安全確保支援士やCISSPなどの資格に研修の受講を加えた人で、★3の確認や★4の評価責任者を担います。

★3を求められたら、確認してくれる人はどう探す？

自己評価等ガイド⁠によると、確認は自組織内の★3確認責任者にも外部の★3確認責任者にも依頼できます。社内に対象の資格を持つ人がいるなら、研修と登録を受けて担う道があるかを先に確かめます。

外部に頼む場合、名簿はまだありません。SCSセキュリティ専門家の公表は2027年1月頃からの予定です。IPAの中小企業向けサイバーセキュリティ対策支援者リストは、登録セキスペから中小企業の支援ができる人を探せる名簿です。ただし、SCSセキュリティ専門家とは要件が異なります⁠。★3の確認を頼むなら、研修を受けて登録する予定かどうかも聞きます。

★3の有効期間は1年です。取得のときだけでなく、更新のたびに確認を頼むことになるので、翌年以降も頼めるかを最初に話しておきます。

名乗っている会社が評価機関か、どう確かめる？

確かめる先は1か所です。IPAは、指定を決めた事業者を指定機関台帳に追加し、公式サイトで公開するとしています。提案書の「SCS対応」⁠や「★取得支援」⁠と⁠い⁠う言葉は、指定の証明にはなりません。公表までは、どの会社が指定されるかを誰も確認できません。

見るときは次の4点⁠を確かめます。

• 会社名と法人名が、IPAのページの記載と一致しているか
• 区分は何か。評価機関、技術検証事業者、研修事業者は業務が別です
• 指定の日付はいつか。有効期間は通知日から3年間です
• SCSセキュリティ専門家の登録と、会社の指定を混同していないか

外部から見た状態を点数などで示すセキュリティ評価サービスの比較は、取引先の確認には使えます。ただし、経産省はSCS評価制度を格付け制度ではない⁠と説明しています。そうしたサービスの結果と、制度の★は別物として扱います。

支援を頼んだ会社に評価も頼める？

頼めない場合があるので、順番に注意します。評価機関指定基準は、評価責任者や評価従事者が受任日から過去3年以内⁠に構築支援や運用支援などを提供していた場合、評価機関はその組織を評価してはならないとしています。

評価機関やその親会社、子会社などが支援している場合は、公平性への影響を評価して必要な措置を取ることが求められます。IPAのよくある質問も、取得支援は中立性・公平性の要件を満たせば行えるとしています。

★4を目指す会社は、支援の契約を結ぶ前に「評価はどの会社に頼む想定か」⁠を聞いておきます。支援と評価を同じ会社にまとめる前提で進めると、あとで頼み先を探し直す可能性があります。

まだ決まっていないことは？

未確定の部分を、確定したものとして社内に伝えないようにします。

• 評価機関の名前と数。受け付ける地域や業種の範囲も、公表後に見ないと分かりません
• ★4の評価にかかる費用。私たちが確かめたIPAの公表資料には見当たりませんでした
• ★4の評価を申し込んでから報告書を受け取るまでの期間
• SCSセキュリティ専門家の公平性の要件。2026年12月下旬に公開予定です
• ★5の中身。2026年度以降に具体化を検討するとされています

費用と期間が読めない間は、予算は幅を持たせて仮置きし、公表後に見積もりで置き換えます。

発表を待たずに何を進める？

進められる準備は多くあります。

1. 取引先に確かめる。 求める段階、期限、★以外の確認方法でよいかを聞きます。★の取得は任意で、取引の要件にするかは当事者間で決めます
2. 取得の単位と範囲を決める。自己評価等ガイドは、原則として法人単位としています
3. アセスメントシート⁠で自己評価し、足りない項目を出す。★の取得には全ての要求事項を満たす必要があります
4. 足りない項目を、規程で埋まるものと機器やサービスが要るものに分ける
5. 外の手を借りる先を探す。中小企業向けの支援者リストや、お助け隊サービス（新類型）⁠の実証事業⁠の情報が手がかりです

規程は、IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版⁠の付録5にサンプルがあり、★3・★4の要求事項に対応する形で見直されています。取引先の調査票に同時に答えるなら、チェックシート回答・委託先管理ツールの比較で、回答の手間を減らせるかを見ます。

たとえば、発注元の図面を社内サーバーで管理している金属加工の会社が、★4の相談を受けた場合です。適用範囲を考える中心は、その図面を扱うサーバーやパソコン、社外とのやり取りに使うクラウドです。制度の対象はIT基盤で、工場の制御（OT）システムは一般に対象外⁠とされています。工場の設備とIT基盤のつながりも図にしておくと、確認を受ける場面で説明しやすくなります。

公表されたら評価機関に何を聞く？

12月下旬に名前が出たら、★4を目指す会社は次の項目を聞きます。

• 評価の料金と、技術検証の料金が分かれているか
• 申し込みから評価報告書までの期間と、受付の混み具合
• 自社の業種や地域に対応できるか
• 技術検証を自社で行うか、別の技術検証事業者へ委託するか
• 不適合が出たときの再評価の扱いと費用
• 登録後に毎年提出する自己評価の確認にかかる費用

取引先の期限が2027年3月⁠の受付開始から近い場合は、公表の直後から複数の機関に問い合わせます。全体の動きは、サプライチェーンと認証のカテゴリと、立場ごとの資料を整理したサプライチェーンセキュリティのガイドラインの読み方⁠にまとめています。