SCS
評価制度(★3/★4)
現状分析から始めて、
制度開始に備える
★3/★4の要求事項に対する現状ギャップを可視化。
情報公開後の本格対応へ、最短で移行できる状態に整えます。
SCS評価制度
(セキュリティ対策評価制度)とは？
SCS評価制度とは、企業のサイバーセキュリティ対策状況を一定の基準で評価・可視化する新たな仕組みです。今後は取引先選定や企業評価にも影響する可能性があり、対応の遅れはビジネスリスクになり得ます。
現状分析から始めるべき理由
SCS評価制度の要求事項・評価基準を満たす具体的な実装例などをまとめた評価ガイド等は、2026年下期を目途に公表される予定で、申請受付開始は2026年度末頃の予定です。
一見、まだ時間があるように見えますが、発注元から取引先に★3/★4の取得を求める運用が想定されており、★3・★4の取得にはある程度の準備期間が必要です。制度が開始されてから動き始めても、審査・評価のタイミングに間に合わない可能性があります。
だからこそ、今できるのは公表済みの要求事項に対する現状ギャップの可視化です。
この第一歩を済ませておくことで、評価ガイド公表後の本格対応へ、最短で移行できます。
※本制度への参加は任意です。取得しないと取引ができなくなる性質の制度ではありませんが、発注元が委託先に段階（★）を提示する運用が想定されています。
SCS評価制度 対応スケジュール
公表された情報から想定される3段階の対応フェーズ
-
現在
PHASE 1
現状分析フェーズ
- 要求事項は公表済実装例は未公表
- ギャップを可視化
-
2026年度下期
PHASE 2
本格対応フェーズ
- 評価ガイド公表実装例が明確に
- 規程整備・実装
-
2026年度末頃
PHASE 3
申請・審査対応
- 申請受付開始2027年1〜3月頃／審査フェーズ突入
- ★3/★4を取得
LRMが全フェーズを一貫支援
- 現状分析・ギャップ可視化メインの支援範囲
- 規程整備・実装支援ガイド公表後に本格化
- 申請・審査対応支援★3/★4取得まで伴走
まずは現状分析で足場を固め、Phase 2・Phase 3の本格対応・審査対応までシームレスに伴走します。
制度開始後の動きを加速させるために、現状分析から始めることをおすすめしています。
★3と★4は
何が違うのか
SCS評価制度は★3〜★5の段階で構成され、段階によって求められる対策の範囲も、評価の受け方も大きく異なります。
自社がどの段階を目指すべきかを見極めることが、準備の第一歩です。
| ★3 | ★4 | |
|---|---|---|
| 想定される脅威 | 広く認知された脆弱性等を悪用する一般的なサイバー攻撃 | サプライチェーン全体に影響を及ぼす企業への攻撃 |
| 評価スキーム | 専門家確認付きの自己評価※有資格のセキュリティ専門家による確認・署名が必要 | 第三者評価※評価機関による実地審査・技術検証あり |
| 要求事項の数 | 26項目 | 43項目 |
| 評価基準の数 | 81項目 | 153項目 |
| 有効期間 | 1年 | 3年 |
| 維持に必要な手続き | 年次で、セキュリティ専門家の確認等を経た自己評価の更新版を提出する | 1年ごとに自己評価を実施し結果を評価機関に提出。有効期限の更新時（3年に1回）は第三者評価を受ける |
★4は、文書を整えるだけでは通過できません
評価機関による実地審査と技術検証が行われます。
- 実地審査1〜2日程度
- 担当者へのヒアリング、規程の策定状況や脆弱性の管理体制、セキュリティインシデント発生時の対応手順などが確認されます。
- 技術検証1〜2日程度
- 管理対象の機器（VPN、ルータなど）に対して既知の脆弱性を悪用した一般的な攻撃パターンの試行や、直近の脆弱性検査の実施結果が確認されます。
不適合が発見された場合は、一定期間内に是正報告を評価機関に提出し、承認を得る必要があります。★4を目指す場合は、より早い着手が必要です。
※★5については、現時点で評価スキーム・有効期間ともに検討中とされています。
※出典：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」https://www.meti.go.jp/files/900017305.pdf
★3は「自己評価」だけでは
完結しません
★3の評価スキームは「専門家確認付き自己評価」です。自社で記入した自己評価の内容を、定められた力量を持つセキュリティ専門家が確認し、署名する必要があります。
社内に該当する人材がいない場合、外部の専門家の関与が不可欠です。
- セキュリティ専門家
-
- 役割
- ★3における自己評価の確認過程全般を統括し、組織の自己評価の結果を確認したうえで、それに対する署名を行う
- 求められる力量
- IPAが定めるITスキル標準（ITSS）レベル4以上、またはそれに相当する力量
- 該当する資格の例
-
- 情報処理安全確保支援士
- 公認情報セキュリティ監査人
- CISSP
- CISM
- CISA
- ISO 27001 主任審査員
※各資格の維持要件の充足に加え、SCS制度で定められた研修の受講が別途必要です
- 作業従事者
-
- 役割
- セキュリティ専門家の補佐的な役割を持ち、セキュリティ専門家の監督下で実際の確認作業を担う
- 求められる力量
- 資格等の保持は不要
※ただし、力量の維持のためにSCS制度で定められた研修の受講が別途必要です
審査の現場を知るコンサルタントが在籍しています
LRMには、ISO 27001主任審査員をはじめとする資格を保有するコンサルタントが在籍しています。制度が求める水準を理解したうえで、自己評価の精度そのものを高める支援が可能です。
※出典：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」https://www.meti.go.jp/files/900017305.pdf
ご支援中の取り組み
SCS評価制度は申請受付開始前ですが、すでに準備に着手している企業があります。
従業員100名規模から500名以上まで、規模を問わず★3、★4を視野に入れた動きが始まっています。
-
PROJECT 01
サービス業・小売業従業員500名以上
目標段階 ★4
★4取得に向けた現状分析
制度開始に備え、まずは現状分析として★4の評価基準153項目に対して、既存の規程・運用がどこまで到達しているかのチェックをご支援しています。
-
PROJECT 02
小売業従業員100名以下
目標段階 ★3／★4を検討中
★3か★4かを判断するためのギャップ分析
「どちらの段階を取得するかを判断したい」という段階からのご支援です。要求水準の高い★4を基準に現状とのギャップを洗い出すことで、それぞれの段階（★3,★4）でどこまで対応が必要になるか、可視化を進めています。
-
PROJECT 03
情報通信業従業員100名以下
目標段階 ★4
★4取得までの一気通貫支援
現時点で★4への対応を見据えたご相談をいただき、★4取得までのギャップ分析から、規程作成、自己評価、審査前後対応含めた一気通貫での支援を予定しています。
- ギャップ分析
- 規程作成
- 自己評価
- 審査前後の対応
このような課題はありませんか？
- 対応方法が
わからない - 対応を求められているが、具体的に何をどこまでやればいいのか、社内に知見がない
- 現状とのギャップが
知りたい - 自社のセキュリティルールが、どこまでSCS評価制度に対応できているか知りたい
- ISMSとの
二重管理が不安 - すでにISMSを運用しているのに、SCS評価制度のためにまたゼロから規程を作るのは非効率だ
こんな方におすすめ
- SCS評価制度に備えておきたい
- 制度対応に向けて、いつまでに、どのような体制を整えるべきか。
準備期間の具体的なロードマップを作成したい
- 取引先からの評価に
備えたい - この制度が今後の取引条件になる可能性を見据え、求められるレベル感や評価のポイントを先んじて把握しておきたい
- ISMS等との違いを
整理したい - 既存のセキュリティ認証と制度で求められることの差分を明確にし、二重投資を避けながら効率的に対応したい
具体的な支援内容
- 現状把握/ベースライン分析
-
現在公開されている情報や既存のISMS関連の規程類や運用フォーマットをもとに、SCS評価制度の「★3/★4」基準を詳細に対照し、不足項目を徹底的に洗い出します。
- 現状把握/ベースライン分析
-
- ● 充足
- 要件を満たしている
- ● 改善余地あり
- 一部修正が必要
- ● 再検討
- 新規構築が必要
※既存規程とSCS評価制度を照らし合わせ、「充足」「改善余地あり」「再検討」のような形で区分
- 対策案の提示/実装支援（オプション）
-
分析結果に基づき、★3/★4準拠に向けた具体的な改善を行います。環境に合わせ、不足項目を補うための最適な施策や優先順位を整理し、個社ごとに「最短・最善の対策プラン」を明確に示し、迷いのない着手を可能にします。
※2026/8現在で公表されている内容をもとにご支援いたします
まずはお気軽にご相談ください
LRMの強み
- 様々なセキュリティ規格・
認証に精通したコンサルタント - ISMSやプライバシーマーク・クラウドセキュリティなど、情報セキュリティに精通したコンサルタント陣がご支援します。
- 制度に関する
最新知見の提供 - SCS評価制度の要求事項や最新動向を踏まえ、実務に落とし込める知見をわかりやすく提供します。
- 既存の情報セキュリティ体制との
統合支援 - ISMSなど既存の情報セキュリティ体制を活かし、重複や無駄を抑えた形での支援を行います。
- 現場が守りやすい
実用的なルール設計 - 形式的なルールに留まらず、現場の業務実態に即した、継続的に守れるルールを設計します。
- 文書作成代行
- 必要な主要文書は、コンサルタントがお客様のご状況をヒアリングし反映させながら作成代行します。
- 専属チームによる徹底サポート
- 安心の専属チーム制で徹底サポート。チャットやWeb会議、必要に応じて訪問もお客様のご要望に合わせて柔軟に対応いたします。
料金
税別
90万円～
※上記金額は★3に対応するベースライン分析を実施した場合の参考費用となります。
※お客様ごとのルール策定状況や文書・規模・対応範囲によって金額は異なりますので、詳しくはお問い合わせください。
運営会社
| 社名 | LRM株式会社 (LRM, Inc.) |
|---|---|
| 代表取締役CEO | 幸松 哲也 |
| 所在地 |
|
| 設立 | 2006年12月 |
| 電話 | 03-5719-6234 |
| メールアドレス | consulting@lrm.jp |
| Webサイト | https://www.lrm.jp/ |
| 資本金 | 1億円(資本準備金除く) |
| 従業員数 | 105名 |
| 事業内容 |
|
当Webサイトでは、Web上でご入力いただく個人情報を保護するために、SSL/TLS暗号化によるセキュア通信を採用しています。