企業のセキュリティ担当者にとって注目度の高い「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」。
2026年10月28日、IPA（独立行政法人情報処理推進機構）から、同制度における★3・★4の各種ガイド、アセスメントシート、および「要求事項・評価基準 解説書」が正式公表されました。
これまで示されていた基本方針に加え、具体的な評価・審査のフローや技術検証（脆弱性診断）の要件、各要求事項における判断基準（脆弱性対応や運用管理の考え方など）が具体化されました。今回の記事は、実務者がまず把握するべき公表内容の要点を整理し、詳しく解説いたします。
なお、「まずは自社の現状と★3基準とのギャップをすぐに確認したい」という方向けに、★3の評価基準を整理した「SCS評価制度（★3）対応！セキュリティ現状セルフチェックシート」を無料で配布しています。社内の現状チェックや対策の棚卸しに、以下のバナーをクリックし、ぜひ無料でダウンロードしてください。
【2026年10月28日公表】SCS評価制度の公式ガイドライン群（SCS-410〜620）の全体像
今回IPAから公開された文書群は、SCS評価制度における自己評価、第三者評価、技術検証、および基準の解釈を規定する基幹ガイドラインです。あわせて、要求事項・評価基準本体も一部用語の適正化（評価基準No.4-4-4-1の表現修正など）を行った「Ver.1.1」へと更新されました。
正式に公表された主要ガイドラインの構成と位置づけは以下の通りです。
| ドキュメント番号 | 書名 | 対象・主な規定内容 |
| SCS-400 | ★ 3・★ 4 要求事項・評価基準 | 登録希望組織が登録を受けるためのセキュリティ要件である「要求事項」及び評価に際して要求事項を満たしていると判断する「評価基準」 |
| SCS-410 | ★3・★4 自己評価等ガイド | 取得単位・適用範囲の決定手順、アセスメントシートの使用方法・ハッシュ値保管、★3確認責任者による確認手続き |
| SCS-420 | ★4 第三者評価ガイド | 評価機関が実施する★4審査（文書確認・実地審査）、指摘・是正手続、登録有効期間中の年次自己評価提出ルール |
| SCS-430 | ★4 技術検証ガイド | 外部公開機器に対する脆弱性診断（CVSS 7.0以上）の診断対象選定（原則5台）、是正期間（14日・1か月）、2つの免除要件 |
| SCS-620 | ★3・★4 要求事項・評価基準 解説書 | 全要求事項・評価基準の個別解説、用語定義、アタックサーフェス（攻撃対象領域）および想定脅威の解説 |
これらのガイドラインにより、★3（26要求事項・81評価基準）および★4（43要求事項・153評価基準）に対する具体的な達成基準と、審査時に提出・提示すべき証跡（文書、記録、設定画面のスクリーンショット等）の基準が明らかになりました。
なお、SCS評価制度が創設された背景や、★1〜★5までの各レベルの定義、制度導入までのロードマップなどの基本情報については、以下の記事で分かりやすくまとめています。制度の全体像から確認したい方は、ぜひあわせてご覧ください。
【重要改定】評価基準4-4-4-2（パッチ適用）のリスクベース運用化と実務への影響
2026年10月改定において重要な変更点が、プラットフォームセキュリティ分野の「評価基準4-4-4-2（セキュリティパッチ・アップデートの手続）」におけるリスクベース運用の導入です。
従来の課題と改定の骨子
従来（2026年3月版）の規定では、CVSS基本値7.0以上等の重要脆弱性について「リリースから14日以内のアップデート適用」が求められ、やむを得ない場合の代替策（機能無効化やネットワーク分離等）が評価基準本文に直接書き込まれていました。
しかし、日々大量に公表される脆弱性のすべてに対して一律14日以内の検証・適用を行うことは実務上極めて困難であり、システムの安定稼働を阻害するリスクが指摘されていました。
これを受け、2026年10月改定（Ver.1.1）では「原則14日以内の適用」という基準自体は維持しつつ、評価基準本文の代替策に関する記述が整理され、情勢変化に応じた機動的な見直しを可能にするため、運用の詳細は「自己評価等ガイド（SCS-410）」および「要求事項・評価基準 解説書（SCS-620）」へと移管されました。
これにより、実際の攻撃観測状況や悪用リスクに応じた柔軟かつ効果的な優先度判定（リスクベース管理）が公式に認められることとなりました。
攻撃観測の有無による運用の二極化
改定後のガイドライン・解説書では、CVSS基本値7.0以上の脆弱性に対する対応が以下のように明確に区別されています。
① 既に攻撃が観測されている脆弱性（厳格対応：14日以内）
- 該当条件： IPAの「重要なセキュリティ情報」、JPCERT/CCの「注意喚起」、米CISAの「KEV Catalog（Known Exploited Vulnerabilities Catalog）」等の公的情報源に掲載されている脆弱性。
- 要求事項： インターネットへの公開（露出）状況に関わらず、原則としてリリースから14日以内のアップデート適用が求められます（可能であればさらに短期間での対応が推奨されます）。
- 14日適用不可時の代替策： 動作検証などでやむを得ず14日以内に適用できない場合は、アップデート完了までの対応計画を策定・管理したうえで、以下のいずれかのリスク低減策（一時的対応）を実施する必要があります。
- 脆弱性悪用の対象となる機能の無効化
- ベンダーが推奨する回避策（ワークアラウンド）の実施
- 対象機器の適用範囲内ネットワークからの分離
- 通信監視・遮断機器（IPS等）による監視・設定の強化
② 攻撃が観測されていない脆弱性（柔軟対応：対応計画管理による期限設定）
- 該当条件： CVSS基本値が7.0以上であっても、公的情報源において攻撃の発生や悪用の蓋然性が確認されていない脆弱性。（※インターネットから直接アクセス可能な公開機器・境界機器を除く、主に内部ネットワーク上の機器が対象）。
- 要求事項： システムの動作検証や稼働影響を考慮し、対応計画を策定・記録・追跡管理することを前提に、対応期限を15日以上（または次期システム更改時等）に設定・延長することが許容されます。
- 管理ルール： 対応計画管理台帳等を作成し、CVE番号、対象機器、CVSS基本値、決定した対応期限、対応履歴を漏れなく記録・管理する必要があります。また、後日公的情報源で攻撃が観測された場合（KEV掲載等）は、速やかに対応計画を修正し、原則14日以内の対応へ繰り上げる備えが必要です。
関連評価基準の整合修正
評価基準No.4-4-4-2の文言整理に伴い、サポート切れOS・ソフトウェアの原則不使用に関する評価基準No.4-4-4-1（★3・★4共通）および、ライセンス・サポート状態の管理に関するNo.4-4-2-1（★4対象）の適合基準・評価方法においても、No.4-4-4-2と同様のリスク低減策（代替策）を参照・整合させる形へと見直しが行われました。
SCS評価制度の要求事項・評価基準、★3・★4の全7分野と対策について、以下の記事についても詳しく解説していますので、合わせてご覧ください。
アセスメント実務・評価手続きの新ルール（SCS-410・SCS-420）
2026年10月のガイドライン公表により、企業が自己評価および第三者評価を受ける際の実務手続きが具体化されました。
アセスメントシートの取扱とSHA-256ハッシュ値による改変防止
登録希望組織は、IPA公式サイトから配布される参考様式または独自様式のアセスメントシートを用いて自己評価を行います。
自己適合宣言を行ったアセスメントシートについては、信頼性および公平性を確保するための改変防止ルールが導入されました。
- ★3での運用: 登録希望組織による自己適合宣言および★3確認責任者による適合確認（署名・記名等）が完了したアセスメントシート全体をPDF化し、登録組織自身がSHA-256ハッシュ関数を用いてハッシュ値を算出します。登録組織はPDF本体とハッシュ値を証跡として保管し、ハッシュ値を制度運営機関へ提出します。
- ★4での運用: 評価機関が第三者評価で適合と判定し、評価機関の署名・記名等を付した最終版のアセスメントシート（PDF）について、評価機関がSHA-256ハッシュ値を算出します。評価機関はそのハッシュ値を制度運営機関へ提出するとともに、登録組織へも通知・共有し、双方で保管します。
これにより、制度運営機関による調査（監査）時において、登録申請時点のアセスメントシートがその後改変・差し替えられずに保管されていること（完全性）を客観的に検証できます。
取得単位と適用範囲の確定プロセス
アセスメントの前提となる「取得単位」は原則として法人または個人事業主単位です。
ただし、以下の条件を満たし、★3確認責任者または★4評価機関による妥当性の確認を受けた場合は、例外的な取得単位が認められます。
- 事業部単位等（法人の一部）: サイバーセキュリティ責任者が明確に設置されており、時限的なプロジェクト組織ではなく、他の組織から独立して管理できるIT基盤を有していること。
- 企業グループ単位等（複数法人）: 含まれる全法人で共通のIT基盤を利用し、共通のセキュリティ対応方針が適用されていること。
また、適用範囲の設定においては、取得単位が管理・利用するインターネット公開サーバ（Web、メール等）がすべて網羅されていることや、適用範囲外ネットワークとの境界における適切な保護施策（分離・アクセス制御等）が求められます。
★4 登録維持のための「年次自己評価提出ルール」と取消リスク
★4の登録有効期間（3年間）において、登録組織は毎年（登録有効期間の開始日（登録日）から1年経過時および2年経過時を基準とし、前後3か月以内）、最新の自己評価結果（アセスメントシート）を評価機関へ提出しなければなりません。
提出された自己評価結果は評価機関により確認され、適用範囲の拡大やIT基盤の大規模リプレイスなどの「要求事項の達成に顕著な影響を及ぼす重大な変更」がない場合は、文書確認のみで評価機関による署名・記名が行われます（重大な変更がある場合は、変更箇所に限って実地審査や技術検証が追加実施されます）。
期限内（前後3か月以内）に提出がなされない場合、評価機関から制度運営機関へ報告され、登録が取り消される可能性があるため、毎年のスケジュール管理と継続的な自己点検が極めて重要となります。
LRMでは、様々なセキュリティ規格・認証に精通したコンサルタントが、SCS評価制度の★3・★4取得に向けたギャップ分析から実装までをトータルで支援します。制度対応に不安がある企業様は、以下のバナーよりお気軽にご相談ください。
★4 技術検証（脆弱性診断）の具体的要件と免除規定（SCS-430より）
★4登録で義務付けられる「技術検証」について、SCS-430ガイドラインにより診断手続や免除条件の詳細が定められました。
技術検証の目的と診断仕様
技術検証は、評価基準No.4-4-4-3（インターネット境界機器がCVSS基本値7.0以上の脆弱性を有していないこと）への適合性を客観的に評価するために実施されます。
- 対象機器： 外部から直接アクセス可能なVPN装置、ルータ、ファイアウォール等の境界ネットワーク機器（適用範囲内から原則代表5台を選定）。
- 診断方式： 技術検証事業者による外部からのポートスキャン（TCP全ポート 1〜65535、UDP主要ポート等）および通信応答（バナー情報等）によるOS・ファームウェアのバージョン・脆弱性確認。
- 合否判定： 選定機器すべてにおいてCVSS基本値7.0以上の脆弱性が存在しない（または誤検出であると精査で確認できる、もしくはパッチ未公開等のやむを得ない事情により規定のリスク低減策が実施されている）場合に合格となります。
脆弱性検出時の是正プロセス
初回診断でCVSS 7.0以上の脆弱性が検出された場合、直ちに不合格とはならず是正期間が与えられます。
- 14日以内の対応：登録組織は結果受領後14日以内にアップデートを適用します（ベンダーからパッチが未公開である等のやむを得ない事情がある場合は、機能無効化・ネットワーク分離・監視強化等のリスク低減策を実施します）。
- 1か月以内の再診断依頼: 初回判定通知から1か月以内に技術検証事業者へ再診断（またはリスク低減策の実施状況の確認）を依頼します。再診断で脆弱性の解消や適切なリスク低減策が確認できれば合格となります（期限内に依頼がない場合や再診断でも未解消の場合は不合格となります）。
2つの「診断免除規定」
一定の条件を満たす場合、証跡の提出と審査により技術検証事業者による新規脆弱性診断を免除することができます。
| 免除の種別 | 免除条件 | 提出すべき証跡 |
| 実施困難時の代替 | 対象機器の全台がISP等の管理外にあり、事業者から診断許可が得られない場合 | ISP等の契約書・利用規約、ISPが公表するセキュリティ対応方針・診断結果資料等 |
| 過去の診断実績による代替 | 文書確認開始日から起算して過去1か月以内に、指定技術検証事業者により同等以上の脆弱性診断が実施されている場合 | 機器管理資料、過去の診断実施結果報告書、実施以降にバージョン・利用ポートの変更がない証明資料 |
2026年10月改定を踏まえた企業の実務対応ロードマップ
2026年10月の改定版（Ver.1.1）公式ガイドライン公表により、2026年度後半（2027年3月頃まで）の制度開始に向けた準備事項が具体化しました。企業は以下の4ステップで対応を進めることが推奨されます。
STEP 1: 取得単位・適用範囲の確定とアセット棚卸
- 法人単位か事業部単位かを決定し、インターネット公開サーバや境界機器（VPN等）をモレなく網羅したネットワーク構成図を作成します。
- パソコン、サーバ、スマートデバイス、ネットワーク機器の製造元・OS・台数を台帳化します。
STEP 2: 脆弱性トリアージ・対応計画管理体制（リスクベース運用）の構築
- 評価基準4-4-4-2の改定に合わせ、IPA「重要なセキュリティ情報」やCISA「KEV Catalog」等の公的情報源を日常的にチェックする体制を構築します。
- 攻撃観測ありの脆弱性や外部公開機器の脆弱性（原則14日以内対応）と、内部機器の未観測脆弱性（対応計画管理・期限設定）を振り分ける「トリアージ基準」および対応計画管理台帳のフォーマットを定めます。
STEP 3: エビデンス管理体制とSHA-256ハッシュ算出手順の確立
- アセスメントシートの回答根拠となる社内規程、手順書、設定画面のスクリーンショット、点検記録の保管場所を整理します。
- 自己適合宣言時のアセスメントシート（PDF）に対するSHA-256ハッシュ値算出および保管手順を社内で標準化します。
STEP 4: 自己評価実施と★3確認／★4第三者評価・技術検証への準備
- SCS-410別紙の適合基準・自己評価方法に基づき全評価基準の遵守状況をセルフチェックします。
- ★3を目指す場合は社内外の★3確認責任者へレビューを依頼し、★4を目指す場合は評価機関との調整および技術検証（要件を満たす既存の診断結果の活用または新規診断の調整）を進めます。
まとめ：SCS評価制度の開始に向けた、早急な実務準備とギャップ分析の推進
2026年10月28日の公式ガイドライン群の公表により、SCS評価制度は「概要の理解」から「実務手続きの準備」へと完全にフェーズが移行しました。
特に、セキュリティパッチ適用のリスクベース運用化は、企業の運用負荷を抑えつつ実効的な脅威対応を求める現実的な改定です。最新の基準に基づき、脆弱性トリアージ体制やアセスメント証跡の管理ルールを早急に整備し、制度開始に向けた準備を進めていきましょう。
一方で、これら実務レベルの要件対応や体制構築を自社だけで完璧に進めるには、多くの工数と専門知識が求められます。制度の運用開始後に「自社だけでは対応しきれない」と慌てることのないよう、まずは専門家の視点を取り入れた正確なギャップ分析を行うことが、確実な制度取得への最短ルートとなります。
LRMでは、多様なセキュリティ規格・認証に精通したコンサルタントが、SCS評価制度の★3・★4取得に向けたギャップ分析から実装までをトータルで支援いたします。制度対応に不安がある企業様は、ぜひ、以下のバナーからお気軽にご相談ください。
