情報システム部門・セキュリティ担当

いちばん先にやること

IPA が ★3・★4 の要求事項・評価基準を Excel で公開しています（★3・★4 要求事項・評価基準（Excel））。推測で準備を進める必要はありません。まずこれを入手して、自社の管理策と突き合わせてください。

要求事項の構造

要求事項は7つの大分類に整理され、NIST CSF の機能（統治・識別・防御・検知・対応・復旧）に対応づけられています。

• ガバナンスの整備：6件
• 取引先管理：5件
• リスクの特定：6件
• 攻撃等の防御：21件
• 攻撃等の検知：3件
• インシデントへの対応：1件
• インシデントからの復旧：1件

合計43件のうち、★3 に該当するのは26件です。評価基準は全体で153件あります。

「攻撃等の防御」が21件と全体の半分近くを占める一方、「取引先管理」が独立した大分類として5件置かれているのが、この制度の特徴です。サプライチェーンを対象にした制度であることが要求事項の構成に表れています。

★3 と ★4 で、確認のされ方が違う

• ★3：セキュリティ専門家が、取得希望組織が作成した書類の確認を行う
• ★4：評価機関および技術検証事業者が、文書確認に加えて実地審査および技術検証を行う

評価は、取得希望組織が決定した適用範囲の中から対象をサンプリングして実施することが想定されています。「証跡が一部しか揃っていない」状態は、サンプリングで露見します。

取得には全項目を満たす必要がある

IPA はよくある質問で、★3・★4 を取得するには定められたすべての要求事項・評価基準を満たしている必要があるとしています。部分適合という考え方はありません。

既存の認証との重複を潰す

ISMS（ISO/IEC 27001）を持っている場合、多くの管理策は重複します。ゼロから作るのではなく、公開されている要求事項の一覧に「自社の既存管理策」「証跡の所在」「差分」の列を足す進め方が現実的です。

この先に出てくるもの

• 要求事項・評価基準の解説書、取得ガイド：2026年10月頃 公表予定
• ★3・★4 の申請方法：2026年10月頃 公開予定
• 評価機関：2026年12月末頃 公開予定
• セキュリティ専門家：2027年1月以降 公開予定

IPA は制度に関する最新情報のメールニュースを配信しています。公表のたびに追いかけるなら登録しておくのが確実です。

出典

経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日、PDF）

IPA「SCS評価制度の詳細情報」

IPA「要求事項・評価基準」

IPA「よくある質問」

本ページの解説文は、上記の一次情報をもとに当サイトが要約・再構成したものです。正確な表現は原典をご確認ください。