リスク通信：『SCS評価制度の基本規程等が施行～第58号からの確定差分と、★3・★4取得ロードマップの更新～』

2026年9月15日 2026年9月15日

サイバーレジリエンス

リスク通信62号

RISK REPORT 第62号

リスク通信：『SCS評価制度の基本規程等が施行～第58号からの確定差分と、★3・★4取得ロードマップの更新～』

監修者

CISSP-ISSAP（情報システムセキュリティプロフェッショナル認定） CISA（公認情報システム監査人） PMP（プロジェクトマネジメントプロフェッショナル）米沢和希

※今号には生成AIによって作成された後に筆者が編集した文章が含まれます。

１．はじめに

2026年8月28日、IPAはSCS評価制度の基本規程、制度運営機関規則、二つの委員会規則、三種類の指定規則を公表し、同日施行しました。これにより、「誰が何を決めるか」「★3・★4をどの手続で登録するか」「登録後に何を続けるか」「不正や取消しをどう扱うか」が、予定ではなく正式な規程として定まりました。

一方で、8月28日は企業からの★3・★4申請受付の開始日ではありません。基本規程が定める20種類の制度文書のうち、公表されたのは上位7文書です。自己評価ガイド、第三者評価ガイド、技術検証ガイド、登録申請手引、指定基準・指定手順など、実務を完結させる文書は引き続き公表を待つ必要があります。

そこで今号では、8月28日公表の基本規程等を紹介し、以前にSCS評価制度を取り上げた第58号から何が確定し、何が未確定のまま残ったのかを整理します。さらに、同様に取り上げてきた第57号、第55号、第48号からの制度の進化を振り返り、★3・★4の取得と登録後の維持までを見据えたロードマップに更新します。

今号の結論　8月28日は「制度骨格の施行日」であり、「申請受付開始日」ではありません。企業は公式の申請開始を待つのではなく、適用範囲、要求事項への適合、証跡、経営層の宣言、更新体制を先に整えることが重要です。

２．2026年8月28日に公表・施行された7文書

IPAの「制度規程・委員会」ページには、次の7文書が掲載されました。SCS-100が制度全体の基本規程、SCS-110からSCS-112が運営・委員会、SCS-210からSCS-230が評価等を行う事業者の指定を扱います。

文書	定められた主な内容	企業にとっての意味
SCS-100 基本規程	制度の目的・用語・文書体系・★3／★4の登録手続・有効期間・権利義務・守秘・取消し・料金等。	自社の申請、登録、更新、変更時対応の根拠となる中心文書。
SCS-110 制度運営機関規則	IPAの運営原則、申請審査、公開台帳、ロゴ、苦情・通報・インシデント調査、裁判管轄等。	IPAが何を審査・公開し、登録後にどのような連絡・調査があり得るかを把握できる。
SCS-111 運営審議委員会規則	規程・ガイドの作成・改定、要求事項等の軽微改定、国の検討体への提言。	制度改定の決定経路と、評価現場から独立した審議体が明確になった。
SCS-112 指定委員会規則	評価機関、技術検証事業者、研修事業者の指定・取消し、指定基準・手順の審議。	サービス提供者の信頼性を、公的な指定手続で確認する仕組みができた。
SCS-210 評価機関指定規則	★4評価機関の申請、指定、3年更新、サーベイランス、取消し、異議申出。	★4はIPAが公表する指定評価機関へ依頼する。任意のコンサル会社が評価機関を名乗れるわけではない。
SCS-220 技術検証事業者指定規則	技術検証事業者の指定・更新・監督・取消し等。	★4の技術検証を評価機関が委託する場合も、指定事業者であることを確認する。
SCS-230 研修事業者指定規則	制度研修を行う事業者の指定・更新・監督・取消し等。	★3確認責任者等を制度研修へつなぐ供給基盤が正式化した。

SCS-210、SCS-220、SCS-230はいずれも、日本法に基づく法人で、対象業務を適切に行える能力を求めます。IPAによる審査と指定委員会の決定を経て指定され、指定の有効期間は3年、更新申請は原則として満了3か月前までです。指定後も定期・臨時のサーベイランスがあり、基準不適合や虚偽等には改善要請や取消しがあり得ます。

２－１．「7文書公表」と「制度実務の完成」は同じではない

SCS-100第2.2節は、制度文書を20種類に体系化しています。今回の7文書に加え、評価機関・技術検証事業者・研修事業者の指定基準・指定手順、研修実施基準、★3・★4要求事項・評価基準、自己評価等ガイド、★4第三者評価ガイド、★4技術検証ガイド、★3・★4登録申請の手引、要求事項・評価基準解説書が位置付けられました。

このうち要求事項・評価基準の第1版は既に公表されていますが、証跡様式、サンプリング方法、技術検証の最終範囲、申請様式、固定審査期間等を判断するためのガイドや手引は、8月28日時点では揃っていません。したがって、旧号で作った証跡台帳については、今後公表される正式様式とのクロスウォークを予定しておく必要があります。

３．基本規程で確定した★3・★4の登録手続

正式な制度用語は「認証」ではなく、評価結果を基にIPAの登録組織台帳へ登録し、登録組織として表示・ロゴを使用する仕組みです。対象は製品単体ではなく、登録希望組織が設定する「適用範囲内のIT基盤等」です。サーバ、端末、クラウドサービス、共通ネットワーク、ファイアウォール、ルータ、VPN、そのソフトウェア・ファームウェア・設定情報等が含まれます（SCS-100第1.2節、第1.3.26～27項）。

項目	★3	★4
評価方式	全要求事項を自己評価し、社内又は社外の★3確認責任者が妥当性を確認・助言・署名。	全要求事項を自己評価したうえで、指定評価機関が文書確認・実地審査・技術検証を実施。
経営層の責任	組織の責任で、適用範囲が全要求事項・評価基準に適合していることを自己適合宣言。	第三者評価の前に自己適合宣言を作成し、自己評価とともに評価機関へ提出。
適合・登録	確認・署名・宣言を経てIPAへ申請。IPAが不備を認めなければ台帳登録・公表。	評価機関が適合・不適合を判断し、適合報告書を受けた組織がIPAへ申請。IPAが問題を認めなければ登録・公表。
有効期間	登録完了通知日から1年。	登録完了通知日から3年。
維持・更新	毎年、自己評価を更新し、★3確認責任者の確認・助言を受けて期限前にIPAへ提出。	毎年、自己評価を評価機関へ提出。適用範囲等の重大変更時は再評価。3年ごとに第三者評価を再実施して更新申請。
前提関係	―	★3の事前取得は不要。組織の成熟度と取引上の必要性に応じ、直接★4を目指すことも可能。

★3の「自己適合宣言」は、第58号で用いた「自己適合宣誓」よりも正式な規程用語です。宣言は単なるチェック欄ではなく、適用範囲内のIT基盤等が全要求事項・評価基準に適合することを、経営層が組織の責任で表明するものです。未適合や証跡不足を残したまま、将来の改善予定だけで登録を受ける手続は規程にありません。

★4の技術検証は第三者評価の構成要素です。評価機関が自ら行うか、指定技術検証事業者へ委託します。ただし、検査対象、既存診断結果の利用条件、サンプリング方法等は今後のガイド確認が必要です。第58号に記載した「対象をサンプリングして評価する想定」は、現時点では確定手続として扱わない方が安全です。

３－１．登録後まで含めて規程化された事項

論点	規程で確定した内容	企業側のリスク対応
公開・表示	IPAは登録組織台帳を整備・公開し、登録組織へロゴを発行。使用はIPA所定条件に従う。	営業資料やWeb表示は、登録範囲・有効期間・使用条件と一致させる。製品認証のような表示は避ける。
守秘義務	IPA、委員会、★3確認、★4評価・技術検証の関係者には目的外利用・無権限開示等の禁止が課され、関与終了後も継続。	評価提供資料を分類し、提出経路、閲覧者、返却・廃棄、秘密保持契約を記録する。
不正・取消し	虚偽申請、情報隠蔽等は事実確認・弁明機会・改善指示を経て登録取消しとなり得る。自主取消しも可能。	不利な事実も含めて経営層へ報告し、宣言前の独立確認と変更管理を置く。
インシデント	発生だけで自動取消しではないが、IPAは原因究明・再発防止等への調査協力を求めることができる。	登録後の重大インシデントについて、IPA・評価機関への連絡判断と証跡保全を手順化する。
変更管理	★4は適用範囲の変更又は達成状況に顕著な影響を及ぼす変更時に再評価が必要。	M&A、拠点統廃合、クラウド移行、主要委託先変更、認証基盤刷新を重大変更判定の対象にする。
料金	IPAへの申請料・登録料、外部★3確認責任者・評価機関等への費用が必要。金額は別途。外部費用は当事者間契約。	費用未公表の段階で断定見積りを置かず、申請、評価、技術検証、是正、年次維持を分けて予算枠を確保する。
苦情・異議	IPAは苦情・紛争・不正通報窓口を設置。評価機関も自らの評価に対する異議・苦情処理手続を整備。	評価結果への質問と正式な異議申出を分け、期限・根拠資料・責任者を記録する。
制度の限界	登録は対策の有効性・適法性や無事故を保証せず、制度運営側は登録後のインシデント等について免責。	ロゴ取得をゴールにせず、監視、訓練、復旧試験、リスク受容を継続する。

なお、7規程には「登録の一時停止」という独立した処分は定められていません。第55号で触れた「一時停止」は、現時点では改善指示、取消し、有効期間満了とは分けて考える必要があります。また、申請時には東京地方裁判所を第一審の専属的合意管轄とする同意を求められる可能性があるため、法務部門も申請文書の確認に加えることをお勧めします。

４．第58号からの差異―予定が規程になり、維持責任まで明確化

第58号の方向性は大きく変わっていません。むしろ、4月時点の詳細情報が、正式な権限・手続・責任として裏付けられました。更新が必要な点は次のとおりです。

論点	第58号（2026年4月）	8月28日時点の更新差分
制度規程	2026年8月頃に公表予定。	SCS-100／110／111／112／210／220／230が8月28日に公表・同日施行。
運用開始	2027年3月頃を予定。	予定は維持。ただし規程施行は申請受付開始を意味せず、受付日・固定審査期間は未公表。
制度文書	規程、申請方法、解説書等の公表待ち。	20文書の正式体系が判明。上位7文書は公開されたが、指定基準、評価ガイド、申請手引等はなお未公開。
★3の宣言	経営層の「自己適合宣誓」と説明。	正式用語は「自己適合宣言」。★3確認責任者の確認・助言・署名と経営層の宣言を経てIPAへ申請。
★4の宣言	自己評価、第三者評価、報告書、IPA申請を説明。	第三者評価の依頼前に、経営層の自己適合宣言を自己評価とともに評価機関へ提出することが明文化。
有効期間・更新	通常業務化を勧めたが、手続の説明は限定的。	★3は1年ごとに専門家確認付き更新。★4は毎年自己評価提出、重大変更時再評価、3年ごと第三者再評価。
取消し・調査	不適切勧誘への注意を中心に説明。	虚偽・隠蔽、調査、弁明、改善指示、取消し、インシデント調査協力、苦情・異議の枠組みが規程化。
指定事業者	評価機関、技術検証事業者、研修事業者の存在と公表予定を説明。	申請・指定・3年更新・サーベイランス・取消し・指定後の結果の扱いまで確定。
費用	申請・登録費用は今後公表。	金額は引き続き未公表。IPA費用と、外部専門家・評価機関等との契約費用を区別することが明確化。
用語	「認定取得」「正しい認定」が混在。	「★取得」「評価」「IPAへの登録」「ロゴ使用」に統一。SCSは製品認証や無事故保証ではない。

４－１．第57号・第55号・第48号から見た制度の進化

旧号との差異を時系列で見ると、制度は「企業格付けの構想」から「方針案」「正式方針」「詳細情報」を経て、今回「規程に基づく制度運営」へ移りました。旧号で有効な準備の考え方は引き継ぎつつ、予測や暫定用語を正式情報で置き換えます。

号・時点	当時の主な位置付け	今回の読み替え・引継ぎ
第48号 2025年7月	前身の「企業格付け」と要求事項案を紹介。SECURITY ACTIONや業界ガイドからの段階的準備を提案。	歴史説明として有効。ただしSCSはSECURITY ACTIONの星を単純に延長した認証体系ではなく、正式な★3・★4登録制度として扱う。
第55号 2026年1月	制度構築方針案を基に、★3専門家確認・★4第三者評価、有効期間、段階取得を予測。	「正式名称はほぼ決定」「一時停止」「2026年度下期に本格運用」等は最新規程・日程へ更新。細目の資格・証跡対応表は正式ガイドで再構築する。
第57号 2026年3月	正式な制度構築方針を受け、IPA運営、★3 26要求事項／★4 43要求事項、有効期間、2027年3月頃の開始を紹介。	大枠は維持。★3確認者を一般の支援者と混同せず、SCS制度上の要件・登録を満たす専門家を選ぶ。更新・変更時手続を正式規程に合わせる。
第58号 2026年4月	IPA詳細情報で役割・手続を具体化し、不適切勧誘を注意喚起。規程と実務文書は公表待ち。	役割と手続は規程で確定。正式用語、20文書体系、維持・取消し・料金・守秘・指定監督を追加し、ロードマップを更新する。

第55号で独自に列挙した専門家資格や、要求番号と証跡例を細かく結び付けた表は、そのまま再利用しない方が安全です。資格・研修・登録の細則、証跡様式、技術検証方法は、今後の正式文書で再確認します。また、SCSセキュリティ専門家と、一般の中小企業向け支援者・コンサルタントは、役割と登録要件が異なります。

５．★3・★4取得ロードマップの更新

★4の取得に★3登録は必須ではありません。したがって、最初に「★3を早期に登録するか」「★4へ直接進むか」を経営判断し、その後は共通基盤を一度に整備するのが効率的です。★3の取得だけを目的に最小限の証跡を作ると、★4追加対策で台帳や運用を作り直すおそれがあります。

選択	向いている組織・状況	注意点
★3を先に登録	早期に取引先へ対策水準を示したい。基礎運用を定着させながら段階的に★4へ進みたい。	★3は毎年更新。★4への自動移行や適合保証ではないため、★4追加項目も並行して設計する。
直接★4を申請	既にISMS等を運用し、重要情報、可用性、取引先接続の観点から★4が必要。評価対応の体制・証跡が成熟。	★3登録は不要でも、★3相当の要求事項は★4に含まれる。第三者評価と技術検証の予約・是正期間を確保する。
まず内部準備	取引期限が未定で、資産・範囲・証跡が未整備。公式ガイド公表前に基盤を整えたい。	「様式待ち」を理由に実装を止めない。責任者、適用範囲、台帳、基本対策は先行し、後から正式様式へ写し替える。

５－１．8月28日を起点とする推奨ロードマップ

次の期間はIPAが保証する審査期間ではなく、中堅・中小サプライヤーが制度開始へ備えるための実務上の目安です。公式日程は、公表済みの予定に「予定」と明記しています。自社の成熟度、適用範囲、要員、外部支援の予約状況によって前後します。

時期	共通で行うこと	★3／★4の分岐と成果物
2026年8～9月	経営スポンサーと責任者を任命。取得目的、対象法人・事業部、IT基盤・クラウド・共通基盤、除外と責任分界を記述。	★3：1年更新まで含めた体制案。 ★4：直接取得の必要性、重大変更判定、第三者評価予算を経営判断。
2026年9～10月	要求事項・評価基準でギャップ評価。資産、SaaS、公開資産、取引先接続、特権ID、ログ、脆弱性、バックアップ、訓練の証跡台帳を作成。	★3：自己評価案と不足証跡を整理。 ★4：追加要求、実地確認箇所、技術検証候補を分けて是正計画化。
2026年10～12月	10月頃予定の申請方法・解説書・取得ガイドを確認し、旧台帳と正式様式をクロスウォーク。運用を実施し、月次・四半期証跡を蓄積。	★3：模擬確認と経営レビュー。 ★4：模擬文書審査・実地審査、脆弱性診断と是正、範囲内の運用品質を平準化。
2026年12月末頃	IPAが公表予定の指定機関名簿を確認。契約範囲、守秘、利益相反、費用、予約、取消し時の連絡を確認。	★3：専門家公表を待ちながら指摘是正。 ★4：指定評価機関を比較・予約し、技術検証の実施主体を確認。
2027年1～2月	SCSセキュリティ専門家の公表予定を確認。最終自己評価、証跡、例外、残リスクを経営層へ報告。	★3：★3確認責任者の確認・助言・署名、是正、経営層の自己適合宣言。 ★4：評価機関との事前調整、自己適合宣言、文書提出、評価開始準備。
2027年3月頃以降	公式の受付条件・料金・申請様式を確認。申請内容と公表範囲を法務・広報を含めて承認。	★3：IPAへ登録申請。 ★4：文書確認・実地審査・技術検証、指摘是正、適合報告書取得後にIPAへ登録申請。

公式日程の読み方　9月14日の事業者向け説明会は案内済みです。指定申請は9月中旬～10月下旬、指定委員会は12月上旬、指定名簿公表は12月下旬という資料上の予定がありますが、個々の企業の★3・★4受付日や固定審査SLAは8月28日時点で未公表です。

５－２．登録後の維持を取得プロジェクトに組み込む

管理サイクル	★3	★4
毎月・四半期	変更、例外、資産、アカウント、パッチ、ログ、インシデント、委託先、バックアップ等の証跡を蓄積。	左記に加え、評価機関へ説明できる証跡の一貫性、技術検証の是正状況、重大変更候補をレビュー。
毎年	満了前に自己評価を更新し、★3確認責任者の確認・助言を受けてIPAへ提出。	自己評価を更新して評価機関へ提出。年次の経営レビューで重大変更の有無を明示。
変更時	7規程に独立した期中再評価手続はないが、登録内容と実態の不一致を避け、必要な更新・相談を行う。	適用範囲又は達成状況へ顕著な影響を与える変更は評価機関の再評価を受け、結果をIPAへ提出。
更新時	1年ごと。期限前提出なら更新審査中も効力継続。	3年ごとに第三者評価を再実施し、期限前に更新申請。期限前申請なら審査中も効力継続。

更新漏れを避けるため、★3は満了3～4か月前、★4は3年目の少なくとも6～9か月前から、内部再評価と外部予約を始める運用をお勧めします。この開始時期は筆者の実務上の推奨であり、IPAの期限ではありません。

６．経営者・実務責任者が今確認すべきリスク

リスク	起こり得る問題	直ちに行う管理策
施行日と受付日の混同	「規程が施行されたので今すぐ申請できる」と誤認し、非公式な申請代行や予約へ費用を払う。	IPAの公式受付案内、指定機関台帳、専門家登録台帳を一次情報で確認する。
スコープ漏れ	クラウド、親会社共通基盤、SaaS、公開資産、取引先接続を外し、宣言内容と実態が食い違う。	責任共有モデルと証跡入手先を含む適用範囲記述書を作り、経営層・IT・事業部で承認する。
証跡の後付け	規程や設定はあるが、アクセス棚卸、パッチ、訓練、復元試験等を実施した記録がなく、適合を説明できない。	要求事項ごとに責任者、頻度、証跡、保管場所、最新日、是正期限を持つ証跡台帳を運用する。
宣言の形骸化	未適合や重大な例外が経営層へ上がらず、虚偽・隠蔽と評価されるおそれがある。	宣言前に独立レビューを行い、未適合ゼロ、例外の妥当性、残リスク、範囲変更を議事録へ残す。
外部提供者の選定	指定前の事業者を「公式評価機関」「公認専門家」と誤認し、利益相反や守秘の問題が生じる。	IPA台帳と有効期間を確認し、役割、再委託、秘密保持、責任、取消し時対応を契約で明確化する。
維持費・要員不足	取得費だけを計上し、毎年の自己評価、専門家確認、再評価、技術検証、是正、変更対応が止まる。	3年総費用で予算化し、年次カレンダー、重大変更判定者、証跡オーナー、外部予約時期を決める。

不適切勧誘への基本対応は第58号から変わりません。「取得しないと法律違反になる」「今すぐ契約しなければ取引停止になる」「当社だけが公式に評価できる」といった説明は、その根拠となる法令、取引先の正式通知、IPAの指定・登録台帳を確認してください。SCSは任意の登録制度ですが、個別の発注者が調達条件として★を求めることはあり得るため、制度上の義務と契約上の要求を分けて判断します。

６－１．今月から着手するチェックリスト

取得目的、目標★、希望時期、経営スポンサー、プロジェクト責任者を決める。

法人・事業部・拠点・クラウド・SaaS・共通基盤・取引先接続を含む適用範囲を図と文章で残す。

★4を直接目指す場合も含め、公開済みの★3・★4要求事項・評価基準で全件ギャップ評価を行う。

要求事項ごとの証跡台帳を作り、設定値だけでなく、承認・点検・訓練・復元試験等の実施記録を蓄積する。

今後の指定基準、ガイド、申請手引、料金、台帳の公表を監視し、旧資料とのクロスウォーク担当を決める。

登録後の年次自己評価、★3更新、★4重大変更時再評価、3年更新を年間計画と予算へ組み込む。

７．おわりに

2026年8月28日の基本規程等の公表・施行により、SCS評価制度は「方向性を読む段階」から「正式な手続と責任を前提に準備する段階」へ進みました。第58号で紹介した制度の骨格は維持されましたが、★3・★4の申請順序、自己適合宣言、有効期間、更新、重大変更時の再評価、守秘、取消し、料金、指定事業者の監督が明確になりました。

企業にとって最も重要なのは、ロゴや登録をゴールにしないことです。適用範囲を正しく定め、全要求事項への適合と証跡を継続し、経営層が責任を持って宣言できる状態を作る必要があります。★3から段階的に進む場合も、直接★4を目指す場合も、資産・ID・脆弱性・ログ・委託先・インシデント・復旧の運用を毎月回すことが共通の土台になります。

今後、申請方法、解説書、評価ガイド、技術検証ガイド、指定機関・専門家台帳、料金が公表されたら、今回のロードマップを正式様式と受付条件に合わせて更新してください。制度開始を待ってから証跡を作るのではなく、いまから運用記録を積み重ねることが、最短かつ最も確実な準備になります。

最後までお読みいただき、ありがとうございました。

参考記事・文献

IPA「SCS評価制度」トップページ（2026年8月28日更新）
https://www.ipa.go.jp/security/scs/index.html

IPA「制度規程・委員会」（2026年8月28日更新）
https://www.ipa.go.jp/security/scs/regulation-advisory-committeess.html

SCS-100 サプライチェーン強化に向けたセキュリティ対策評価制度基本規程（第1版）
https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-100.pdf

SCS-110 制度運営機関規則（第1版）
https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-110.pdf

SCS-111 運営審議委員会規則（第1版）
https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-111.pdf

SCS-112 指定委員会規則（第1版）
https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-112.pdf

SCS-210 評価機関指定規則（第1版）
https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-210.pdf

SCS-220 技術検証事業者指定規則（第1版）
https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-220.pdf

SCS-230 研修事業者指定規則（第1版）
https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-230.pdf