情シスの負担を減らす クラウド型IT資産管理ツールの導入効果と選び方
情シスの業務負担を減らし、効率的な資産管理を実現したいと考えている企業の皆様へ。クラウド型IT資産管...
ヤマトシステム開発株式会社
SCS評価制度は、企業のサイバーセキュリティ対策を評価する指標です。既存の制度であるSECURITY ACTIONの1つ星・2つ星と、SCS評価制度の3つ星・4つ星・5つ星の5つの評価レベルについて解説します。
2026年度末から2027年初頭運用開始予定のSCS評価制度の3つ星と4つ星のどちらの評価レベルを目指すべきか悩んでいる企業も多いでしょう。本記事では、評価基準の違いや、この2つの評価レベルの間にある3つの壁についてを解説します。
SCS評価制度の正式名称は、「サプライチェーン強化に向けたセキュリティ対策評価制度」です。経済産業省が主体となっています。2026年度末から2027年初頭運用開始に向けて準備が進められています。
企業ごとのサイバーセキュリティ対策の評価レベルを、国が定めた統一基準で「星の数5段階」として可視化・証明できる仕組みです。
近年、サイバー攻撃の手法は巧妙化しています。攻撃者は、比較的強固なセキュリティを持つ大企業を直接狙うのではなく、関連会社や取引先（サプライチェーン）を踏み台にして大企業へ侵入する「サプライチェーン攻撃」を多用するケースがあります。
これまで、企業のセキュリティ意識向上を目的として「SECURITY ACTION（1つ星・2つ星）」という制度が普及してきました。しかし、これはあくまで企業自身の「自己宣言」に留まります。サイバー攻撃が激化する中、取引先が実効性のある対策を行っているかを客観的に判断する基準としては、すでに不十分になってきています。そこで、国際標準に基づく統一基準を新たに設け、第三者機関や専門家の確認を行うことで、「対策しているつもり」を防ぎます。日本全体のサプライチェーンのセキュリティレベルを、書類上ではなく実態として確実に底上げすることが新制度の狙いです。
SCS評価制度を深く理解するために欠かせないのが、そのベースとなっている既存の制度「SECURITY ACTION」の存在です。
SECURITY ACTIONとは、IPA（情報処理推進機構）が運用している、中小企業が自ら情報セキュリティ対策に取り組む目標を定め、それを外部に向けて「自己宣言」する制度です。SECURITY ACTIONは1つ星と2つ星の、2つの段階が設けられています。以下で各星の概要を解説します。
以下の「情報セキュリティ5か条」に取り組むことを経営者が宣言します。
1つ星の「情報セキュリティ5か条」に加え、以下の2つを実施し宣言する必要があります。
1つ星と2つ星はあくまで自社でチェックリストに「はい」と答えて申請する「自己宣言」に過ぎません。SCS評価制度が求めているのは、「本当にそのセキュリティルールが守られているか」を第三者が客観的に評価することです。続いてSCS評価制度の3つ星・4つ星・5つ星について解説します。
SCS評価制度における評価レベルは、企業のサイバーセキュリティ対策の実施状況を示すために、星の数で表されます。SCS評価制度において、担当者が注意すべきなのがこの評価方法です。星の数が増えるごとに、評価を行う「主体（誰が審査するか）」が変わり、求められるエビデンス（証拠）は厳しくなります。
評価レベルの主な特徴は以下の通りです。
| 3つ星／★★★☆☆ | 4つ星／★★★★☆ | 5つ星／★★★★★ | |
|---|---|---|---|
| 要求事項数 | 26 | 43 | 検討中 |
| 要求事項数 | 81 | 153 | 検討中 |
| 評価方法 | 自己評価（専門家の助言プロセスあり） | 第三者評価 | 第三者評価 |
| 有効期間 | 1年（年次更新） | 3年（年次で自己評価が必要） | 検討中 |
SCS評価制度の星の評価基準は、企業のセキュリティ対策の成熟度を段階的に示し、自社の現状把握と目標設定に役立ちます。3つ星・4つ星の詳細な概要について解説します。
SCS評価制度の3つ星は、一般的なサイバー被害を防ぐうえで、企業が「最低限実装すべきセキュリティ水準」として位置づけられています。押さえておくべきポイントを2つ解説します。
3つ星で求められるのは、高度で高額なセキュリティツールの導入ではありません。サイバー衛生管理（サイバーハイジーン）と呼ばれる、IT環境の健康状態を保つための基礎的な対策が中心となります。
26の大項目、81の詳細基準が設定されており、以下のような内容が問われます。
1つ星・2つ星とSCS評価制度との大きな違いは評価方法です。自社でチェックリストを埋めるだけでなく、情報処理安全確保支援士などのセキュリティ専門家に「対策が本当に機能しているか」を確認してもらう必要があります。「パスワードはセキュリティルール通り変更しています」だけではなく、「パスワードの変更履歴」や「実際のアクセスログ」などといった客観的なエビデンス（証拠）を専門家に提示し、妥当性を助言してもらう必要があります。
SCS評価制度の4つ星は、万が一自社が被害に遭った際、重要な取引先やサプライチェーンに被害を拡大させないための、「標準的に目指すべきセキュリティ対策」です。もしサイバー攻撃を受けても、被害を最小限に食い止め、素早く復旧し、取引先に迷惑をかけない体制ができているかという、より踏み込んだ対策とガバナンスが求められます。押さえておくべきポイントを2つに解説します。
SCS評価制度の3つ星で求められる要求項目数26項目ですが、4つ星では43項目と約2倍になります。以下のような高度なITツールと組織的な運用体制がセットで求められます。
SCS評価制度の3つ星は「自社での評価を専門家に助言してもらう」という比較的柔軟な方式ですが、4つ星からは国が認定した第三者評価機関による実地監査などが入ります。
担当者へのヒアリングや、システム設定の直接確認、膨大なログデータの精査などが行われます。例えば、実際の管理画面のキャプチャ提示や、監査員の目の前でシステムにログインし、多要素認証（MFA）が機能している動きを直接実演（デモ）して証明します。
経営層や情報システム部門の責任者だけでなく、現場の運用担当者へのヒアリングが行われる場合もあります。例えば、ウイルス感染などが起きた時、誰にどう報告するか手順を説明してください。といった質問を通じ、セキュリティルールが現場の運用担当者の隅々まで浸透し、実作業として機能しているか、形骸化していないかが問われます。
SCS評価制度の5つ星は、「到達点として目指すべき対策」として高度な水準設定となる予定です。国の安全保障や国民生活の基盤を守るために必要とされる、国内最高水準のセキュリティレベルです。
想定されるターゲット企業は、防衛産業の中核企業（国家機密に関わる装備品の製造など）、インフラ事業者（電力、ガス、通信、金融、交通などの大規模事業者）、経済安全保障上極めて重要な最先端技術を扱う企業などで限定されています。
「セキュリティ対策をするなら、SCS評価制度の最高評価に近い4つ星の取得を最初から目指そう」と社内でそんな声が上がった場合は一度考える必要があります。どのような壁が存在するのか、大きく3つの視点で解説します。
SCS評価制度の3つ星で求められる対策（81項目）は、「パスワードの管理」や「退職時のアカウント即時削除」など、既存の社内セキュリティルールや運用を整えれば多くの企業がクリアできるものが含まれています。
しかし、SCS評価制度の4つ星（153項目）になると、「24時間365日のネットワーク監視（SOC/EDRなどのシステム導入）」や「侵入を前提とした高度な検知・復旧の仕組み」など、セキュリティシステムを導入しなければ対応できない項目が含まれています。「気をつける」「ルール化する」といったマンパワーだけでは越えられない壁があります。
SCS評価制度の3つ星の審査は、自社の担当者が行った評価を外部のセキュリティ専門家が、客観的なエビデンス（証拠）を専門家に提示し、妥当性を助言してもらう必要があります。
一方、SCS評価制度の4つ星からは国が認定した第三者評価機関による実地監査などが入ります。これはISO27001（ISMS）などの国際認証と同等レベルの厳格さです。実際のサーバの設定画面の提示や、過去半年のアクセスログと退職者リストの突き合わせなど、「セキュリティルールが1日の遅れもなく、完璧に実行されていることを証明する客観的なデータ（エビデンス）」を揃える必要があります。現場担当者への直接ヒアリングが実施される場合もあります。セキュリティルール類が単なる「書類上のセキュリティルール」として形骸化しておらず、現場の実務レベルまで浸透し、実効性のある手順として機能しているかが厳格に監査されます。
システムの新規導入と、第三者評価機関による厳格な審査をクリアするためにはリソースが必要です。システム改修費や、専任の運用担当者の確保（または外部委託費）、そして高額な外部審査費用が新たに発生します。システムによっては準備期間も半年〜1年以上になる場合があります。
SCS評価制度を活用するためには、まず制度の評価レベルや評価方式の理解が不可欠です。企業は自社の現状を正確に把握し、どの評価レベルを目指すかを明確に設定することが、効果的な対応策の策定につながります。SCS評価制度が始まってから、取引先に言われたタイミングで対応すればいいだろうという考えでは間に合わない場合があります。3つ星や4つ星の審査を通過するためには、ルールが定着し運用されている一定期間のログや記録などのエビデンス（証拠）が必要であり、審査の直前に慌てて取り繕っても間に合わないからです。
また、SCS評価制度開始直後は審査などを行う情報処理安全確保支援士などのセキュリティ専門家や、国が認定した第三者評価機関による実地監査などの機関への予約が殺到し、予約待ちになる可能性も考えられます。
まずは、自社のIT環境や現在のセキュリティルールと、3つ星や4つ星で求められる要求事項を照らし合わせます。何ができていて、何が不足しているのかを確認します。「日々の運用はおこなっているが手順書がない」、「セキュリティシステムを導入しているがログを残していない」など運用上の抜け漏れを確認します。
見つかった抜け漏れ部分を整備したら、できるだけ早くそのルールでの運用を開始し、エビデンス（証拠）を蓄積し始めます。例えば、24時間365日のネットワーク監視を導入した場合、「夜間や休日にサイバー攻撃を受けた際、被害を食い止める対応ができる体制が動いているか。それを現場担当者が理解して実施できているか」「実際に発生したアラートに対し、対応が行われたことを示すタイムスタンプ付きのログが残っているか」などが求められるため、現時点から準備する必要があります。
ここまで解説した通り、SCS評価制度の4つ星の要件をクリアし、国が認定した第三者評価機関による実地監査を通過することは容易ではありません。しかし、4つ星の要件にも含まれている「24時間365日体制でネットワークの異常を監視・検知する（SOC/EDRなどのシステム導入）」は、評価レベルの星の数に関わらず、万が一のインシデント被害を最小限に食い止めるために非常に重要な取り組みです。
実質的なサイバー防御力を高めるシステム投資の第一歩として、ヤマトシステム開発が提供している「システム運用監視サービス（24時間365日）」の24時間365日有人による監視システムの導入から検討してみてはいかがでしょうか。
運用設計から運用監視までトータルでサポートします。24時間365日以外でも、夜間・早朝のみ、特定の曜日のみなどお客さまのニーズに合わせた監視を実施し、早期障害復旧を支援します。サービスの説明やお見積りなどお気軽にご相談ください。
情シスの業務負担を減らし、効率的な資産管理を実現したいと考えている企業の皆様へ。クラウド型IT資産管...
2026年10月に施行予定の「サイバー対処能力強化法」は、企業のサイバーセキュリティ対策を見直す重要...
社内で使い続けているWindows Serverがいつサポート終了を迎えるのか分からず、何から確認し...
サイバー攻撃の手口は日々巧妙化しており、企業は脅威にさらされています。ひとたび被害にあえば、情報漏え...
サイバー攻撃の手口は日々巧妙化しており、企業は脅威にさらされています。ひとたび被害に遭えば、情報漏え...