|
SCS評価制度の★3と★4は、要求事項の数だけでなく、評価方法や審査内容、取得後の維持手続きが異なります。 ★3は26件の要求事項を対象とする「専門家確認付き自己評価」、★4は43件の要求事項を対象とする「第三者評価」です。★4では、文書確認に加えて実地審査や技術検証も行われます。 ★3を取得してからでなければ★4を取得できない制度ではありません。取引先から求められる段階や、自社の事業・リスク、対応体制を踏まえて選ぶ必要があります。 |
取引先からSCS評価制度への対応を求められたとき、「★3と★4のどちらを目指せばよいのか」で迷う企業もあるでしょう。
判断するには、要求事項の数だけでなく、次の違いを理解しておく必要があります。
- どのようなセキュリティ対策が求められるのか
- 誰が評価するのか
- 実地審査や技術検証があるのか
- 取得後にどのような維持手続きが必要なのか
この記事では、SCS評価制度の★3と★4の違いを比較し、自社がどちらを目指すべきか判断するためのポイントを整理します。
SCS評価制度そのものの仕組みや対象企業については、関連記事「SCS評価制度とは？経産省が進めるサプライチェーンセキュリティ評価と企業が今すぐ始めるべき対策」をご覧ください。
※本記事は2026年9月時点で公表されている情報に基づいています。SCS評価制度は2027年3月頃の運用開始に向けて詳細化が進められており、制度内容は今後更新される可能性があります。
SCS評価制度の★3と★4の違い
まず、★3と★4の主な違いを一覧で確認します。
| 項目 | ★3 | ★4 |
|---|---|---|
| 要求事項数 | 26件 | 43件 |
| 評価スキーム | 専門家確認付き自己評価 | 第三者評価 |
| 文書確認 | セキュリティ専門家による書類確認 | 評価機関による文書確認 |
| 実地審査 | なし | あり |
| 技術検証 | なし | あり |
| 有効期間 | 1年 | 3年 |
最も大きな違いは、要求事項数よりも評価の受け方です。
★3は、自社で要求事項への対応状況を評価し、登録されたセキュリティ専門家の確認を受けて事務局へ提出する方式です。
一方、★4は評価機関による第三者評価となり、文書確認に加えて実地審査や技術検証も行われます。
★3と★4では求められる対策がどう違うのか
★3では、すべてのサプライチェーン企業が最低限実装すべき、基礎的な組織対策やシステム防御策が中心です。
★4ではその内容を含んだうえで、ガバナンス、取引先管理、検知、インシデント対応など、より包括的な対策が求められます。
| 大分類 | ★3の中心 | ★4で強化される主な観点 |
|---|---|---|
| ガバナンス | 基本的なリスク管理体制 | 経営層への定期報告、不備の是正など継続的な改善 |
| 取引先管理 | 取引先に求める基本的なルールの明確化 | 重要な取引先の把握、対策状況や役割・責任の確認 |
| リスクの特定 | IT基盤や資産の把握 | 脆弱性情報を継続的に把握・反映する管理プロセス |
| 防御 | 不正アクセスや端末・サーバーへの基礎的な対策 | 暗号化、ログ分析、ネットワーク分離、不正通信対策などの多層防御 |
| 検知 | 基礎的な監視 | 機器の状態・挙動の監視、迅速な異常検知・分析 |
| 復旧 | 復旧に必要な基本対策 | 復旧ポイントや復旧時間を踏まえた手順の整備 |
★4では、単に対策項目が増えるだけではありません。
「対策を導入している」状態から、「継続して運用・確認・改善できる」状態へ引き上げることが求められる点が大きな違いです。
★3は専門家確認付き自己評価
★3では、取得を希望する組織自身が要求事項・評価基準への対応状況を自己評価し、その内容をセキュリティ専門家が確認します。
基本的な流れは次のとおりです。
- 取得希望組織が★3の要求事項・評価基準に沿って自己評価する
- セキュリティ専門家が評価内容を確認し、必要に応じて助言する
- 経営層による自己適合宣誓を含め、評価結果を事務局へ提出する
- 事務局が申請内容を確認し、問題がなければ台帳へ登録する
専門家に確認してもらえば終了するわけではなく、経営層による自己適合宣誓と事務局への提出までが一連の手続きです。
★3の確認を行うセキュリティ専門家には要件がある
★3で確認・署名するセキュリティ専門家には、資格や制度研修などの要件が設けられています。
対象資格として、次の資格が示されています。
- 情報処理安全確保支援士
- 公認情報セキュリティ監査人
- CISSP
- CISA
- CISM
- ISO27001主任審査員
対象資格を持っているだけでなく、制度が定める研修を受講し、SCS評価制度の事務局へ登録する必要があります。
そのため、社外の専門家へ依頼する企業では、専門家の確保を待ってから準備を始めるのではなく、IT資産の整理、要求事項とのギャップ確認、証跡の整理を先に進めておくことが重要です。
★4は第三者評価・実地審査・技術検証
★4では、取得希望組織の自己評価をもとに、指定された評価機関が第三者の立場から評価します。
主な流れは次のとおりです。
- 取得希望組織が★4の要求事項・評価基準に沿って自己評価する
- 評価機関へ検証・評価を依頼する
- 評価機関が文書確認、実地審査、技術検証などを行う
- 評価機関から評価報告書を受領する
- 取得希望組織が事務局へ登録を申請する
- 事務局が申請内容を確認し、問題がなければ台帳へ登録する
★3との大きな違いは、自社の説明や文書だけではなく、実際の運用状況や対象機器まで第三者の確認対象になることです。
実地審査では運用状況も確認される
★4の実地審査では、取得希望組織へのヒアリングや規程、操作画面などを通じて、対策の実施状況が確認されます。
確認対象として想定されている例には、次のようなものがあります。
- 脆弱性の管理体制・管理プロセス
- セキュリティインシデントへの対応手順
- 事業継続要件に沿った復旧準備
規程や手順書を作成するだけでなく、実際に運用し、その記録や証跡を残していることが重要になります。
技術検証ではインターネット公開機器も対象になる
★4の特徴の一つが技術検証です。
インターネットに公開している機器のうち、脆弱性を悪用された場合に組織内部へ侵入されるリスクが高い機器を対象に、既知の脆弱性を悪用するなど、一般的な攻撃パターンを試行する脆弱性検査が行われます。
対象機器の例として、VPN装置やルータなどが示されています。
そのため★4を目指す場合は、次の状態を事前に確認しておきましょう。
- インターネット公開機器を一覧化できているか
- 各機器の管理者が決まっているか
- ファームウェアや脆弱性への対応状況を確認できるか
- 保守事業者との契約範囲を把握しているか
- 過去に実施した脆弱性検査の結果を保管しているか
なお、この技術検証はSCS評価制度に基づいて評価機関等が実施するものであり、SecurityScorecardなど民間の外部評価サービスによるスコアリングとは異なります。
SecurityScorecardの評価方法については、関連記事「SecurityScorecardとは？10の評価項目とスコア算出・反映の仕組みを解説」をご覧ください。
★3と★4では有効期間と維持手続きも異なる
取得後の維持手続きにも違いがあります。
| 段階 | 有効期間 | 主な維持手続き |
|---|---|---|
| ★3 | 1年 | 年次で自己評価を更新し、セキュリティ専門家の確認・助言を経て事務局へ提出 |
| ★4 | 3年 | 年次で自己評価を実施し評価機関へ提出。更新時は第三者評価を受ける想定 |
★4は有効期間が3年ですが、3年間何もしなくてよいわけではありません。
また、適用範囲や要求事項への対応状況に大きな影響を与える変更があった場合には、改めて確認・評価が必要になることがあります。
例えば、次のような変更です。
- セキュリティ関連の規程・手順を大幅に変更した
- サーバーや端末を大規模にリプレイスした
- クラウド基盤へ大規模に移行した
- ネットワーク構成を大幅に変更した
クラウド移行や大規模なインフラ更改を予定している場合は、★の取得時期とシステム変更の時期もあわせて検討する必要があります。
★3を取得せずに★4を目指すことはできる？
★3を事前に取得せず、★4を直接目指すことも可能です。
★4は★3で求められる要求事項を包含する構成となっており、★3の取得が★4申請の前提条件になっているわけではありません。
ただし、★4を直接目指せるからといって、すべての企業が最初から★4を目指すべきとは限りません。
セキュリティ対策の整備が十分でない企業では、まず★3相当の要求事項に沿って、IT資産管理、アカウント管理、脆弱性管理、インシデント対応などの基盤を整え、その後★4へ進む方が取り組みやすい場合があります。
自社は★3と★4のどちらを目指すべきか
判断する際は、次の4つの観点を確認しましょう。
1．取引先から求められている段階
最初に確認するのは、取引先がどの段階を求めているかです。
特定の★が取引条件として提示されているのであれば、その段階を前提に対応を検討します。
ただし、「対応状況を回答してほしい」のか、「制度開始後に取得してほしい」のかでは必要な対応が異なります。
取引先から依頼を受けた際の確認手順については、関連記事「取引先からSCS対応を求められたら？中小企業が最初に取り組むべき5つのステップ」で解説しています。
2．サプライチェーンにおける自社の位置づけ
★4が必要になるかを判断するうえでは、自社でインシデントや事業停止が発生した場合に、発注者へどの程度影響するかが重要です。
例えば、次のような場合は、より高い対策水準を求められる可能性があります。
- 自社の事業停止により、発注者の重要な業務や製品供給が停止する可能性がある
- 発注者の重要な機密情報を取り扱っている
- 発注者のシステムやネットワークへアクセスできる
- 重要な業務を再委託先へ委託している
3．インターネット公開機器の管理状況
★4では技術検証が想定されるため、公開機器の管理状況も重要な判断材料です。
公開機器の一覧、管理者、更新状況、保守契約、脆弱性検査結果などを確認できない場合は、★4申請以前に資産管理の整備から着手する必要があります。
4．社内で確保できるリソース
★3でも、要求事項に沿った自己評価や証跡の整理が必要です。
★4ではさらに、第三者評価、実地審査、技術検証への対応が加わります。
情シス担当者が兼任である場合や、複数の外部事業者へシステム管理を委託している場合は、社内で対応する範囲と外部へ支援を依頼する範囲を整理しておきましょう。
どちらを目指す場合でも今から準備できること
★3と★4では要求水準や評価方法が異なりますが、準備の土台には共通する部分があります。
| 準備項目 | 確認すること |
|---|---|
| IT資産の棚卸し | サーバー、クラウド、ネットワーク機器、SaaS、Webサイトを管理者・用途とともに一覧化 |
| 適用範囲の整理 | 対象となる業務、拠点、システム、ネットワークなどを整理 |
| 公開機器の把握 | インターネットに公開している機器と管理・更新状況を確認 |
| 証跡の管理 | 実施日、担当者、確認結果をどこへ保存するか決める |
| 外部事業者との役割整理 | 契約範囲、脆弱性対応、緊急時の依頼方法を確認 |
特に証跡は、必要になってから過去にさかのぼって集めることが難しい情報です。
「対策はしているが、実施したことを確認できない」という状態にならないよう、日頃の運用から記録を残しておきましょう。
よくある質問（FAQ）
Q. ★3と★4で要求事項はどのくらい違いますか？
公表されている要求事項は★3が26件、★4が43件です。ただし、件数以上に、★3が専門家確認付き自己評価、★4が第三者評価であり、実地審査や技術検証が加わる点が大きな違いです。
Q. ★3を取得せずに★4を申請できますか？
はい。★4は★3で求められる要求事項を包含する構成ですが、★3の事前取得が★4申請の前提になっているわけではありません。
Q. ★4の技術検証では何を確認されますか？
インターネットに公開している機器のうち、脆弱性を悪用された場合に組織内部へ侵入されるリスクが高い機器を対象に、既知の脆弱性などを確認する検証が想定されています。VPN装置やルータなどが例として示されています。
Q. ★4は3年間何もしなくてよいのですか？
いいえ。★4の有効期間は3年ですが、制度構築方針では、有効期間中も1年ごとに自己評価を実施し、その結果を評価機関へ提出することが想定されています。
Q. ISMSを取得していれば★3・★4も取得したことになりますか？
いいえ。ISMS認証を取得していることだけで、SCS評価制度の★3・★4に適合したとみなされる仕組みではありません。★を取得するには、それぞれの要求事項・評価基準への対応が必要です。
🔶★3・★4の準備に向けたIT環境の整理・改善をご支援します
SCS評価制度への対応では、IT資産や公開機器、クラウド環境の管理状況を整理し、
要求事項に対して不足している対策を確認する必要があります。
フューチャースピリッツでは、Webサイト、サーバー、クラウド環境の現状整理から、
脆弱性対応、設定変更、監視・バックアップ、インフラ移行までをご支援しています。
まとめ
SCS評価制度の★3と★4を分けるのは、単に要求事項の数ではありません。評価の受け方（自己評価か第三者評価か）や、取得後にどう維持していくかまで、対応の中身が変わってきます。
- ★3：26件の要求事項を対象とする専門家確認付き自己評価。有効期間は1年
- ★4：43件の要求事項を対象とする第三者評価。実地審査・技術検証があり、有効期間は3年
★3を取得せずに★4を直接目指すこともできます。ただし、自社の対策状況によっては、★3相当の基礎的な対策を整えてから★4へ進む方が取り組みやすい場合があります。
どちらを目指すかは、取引先から求められている段階、サプライチェーンにおける自社の位置づけ、公開機器の管理状況、社内で確保できるリソースを踏まえて判断しましょう。
