SCS評価制度「★3」とは？要求事項・取得の流れと企業が今から取り組むべき対策を解説

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の「★3」は、業種や企業規模を問わず、サプライチェーンに参加するすべての企業が目指すべき基礎的なセキュリティレベルとして位置づけられています。

「★3を取得したいが、何から手を付ければよいかわからない」という担当者の方も多いのではないでしょうか。本記事では、★3の位置づけや要求事項の全体像、取得までの流れ、注意すべきポイント、そして今から取り組んでおきたい具体的な対策例について解説します。

1. SCS評価制度「★3」とは

SCS評価制度は、経済産業省が主導し、企業のセキュリティ対策状況を「星（★）」の数で可視化する制度です。★1・★2はIPAの既存制度「SECURITY ACTION」を活用し、★3以降が本制度独自の基準として新たに定義されています。

★3は「専門家確認付き自己評価」と呼ばれる仕組みです。取得希望組織が自ら対策状況を評価シートに記入したうえで、社内外のセキュリティ専門家（情報処理安全確保支援士、CISSP、CISM、CISA、公認情報セキュリティ監査人、ISO27001主任審査員のいずれかの資格保有者で、制度指定の研修を修了した者）による確認と署名を受ける点が特徴です。単なる自己申告ではなく、第三者の目によるチェックが組み込まれている点を理解しておく必要があります。

2. ★3の要求事項の全体像

公開されている情報によると、★3の要求事項は26項目程度（評価基準ベースではさらに細分化）で構成され、いくつかの分野に整理されています。代表的な分野は以下の通りです。

IT資産管理

PCやサーバー、ソフトウェア、SaaSなど、自社が保有・利用するIT資産を洗い出し、台帳として管理すること

ID・アクセス管理

利用者ごとのアカウントを適切に管理し、業務に必要な最小限の権限のみを付与すること

マルウェア対策・脆弱性対応

ウイルス対策ソフトの導入や、OS・ソフトウェアの脆弱性への計画的な対応

データ保護

重要なデータの所在や分類の把握、バックアップの実施

インシデント対応

サイバー攻撃などの異常を検知した際の対応手順や連絡体制の整備

組織体制・ガバナンス

セキュリティ責任者の設置や、社内規程の整備

いずれも高度な技術を求めるものではなく、「基本的な対策を実施し、記録に残し、継続的に運用する」ことが重視されている点が特徴です。要求事項の詳細や項目数は、今後の制度運用に伴って変更・詳細化される可能性があるため、最新情報は経済産業省・IPAの公式情報をご確認ください。

3. ★3取得までの流れ

★3取得の大まかな流れは以下の通りです。

自己評価

要求事項に沿って自社の対策状況を評価シートに記入する

専門家によるレビュー

社内外のセキュリティ専門家が、評価シートと根拠となる資料（社内規程、運用記録、設定画面のスクリーンショットなど）を確認し、必要に応じて助言する

経営層による適合宣誓

代表者などの経営層が、要求事項を満たしていることを宣誓・署名する

登録機関への提出

評価結果、専門家の署名、経営層の宣誓書、セキュリティポリシーなどをまとめて登録機関（事務局）に提出する

台帳への登録・公開

内容に問題がなければ台帳に登録され、★3取得企業として公表される

なお、★3の有効期間は1年とされており、翌年以降も年次点検を行い、基準の遵守状況を維持する必要があります。取得して終わりではなく、継続的な運用が前提となっている点に注意してください。

4. ★3取得にあたっての注意点

（1）専門家の確保

★3は「自己評価」といっても、社内外のセキュリティ専門家によるレビューが必須です。社内に該当する有資格者がいない場合は、外部への依頼が必要になります。レビューのみであれば数十万円程度、対策の実装支援まで含めると数十万円〜百数十万円程度が目安とされていますが、依頼先によって幅があるため、早めに複数の依頼先を比較検討しておくと安心です。

（2）「実施しているつもり」を避ける

社内規程を整備しているだけで満足してしまうケースが少なくありません。実際には、規程に沿った運用が行われているか、その証跡（ログ、記録、台帳など）が残っているかまで確認されます。書類上は整っていても実態が伴っていないと、専門家のレビュー段階で指摘を受け、対応に時間がかかる可能性があります。

（3）更新を見据えた運用体制づくり

有効期間が1年と短いため、取得時だけでなく、日常業務の中で継続的に対策を維持できる仕組みを作っておくことが重要です。担当者の異動や退職があっても対応が滞らないよう、マニュアル化しておくこともおすすめです。

5. 今から取り組んでおきたい対策の例

本格運用に向けて、以下のような取り組みから着手すると、★3の要求事項へスムーズに対応しやすくなります。

IT資産台帳の作成

PC・モバイル端末やソフトウェア、SaaSの一覧をExcel等で作成し、利用者や導入日を記録する

アカウントの棚卸し

年に一度は全アカウントを見直し、不要なアカウントを削除・無効化する

多要素認証（MFA）の導入

重要なシステムやクラウドサービスへのログインに多要素認証を設定する

インシデント対応手順の整備

異常を検知した際の報告フローや連絡先リストを、簡易なものでよいので文書化しておく

IPAの中小企業向けガイドラインの活用

社内規程のひな形として、IPA「中小企業の情報セキュリティ対策ガイドライン」を参考にする

完璧な体制を最初から目指す必要はありません。まずは自社の現状を可視化し、要求事項とのギャップを洗い出すところから始め、優先順位をつけて一つずつ対応していくことが、結果的に近道になります。

当社では、ISO・Pマークの認証取得・運用支援や脆弱性診断に加え、SCS評価制度★3の取得に向けた自己評価のサポートも行っております。何から始めればよいかわからない、専門家によるレビューを依頼したいといったお悩みがございましたら、ぜひ無料相談にお問合せください。

6. まとめ

SCS評価制度の★3は、業種・規模を問わずサプライチェーンに参加するすべての企業が目指すべき基礎的な水準であり、専門家によるレビューを経て取得する「専門家確認付き自己評価」という仕組みが特徴です。要求事項自体は高度なものではありませんが、実施・記録・継続運用が求められるため、早めに現状把握とギャップ分析を進めておくことが重要です。取引先から取得を求められてから慌てることのないよう、今のうちから計画的に準備を進めていきましょう。