【5分でわかる】SCS評価制度「★4」とは？★3との違いと取得に向けた準備

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の「★4」は、★1〜★5の5段階のうち、標準的に目指すべき水準として位置づけられているレベルです。★3が自己評価を中心とする仕組みであるのに対し、★4では評価機関による第三者評価が求められる点が大きな特徴です。

「取引先から★4の取得を求められそうだが、★3とは何が違うのか」「第三者評価にはどのくらいの準備が必要なのか」といった疑問をお持ちの担当者の方も多いのではないでしょうか。本記事では、★4の位置づけや要求事項の全体像、取得までの流れ、注意すべきポイント、そして今から取り組んでおきたい具体的な対策例について解説します。

1. SCS評価制度「★4」とは

★4は、★3の要求内容をすべて包括したうえで、より高度な対策と組織的な体制整備を求めるレベルです。最大の違いは評価の方法にあり、★3が「専門家確認付き自己評価」であるのに対し、★4は認定された評価機関による「第三者評価」が必須となります。評価機関は書類審査に加え、実地審査（ヒアリング）や技術検証（脆弱性検査など）を実施し、要求事項への適合状況を客観的に確認します。

取得希望組織は、まず自社で評価基準に基づく自己評価を行い、その結果を根拠資料とともに評価機関へ提出したうえで、審査を受けるという流れになります。

2. ★4の要求事項の全体像と★3との違い

公開されている情報によると、★3の要求事項が26項目（評価基準81項目）であるのに対し、★4では43項目（評価基準153項目）に拡大するとされています。要求事項はNIST CSF（サイバーセキュリティフレームワーク）をベースに、日本の商習慣に合わせた「取引先管理」の観点を加えた領域で構成されています。

★3が主に基礎的な組織的対策とシステム防御策（情報資産管理、多要素認証、パッチ管理、ウイルス対策など）を対象とするのに対し、★4ではこれらに加えて、以下のような領域まで踏み込んだ対応が求められます。

組織ガバナンス

経営層を巻き込んだセキュリティ管理体制の構築、リスクアセスメントの定期実施

取引先（委託先）管理

自社が委託元となる場合の委託先セキュリティ状況の確認・管理

検知

ログの継続的な監視や、不審な挙動を検知する仕組みの整備

インシデント対応

発生時の対応手順に加え、事後の復旧・再発防止までを含めた体制

技術的対策の高度化

EDR（Endpoint Detection and Response）の導入や、より高度な脆弱性管理

簡単に言えば、★3が「最低限の防御を固める」段階であるのに対し、★4は「防御だけでなく、検知・対応・組織運営まで整える」段階と捉えると分かりやすいでしょう。

3. ★4取得までの流れ

★4取得の大まかな流れは以下の通りです。

自己評価

★4の要求事項・評価基準に基づき、自社の対応状況を自己評価シートに記入する

評価機関への申請

自己評価シート、セキュリティポリシーや関連規程、組織図、責任者の任命書などの根拠資料一式を評価機関に提出する

書類審査

評価機関が提出書類をもとに、要求事項への適合状況を確認する

実地審査（ヒアリング）

評価機関の担当者が、運用の実態について組織にヒアリングを行う

技術検証

脆弱性検査など、技術的な対策が実際に機能しているかを検証する

登録・公表

審査に問題がなければ台帳に登録され、★4取得企業として公表される

なお、★4の有効期間は3年ですが、期間中も毎年自己評価を行い、対策の継続実施状況を評価機関または事務局へ報告する必要があります。3年経過後は、改めて第三者評価を受けることになります。

4. ★4取得にあたっての注意点

（1）評価機関の選定と費用の見込み

★4では第三者評価が必須となるため、早い段階で評価機関を選定し、審査スケジュールを確保しておくことが重要です。書類審査・実地審査・技術検証を含む一連のプロセスには相応の費用と期間がかかることが見込まれるため、事前に複数の評価機関から見積もりを取り、予算やスケジュールを確保しておくと安心です。

（2）「規程はあるが運用記録がない」状態を避ける

よくあるつまずきとして、セキュリティポリシーや規程は整備されているものの、教育の実施記録や点検記録といった運用の証跡が残っていないケースが挙げられます。規程と実態に乖離があると、実地審査の段階で指摘を受ける可能性が高くなります。日頃から「誰が・いつ・何をしたか」を記録に残しておく習慣が重要です。

（3）ISMS取得済み企業も油断は禁物

ISMSは「ルールが定められているか」を重視する傾向がある一方、SCS評価制度は「対策が実際に運用されているか」をより重視します。すでにISMS認証を取得している企業であっても、技術的な対策の実装状況をSCS評価制度の要求事項と照らし合わせ、抜け漏れがないか改めて確認しておくことをおすすめします。

（4）委託先管理への対応

自社が発注元（委託元）の立場にある場合、自社だけでなく委託先・協力会社のセキュリティ状況も確認・管理する体制が求められます。委託先との契約内容や確認方法についても、早めに検討しておく必要があります。

5. 今から取り組んでおきたい対策の例

★4は要求事項の範囲が広いため、まずは自社の現状とのギャップを把握し、優先度をつけて対応することが近道です。次のような取り組みから着手するとよいでしょう。

経営層を交えたリスクアセスメントの実施

年に一度程度、経営層も参加してセキュリティリスクを洗い出す機会を設ける

ログ監視・検知の仕組みづくり

重要なシステムのログを一定期間保管し、異常を検知できる体制を整える

EDR等の高度な技術対策の検討

従来のウイルス対策ソフトに加え、EDRの導入を検討する

委託先管理台帳の整備

委託先ごとのセキュリティ対応状況を一覧化し、定期的に確認する仕組みを作る

運用記録の習慣化

教育実施記録や点検記録など、規程に基づく運用の証跡を残す仕組みを整える

★3をすでに取得している場合は、その体制を土台として拡張していくことができるため、まず★3から段階的に取り組むという進め方も現実的な選択肢です。

当社では、ISO・Pマークの認証取得・運用支援や脆弱性診断に加え、SCS評価制度★3・★4取得に向けたギャップ分析や対策実装のサポートも行っております。評価機関とのやり取りに不安がある、何から着手すべきか整理したいといったお悩みがございましたら、ぜひ無料相談にお問合せください。

6. まとめ

SCS評価制度の★4は、★3の内容を包括したうえで、評価機関による第三者評価を経て取得する、標準的に目指すべきセキュリティレベルです。組織ガバナンスや取引先管理、検知・対応まで幅広い対応が求められるため、規程の整備だけでなく、日々の運用実態と証跡を積み重ねておくことが欠かせません。制度の本格運用が始まる前の今のうちから、自社の現状把握とギャップ分析を進め、計画的に準備を整えていきましょう。