経産省 SCS対策制度★3、一部読みが招く落とし穴——81評価基準を取りこぼす理由
SCS★3の26要求事項を、IT専門でない管理担当者向けに「何をすればいいか」「何を残せばいいか」だけに絞って整理。番号の読み方と、文書だけで済む項目・設定変更が要る項目・製品導入が要る項目の違いを図で示します。
こんにちは。残暑の中に少しずつ秋の気配が混じってきて、来年の段取りを考え始める頃ですね。
先に結論を書きます。SCS★3の対応で落とし穴になるのは、26個の「やること」の見出しだけを読んで、対応した気になってしまうことです。見出し1つの下には最大8個のチェック項目が隠れていて、判定は原則として全部を満たしているかで決まります。1個でも残せば取得できません。
SCS★3は、国（IPA）が定めた中小企業向けのセキュリティ評価制度で、26個の要求事項と、それを細かく分けた81個の評価基準でできています。この記事では、IT が専門でない管理担当の方に向けて、専門用語をできるだけ使わずに「何をすればいいか」「何を残せばいいか」だけに絞って整理しました。細かい原文は自社チェックツールで項目ごとに読めます。なお、ここに書くのはIPA・経済産業省の公式解説ではなく、IPA公式Excel（2026年4月21日公開）をもとにしたMETA-MARK独自の整理です。公式の解説書は2026年10月頃に公開予定なので、出たら差分を確かめてください。
目次
- SCS★3とは何か（30秒版）
- 番号の読み方：4-4-1 は「何番目の何」なのか
- 対応は3つのルートに分かれる
- 26項目の一覧：番号・意味・ルート・残すもの
- 何から始めるか：3ステップ
- 参考リンク
- この記事を書いた人
SCS★3とは何か（30秒版）
正式には「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」といい、中小企業のセキュリティ対策のレベルを★の数で示す制度です。★3は「専門家の確認付きの自己評価」で、有効期間は1年。運用開始は2027年3月頃の予定です（IPA FAQ・2026年9月時点）。
求められるのは、26個の要求事項（＝やること）と、それを細かく分けた81個の評価基準（＝チェック項目）です。判定は「全部の評価基準を満たしているか」で決まり、部分点はありません。ここが、テストの点数のような感覚で臨むと足をすくわれるところです。
番号の読み方：4-4-1 は「何番目の何」なのか
制度の文書には「4-4-1」「1-2-1-3」のような番号がたくさん出てきます。最初は面食らいますが、仕組みは住所と同じで、数字が増えるほど細かい単位を指しています。
- 最初の数字＝大きな分類（1〜7）。「4」なら「攻撃を防ぐ」グループ
- 3つの数字（例 4-4-1）＝要求事項。「やること」の単位で、全部で26個
- 4つの数字（例 4-4-1-3）＝評価基準。要求事項をさらに分けたチェック項目で、全部で81個
ですから「4-4-1」だけを見て対応しても、その下にある「4-4-1-1」「4-4-1-2」「4-4-1-3」の3つを全部満たしたかどうかは分かりません。たとえば4-1-2（管理者権限のIDの管理）には8個のチェック項目があり、「管理者を決めました」だけでは1個しか埋まらないのです。
要求事項の下に複数のチェック項目がぶら下がっている。この構造こそが、取りこぼしの正体です。
見出し（要求事項）1つの下に、チェック項目（評価基準）が最大8個ぶら下がる
対応は3つのルートに分かれる
26個の要求事項は、何をすれば満たせるかで3つに分けられます。この分け方は私たちMETA-MARKの整理で、IPAの公式分類ではない点だけ先にお断りしておきます。
| ルート | 件数 | 何をするか | 例 |
|---|---|---|---|
| 文書と運用 | 16 | ルールや一覧表を作り、実施した記録を残す | 責任者を決める、守秘義務のルール、バックアップ以外の多くの項目 |
| 既存の設定変更 | 7 | 今あるパソコン・サービスの設定を見直す | ログインの本人確認、パソコンのロック、アップデート |
| 製品・サービスの導入 | 3 | 専用の製品を入れて運用する | バックアップ、ウイルス対策、不審な通信の監視 |
こうして並べると、いきなり製品を買う前に文書と設定から確認したほうがよい理由が見えてきます。製品が必要なのは26個のうち3個だけで、しかも「入れただけ」では足りず、運用の記録まで求められます。
26個のうち製品が要るのは3個だけ。着手は文書 → 設定 → 製品の順
26項目の一覧：番号・意味・ルート・残すもの
番号を押すと、自社チェックツールの該当項目に飛びます。そこで原文と「具体的にやること」を確認できます。
| 大分類 | 番号（押すとツールへ） | 一言でいうと | ルート | 残すもの |
|---|---|---|---|---|
| 1 会社の体制 | 1-2-1 | 誰がセキュリティの責任者かを決める | 文書と運用 | 体制図、連絡先、年1回の見直し記録 |
| 1 会社の体制 | 1-2-3 | 守秘義務のルールを作って説明する | 文書と運用 | 規程、入社時に説明した記録 |
| 1 会社の体制 | 1-3-1 | 会社としてのセキュリティ方針を文書にする | 文書と運用 | 承認済みの方針、社内に知らせた記録 |
| 2 取引先 | 2-1-1 | 取引先とつながっているシステムを一覧にする | 文書と運用 | 接続の一覧、年1回の見直し記録 |
| 2 取引先 | 2-1-2 | 機密情報を渡す相手と取り決めを交わす | 文書と運用 | 秘密保持契約や覚書 |
| 2 取引先 | 2-1-4 | 事故が起きた時の取引先との役割分担を決める | 文書と運用 | 契約の条項や合意書 |
| 3 持ち物の把握 | 3-1-1 | パソコン・サーバー・ソフトの一覧を作る | 文書と運用 | 資産台帳、管理ルール、年1回の点検記録 |
| 3 持ち物の把握 | 3-1-2 | 社内ネットワークの構成を把握する | 文書と運用 | 構成図、機器の一覧 |
| 3 持ち物の把握 | 3-1-3 | クラウドなど外部サービスの利用ルールを決める | 文書と運用 | 利用前の確認記録、サービス一覧 |
| 3 持ち物の把握 | 3-1-4 | 機密情報を区分して管理する | 文書と運用 | 区分のルール、重要情報の台帳 |
| 4 攻撃を防ぐ | 4-1-1 | 社員のIDの発行・削除ルール | 設定変更 | 申請・承認の記録 |
| 4 攻撃を防ぐ | 4-1-2 | 管理者権限のIDの管理 | 設定変更 | 管理者の一覧 |
| 4 攻撃を防ぐ | 4-1-3 | ログイン時の本人確認（多要素認証など） | 設定変更 | 設定画面、対象サービスの一覧 |
| 4 攻撃を防ぐ | 4-1-4 | パソコンのロック設定 | 設定変更 | 設定済み端末の一覧 |
| 4 攻撃を防ぐ | 4-1-5 | パスワードの決め方ルール | 文書と運用 | ルール、社内に知らせた記録 |
| 4 攻撃を防ぐ | 4-1-6 | パスワードの保管ルール | 文書と運用 | 保管ルール、漏えい時の手順 |
| 4 攻撃を防ぐ | 4-1-7 | 誰がどこにアクセスできるかの管理 | 文書と運用 | 権限の台帳、棚卸の記録 |
| 4 攻撃を防ぐ | 4-2-2 | 事故対応の教育・訓練 | 文書と運用 | 教育資料、受講者と日付の記録 |
| 4 攻撃を防ぐ | 4-3-4 | バックアップ | 製品導入 | 計画、実行記録、復元手順 |
| 4 攻撃を防ぐ | 4-4-1 | パソコン・サーバーの安全な設定 | 設定変更 | 許可ソフトの一覧、設定変更の記録 |
| 4 攻撃を防ぐ | 4-4-4 | アップデート（パッチ）の適用 | 設定変更 | 自動更新の設定、適用日の記録 |
| 4 攻撃を防ぐ | 4-4-5 | ウイルス対策 | 製品導入 | 管理画面、スキャンと更新の記録 |
| 4 攻撃を防ぐ | 4-5-1 | ルーター・ファイアウォールの防御 | 設定変更 | 機器の一覧、通信ルール |
| 5 攻撃に気づく | 5-1-1 | 不審な通信の監視 | 製品導入 | 検知の設定、確認した記録 |
| 6 事故への対応 | 6-1-1 | 事故が起きた時の対応手順 | 文書と運用 | 手順書、連絡先、点検記録 |
| 7 事故からの復旧 | 7-1-1 | 業務を復旧するための準備 | 文書と運用 | 重要システムの一覧、復旧の目標 |
表を見ると「4 攻撃を防ぐ」に13個が集中していますが、件数の少ない5〜7を後回しにしてよいわけではありません。全部の評価基準が対象なので、1個しかない分類でも未対応なら結果に響きます。
何から始めるか：3ステップ
全部を一度に片づけようとすると手が止まりがちなので、私は次の順番をおすすめします。
- 一覧表の「一言でいうと」を上から読み、自社で「できている／一部／できていない／分からない」を仮に付ける。 正確さより、まず全体を一巡することが大事です。
- 番号を押してツールの項目を開き、下にあるチェック項目を1つずつ見る。 ここで「見出しは対応済みのつもりだったが、チェック項目が残っていた」が見つかります。
- 残った項目を3ルートに分け、文書 → 設定 → 製品の順で着手する。 製品の検討は最後で構いません。
自社チェックツールは、この3ステップをそのまま画面にしたものです。入力内容はお使いのパソコンの中だけに保存され、外部には送られません。IPAの公式ツールではなく、公式Excelをもとにした非公式の確認用ツールです。
ルールを作ったあとにも、もう一つ落とし穴があります。続編の「経産省 SCS対策制度★3、「対応済み」なのに証拠が無い——期限付き評価基準27件の落とし穴」では、作った後に残りやすい「記録が続いていない」項目を扱っています。
参考リンク
本記事の件数・分類・原文はこの2点から機械的に取り込んでいます。3つのルートと「一言でいうと」「残すもの」はMETA-MARKの解釈です。
この記事を書いた人
HW系エンジニアとして20年以上、10,000件を超える顧客訪問と2,000件を超える単独ソリューション実績。AIツールを使った個人開発やIoT農園など、Raspberry Piを使ったオートメーション化なども実践中です！エンジニア専門結婚相談所も運営中、ClaudeCodeで解決できない心の課題も解決いたします！