ブログ
SCS評価制度★3の自己評価ガイド公開｜更新は14日以内が原則
2026年10月28日、IPA（情報処理推進機構）は「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」の評価用ガイドと解説書を公開しました。★3を目指す会社が使う 「★3・★4 自己評価等ガイド」（SCS-410） と、記入用の アセスメントシート も含まれます。あわせて要求事項・評価基準が Ver.1.1 に改訂され、「更新プログラムを14日以内に当てる」項目の扱いが整理されました。
この記事の要点
- ★3は要求事項26件・有効期間1年。自社で自己評価し、★3確認責任者の確認を受けたうえで経営層が適合を宣言します
- 制度は、発注する側の取引先が契約の中で、受注する側に求める★の段階を示す仕組みです。IPAのページでは、登録の受付は 2027年3月の開始に向けて 準備中とされています
- Ver.1.1では、重大な脆弱性の更新は原則14日以内のまま、間に合わない場合は「対応計画＋回避策」で危険を下げる運用が明記されました
結論：取引先に聞かれる前に、機器の一覧と「更新の記録」をそろえる
ガイドでは、自己評価の確認方法として「IT資産管理台帳」や「アップデートの適用記録」を見ることが繰り返し示されています。★3の確認は、原則として アセスメントシートに書かれた内容で判断 する仕組みで、書いた内容が事実かどうかは申請する会社の責任です。まずは社内の機器と更新状況を、書類で説明できる状態にしておくのが近道です。
背景：公開された文書と★3・★4の違い
| 文書番号 | 文書名 | 版 |
|---|---|---|
| SCS-400 | ★3・★4 要求事項・評価基準 | Ver.1.1（10月28日改訂） |
| SCS-410 | ★3・★4 自己評価等ガイド（別紙アセスメントシート付き） | v1.0（新規） |
| SCS-420／430 | ★4 第三者評価ガイド／★4 技術検証ガイド | v1.0（新規） |
| SCS-620 | ★3・★4 要求事項・評価基準 解説書 | v1.0（新規） |
| 段階 | 要求事項 | 有効期間 | 評価の方法 |
|---|---|---|---|
| ★3 | 26件 | 1年 | 専門家確認付き自己評価 |
| ★4 | 43件 | 3年 | 第三者評価（技術検証を含む） |
「★3・★4 登録申請の手引」は別途公開予定とされています。
現場で確認する点
1. 「14日以内の更新」の対象になる機器を確かめる
★3の評価基準4-4-4-2が対象にしているのは、会社支給のパソコンのOS・ブラウザ・Office、サーバーのOSとミドルウェア、会社支給のスマートフォン等のOSとアプリ、インターネットとの境界にあるネットワーク機器（ルーター・UTMなど）のOSとファームウェア です。ベンダーが「重大」「高リスク」とする脆弱性や、CVSS基本値7.0以上の脆弱性を直す更新が該当します。
2. 間に合わないときの手当てを決めておく
14日以内に更新できない場合は、対応計画を作ったうえで、すでに攻撃が観測されている脆弱性 なら機能の無効化・メーカーの回避策・ネットワークからの切り離し・監視の強化のいずれかを行います。攻撃が観測されていないものは、対応計画を完了まで管理・記録します。
3. サポート切れの機器を洗い出す
★3では、機器・OS・ソフトウェアが サポートされていること も求められます。サポートが終わったものは、削除するか、インターネットとの通信をすべて遮断するのが原則です。古いルーターやWindowsのパソコンが残っていないか、型番と版数で確認しましょう。
ひとこと：解説書は、脆弱性情報の集め方として、IPA「重要なセキュリティ情報」やJPCERT/CC「注意喚起」、JVN iPediaなどを例に挙げています。保守を外部に任せている場合は、月次報告などで更新の結果を確かめる方法も示されています。
沼津市・三島市など静岡県東部の事業者さまも、取引先から求められたときに慌てないよう、まずは機器の一覧づくりから始めてみてください。
関連ページ：UTM・ネットワークセキュリティ／中小企業のセキュリティ対策を無償で伴走支援｜IPA実証が10月開始
GT.engineerの対応範囲
★3の自己評価の土台になる、機器の把握と更新の仕組みづくりをお手伝いします。他社が設置したルーターやUTMの確認もご相談ください。
- パソコン・サーバー・ルーター・UTMの一覧づくり（型番・版数・サポート期限）
- 境界のネットワーク機器のファームウェア更新と、更新記録の残し方の整備
- サポート切れ機器の入れ替えの相談
※制度への登録申請や★3確認責任者としての確認は、対応範囲に含みません。
お問い合わせ
「取引先からSCS評価制度のことを聞かれた」「社内に何台機器があるか分からない」という段階からご相談いただけます。
ご相談の際は、型番が分かる本体ラベルの写真、管理画面のバージョン表示、パソコン・ルーター等の台数をお送りいただくと、更新の対象かどうかをすぐに確認できます。
有限会社GT.engineer（静岡県三島市長伏52-3）の訪問対応エリアは、沼津市・三島市・清水町・長泉町・伊豆全体・神奈川県西部です。
出典：IPA「SCS評価制度 ★3・★4 要求事項・評価基準」（評価用ガイド・解説書・変更箇所）／IPA「SCS評価制度の詳細情報」／IPA「SCS評価制度」（いずれも2026年10月30日確認）
