このチェックリストの使い方
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省（METI）主導・IPA運用のもと、2026年3月27日に制度構築方針が公表され、2026年度末ごろの制度開始が予定されています。サプライチェーン全体のセキュリティレベルを底上げするため、評価レベルに応じた対策の実施と評価取得が企業に求められます。
本チェックリストは、★3（基本）と★4（標準）の評価取得に向けた対策を、8つの分野に整理したものです。経営体制から教育訓練まで、実務担当者が現状のギャップを把握し、優先的に着手すべき対策を特定するためにご活用ください。
★3（基本）と★4（標準）の違い
| 項目 | ★3（基本） | ★4（標準） |
|---|---|---|
| 要求事項 | 26項目 | 56項目 |
| 評価基準 | 83項目 | 157項目 |
| 有効期限 | 1年 | 3年 |
| 主要対策 | 基礎的セキュリティ対策・システム防御策・一般的なサイバー脅威への対処 | ★3全て＋組織ガバナンス・取引先管理・インシデント検知・インシデント対応・被害拡大防止 |
| 想定対象 | セキュリティ対策を開始したい中小企業・サプライヤー | より高いセキュリティ水準を目指す企業・政府調達参加企業 |
リスクベースの優先順位の考え方
すべての対策を同時に実施しようとすると、リソース不足で停滞しがちです。まず「効果が高く、難易度が低い」対策から着手し、段階的に高度な対策へ移行するリスクベースのアプローチを推奨します。具体的な優先順位は優先順位マトリクスをご参照ください。
また、チェックリスト内の記号は以下を意味します：
- ✓ 必須：評価取得に必要な対策
- △ 推奨：必須ではないが実施を強く推奨する対策
- — 対象外：そのレベルでは評価対象外（ただし任意で実施することは妨げない）
出典について：このチェックリストはIPA公式ドキュメント（https://www.ipa.go.jp/security/scs/index.html）および経済産業省発表（https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html）を参考に作成しています。制度詳細は随時更新されますので、最新情報はIPA公式サイトをご確認ください。制度開始予定は2026年度末ごろ（METI発表）です。
①経営体制・組織ガバナンス
情報セキュリティを経営課題として位置づけ、組織全体で取り組む体制を整備することが★3・★4ともに求められます。特に★4では、サプライチェーン全体を視野に入れたリスク管理が重要な評価ポイントとなります。
| 対策項目 | ★3 | ★4 | 解説 |
|---|---|---|---|
| 情報セキュリティ方針の策定・公表 | ✓ | ✓ | 経営層が承認した情報セキュリティ基本方針を文書化し、社内外に公表する。 |
| CISO等セキュリティ責任者の設置 | ✓ | ✓ | 情報セキュリティ担当責任者（CISO等）を明確に任命し、権限と責任を付与する。 |
| セキュリティ投資予算の確保 | ✓ | ✓ | セキュリティ対策の継続的な実施に必要な予算を確保し、投資計画を策定する。 |
| 経営層によるリスク管理体制の確立 | △ | ✓ | 経営層がセキュリティリスクを把握し、定期的にレビューするガバナンス体制を構築する。定期的なリスク評価と経営層への報告プロセスが必要。 |
| サプライチェーン全体のリスク管理方針 | — | ✓ | 自社だけでなく、取引先・委託先を含むサプライチェーン全体のセキュリティリスクを管理する方針を策定・実施する。 |
②資産管理
守るべき情報資産を正確に把握することは、セキュリティ対策の出発点です。ハードウェア・ソフトウェア・クラウドサービスを網羅的に管理し、シャドーITの排除まで進める★4対策が、サプライチェーンリスク低減に直結します。
| 対策項目 | ★3 | ★4 | 解説 |
|---|---|---|---|
| ハードウェア資産の台帳管理 | ✓ | ✓ | PC・サーバー・ネットワーク機器・モバイル端末等を一元的に台帳管理し、定期棚卸を実施する。 |
| ソフトウェア資産・ライセンス管理 | ✓ | ✓ | 導入ソフトウェア・ライセンスを管理し、未承認ソフトウェアの導入を制限する。EOL（サポート終了）ソフトウェアの把握も含む。 |
| ネットワーク構成図の維持 | ✓ | ✓ | ネットワーク構成図を最新状態で維持し、変更時には速やかに更新する。セグメンテーション設計の根拠資料としても機能する。 |
| クラウドサービス・SaaSの把握 | △ | ✓ | 利用中のクラウドサービス・SaaS・PaaSを一覧化し、契約状況・データ保管場所・アクセス権限を管理する。 |
| シャドーITの検出・管理 | — | ✓ | IT部門未承認のデバイス・サービス利用（シャドーIT）を検出し、リスク評価・対応を行う仕組みを構築する。CASB等のツール活用も有効。 |
| OT機器・産業制御システムの把握 | — | △ | 製造業・インフラ系企業では、OT（運用技術）機器や産業制御システム（ICS/SCADA）の資産管理も実施する。IT/OT融合環境では特に重要。 |
③ID管理・アクセス管理
不正アクセスの多くは、漏洩した認証情報や過剰な権限を悪用して発生します。ID管理の基礎（アカウント棚卸・最小権限）を★3で確立し、★4ではPAMによる特権ID統制まで強化することが求められます。
| 対策項目 | ★3 | ★4 | 解説 |
|---|---|---|---|
| ユーザーアカウントの棚卸（退職者確認） | ✓ | ✓ | 退職・異動者のアカウントを速やかに無効化する手順を定め、定期棚卸（最低でも四半期1回）を実施する。ゾンビアカウントは不正アクセスの踏み台となる。 |
| 最小権限の原則の適用 | ✓ | ✓ | 各ユーザー・サービスアカウントに対し、業務に必要な最小限の権限のみを付与する。デフォルト管理者権限の排除も含む。 |
| 特権ID（管理者アカウント）の管理 | ✓ | ✓ | システム管理者・ドメイン管理者等の特権IDを把握し、利用時の申請・承認・ログ記録の仕組みを設ける。共有IDの廃止も推奨。 |
| アクセスログの取得・保管 | ✓ | ✓ | 認証ログ・システムアクセスログを取得し、一定期間保管する（★3：最低3ヶ月、★4：最低1年以上推奨）。 |
| IDライフサイクル管理（プロビジョニング/デプロビジョニング） | — | ✓ | 採用・異動・退職に伴うアカウントの自動プロビジョニング・デプロビジョニングを実現するIDMSを導入し、対応漏れを防止する。 |
| 特権アクセス管理（PAM）の導入 | — | ✓ | PAMツールにより特権IDを集中管理し、セッション録画・JIT（ジャスト・イン・タイム）アクセス・パスワード自動ローテーションを実装する。 |
| 定期的なアクセス権レビュー | — | ✓ | 全ユーザー・サービスアカウントのアクセス権を定期的（最低半年に1回）にレビューし、不要な権限を削除する。アクセス権の審査記録を残す。 |
④MFA・FIDO2認証
パスワード単体の認証はサイバー攻撃に対して非常に脆弱です。★3では全ユーザーへのMFA適用が必須となり、★4ではフィッシング攻撃にも耐性を持つFIDO2/パスキーの採用が推奨されます。NIST SP 800-63-4（2025年7月31日正式発行）でも、フィッシング耐性MFAの重要性が強調されています。
FIDO2の仕組みや導入方法については、FIDO2・パスキーとは？パスワードレス認証の仕組みと企業導入メリットをご参照ください。
| 対策項目 | ★3 | ★4 | 解説 |
|---|---|---|---|
| 全ユーザーへのMFA適用 | ✓ | ✓ | 社内システム・VPN・クラウドサービスへのアクセスに対し、全ユーザーへ多要素認証（MFA）を適用する。TOTP・SMSOTPでも★3では対応可能。 |
| 管理者アカウントへの強固なMFA | ✓ | ✓ | 特権ID・管理者アカウントには、一般ユーザーよりも強固なMFAを適用する。ハードウェアセキュリティキーの活用を推奨。 |
| フィッシング耐性MFA（FIDO2/パスキー）の導入 | — | △ | FIDO2/WebAuthnベースのパスキーまたはハードウェアセキュリティキーを導入し、AiTM（中間者）攻撃・フィッシング攻撃に耐性を持つ認証基盤を構築する。NIST SP 800-63-4準拠の観点からも強く推奨。 |
| SMS OTP・TOTP依存からの脱却計画 | — | △ | フィッシング耐性のないSMS OTPやTOTPへの依存を段階的に削減し、FIDO2ベースの認証へ移行するロードマップを策定する。 |
| NIST SP 800-63-4準拠の認証方式採用 | — | △ | 2025年7月31日正式発行のNIST SP 800-63-4（https://csrc.nist.gov/pubs/sp/800/63/4/final）に基づくAAL要件を参考に、用途別に適切な認証保証レベルを設定する。 |
Keyper：SCS評価制度対応のFIDO2・ID管理製品
Net PeaceのKeyperはFIDO2/パスキー対応のID・アクセス管理製品。★4で求められるフィッシング耐性MFA・特権ID管理・アクセスログ取得を一元化できます。
⑤取引先・委託先管理
サプライチェーン攻撃では、セキュリティが弱い取引先・委託先を踏み台に、ターゲット企業へ侵入するケースが増加しています。★3では委託先との基本的な契約・要件定義が求められ、★4では定期的な評価・報告要求まで踏み込んだ管理体制が必要です。
| 対策項目 | ★3 | ★4 | 解説 |
|---|---|---|---|
| 委託先のセキュリティ要件の文書化 | ✓ | ✓ | 業務委託契約にセキュリティ要件（データ管理・アクセス制限・インシデント報告等）を明記し、委託先に遵守を求める。 |
| 委託先との機密保持契約（NDA） | ✓ | ✓ | 個人情報・機密情報を取り扱う委託先との機密保持契約を締結し、情報漏洩リスクを法的に管理する。 |
| 委託先のセキュリティ評価・定期確認 | — | ✓ | 委託先のセキュリティ対策状況を定期的（年1回以上）に評価・確認する。セキュリティ調査票の活用や、SCS評価取得状況の確認が有効。 |
| SCS評価取得済み企業との優先取引 | — | △ | 取引先選定において、SCS評価取得済み企業を優遇する方針を設ける。制度の普及に伴い、SCS評価がサプライチェーン選定の基準となることが予想される。 |
| 委託先へのインシデント報告要求 | — | ✓ | 委託先で発生したインシデント（セキュリティ事故・不審事象）の報告義務と報告期限を契約に明記し、迅速な情報共有体制を整備する。 |
⑥ログ管理・監視
サイバーインシデントを早期に検知し、被害を最小化するためには、適切なログの取得・保管・監視体制が不可欠です。★3では基本的なログ取得が必須となり、★4では改ざん防止・セキュリティ監視・異常検知まで踏み込んだ体制が求められます。
| 対策項目 | ★3 | ★4 | 解説 |
|---|---|---|---|
| 認証ログの取得・保管 | ✓ | ✓ | VPN・社内システム・クラウドサービスへの認証成功・失敗ログを取得し、一定期間保管する。不審なログイン試行の検出にも活用する。 |
| ネットワークログの保管 | ✓ | ✓ | ファイアウォール・プロキシ・DNSのログを取得・保管し、インシデント調査時の証跡として活用できる状態を維持する。 |
| ログの改ざん防止 | △ | ✓ | ログへのアクセス権を限定し、書き込み不可（イミュータブル）な保管方式や集中ログ管理サーバーへの転送等により、ログの改ざん・削除を防止する。 |
| セキュリティイベントの監視 | — | ✓ | 収集したログをセキュリティイベントとして継続的に監視し、インシデントの予兆を早期に検知する仕組みを整備する。 |
| SIEM・SOCの活用 | — | △ | SIEM（セキュリティ情報イベント管理）ツールや外部SOC（セキュリティオペレーションセンター）を活用し、ログの相関分析と24時間監視体制を実現する。 |
| 異常検知・アラートの仕組み | — | ✓ | 不審なアクセス・通常と異なるパターンを自動検知し、担当者にアラートを通知する仕組みを導入する。誤検知率のチューニングも重要。 |
⑦インシデント対応
サイバーインシデントは発生することを前提に備えることが重要です。★3では初動対応計画の策定とバックアップが必須となり、★4ではインシデント検知体制・隔離手順・外部連携まで含む包括的な対応体制が求められます。JPCERT/CC（https://www.jpcert.or.jp/）との連携も★4では重要な評価ポイントとなります。
| 対策項目 | ★3 | ★4 | 解説 |
|---|---|---|---|
| インシデント対応計画の策定 | ✓ | ✓ | インシデント対応の責任者・連絡体制・エスカレーションフローを定めた対応計画を文書化する。年1回以上のレビューと更新が必要。 |
| バックアップの取得・テスト | ✓ | ✓ | 重要データの定期バックアップを取得し、定期的なリストアテストで復旧可能なことを確認する。バックアップ失敗時のアラートも設定する。 |
| 初動対応手順の文書化 | ✓ | ✓ | インシデント発生時に迷わず対応できるよう、初動対応手順（連絡先・封じ込め手順・証跡保全方法等）をチェックリスト形式で文書化しておく。 |
| バックアップのオフライン保管 | △ | ✓ | ランサムウェア対策として、バックアップの一部をネットワークから切り離したオフライン媒体またはイミュータブルなクラウドストレージに保管する（3-2-1ルール推奨）。 |
| インシデント検知体制の整備 | — | ✓ | EDR・NDR等のセキュリティツールと監視体制を組み合わせ、インシデントを速やかに検知できる体制を整備する。検知から対応までの目標時間を設定する。 |
| JPCERT/CC等への報告・連携体制 | — | △ | 重大なインシデント発生時にJPCERT/CC（https://www.jpcert.or.jp/）・所管省庁・業界ISACへ報告・連携できる体制を整備する。報告先と手順を事前に確認しておく。 |
| 被害拡大防止手順（隔離手順） | — | ✓ | 感染端末・侵害システムをネットワークから迅速に隔離し、被害の横展開を防ぐ具体的な手順を策定・訓練する。ネットワークセグメンテーションの設計とも連携する。 |
⑧教育・訓練
最新の技術対策を導入しても、人的ミスや意識不足が攻撃の入口となるケースは後を絶ちません。★3では全社員への年1回以上の教育が必須となり、★4ではフィッシング訓練や実践的な演習まで求められます。
| 対策項目 | ★3 | ★4 | 解説 |
|---|---|---|---|
| 全社員へのセキュリティ教育（年1回以上） | ✓ | ✓ | パスワード管理・フィッシング対策・不審メール対応・モバイル端末利用ルール等を含む情報セキュリティ教育を年1回以上全社員に実施し、受講記録を残す。 |
| フィッシング訓練の実施 | △ | ✓ | 模擬フィッシングメールを使った実践的な訓練を実施し、クリック率等を計測・改善する。訓練後のフォローアップ教育も実施することで効果が高まる。 |
| 情報セキュリティポリシーの周知 | ✓ | ✓ | 情報セキュリティ基本方針・利用規程等を全社員に周知し、署名・誓約書取得等で認識を確認する。改訂時には速やかに再周知する。 |
| インシデント対応演習（テーブルトップ演習） | — | △ | ランサムウェア感染・不正アクセス等の想定シナリオでテーブルトップ演習を実施し、対応手順の有効性と担当者の判断力を確認・改善する。年1回以上の実施を推奨。 |
| 新入社員向けセキュリティ教育 | — | △ | 入社時のオンボーディングプログラムに情報セキュリティ教育を組み込み、入社直後から適切なセキュリティ意識を醸成する。 |
優先順位マトリクス（効果×難易度）
リソースが限られる中で効果的に対策を進めるために、「効果」と「難易度」の観点から優先順位を整理しました。まず効果が高く難易度が低い対策から着手し、計画的に高度な対策へ移行することを推奨します。
| 対策 | 効果 | 難易度 | 推奨対応時期 |
|---|---|---|---|
| アカウント棚卸・退職者アカウント削除 | 高 | 低 | 1週間以内 |
| バックアップ・オフライン保管 | 高 | 低 | 1週間以内 |
| セキュリティ教育（年1回） | 中 | 低 | 即時 |
| VPN/RDPへのMFA適用 | 高 | 低 | 即時 |
| 特権ID管理（PAM） | 高 | 中 | 1ヶ月以内 |
| FIDO2/パスキー導入 | 非常に高 | 中 | 3ヶ月以内 |
| 委託先セキュリティ評価 | 中 | 中 | 3ヶ月以内 |
| SIEM導入 | 中 | 高 | 6ヶ月以内 |
ポイント：「アカウント棚卸」「バックアップ」「MFA適用」は効果が高く難易度が低い「クイックウィン」対策です。これらを最初に実施することで、サイバーインシデントのリスクを大幅に低減しながら、★3取得に向けた実績を積むことができます。
よくある質問（FAQ）
Q1: SCS評価制度は義務ですか？取得しないと取引できなくなりますか？
SCS評価制度は任意参加の制度です。本制度は個社間の商取引に規制措置を講じるものではなく、「取得していないと商取引が規制される」「入札から除外される」といった事実はありません（経済産業省・内閣官房 2026年4月27日注意喚起）。制度開始は2026年度末ごろが予定されており、詳細な評価ガイドは2026年秋頃に公表予定です。最新情報はIPA公式サイト（https://www.ipa.go.jp/security/scs/index.html）をご確認ください。
Q2: ★3と★4、どちらを先に取得すべきですか？
原則として★3（基本）を取得してから★4（標準）への取得を目指すことが推奨されます。★3は有効期限1年・26要求事項・83評価基準であり、基礎的なセキュリティ対策が中心です。★4は有効期限3年・56要求事項・157評価基準で、組織ガバナンスや取引先管理など高度な対策が含まれます。まず★3取得で土台を固め、計画的に★4を目指すアプローチが現実的です。
Q3: このチェックリストはIPA公式のものですか？
このチェックリストはNet Peaceセキュリティチームが、IPA公式ドキュメント（https://www.ipa.go.jp/security/scs/index.html）および経済産業省発表（https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html）を参考に作成した解説用資料です。IPA・経済産業省が公式に発行したものではありません。制度の詳細や評価基準の最新情報は必ずIPA公式サイトをご確認ください。
Q4: ISO 27001を取得済みですがSCS対応は省略できますか？
ISO 27001の取得はSCS評価において一定の参考にされる可能性がありますが、SCS評価制度はサプライチェーン特有の対策（取引先管理・FIDO2等のフィッシング耐性MFA・特定の評価基準など）を含むため、ISO 27001取得だけでSCS対応が全て完了するわけではありません。ギャップ分析を行い、SCS固有の要求事項を確認することをお勧めします。
Q5: チェックリストの★4欄で「推奨」とあるのは必須ではないですか？
このチェックリストでの「推奨（△）」は、SCS評価制度の公式文書における推奨事項または本チェックリスト作成時点での解釈を示しています。評価において必須とされる項目は「必須（✓）」と表記しています。ただし、制度の詳細は2026年度末の制度開始に向けて更新される可能性があります。最終的な判断はIPA公式ドキュメントをご参照ください。
Q6: 中小企業でFIDO2導入は現実的ですか？
はい、現実的です。スマートフォンやWindows PCの生体認証を活用するパスキー（クラウド同期型FIDO2）であれば、追加コストなしで導入できます。Microsoft 365・Google Workspace・AWSなど主要クラウドサービスはすでにFIDO2/パスキーに対応しています。詳細はFIDO2・パスキーとは？をご参照ください。また、Net PeaceのKeyperのような製品を活用することで、中小企業でも低コストでFIDO2ベースのMFAを導入できます。
Q7: バックアップはどのように保管すべきですか？
ランサムウェア対策として、バックアップは「3-2-1ルール」（3つのコピー・2種類のメディア・1つのオフサイト保管）が推奨されます。★3では定期的なバックアップ取得とリストアテストが必須、★4ではネットワークから切り離されたオフライン保管または書き込み不可（イミュータブル）なクラウドバックアップが求められます。特にランサムウェア感染時に攻撃者がバックアップを暗号化できないよう、ネットワーク的に隔離された保管が重要です。
Q8: SCS評価を受けるには何から始めればよいですか？
まずIPA公式サイト（https://www.ipa.go.jp/security/scs/index.html）で最新の評価基準・申請手続きを確認することをお勧めします。次に、このチェックリストを参考に現状のセキュリティ対策のギャップ分析を実施してください。特に★3取得に向けて、基礎的なセキュリティ対策（MFA適用・アカウント棚卸・バックアップ）から優先的に着手することが効果的です。Net Peaceでは無料のSCS対応診断も提供しています。お気軽にご相談ください。
まとめ・次のアクション
SCS評価制度対応チェックリスト8分野の要点を整理します。
- ①経営体制・組織ガバナンス：情報セキュリティ方針の策定とCISO等責任者の設置が★3/★4共通の必須事項。★4では経営層のリスク管理体制とサプライチェーン全体のリスク管理方針まで求められる。
- ②資産管理：ハードウェア・ソフトウェア・ネットワーク構成図の管理が★3/★4共通で必須。★4ではクラウドSaaSの把握とシャドーITの管理まで拡大。
- ③ID管理・アクセス管理：アカウント棚卸・最小権限・特権ID管理が★3から必須。★4ではPAMとIDライフサイクル管理の自動化が求められる。
- ④MFA・FIDO2認証：全ユーザーへのMFA適用が★3必須。★4ではFIDO2/パスキーによるフィッシング耐性MFAへの移行が推奨（NIST SP 800-63-4準拠）。
- ⑤取引先・委託先管理：委託先への要件文書化とNDAが★3必須。★4では定期的なセキュリティ評価とインシデント報告義務化が必須。
- ⑥ログ管理・監視：認証ログ・ネットワークログの取得が★3必須。★4ではログ改ざん防止・セキュリティ監視・異常検知体制が必須。
- ⑦インシデント対応：対応計画・バックアップ・初動手順が★3必須。★4では検知体制・JPCERT/CC連携・被害拡大防止手順（隔離）まで必要。
- ⑧教育・訓練：年1回以上の全社教育とポリシー周知が★3必須。★4ではフィッシング訓練と実践的演習まで求められる。
今すぐ始める3ステップ
- ステップ1 — 現状把握（1週間）：このチェックリストを参照しながら、自社の現状を「対応済み／未対応／一部対応」で分類し、ギャップを可視化する。まずは「アカウント棚卸」「MFA適用状況の確認」「バックアップ状況の確認」の3点から着手。
- ステップ2 — 優先対策の実施（1〜3ヶ月）：優先順位マトリクスを参考に、効果が高く難易度が低い対策（アカウント棚卸・MFA適用・バックアップ強化）を速やかに実施。★3取得に向けた対策計画を策定する。
- ステップ3 — 評価申請・継続改善：IPA公式サイトで最新の申請要件を確認し、★3評価の申請準備を進める。評価取得後も継続的な改善サイクル（PDCA）を回し、将来的な★4取得を視野に入れた体制を構築する。
SCS評価制度への対応は、自社のセキュリティ強化だけでなく、取引先からの信頼獲得・政府調達への参加資格確保にもつながります。まずは現状のギャップ把握から始めることをお勧めします。
Net Peaceでは、SCS評価制度対応の無料診断サービスを提供しています。現状分析から対策ロードマップの作成まで、専門チームがサポートします。