1. 中小企業こそSCS★3取得が求められる理由
「SCS評価制度は大企業向けの制度だろう」と思っている中小企業経営者・担当者は少なくありません。しかし実態は逆です。SCS評価制度（経済産業省主導・IPA運用、2026年度末ごろ開始予定）の中心的なターゲットは、サプライチェーンを構成する中小企業・中堅企業です。
攻撃者の視点から見れば、大手企業は高度なセキュリティ対策を整備しています。一方、中小サプライヤーは「セキュリティが手薄な踏み台」として格好の標的になります。近年の国内ランサムウェア被害の多くで、大企業への侵入経路として中小取引先が悪用されたことが確認されています。
こうした背景から、大手発注企業・重要インフラ事業者が取引先にSCS★3以上の取得を求める動きが広がることが予想されます。「取引継続の条件として★3が必要になった」という状況が現実になる前に、準備を始めることが中小企業にとっての競争優位につながります。
SCS評価制度★3の基本スペック
- 主導：経済産業省（METI）／運用：IPA
- 制度構築方針公表：2026年3月27日
- 制度開始予定：2026年度末ごろ
- ★3要求事項数：26項目
- ★3評価基準数：83基準
- ★3有効期限：1年（更新制）
- IPA公式ページ：https://www.ipa.go.jp/security/scs/index.html
★3の26要求事項・83評価基準は、中小企業が1〜2年かけて取り組める水準に設計されています。既存のクラウドサービス（Microsoft 365・Google Workspace等）を活用すれば、追加コストを最小限に抑えながら多くの要件をカバーできます。
2. 中小企業が直面するSCS対応の課題
中小企業がSCS評価制度に対応しようとする際、現実的な障壁が複数存在します。これらを正直に把握した上で対策を立てることが重要です。
課題1：専任セキュリティ担当者がいない
従業員数十名規模の中小企業では、情報システム担当が総務・経理と兼務していることが一般的です。「セキュリティ専門知識を持つ担当者」はいないことがほとんどです。SCS評価制度の26要求事項を読んでも、何から手をつければいいか分からない、という状況は珍しくありません。
課題2：セキュリティ予算が限られている
中小企業のIT予算は全体の数%程度であることが多く、そのほとんどは業務システムの維持・更新に費やされます。セキュリティ専用の予算が設けられていないケースも多く、新たなセキュリティツール・サービスへの投資判断が難しい状況があります。
課題3：従業員のITリテラシーにばらつきがある
セキュリティ対策を導入しても、従業員が使いこなせなければ意味がありません。PCの基本操作は問題ないが、MFAアプリの設定や不審メールの判断が難しい従業員が存在することは、中小企業では一般的な課題です。セキュリティ対策は「使いやすさ」とのバランスが重要です。
課題4：文書化・管理体制の整備が難しい
SCS評価制度の要件には、ポリシー文書の整備・台帳管理・記録保管が含まれます。日々の業務で手一杯な中小企業にとって、「規程や手順書を整備し、継続的に更新・運用していく」体制を作ることは大きな負担となります。
3. リソース別：最低限の投資で達成できる★3対策
限られた予算・リソースを最大限に活用するため、対策を「0円でできること」「月数千円でできること」「月数万円必要なこと」の3段階に整理します。
0円でできること（今すぐ始められる対策）
| 対策項目 | 具体的な内容 | SCS★3との関係 |
|---|---|---|
| Windows Defenderの有効化・最新化 | 全PCでWindowsセキュリティ（Defender）が有効・最新であることを確認 | マルウェア対策要件 |
| OS・ソフトウェアの自動更新設定 | Windows Update・ブラウザ・Office等の自動更新を有効化 | 脆弱性管理要件 |
| 退職者アカウントの即時無効化ルール策定 | 退職・異動時のアカウント削除手順を文書化し、担当者を指定 | ID管理要件 |
| パスワードポリシーの設定 | 12文字以上・複雑性要件・共有パスワード禁止をルール化 | 認証要件 |
| セキュリティ担当者（兼務可）の指定 | 情報セキュリティの責任者・担当者を文書で指定 | 経営・管理体制要件 |
| IT資産台帳の作成（Excel） | PCやサーバー等の機器リストをExcelで作成・管理 | 資産管理要件 |
| インシデント対応手順書の作成 | マルウェア感染・情報漏洩時の初動対応手順を文書化 | インシデント対応要件 |
月数千円でできること（既存ツール機能の活用）
| 対策項目 | 具体的な内容・費用感 | SCS★3との関係 |
|---|---|---|
| Microsoft 365のMFA有効化 | 既存のMicrosoft 365プランでMicrosoft Authenticatorを全ユーザーに設定（追加費用ほぼなし） | MFA要件 |
| Google WorkspaceのMFA設定 | 管理コンソールから2段階認証を全ユーザーに強制（既存プラン内） | MFA要件 |
| クラウドストレージの自動バックアップ | OneDrive・Google Driveの自動バックアップ設定（既存プラン内） | バックアップ要件 |
| フィッシング対策メールフィルタリング | Microsoft 365 Defender・Google Workspace の組み込みフィッシング対策を有効化 | メールセキュリティ要件 |
月数万円が必要なこと（投資対効果の高い追加ツール）
| 対策項目 | 費用感（概算） | SCS★3との関係 |
|---|---|---|
| FIDO2対応ID管理（Keyper等） | 月数万円〜（規模による） | MFA・ID管理要件を包括的にカバー |
| EDR（エンドポイント検出・対応） | 1台あたり月数百〜千円程度 | マルウェア対策・ログ管理要件 |
| 外部セキュリティコンサルティング | ギャップ分析から月次サポートまで数万〜数十万円 | 体制整備・文書化を効率化 |
4. 既存クラウドサービスを活用したコスト削減（MFA・バックアップ等）
多くの中小企業がすでに契約しているクラウドサービスには、SCS★3要件の多くをカバーできるセキュリティ機能が組み込まれています。「新しいツールを導入しなければいけない」と思い込まず、まず既存サービスの機能を最大限に活用することが、コスト削減の第一歩です。
既存クラウドサービスでカバーできる主な★3要件
- 多要素認証（MFA）：Microsoft 365・Google Workspaceのいずれも、管理コンソールからMFAを全ユーザーに強制できます。TOTPアプリ（Microsoft Authenticator・Google Authenticatorなど）を使う方法は、追加費用なしで実装可能です。
- データバックアップ：OneDriveのバージョン履歴（最大180日）・Google Driveのゴミ箱（30日）を活用した基本バックアップが可能です。ただし、★3/★4の本格的なバックアップ要件を満たすには、別途バックアップソリューションの検討も必要です。
- メールセキュリティ：Microsoft 365のExchange Online Protection、Google WorkspaceのGmailフィッシング対策は、標準機能として含まれています。
- アクセスログの取得：Microsoft 365の監査ログ・Google Workspaceの管理レポートで、ユーザーのサインイン履歴・ファイルアクセス記録が取得できます。
- デバイス管理（MDM）：Microsoft Intuneの基本機能（Business Premium以上）・Google Workspace のモバイルデバイス管理でPCやスマートフォンの管理が可能です。
無料ツールの活用：IT資産管理
資産管理台帳の整備には、Excelで十分対応可能です。PCのシリアル番号・OS・インストール済みソフトウェア・担当者・廃棄予定日を管理するExcel台帳テンプレートを作成し、半期に1回の棚卸しルールを設けることで★3の資産管理要件をカバーできます。Windows標準の「コンピューターの管理」→「システム情報」でハードウェア情報を収集する方法も有効です。無料の資産管理ツールとしては、各種オープンソースソリューションも存在しますが、まずはExcel管理から始めることを推奨します。
5. Microsoft 365・Google Workspaceのセキュリティ機能でどこまで対応できるか
多くの中小企業が使用するMicrosoft 365とGoogle Workspaceに含まれるセキュリティ機能を、SCS★3の主要要件と対応させて整理します。
Microsoft 365でできること
| 機能・サービス | 利用可能プラン | SCS★3対応要件 |
|---|---|---|
| Entra ID（旧Azure AD）MFA | Business Basic以上 | 多要素認証要件 |
| Microsoft Defender（ウイルス対策） | Business Basic以上（Defender for Business はPremiumで強化） | マルウェア対策要件 |
| Exchange Online Protection | 全プラン | メールセキュリティ要件 |
| Microsoft Intune（MDM） | Business Premium以上 | デバイス管理・資産管理要件 |
| Microsoft 365監査ログ | Business Basic以上（保存期間はプランによる） | ログ管理・監視要件 |
| Defender for Business（EDR） | Business Premium | EDR・インシデント対応支援 |
| OneDriveバックアップ・バージョン履歴 | 全プラン | バックアップ要件（基本部分） |
| 条件付きアクセスポリシー | Business Premium以上 | アクセス制御要件 |
推奨プランのポイント： SCS★3対応を視野に入れる場合、Microsoft 365 Business Premiumが最もコストパフォーマンスに優れた選択肢です。Defender for Business（EDR機能）・Intune（MDM）・条件付きアクセスが含まれ、多くの★3要件を一元的にカバーできます。
Google Workspaceでできること
| 機能・サービス | 利用可能プラン | SCS★3対応要件 |
|---|---|---|
| 2段階認証（TOTP・セキュリティキー） | 全プラン（強制設定はBusiness以上推奨） | 多要素認証要件 |
| Gmailフィッシング・マルウェア対策 | 全プラン | メールセキュリティ要件 |
| Google Vault | Business Starter以上（または別途契約） | ログ管理・データ保全要件 |
| 管理コンソール（デバイス管理） | Business Starter以上 | デバイス管理要件 |
| Chrome Browser Cloud Management | Business以上 | エンドポイント管理要件 |
| 管理レポート（監査ログ） | 全プラン | ログ管理要件 |
| Googleドライブ バックアップ | 全プラン | バックアップ要件（基本部分） |
Microsoft 365・Google Workspaceで対応困難な要件： 両サービスとも、SCS★3の多くの要件をカバーできますが、以下の要件については別途対策が必要です。
- オフラインバックアップ・外部媒体へのバックアップ（★4要件、★3では基本的なバックアップ）
- 特権アクセス管理（PAM）の詳細な制御（★4要件）
- 取引先のセキュリティ評価（別途プロセス整備が必要）
- フィッシング耐性MFA（FIDO2/パスキー）→★3はTOTP等で可、★4ではFIDO2推奨
Keyper：中小企業でも導入しやすいFIDO2対応ID管理
Net PeaceのKeyperは、FIDO2対応のID管理製品です。中小企業でも低コストで導入でき、SCS評価制度★3/★4のMFA・ID管理要件を包括的にサポートします。既存のMicrosoft 365・Google Workspaceとの連携も可能です。専任担当者なしの企業でも、導入から運用まで専門チームがサポートします。
6. IT導入補助金等の公的支援活用
セキュリティ対策への投資コストを抑えるために、公的な補助金・助成金を活用することは非常に有効です。特にIT導入補助金は、中小企業のセキュリティツール導入を支援する有力な制度です。
IT導入補助金（デジタル化基盤導入類型・セキュリティ対策推進枠）
IT導入補助金は、中小企業・小規模事業者がITツールを導入するための費用の一部を国が補助する制度です（経産省・中小企業庁）。毎年公募が行われており、セキュリティツール・クラウドサービス・ID管理ソリューション等が対象となる場合があります。
IT導入補助金に関する重要な注意事項
- IT導入補助金の補助率・上限額・対象ツール・申請要件は年度ごとに変更されます。
- 本記事の情報は参考情報であり、最新の公募要項は必ずIT導入補助金公式サイト（https://it-hojo.jp/）でご確認ください。
- ITツールは「IT導入支援事業者」を通じて申請する必要があります。
- 申請には事前登録（gBizIDプライム取得）が必要で、取得に数週間かかる場合があります。
過去の事例では、セキュリティツール・クラウドサービス・EDR・ID管理ツール等が補助対象となっていたケースがあります。SCS★3対応のために導入を検討しているツールが補助対象かどうかを確認することを強く推奨します。
その他の公的支援
- IPA「SECURITY ACTION」：中小企業が自主的にセキュリティ対策に取り組む姿勢を示す宣言制度（無料）。SCS★3対応の取り組み姿勢を示す証明として活用できます。
- 中小企業向けセキュリティ相談窓口：IPAのセキュリティ相談窓口（IPA安心相談窓口）では、中小企業からのセキュリティ相談を受け付けています（無料）。
- よろず支援拠点：中小企業庁が設置する無料の経営相談機関で、IT・セキュリティに関する相談も対応しています。
- 中小企業デジタル化応援隊：デジタル化・IT活用の推進を支援する専門家を派遣する事業（経産省）。
7. 外部専門家・MSSPの活用
専任のセキュリティ担当者がいない中小企業にとって、外部の専門家やMSSP（マネージドセキュリティサービスプロバイダー）の活用は有効な選択肢です。SCS★3対応においても、全てを内製化しようとせず、適切な外部支援を組み合わせることが効率的です。
外部支援を活用できる主な場面
- ギャップ分析：現状の対策と★3要件のギャップを専門家が診断。何が足りないかを明確化。
- ポリシー・規程の文書作成：情報セキュリティポリシー・インシデント対応手順書等のテンプレート作成と企業への適用支援。
- セキュリティ教育の実施：従業員向けセキュリティ研修・eラーニングの提供。
- 評価申請サポート：SCS評価申請書類の作成・審査対応のサポート。
- 継続的なセキュリティ監視：ログ監視・インシデント対応のMSSP委託（★3取得後の維持対応）。
MSSP選定時の注意点
- SCS評価制度への対応実績を確認する：SCS評価制度は2026年度末開始予定の新制度です。制度への理解度・対応実績を事前に確認しましょう。
- 中小企業向けの実績があるか確認：大企業向け専門のMSSPは、中小企業の予算・体制に適したサービスを提供できない場合があります。
- サービス範囲と責任分界を明確にする：「何をMSSPに委託し、何を自社でやるか」を契約前に明確にしましょう。
- インシデント時の対応手順を事前確認：セキュリティインシデントが発生した際に、MSSPがどのような手順で対応するかを事前に確認・合意しておくことが重要です。
- 費用体系の透明性：月額固定・従量課金・インシデント対応は別費用など、費用体系を事前に明確化しましょう。
8. 3ヶ月でSCS★3対応を進める実践スケジュール
具体的な行動計画として、ゼロから始める中小企業向けの3ヶ月スケジュールを示します。企業の現状によって必要な取り組みは異なりますが、参考スケジュールとしてご活用ください。
| 期間 | 主なアクション | 担当・リソース |
|---|---|---|
| 1ヶ月目 Week 1-2 |
・SCS★3の26要求事項を一読し、全体像を把握 ・社内のセキュリティ担当者（兼務可）を指定 ・現状のIT資産台帳（PC・サーバー・クラウドアカウント）をExcelで作成 ・既存クラウドサービスのMFA設定状況を確認 |
経営者・IT担当者（兼務可） |
| 1ヶ月目 Week 3-4 |
・★3要件とのギャップ分析実施（外部専門家推奨） ・全ユーザーへのMFA設定（Microsoft 365またはGoogle Workspace） ・Windows Defenderの有効化・OS自動更新の確認 ・情報セキュリティ基本方針の草案作成 |
IT担当者・外部コンサルタント |
| 2ヶ月目 Week 5-6 |
・情報セキュリティポリシー・規程の整備（テンプレートを活用） ・パスワードポリシーの文書化と周知 ・退職者アカウント削除フローの整備・文書化 ・バックアップ設定の確認・強化（クラウドバックアップ設定） ・インシデント対応手順書の作成 |
IT担当者・外部コンサルタント |
| 2ヶ月目 Week 7-8 |
・全従業員向けセキュリティ教育の実施（eラーニングまたは集合研修） ・取引先管理リストの作成（重要な取引先の連絡先・セキュリティ要件等） ・ログ取得・保管設定の確認（Microsoft 365監査ログ等） ・IT導入補助金の申請検討（次回公募に向けた準備） |
全従業員・IT担当者 |
| 3ヶ月目 Week 9-10 |
・整備した規程・手順書の最終確認・経営者承認 ・不足対策の追加実施（ギャップ分析で特定した残余リスクへの対応） ・バックアップのリストアテスト実施 ・インシデント対応訓練（机上演習）の実施 |
全社 |
| 3ヶ月目 Week 11-12 |
・SCS★3の全要件に対する充足状況の最終チェック ・評価申請に向けた書類準備 ・継続的な運用体制の確立（月次チェックリスト等） ・評価申請の実施（制度開始後） |
IT担当者・外部コンサルタント |
このスケジュールは参考例です。ギャップ分析の結果によっては、追加の対策に時間がかかる場合があります。特に文書整備（ポリシー・手順書）は、業務実態と合わせて丁寧に作成することが重要です。「形だけの書類」では評価時に問題が生じる可能性があります。
9. IPA「中小企業の情報セキュリティ対策ガイドライン」との関係
IPAが公表している「中小企業の情報セキュリティ対策ガイドライン」（第3.1版、2023年3月更新）は、中小企業向けのセキュリティ対策の基礎として広く参照されてきました。SCS評価制度★3とこのガイドラインの関係を整理します。
ガイドラインとSCS★3の関係
IPAガイドラインは中小企業のセキュリティ対策の「入門・基礎」として、SCS★3は「サプライチェーンへの参加要件」として位置づけられます。両者の対象領域は多くの部分で重なっており、ガイドラインに沿った対策を進めることがSCS★3取得の基盤となります。
IPAガイドラインが提唱する5ステップ
- 情報セキュリティ対策の必要性の認識：経営者がセキュリティリスクを自社のリスクとして認識する
- 取り組みの準備：担当者の指定・現状把握・予算の確保
- 情報セキュリティ対策の策定・実施：具体的な対策の計画・実行
- 確認・見直し：対策の効果確認・改善
- 継続的な改善：PDCAサイクルでの継続的な取り組み
この5ステップはSCS★3の対応においても基本的な考え方として有効です。IPAガイドラインで推奨されている対策の多くが、SCS★3の要求事項と整合しています。
IPAガイドラインの入手先
「中小企業の情報セキュリティ対策ガイドライン」の最新版は、IPAの公式サイトから無料でダウンロードできます。参考URLとして第3.1版のページが案内されていますが、必ずIPAの公式サイト（https://www.ipa.go.jp/security/guide/sme/）で最新版をご確認ください。制度の更新に伴い、内容が改訂される場合があります。
10. よくある質問（FAQ）
Q1. 専任のセキュリティ担当者がいなくてもSCS★3は取得できますか？
取得できます。SCS★3は中小企業でも対応できる水準に設計されています。情報システムと兼務している担当者が主担当を務め、外部のコンサルタントや支援会社のサポートを受けながら対応を進めることが現実的な方法です。Net Peaceでも、専任担当者がいない中小企業向けの伴走支援を提供しています。まずは無料診断でご相談ください。
Q2. SCS★3取得のための予算の目安はどのくらいですか？
企業の現状の対策水準・規模によって大きく異なります。既存のMicrosoft 365 Business PremiumまたはGoogle Workspace（Business以上）を活用している企業であれば、追加投資を最小限に抑えることが可能です。おおよその目安として、外部コンサルティング（ギャップ分析〜評価申請支援）で数十万円、ツール導入コストは既存サービスの活用次第で0〜月数万円、評価申請費用は制度開始後にIPAから公式発表される見込みです。IT導入補助金の活用でコストを圧縮できる可能性もあります。
Q3. ゼロから始めて★3取得まで何ヶ月かかりますか？
現状のセキュリティ対策水準によって異なります。既存のクラウドサービスでMFAを設定済み・基本的な対策がある企業であれば、3〜6ヶ月を目標に取り組めます。セキュリティ対策がほぼゼロの状態からスタートする場合は、6ヶ月〜1年程度の期間を見込むことが現実的です。外部専門家を活用することで、期間を短縮できる可能性があります。
Q4. 社内でやるのと外注するのはどちらが良いですか？
「完全内製」または「完全外注」の二択ではなく、「コア部分は内製・専門的な部分は外注」のハイブリッドが中小企業に適した方法です。経営判断（セキュリティポリシーの承認）・日常運用（MFA設定確認・アカウント管理）は内製し、ギャップ分析・文書整備・評価申請サポート・従業員教育は外部専門家を活用することで、コストと品質のバランスを取れます。
Q5. ★3取得後はどうすれば良いですか？
★3の有効期限は1年です。取得後も継続的な更新対応が必要です。更新に向けた活動として、月次のセキュリティチェック・定期的な従業員教育・インシデント対応訓練の実施を継続します。また、★3取得後の中期目標として★4（56要求事項・157評価基準・有効期限3年）へのステップアップを計画することを推奨します。★4では有効期限が3年に延長されるため、維持コストの観点でもメリットがあります。
11. まとめ
中小企業がSCS評価制度★3を取得するための要点をまとめます。
- SCS★3は中小企業向けの制度：26要求事項・83評価基準・有効期限1年。中小企業でも1〜2年の取り組みで対応可能。
- 既存ツールを最大限活用：Microsoft 365・Google Workspaceに含まれる機能で多くの要件をカバーできる。
- コスト別の優先対策：0円でできる対策から始め、投資対効果を考慮しながら段階的に強化。
- IT導入補助金の活用：補助金申請で初期投資を軽減。最新情報は公式サイトで確認。
- 外部専門家・MSSPの活用：専任担当者がいなくても、適切な外部支援で対応を進められる。
- 3ヶ月のアクションプラン：まずギャップ分析から始め、優先度の高い対策から順次実施。
- IPAガイドラインとの整合：「中小企業の情報セキュリティ対策ガイドライン」の5ステップはSCS★3の基盤として有効。
SCS評価制度の制度開始（2026年度末ごろ予定）を待たずに、今から準備を始めることで、制度開始後の早期取得と取引先への信頼性アピールにつながります。最新情報はIPA公式ページをご確認ください。
Net Peaceでは、SCS評価制度★3/★4対応に向けた無料診断・KeyperによるID管理ソリューション・専門チームによるコンサルティングを提供しています。まずはお気軽にご相談ください。