1. ★3（基本）の概要：26要求事項・83評価基準・1年有効
SCS評価制度の★3（基本）は、サプライチェーンに参加するすべての企業が最初に目指すべき基本的なセキュリティ水準です。26の要求事項と83の評価基準で構成され、認定の有効期限は1年です。
★3は特に中小企業を念頭に置いて設計されており、大規模な専門セキュリティチームを持たない企業でも、段階的な取り組みで対応できる水準となっています。制度の詳細な要求事項の文言・番号については、IPA公式ドキュメントを参照してください。
★3（基本）のスペック
- 要求事項数：26項目
- 評価基準数：83基準
- 認定有効期限：1年
- 対象：サプライチェーン参加企業全般・中小企業
- MFA要件：多要素認証の導入（TOTP・SMS OTP等も対応可）
- フィッシング耐性MFA：★3では必須ではない（★4で推奨）
★3と★4の比較
| 比較項目 | ★3（基本） | ★4（標準） |
|---|---|---|
| 要求事項数 | 26項目 | 56項目 |
| 評価基準数 | 83基準 | 157基準 |
| 有効期限 | 1年 | 3年 |
| MFA | TOTP・SMS OTP等で対応可 | フィッシング耐性MFA推奨（FIDO2） |
| PAM | 基本的な特権管理 | PAM（特権アクセス管理）必須 |
| 取引先管理 | 基本的な管理・契約での明示 | 定期的セキュリティ評価（年1回以上） |
| フィッシング訓練 | 推奨 | 必須 |
| 対象企業像 | 中小企業・サプライヤー全般 | 中堅〜大企業・重要インフラ関連 |
2. ★3の8分野と必須対策一覧
★3の26要求事項は、大きく8つの分野に分類できます。各分野における対策の概要を以下の表に整理します。なお、具体的な要求事項の番号・文言については、IPA公式ドキュメントをご確認ください。
| 分野 | 主な対策内容 | 難易度 | 優先度 |
|---|---|---|---|
| ①経営体制・ガバナンス | セキュリティ方針の策定・責任者の明確化 | 低 | 高 |
| ②資産管理 | IT資産台帳の整備・ソフトウェア管理 | 中 | 高 |
| ③ID管理・アクセス管理 | アカウント棚卸・最小権限の原則 | 中 | 高 |
| ④MFA（多要素認証） | 重要システムへのMFA導入 | 中 | 高 |
| ⑤取引先・委託先管理 | 委託契約でのセキュリティ要件明示 | 低〜中 | 中 |
| ⑥ログ管理・監視 | ログ取得・保存・定期確認 | 中 | 中 |
| ⑦インシデント対応 | 対応計画の策定・連絡体制の整備 | 低〜中 | 高 |
| ⑧教育・訓練 | 定期的なセキュリティ教育の実施 | 低 | 中 |
3. ①経営体制・組織ガバナンスの必須項目
経営体制・組織ガバナンス分野では、セキュリティ対策を「経営課題」として位置づけ、体制を整えることが求められます。技術的な対策の前提となる基盤部分であり、最初に整備すべき分野です。
主な必須項目
- 情報セキュリティ方針の策定・文書化：経営者が承認した情報セキュリティ方針を文書として整備し、全従業員に周知する。
- セキュリティ責任者の任命：情報セキュリティに関する責任者（CISO相当）を明確に定め、職務内容・権限を文書化する。
- セキュリティ対策の計画・実施・評価サイクル：年1回以上のセキュリティ対策の見直し・改善サイクル（PDCAに相当）を実施する。
- サプライチェーンリスクの認識：自社がサプライチェーンの一員として持つリスクを認識し、方針に反映する。
今すぐできる対策（中小企業向け）
- 1〜2ページの「情報セキュリティ基本方針」文書をWordで作成し、社長または代表者が署名。
- 「セキュリティ担当者」を社内で1名指名し、名刺・組織図に役割を明記。
- 年1回の「セキュリティ振り返りミーティング」を社内カレンダーに設定。
4. ②資産管理の必須項目
資産管理分野では、自社のIT資産（ハードウェア・ソフトウェア・データ）を把握・管理することが求められます。「何があるか分からない」状態では適切なセキュリティ対策が取れないため、セキュリティ対策の土台として重要です。
主な必須項目
- IT資産台帳の整備：PC・サーバー・ネットワーク機器・モバイル端末等のハードウェア資産を台帳に記録・管理する。
- ソフトウェア管理：業務で使用するソフトウェアの一覧を管理し、ライセンス状況・バージョン情報を把握する。
- 脆弱性管理：OSおよびソフトウェアのアップデート・パッチ適用を計画的に実施する。
- 廃棄・返却時のデータ消去：PCや記憶媒体を廃棄・返却する際のデータ消去手順を整備する。
今すぐできる対策（中小企業向け）
- Excelで資産台帳を作成：「機器名・シリアル番号・使用者・OS・最終パッチ適用日」の5列で十分。まずは記録することが重要。
- Windows Update・macOS更新の自動化：全端末でOSの自動更新を有効化するだけで脆弱性リスクを大幅に低減できる。
- 不要ソフトウェアのリストアップ：業務で使用していないソフトウェアをリストアップし、順次アンインストール。
IT資産管理ツールの活用
IT資産が多い場合は、IT資産管理ツールの導入が効率的です。Net PeaceのUPAS ZTAは、ネットワーク接続デバイスの自動検出・資産管理・セキュリティポリシー適用を一元化し、SCS評価制度の資産管理要件に対応します。詳細はこちら
5. ③ID管理・アクセス管理の必須項目
ID管理・アクセス管理分野は、★3の中でも特に重要な分野の一つです。不正アクセスの多くはID・パスワードの窃取・不正利用から始まるため、この分野の対策は直接的なインシデント防止効果があります。
主な必須項目
- アカウント棚卸の定期実施：全ユーザーアカウント（業務システム・クラウドサービス等）を定期的（最低年1回）に棚卸し、不要なアカウントを削除・無効化する。
- 最小権限の原則：各ユーザーに業務遂行に必要最低限の権限のみを付与し、不必要な管理者権限の付与を避ける。
- 退職・異動時のアカウント処理：退職者・異動者のアカウントを速やかに無効化・削除する手順を整備・実施する。
- 共有アカウントの廃止または管理：複数人で共有するアカウントを廃止し、個人アカウントに移行する（廃止困難な場合は利用記録の管理を徹底）。
- パスワードポリシーの整備：パスワードの複雑さ・長さ・更新頻度に関するポリシーを策定・適用する。
今すぐできる対策（中小企業向け）
- アカウント棚卸はExcelで可能：「システム名・ユーザー名・権限・最終利用日・在籍状況」の列で棚卸シートを作成。退職者アカウントの確認だけで大きなリスク低減になる。
- Microsoft 365/Google Workspaceの管理者権限確認：クラウドサービスの管理者権限保有者を確認し、必要最低限の人数に絞る。
- 退職時チェックリストの作成：「退職時にアカウント無効化→X日後に削除」という手順をチェックリスト化。HR担当との連携ルールを設定。
ID管理・アクセス管理の効率化にはKeyperが最適
Net PeaceのKeyperは、SCS評価制度★3で求められるアカウント棚卸・最小権限管理・退職者アカウント管理を自動化します。従業員のライフサイクルに合わせた自動プロビジョニング/デプロビジョニングで、管理コストを大幅に削減。
6. ④MFA（多要素認証）の必須項目
MFA（多要素認証）分野では、重要なシステム・サービスへのアクセスに対して多要素認証を導入することが求められます。
★3でのMFA要件
★3では、フィッシング耐性MFAは必須ではありません。TOTP（Google Authenticatorなどの認証アプリ）やSMS OTP（SMS送信のワンタイムパスワード）などの一般的な多要素認証でも対応可能です。ただし、TOTP・SMS OTPはフィッシング攻撃やSIMスワッピング攻撃に対して脆弱な面があるため、将来的なFIDO2/パスキーへの移行を強く推奨します。
フィッシング耐性MFA（FIDO2/パスキー推奨）は★4で求められる水準です。★3取得後に★4を目指す場合は、FIDO2対応の認証基盤への移行を計画に含めることが重要です。
主な必須項目
- 重要システムへのMFA導入：業務用メール（Microsoft 365・Google Workspace等）、VPN、クラウドサービス（AWS・Azure・GCP等）の管理コンソール等にMFAを設定する。
- MFA未対応システムの把握と対応計画：MFAが導入できていないシステムをリストアップし、対応計画を策定する。
- MFA設定の強制化：ユーザーが任意でMFAを無効化できないよう、管理者側でMFA必須設定を行う。
MFA方式の比較（★3・★4対応状況）
| MFA方式 | ★3対応 | ★4対応 | フィッシング耐性 | 導入コスト |
|---|---|---|---|---|
| SMS OTP | ○ | △（推奨されない） | 低（SIMスワップに脆弱） | 低 |
| TOTP（認証アプリ） | ○ | △（推奨されない） | 低〜中（フィッシングに脆弱） | 低 |
| FIDO2/パスキー | ○（推奨） | ○（推奨） | 高（フィッシング耐性） | 中 |
| ハードウェアキー（YubiKey等） | ○（推奨） | ○（推奨） | 高（フィッシング耐性） | 中〜高 |
NIST SP 800-63-4（2025年7月31日に正式発行）は、フィッシング耐性MFAの重要性を強調しており、長期的にはFIDO2/パスキーへの移行が業界標準となる方向性が示されています。★3取得と並行して、FIDO2対応の計画を立てることを推奨します。
7. ⑤取引先・委託先管理の必須項目
取引先・委託先管理分野では、自社が発注する委託先・取引先のセキュリティ管理が求められます。自社のセキュリティ対策がどれだけ優れていても、取引先が侵害された場合に自社への影響が及ぶリスクがあるためです。
主な必須項目（★3水準）
- 委託契約でのセキュリティ要件明示：情報処理・システム開発等を委託する際の契約書に、情報セキュリティに関する要件（守秘義務・データ取り扱い・インシデント報告義務等）を明記する。
- 委託先のセキュリティ対策確認：新規委託先選定時にセキュリティ対策の状況を確認する（質問票の提出要求等）。
- 再委託の管理：委託先が業務を再委託する場合の許可ルールと管理方針を定める。
今すぐできる対策（中小企業向け）
- 既存委託先契約の確認：現在の委託先契約に守秘義務・情報取り扱いルールが含まれているか確認し、不足があれば覚書等で補完。
- 新規委託先向けセキュリティ質問票の作成：「MFAを導入していますか」「定期的なセキュリティ教育を実施していますか」などシンプルな確認項目を設けるだけでも有効。
8. ⑥ログ管理・監視の必須項目
ログ管理・監視分野では、セキュリティインシデントの検知・事後調査に必要なログの取得・保存・確認が求められます。
主な必須項目（★3水準）
- 重要システムのログ取得：業務用システム・クラウドサービスの認証ログ（ログイン・ログアウト・失敗記録）を取得・保存する。
- ログの保存期間の設定：取得したログを一定期間（最低3ヶ月以上、可能であれば1年以上）保存する。
- ログの定期確認：定期的（月1回以上）にログを確認し、不審なアクセスがないかチェックする。
- ログの改ざん防止：ログデータへの不正アクセス・改ざんを防止する措置を取る（★4ではより厳格な要件が求められる）。
今すぐできる対策（中小企業向け）
- Microsoft 365・Google Workspaceの監査ログを有効化：管理コンソールから監査ログの有効化と保存期間の設定（90日以上）を行う。これだけでも多くの要件を満たせる。
- 月次のログ確認ルーティン化：毎月1回、異常なログイン（失敗多数・深夜アクセス・海外IPからのアクセス等）がないかを確認する作業を担当者のカレンダーに設定。
9. ⑦インシデント対応の必須項目
インシデント対応分野では、サイバーインシデントが発生した際に迅速・適切に対応できる体制の整備が求められます。事前の計画と体制があるかどうかで、被害の拡大を大きく左右します。
主な必須項目（★3水準）
- インシデント対応計画の策定：インシデント発生時の対応手順（検知→報告→初動対応→調査→復旧→事後対応）を文書化する。
- 連絡体制の整備：インシデント発生時の社内外の連絡先（経営者・情報システム担当・外部委託先・JPCERT/CC等）をまとめた連絡リストを整備する。
- 取引先・顧客への報告ルールの設定：インシデント発生時に取引先・顧客に報告すべき条件・タイミング・内容のルールを定める。
- バックアップ・リカバリ体制：重要データの定期的なバックアップと、バックアップからの復旧手順を整備する。
今すぐできる対策（中小企業向け）
- A4一枚の「インシデント対応フロー」を作成：「ランサムウェアに感染したら：①ネットワークから切断→②担当者に連絡（電話番号XXX）→③経営者に報告→④外部専門家に相談」という流れを記述するだけでも対策として有効。
- バックアップの確認：現在のバックアップが機能しているかを確認。特にクラウドのファイルが自動同期される場合、ランサムウェアによる暗号化がクラウドにも反映される危険があるため、隔離バックアップの仕組みを検討する。
10. ⑧教育・訓練の必須項目
教育・訓練分野では、全従業員を対象とした定期的なセキュリティ教育の実施が求められます。技術的な対策だけでなく、人的な側面からのセキュリティ強化が目的です。
主な必須項目（★3水準）
- 定期的なセキュリティ教育の実施：全従業員を対象に、年1回以上のセキュリティ教育（座学・e-learning等）を実施する。
- 教育内容の記録：教育実施日・参加者・内容の記録を保管する。
- 新入社員へのセキュリティ教育：入社時に情報セキュリティに関する基本教育を実施する。
- フィッシング訓練（★3では推奨）：フィッシングメール訓練は★3では必須ではなく推奨ですが、★4では必須となります。早期に訓練を取り入れることで、従業員のセキュリティ意識向上に効果的です。
今すぐできる対策（中小企業向け）
- IPA提供の無料教育資材を活用：IPAは無料のセキュリティ教育教材を多数公開しています。「情報セキュリティ10大脅威」など、わかりやすい資料を使った社内勉強会を年1回開催するだけで要件を満たせます。
- 教育実施記録の保管：「YYYY年MM月DD日、全員参加、テーマ：フィッシング詐欺の見分け方」という簡単な記録をExcelやNotionで保管。
11. ★3取得に向けた優先順位と実施スケジュール
限られたリソースの中でSCS評価制度★3取得を目指すためには、効果と難易度を考慮した優先順位付けが重要です。
対策の実施優先順位マトリクス（効果×難易度）
| 対策内容 | セキュリティ効果 | 実施難易度 | 優先順位 | 推奨時期 |
|---|---|---|---|---|
| セキュリティ方針の策定・責任者任命 | 中 | 低 | S（最優先） | 今すぐ |
| 退職者アカウントの棚卸・無効化 | 高 | 低 | S（最優先） | 今すぐ |
| 主要システムへのMFA導入 | 高 | 低〜中 | S（最優先） | 1ヶ月以内 |
| インシデント対応計画の策定 | 高 | 低 | A（高優先） | 1〜2ヶ月 |
| IT資産台帳の整備 | 中 | 中 | A（高優先） | 1〜3ヶ月 |
| ログ取得・保存の設定 | 中 | 低〜中 | A（高優先） | 1〜2ヶ月 |
| セキュリティ教育の実施 | 中 | 低 | B（中優先） | 3〜6ヶ月 |
| 委託先契約のセキュリティ要件確認 | 中 | 低〜中 | B（中優先） | 3〜6ヶ月 |
| ソフトウェア脆弱性管理の仕組み化 | 高 | 中〜高 | B（中優先） | 3〜6ヶ月 |
推奨実施スケジュール（6ヶ月プラン）
| 時期 | 主な作業内容 |
|---|---|
| Month 1 | ギャップ分析の実施、セキュリティ方針策定、責任者任命、退職者アカウント棚卸 |
| Month 2 | MFA導入（主要システム）、ログ取得設定、インシデント対応計画の骨格作成 |
| Month 3 | IT資産台帳整備、アカウント全棚卸・権限見直し、インシデント対応計画の完成 |
| Month 4 | セキュリティ教育の実施、委託先契約確認、バックアップ体制の確認・強化 |
| Month 5 | 全要求事項の充足状況確認、不足項目の対応、証跡ドキュメントの整備 |
| Month 6 | 内部確認・模擬審査、評価申請の準備 |
12. よくある質問（FAQ）
Q1. ★3の審査にかかる費用はどのくらいですか？
審査費用については、SCS評価制度の正式開始後にIPAより公表される予定です。現時点では公式な費用情報が公開されていないため、IPA公式ページをご確認ください。なお、審査費用とは別に、対策実施のための社内工数・ツール導入費用・外部コンサルティング費用が発生する場合があります。
Q2. ★3の審査にはどのくらいの期間がかかりますか？
審査プロセスの詳細（期間・方法）は制度開始後にIPAより公表される予定です。対策実施から申請・審査完了までの総期間は、自社の現状によって異なりますが、対策が十分でない企業では準備だけで6ヶ月〜1年程度かかる場合があります。早めに準備を開始することを推奨します。
Q3. ★3の評価はセルフアセスメントですか、それとも第三者審査ですか？
審査方式の詳細については制度開始後にIPAより公表される予定です。IPA公式ドキュメントを参照してください。
Q4. ★3だけで十分ですか？★4も取得すべきですか？
中小企業でサプライチェーンの一員として活動している場合、まず★3取得を目標にすることが現実的です。ただし、政府調達への参加・重要インフラ関連の取引・大手企業からの高セキュリティ要求がある場合は、★4取得を視野に入れた計画が重要です。★3取得後のステップアップについては、★4ガイド記事をご参照ください。
Q5. ISO 27001と★3はどう違いますか？
ISO 27001は情報セキュリティマネジメントシステム（ISMS）の国際規格で、組織全体の情報セキュリティマネジメントの仕組みを評価します。SCS評価制度★3はサプライチェーンセキュリティに特化した評価制度で、特に取引先・委託先管理やID管理・MFAなど、サプライチェーン攻撃に対応するための具体的な技術的対策を中心に評価します。ISO 27001取得済みの企業はSCS★3への対応を進めやすい環境にありますが、具体的な対応関係はIPA公式ドキュメントでご確認ください。
13. まとめ
SCS評価制度★3（基本）は、26要求事項・83評価基準・有効期限1年の制度で、中小企業がサプライチェーンセキュリティの基本水準を証明するための制度です。
★3取得のポイントをまとめると：
- 経営体制・ガバナンス、資産管理、ID管理、MFA、取引先管理、ログ管理、インシデント対応、教育の8分野をカバー。
- MFAはTOTP・SMS OTPでも対応可能だが、将来的なFIDO2移行を推奨。
- フィッシング耐性MFAは★3では必須ではないが★4では推奨水準。
- 多くの対策はExcelや無料ツールを活用した「今すぐできる対策」から始めることができる。
- 優先順位を決め、6ヶ月程度の計画的な取り組みで取得を目指す。
Net Peaceでは、★3取得に必要なID管理・MFA・IT資産管理を一元化するKeyperとUPAS ZTAを提供しています。まずは無料のギャップ分析診断からお気軽にご相談ください。