1. ★4（標準）の概要：56要求事項・157評価基準・3年有効
SCS評価制度の★4（標準）は、★3（基本）の上位に位置する評価レベルです。56の要求事項と157の評価基準で構成され、認定の有効期限は3年です。
★4は★3の要求事項をすべて含んだうえで、より高度なセキュリティ対策を追加で求める水準です。政府調達、重要インフラ関連取引、大手企業の中核サプライヤーとして活動する企業にとって、★4取得は今後の取引継続・拡大において重要な要素となる可能性があります。
なお、本記事の内容はIPA公式ドキュメントおよび経済産業省の発表を基に作成していますが、具体的な要求事項の番号・文言については必ずIPA公式ドキュメントをご確認ください。
★4（標準）のスペック
- 要求事項数：56項目（★3の26項目を内包）
- 評価基準数：157基準（★3の83基準を内包）
- 認定有効期限：3年（★3の1年より長期）
- 対象：中堅〜大企業・重要インフラ関連企業・政府調達参加企業
- MFA要件：フィッシング耐性MFA（FIDO2/パスキー推奨）
- PAM：特権アクセス管理の整備が必要
2. ★3と★4の決定的な違い（比較表）
★3と★4の主な違いを以下の表に整理します。★4は★3の全要件を包含しているため、★3取得済み企業はそこからの「差分対応」でステップアップが可能です。
| 比較項目 | ★3（基本） | ★4（標準） |
|---|---|---|
| 要求事項数 | 26項目 | 56項目（★3を内包） |
| 評価基準数 | 83基準 | 157基準（★3を内包） |
| 有効期限 | 1年 | 3年 |
| MFA要件 | TOTP・SMS OTP等で対応可 | フィッシング耐性MFA推奨（FIDO2） |
| PAM（特権アクセス管理） | 基本的な管理 | PAM必須 |
| IDライフサイクル管理 | 手動管理でも可 | 自動プロビジョニング/デプロビジョニング推奨 |
| 取引先・委託先管理 | 基本的な管理・契約条項での明示 | 定期的セキュリティ評価（年1回以上）必須 |
| サプライチェーンリスク管理方針 | 方針の認識 | 組織全体のリスク管理方針として文書化・運用 |
| セキュリティ監視 | ログ確認（定期） | セキュリティイベント監視・検知体制の整備 |
| ログ改ざん防止 | 基本的な保護 | ログ改ざん防止措置の強化 |
| フィッシング訓練 | 推奨 | 必須 |
| インシデント検知体制 | 発生後の対応計画 | インシデント検知・被害拡大防止手順の整備 |
| 主な対象企業 | 中小企業・サプライヤー全般 | 中堅〜大企業・重要インフラ・政府調達参加企業 |
3. ★4で新たに追加される主要要件
★4では★3の要件に加え、以下の分野で新たな・より高度な要件が追加されます。これらは★3では対応不要だったか、もしくは推奨レベルだったものが必須となる項目です。
★4で必須となる主な追加要件
- サプライチェーン全体のリスク管理方針の策定・運用：自社のサプライチェーン全体を視野に入れたリスク管理方針を文書化し、定期的に見直す。
- 委託先の定期的セキュリティ評価（年1回以上）：重要な委託先・取引先に対して年1回以上のセキュリティ評価（質問票・現地確認等）を実施し、結果を記録・改善に活用する。
- IDライフサイクル管理の高度化：従業員・委託先スタッフのアカウント作成から削除までのライフサイクルを自動化または厳格なプロセスで管理する。入社・異動・退職に合わせた自動プロビジョニング/デプロビジョニングが推奨される。
- PAM（特権アクセス管理）の整備：管理者権限・特権アカウントを専用のPAMツールまたは厳格なプロセスで管理し、特権操作の記録・監査を実施する。
- フィッシング耐性MFA（FIDO2/パスキー推奨）：重要システムへのアクセスにフィッシング耐性のある多要素認証（FIDO2準拠のハードウェアキー・パスキー等）を導入する。
- ログ改ざん防止・セキュリティイベント監視：ログデータの改ざん防止措置を強化し、不審なセキュリティイベントをリアルタイムまたは準リアルタイムで検知できる体制を整備する。
- インシデント検知体制・被害拡大防止手順：インシデントを早期に検知するための仕組みと、被害が拡大しないための初動対応手順（ネットワーク隔離・影響範囲の特定等）を整備する。
- フィッシング訓練の必須化：★3では推奨だったフィッシングメール訓練が★4では必須となる。年1回以上の実施と結果の記録・分析が求められる。
★4準備における注意点
★4の要求事項の具体的な番号・文言・審査基準については、IPA公式ドキュメントをご参照ください。本記事に記載した要件の分類・表現は、制度の趣旨に基づく解説であり、IPA公式の文言とは異なる場合があります。
4. 取引先・委託先管理の強化要件
★4では、取引先・委託先管理がより高度な水準で求められます。これはサプライチェーン全体のリスク低減が★4の主要目的の一つであるためです。
★4の取引先管理要件の詳細
サプライチェーンリスク管理方針
自社のサプライチェーン（一次・二次委託先を含む）全体のサイバーセキュリティリスクを把握・管理するための方針を文書化します。方針には、重要な委託先の特定基準、リスク評価の頻度・方法、評価結果に基づく対応方針が含まれる必要があります。
委託先の定期的セキュリティ評価
重要な委託先に対して、年1回以上のセキュリティ評価を実施します。評価方法としては以下が考えられます：
- セキュリティ質問票（アンケート）の実施・回答確認
- 委託先が取得しているセキュリティ認証（SCS評価・ISO 27001等）の確認
- 現地監査（重要度の高い委託先に対して）
- 委託先が提供するセキュリティレポートの確認
評価結果を記録し、リスクが高いと判断された場合は改善要求・契約条件の見直しを行います。
再委託先（二次委託先）の管理
委託先が業務を再委託する場合の管理要件が強化されます。重要な業務については、再委託先に対しても一定のセキュリティ水準を求める契約条件の整備が必要です。
実務対応のポイント
- 委託先一覧を整備し「重要度」でランク付けし、評価頻度・方法を決定する。
- 委託先向けのセキュリティ質問票テンプレートを作成・標準化する。
- 委託先のSCS評価制度取得状況を確認する仕組みを整備する（将来的には★3取得を委託先に要求する大企業が増える可能性）。
5. ID管理・PAM（特権アクセス管理）要件
★4ではID管理・アクセス管理の要件が大幅に強化され、特にPAM（特権アクセス管理）とIDライフサイクル管理の自動化が求められます。
IDライフサイクル管理の高度化
★3では手動管理でも対応可能だったIDライフサイクル管理が、★4ではより体系的・自動化された管理が推奨されます：
- 自動プロビジョニング：従業員の入社・異動時に、役職・部署に応じた権限が自動的に付与される仕組みを整備。
- 自動デプロビジョニング：退職・異動時に関連する全システムのアクセス権限が自動的・漏れなく削除・変更される仕組みを整備。
- 定期的なアクセス権限レビュー：全ユーザーのアクセス権限を定期的（少なくとも年1回、重要システムは半年ごと）にレビューし、過剰な権限を削除。
- 役割ベースアクセス制御（RBAC）：個々のユーザーに直接権限を付与するのではなく、役職・業務役割に基づいた権限グループ（ロール）を定義し管理を効率化。
PAM（特権アクセス管理）
PAMは、システム管理者・データベース管理者・ネットワーク管理者等が保有する「特権アカウント」を専用の仕組みで管理するセキュリティ対策です。特権アカウントの不正利用は甚大な被害をもたらすため、★4ではその厳格な管理が求められます。
PAMで求められる主な機能・対策
- 特権アカウントの棚卸・管理：組織内のすべての特権アカウントを洗い出し、一元管理する。
- 特権アクセスの記録・監査：特権操作（サーバーへのログイン・設定変更・データアクセス等）を記録し、定期的に監査する。
- 特権パスワードの管理：特権アカウントのパスワードを定期的に変更・ランダム化し、PAMシステムで管理する。
- 最小権限の徹底：特権アカウントを日常業務には使用せず、必要な時のみ使用する「最小権限の原則」を徹底する。
- 特権アクセスへのMFA必須：すべての特権アクセスにフィッシング耐性MFAを必須化する。
★4のID管理・PAM・FIDO2をKeyperで一元化
Net PeaceのKeyperは、SCS評価制度★4で求められるIDライフサイクル管理（自動プロビジョニング/デプロビジョニング）・PAM・FIDO2認証を一つのプラットフォームで提供します。★3から★4へのステップアップを最短ルートで実現します。
6. フィッシング耐性MFA（FIDO2推奨）
★4で最も注目すべき要件の一つが、フィッシング耐性MFAの導入推奨です。従来の多要素認証（TOTP・SMS OTP等）では防御できないフィッシング攻撃に対応するため、FIDO2/パスキーなどのフィッシング耐性MFAが求められます。
フィッシング耐性MFAが必要な理由
従来のMFA（TOTP・SMS OTP）は、フィッシングサイトを使った「リアルタイムフィッシング（中間者攻撃）」に対して脆弱です。攻撃者は偽サイトに誘導し、ユーザーが入力したTOTPコードを即座に本物サイトで使用することで認証を突破できます。
これに対してFIDO2/パスキーは、認証が接続先のドメインと暗号学的に紐づけられているため、偽サイトでは認証が成立しません。フィッシング攻撃に対して技術的な防御を提供する唯一のMFA方式です。
NIST SP 800-63-4との関連
NIST SP 800-63-4（2025年7月31日正式発行）は、デジタルアイデンティティのガイドラインを定める米国の権威ある規格で、フィッシング耐性MFAの重要性を強調しています。政府調達・重要インフラ分野では、NIST SP 800-63-4の基準が世界標準として参照されており、日本のSCS評価制度★4のフィッシング耐性MFA要件もこの国際的な流れと整合しています。
FIDO2/パスキーの仕組みと導入方法
FIDO2は、パスワードを使わずに公開鍵暗号方式で認証を行うオープンな国際標準規格（FIDO Alliance・W3C WebAuthn）です。パスキーはFIDO2を一般消費者向けに使いやすくした実装形態で、主要なOS・ブラウザ・デバイスが標準でサポートしています。
FIDO2認証の主な実装方式
| 方式 | 具体例 | フィッシング耐性 | 導入コスト | ユーザビリティ |
|---|---|---|---|---|
| パスキー（デバイスバウンド） | Windows Hello・Touch ID・Face ID | 高 | 低（OSに内蔵） | 高（生体認証で簡単） |
| パスキー（クラウド同期） | Apple・Google・Microsoftのパスキー管理 | 高 | 低 | 高（複数端末で利用可） |
| ハードウェアセキュリティキー | YubiKey・Google Titan Key | 最高 | 中（1本3,000〜10,000円程度） | 中（物理キーの管理が必要） |
企業向けFIDO2導入の実務的なアプローチ
- まず管理者アカウントから：全社展開の前に、特権アカウント・管理者アカウントからFIDO2導入を開始する。
- 既存IdPとの統合：Microsoft Entra ID（Azure AD）・Okta・KeyperなどのIdPがFIDO2をサポートしており、既存の認証基盤との統合が可能。
- 段階的な移行計画：全社一斉移行は混乱を招くため、部署・システムごとの段階的移行計画を策定する。
- フォールバック手段の整備：デバイス紛失・故障時のアカウント回復手順を事前に整備する。
7. セキュリティ監視・インシデント検知要件
★4では、セキュリティ監視とインシデント検知の要件が★3より大幅に強化されます。「インシデントが起きたら対応する」から「インシデントを早期に検知し、被害拡大を防ぐ」への転換が求められます。
セキュリティイベント監視の要件
- 重要システムのリアルタイム監視：認証ログ・ネットワークトラフィック・エンドポイントのセキュリティイベントをリアルタイムまたは準リアルタイムで監視する仕組みを整備する。
- アラート設定：不審な認証試行（短時間での多数の失敗・通常と異なる時間・IPからのアクセス等）に対するアラートを設定する。
- 定期的なセキュリティレビュー：収集したセキュリティイベントを定期的にレビューし、脅威の兆候を確認する。
ログ改ざん防止の強化
- ログの書き込み専用設定：ログファイルへの追記のみを許可し、編集・削除ができない設定を施す。
- ログの外部保存：ログを本番システムとは別の環境（専用のログ管理サーバー・クラウドストレージ等）に保存することで、本番システムへの侵害がログにも及ぶことを防ぐ。
- ログの完全性検証：可能であれば、ログの改ざんを検知できるハッシュ検証等の仕組みを導入する。
インシデント検知・被害拡大防止手順
- インシデント検知のトリガー定義：「どのような状態をインシデントと判定するか」の基準を文書化する。
- 初動対応手順の整備：インシデント検知から初動対応（隔離・証跡保全・報告）までの具体的な手順書を整備する。
- 被害拡大防止手順：感染端末・侵害されたアカウントの迅速な隔離・無効化手順を整備し、演練（机上訓練・実地訓練）を実施する。
- フォレンジック対応の基礎：インシデント後の原因調査に必要な証跡（ログ・ネットワーク記録等）を適切に保全できる体制を整備する。
8. ★3から★4へのステップアップロードマップ
★3取得後に★4を目指す場合のステップアップロードマップを、3ヶ月・6ヶ月・1年の3段階で提示します。各企業の現状によって実際の対応内容・期間は異なりますので、まずは自社のギャップ分析を行うことをお勧めします。
Phase 1（1〜3ヶ月）：基盤整備と優先度の高い追加対策
| 対策内容 | 担当 | ポイント |
|---|---|---|
| ★4向けギャップ分析の実施 | 情報システム部門・外部支援 | ★3との差分要件を全て洗い出す |
| 管理者アカウントへのFIDO2導入 | 情報システム部門 | まず特権アカウントから開始 |
| PAMツールの選定・評価開始 | 情報システム部門 | Keyperや既存IdPのPAM機能を評価 |
| 委託先一覧の整備・重要度分類 | 調達・法務部門 | 年次評価対象委託先を特定 |
| セキュリティ監視ツールの評価 | 情報システム部門 | Microsoft Sentinel・Splunk等を検討 |
Phase 2（4〜6ヶ月）：主要要件の実装
| 対策内容 | 担当 | ポイント |
|---|---|---|
| FIDO2の全社展開（段階的） | 情報システム部門 | 重要部署・システムから順次展開 |
| PAMの本格導入・運用開始 | 情報システム部門 | 特権操作の記録・監査体制を構築 |
| IDライフサイクル管理の自動化 | 情報システム・HR部門 | 入退社・異動の自動プロビジョニング整備 |
| 委託先セキュリティ評価の実施（初回） | 調達・法務部門 | 質問票の送付・回答確認・記録保管 |
| セキュリティ監視ツールの導入・設定 | 情報システム部門 | 重要システムのログをSIEMに統合 |
| フィッシング訓練の初回実施 | 情報システム・人事部門 | 結果を分析し、教育に活用 |
Phase 3（7〜12ヶ月）：仕上げ・評価申請準備
| 対策内容 | 担当 | ポイント |
|---|---|---|
| インシデント対応手順の強化・演練 | 情報システム・全部門 | ★4水準での机上訓練・実地演練を実施 |
| ログ改ざん防止措置の強化 | 情報システム部門 | 外部ログ保存・書き込み専用設定 |
| サプライチェーンリスク管理方針の文書化 | 経営・情報システム部門 | 経営承認の取得 |
| 全要求事項の充足確認・証跡整備 | 情報システム部門・外部支援 | 56要求事項×157評価基準の充足を確認 |
| ★4評価申請 | 情報システム部門 | IPA公式ページで手続きを確認 |
9. ★4取得のビジネスメリット
★4取得は、セキュリティ強化にとどまらない多様なビジネスメリットをもたらします。
政府調達・重要インフラ分野での戦略的価値
政府調達において、SCS評価制度の認定取得が入札条件・加点要素として組み込まれる可能性があります。特に★4は、政府のIT調達・防衛関連調達・重要インフラ事業者との取引において高い信頼性の証明となります。
電力・ガス・通信・金融・医療等の重要インフラ事業者は、経済安全保障推進法に基づきサプライチェーンのセキュリティ強化が求められており、★4認定取得はこれらの分野への参入・継続取引の重要な条件となる可能性があります。
長期的なコスト効率
★3の有効期限1年に対して★4は3年です。更新審査のコスト・工数が削減できることに加え、一度体制を整えることでセキュリティ運用が安定し、長期的なセキュリティ維持コストの効率化が期待できます。
グローバル取引での信頼性向上
NIST SP 800-63-4準拠のフィッシング耐性MFA、PAM、IDライフサイクル管理といった★4の要件は、米国CMMC Level 2以上の要件とも多くの共通点を持ちます。★4取得はグローバルな取引においても、自社のセキュリティ水準の高さを証明する指標となります。
サイバー保険への好影響
近年、サイバー保険の引き受けや保険料に影響する要素として、フィッシング耐性MFAの導入・PAMの整備が保険会社から求められるケースが増えています。★4で求められる対策は、サイバー保険条件の改善に直結する可能性があります。
国際標準との整合性
★4の要件はNIST SP 800-63-4（2025年7月31日正式発行）やISO/IEC 27001の最新版と整合した内容が含まれています。グローバルな取引でこれらの国際標準への対応を求められる企業にとって、★4取得はその証明として機能します。詳細な対応関係についてはIPA公式ドキュメントをご参照ください。
10. よくある質問（FAQ）
Q1. ★4の審査費用はどのくらいですか？
審査費用については、SCS評価制度の正式開始後にIPAより公表される予定です。現時点では公式な費用情報が公開されていないため、IPA公式ページをご確認ください。★4は★3より高度な要件であるため、対策実施のための投資（PAMツール導入・FIDO2認証基盤整備・監視ツール導入等）が★3より大きくなることが想定されます。
Q2. ★3を取得していなくても★4に直接申請できますか？
★4は★3の全要件を包含するため、★4取得には★3の26要求事項・83評価基準への対応も含まれます。★3を先に取得してから★4を目指す段階的アプローチが、多くの企業にとって現実的です。ただし、審査プロセスの詳細（★3の取得が★4申請の前提条件かどうか等）については、IPA公式ページで制度開始後にご確認ください。
Q3. FIDO2/パスキーへの移行はどのくらいの期間・費用がかかりますか？
FIDO2/パスキーへの移行期間・費用は、現在の認証基盤・システム数・ユーザー数によって大きく異なります。Microsoft Entra IDやKeyperなど多くのIdPがFIDO2を標準サポートしているため、既存IdPを利用している場合は比較的低コスト・短期間での導入が可能です。まずは管理者アカウント（10〜20名程度）への先行導入で数週間〜1ヶ月程度で実現できます。全社展開は段階的に進め、3〜6ヶ月での完了を目安にすることを推奨します。
Q4. PAMはどのようなツールを使えばよいですか？
PAMツールは様々な製品があります。Net PeaceのKeyperはSCS評価制度対応を念頭に置いたID管理・FIDO2・PAM機能を提供しています。ツール選定に際しては、自社のシステム環境・規模・予算・既存IdPとの統合性を考慮することが重要です。Net Peaceへのご相談で、お客様の環境に合わせた最適なソリューションをご提案いたします。
Q5. ★4は中小企業でも取得できますか？
★4は「中小企業には難しい」と思われがちですが、取引先の要求や業種・ポジションによっては中小企業でも★4を目指す意義があります。ただし、PAMやセキュリティ監視ツールの導入など、相応の投資と体制整備が必要です。外部のマネージドセキュリティサービス（MSSP）や、Keyperのようなマルチ機能製品を活用することで、専任のセキュリティチームがいない中小企業でも効率的な★4対応が可能です。まずは無料診断にてご相談ください。
11. まとめ
SCS評価制度★4（標準）は、56要求事項・157評価基準・有効期限3年の制度で、政府調達・重要インフラ・グローバル取引における高度なセキュリティ水準の証明となります。
★4取得のポイントをまとめると：
- ★3（26要求事項・83評価基準・1年）の全要件に加え、30の追加要求事項と74の追加評価基準が必要。
- ★4固有の主要要件：サプライチェーンリスク管理方針、委託先年次評価、IDライフサイクル自動管理、PAM、フィッシング耐性MFA（FIDO2推奨）、ログ改ざん防止、セキュリティ監視、インシデント検知・被害拡大防止、フィッシング訓練必須化。
- NIST SP 800-63-4（2025年7月31日正式発行）のフィッシング耐性MFA要件と整合。
- ★3取得後、1年間のステップアップ計画（3フェーズ）で★4取得を目指せる。
- 政府調達・重要インフラ分野での戦略的価値と、3年有効期限による更新コスト削減が主なビジネスメリット。
Net PeaceのKeyperは、★4で求められるFIDO2認証・PAM・IDライフサイクル管理を一元的に提供し、★4取得に向けた対策を効率化します。また、UPAS ZTAはIT資産管理・ネットワークセキュリティ分野でSCS評価制度対応をサポートします。
★4取得に向けたギャップ分析や実施計画の策定について、Net Peaceへの無料相談をぜひご活用ください。