※本稿は、2026年8月30日時点でIPAが公開している資料に基づいています。今後、登録申請の手引や自己評価等ガイドなどが追加・改定された場合は、最新資料を確認してください。

「SCS評価制度は、一度登録できれば、その後はしばらく何もしなくてよいのでしょうか」

制度の説明を聞くと、まず「どうすれば登録できるか」に目が向きます。しかし、登録はゴールではありません。登録後も対策を続け、その状況を定期的に確認できる仕組みが必要です。

IPAは2026年8月28日、サプライチェーン強化に向けたセキュリティ対策評価制度、いわゆるSCS評価制度の「SCS-100 基本規程」を公開しました。★3・★4の運用開始は2027年3月頃が予定されていますが、今回の基本規程によって、登録手続、有効期間、更新、登録取消しなど、制度を継続して運用するための基本ルールが明確になりました。

ここで特に押さえておきたいのは、SCS評価制度は「一度だけ審査を受けて終わる制度」ではないという点です。★3は毎年、★4も毎年の確認が必要です。

登録を目標にするだけでなく、登録後も無理なく続けられる運用を今から作っておく必要があります。

基本規程で何が決まったのか

基本規程は、登録を希望する組織、SCSセキュリティ専門家、評価機関、技術検証事業者、研修事業者、制度運営機関など、制度を構成する関係者に共通する基本事項を定めた文書です。

★3では、企業が要求事項・評価基準に基づいて自己評価を行い、★3確認責任者が内容の妥当性を確認し、確認した旨を署名で示します。その後、企業自身が自己適合宣言を行い、IPAへ登録を申請する流れです。

★4では、企業による自己評価と自己適合宣言に加え、指定された評価機関による第三者評価を受けます。評価機関が適合と判断した場合に、企業がIPAへ登録を申請します。

基本規程が2026年8月28日に施行されたことと、企業向けの登録受付が始まったことは同じではありません。IPAのFAQでは、★3・★4の運用開始は2027年3月頃の予定とされています。

現時点では、申請開始を待ちながら、要求事項への対応と証跡整備を進める段階です。

★3と★4では、更新の仕組みが違う

項目★3★4
有効期間登録完了の通知日から1年間登録完了の通知日から3年間
有効期間中の主な対応満了日前に自己評価を更新1年ごとに自己評価を実施し、評価機関へ提出
変更があった場合変更の有無にかかわらず更新が必要適用範囲の変更や、達成状況へ顕著な影響を及ぼす変更があれば再評価
更新時の外部確認★3確認責任者の確認・助言3年ごとに第三者評価
満了日前に申請した場合審査完了まで登録の効力を継続審査完了まで登録の効力を継続

「★4は3年間有効だから、3年間は何もしなくてよい」という理解は正しくありません。★4でも、毎年の自己評価が必要です。

★3は「変更なし」でも毎年更新する

★3の有効期間は、登録完了の通知日から1年間です。

更新を希望する企業は、登録内容に変更があったかどうかにかかわらず、有効期間が満了する前に、要求事項の遵守状況を確認しなければなりません。そのうえで、★3確認責任者の確認と助言を受けた自己評価の更新版をIPAへ提出します。

つまり、「昨年と同じ環境なので、昨年の自己評価をそのまま提出する」という運用では不十分です。

この1年間で、次のような点が変わっていないかを確認する必要があります。

  • 従業員の入退社や異動に伴い、アカウントや権限が変わった
  • パソコン、サーバー、ネットワーク機器を入れ替えた
  • 新しいクラウドサービスを利用し始めた
  • 委託先や保守会社を変更した
  • 情報セキュリティ規程や対応手順を改定した
  • バックアップ、教育、点検、訓練などの記録が更新されている
  • インシデントやヒヤリ・ハットを受けて対策を変更した

これは基本規程に列挙された更新用チェックリストではなく、実務上確認しておきたい例です。自社の適用範囲と要求事項に沿って、確認対象を決めてください。

また、満了日前に自己評価の更新版を提出していれば、更新審査が有効期限をまたいだ場合でも、審査が完了するまで登録の効力を有するものとして扱われます。

ただし、期限直前に準備を始めると、専門家の確認や指摘事項への対応が間に合わない可能性があります。制度上の提出期限とは別に、社内では満了日の2～3か月前を着手日として管理する方法が現実的です。

この2～3か月という期間は、基本規程で定められた期限ではありません。自社の規模、確認対象、外部専門家との調整期間に応じて設定してください。

★4は「3年ごとの審査」と「毎年の自己評価」を分けて考える

★4の有効期間は3年間ですが、登録組織は1年ごとに自己評価を実施し、その結果を評価機関へ提出しなければなりません。

さらに、前回登録時に設定した適用範囲が変わった場合や、要求事項・評価基準の達成に顕著な影響を及ぼす変更があった場合は、3年後の更新を待たず、改めて評価機関の評価を受け、その結果をIPAへ提出する必要があります。

基本規程には、「顕著な影響を及ぼす変更」の具体例までは列挙されていません。したがって、どの変更が再評価に該当するかを、企業だけで断定するべきではありません。

次のような変更がある場合は、再評価の要否を評価機関へ早めに確認する運用が安全です。

  • 主要システムを自社運用からクラウドへ移行した
  • ネットワーク構成や認証基盤を大きく変更した
  • 評価対象に含める事業所や部門を追加・廃止した
  • 合併、事業譲渡、組織再編により管理体制が変わった
  • 重要な業務の運用や保守を新しい委託先へ移した
  • 重大なインシデントを受け、対策や適用範囲を見直した

これらは公式に示された再評価事例ではなく、影響の有無を検討すべき実務上の例です。最終的な扱いは、今後公開されるガイドや評価機関の確認に従う必要があります。

3年目の更新時には、再び第三者評価を受け、有効期間の満了日前に、その結果を添えてIPAへ更新申請を行います。

★4では「毎年の自己評価」と「3年ごとの第三者評価」を別の予定として管理することが重要です。

登録内容をよく見せることより、事実を正確に残す

基本規程では、虚偽申請や情報隠蔽などの不正行為が確認された場合、IPAは事実確認を行い、必要に応じて弁明の機会を設けたうえで、登録を取り消すことができるとしています。

一方で、単純な誤記や軽微なミスが直ちに取消しになるとは書かれていません。

重要なのは、自社の対策状況を実態より良く見せることではなく、実施状況を正確に確認し、証拠を残すことです。

未完了の作業があるなら、完了したことにせず、担当者、期限、是正内容を社内で管理します。申請時には、要求事項への適合を確認したうえで、企業自身が自己適合宣言を行います。

外部専門家の確認や評価を受ける場合でも、最終的な説明責任を外部へ丸投げすることはできません。

中小企業が今から作りたい「更新管理表」

ここからは、基本規程に定められた公式様式ではなく、登録後の更新を続けるための実務上の準備案です。

更新管理表には、少なくとも次の項目を記録しておくと管理しやすくなります。

管理項目記録する内容
登録情報★の段階、登録日、有効期限
適用範囲対象となる部門、事業所、IT基盤、クラウド環境
年間予定自己評価開始日、社内確認日、専門家・評価機関への依頼日、提出予定日
担当者経営責任者、社内担当者、資料作成者、外部確認先
変更履歴システム、ネットワーク、クラウド、委託先、組織、規程の変更
証跡規程、台帳、設定記録、点検記録、教育記録、バックアップ・復旧記録
課題管理未完了事項、是正内容、担当者、期限、完了確認日
外部連絡先★3確認責任者または評価機関の担当者、連絡方法

最初から大がかりなシステムを導入する必要はありません。

中小企業であれば、Excelやスプレッドシートで一枚の管理表を作り、証跡を保存するフォルダへのリンクを付ける方法でも始められます。

ただし、更新管理表そのものが対策の証拠になるわけではありません。「実施予定」と記載するだけでなく、実際に点検、教育、バックアップ確認、権限見直しなどを行い、その結果を残す必要があります。

更新日だけでなく「変更が起きた日」に確認する

年1回だけまとめて確認する方法では、変更の内容や判断経緯を思い出せなくなることがあります。

そこで、次のような出来事が発生した時点で、更新管理表へ記録する運用を決めておきます。

  • 新しいシステムやクラウドサービスを導入した
  • サーバーやネットワーク機器を更新した
  • 拠点を新設、移転、統合した
  • 委託先や保守会社を変更した
  • 情報セキュリティ責任者が交代した
  • 重大な障害やインシデントが発生した
  • 取引先から新しいセキュリティ要求を受けた

変更を決める会議や稟議の中に、「SCSの適用範囲や評価結果へ影響するか」という確認欄を加えておけば、更新時の見落としを減らせます。

まだ公表を待つ必要がある資料もある

基本規程では、今後の制度運用に用いる文書として、次の資料が位置付けられています。

  • ★3・★4自己評価等ガイド
  • ★4第三者評価ガイド
  • ★4技術検証ガイド
  • ★3・★4登録申請の手引
  • ★3・★4要求事項・評価基準の解説書

これらの文書では、自己評価の判断基準、第三者評価の手続、技術検証の実施項目、登録までの流れ、要求事項の補足説明などが示される予定です。

本稿執筆時点のIPA「制度規程・委員会」ページでは、基本規程や制度運営機関規則などは公開されていますが、これらの企業向けガイドや登録申請の手引は掲載されていません。

そのため、具体的な申請様式、提出方法、評価判断の詳細については、現時点で断定できません。

今からできるのは、公開済みの要求事項・評価基準に沿って対策を進め、更新可能な形で証跡を整理することです。IPAの追加公表後に、様式や手順へ合わせて調整するのが安全です。

経営者が今確認したい五つの質問

経営者が細かな設定内容をすべて確認する必要はありません。

まず、担当者へ次の五つを確認してください。

  1. 自社は★3と★4のどちらを目指し、その理由を説明できるか
  2. 評価の対象とする部門、拠点、システムの範囲を整理しているか
  3. 登録後の有効期限と、更新準備を始める社内期限を決めているか
  4. 規程、台帳、設定、教育、点検などの証跡を誰が集めるか
  5. ★3確認責任者または評価機関へ、いつ相談するか決めているか

この五つに答えられなければ、登録準備だけが先行し、取得後に運用が止まる可能性があります。

まとめ

2026年8月28日に公開されたSCS評価制度の基本規程によって、★3・★4の登録後に必要な対応が明確になりました。

★3の有効期間は1年間で、変更の有無にかかわらず、★3確認責任者の確認・助言を受けた自己評価の更新版を、満了日前に提出する必要があります。

★4の有効期間は3年間ですが、毎年の自己評価が必要です。適用範囲や要求事項の達成状況へ顕著な影響を及ぼす変更があれば再評価を受け、3年ごとの更新時には改めて第三者評価を受けます。

SCS評価制度への準備は、登録申請書を一度作る作業ではありません。

担当者、適用範囲、変更履歴、証跡、年間予定を管理し、毎年見直せる仕組みを作ることが重要です。

まずは、現在の対策状況を確認するとともに、「登録後の更新を誰が、いつ、どの資料で行うか」を一枚の更新管理表にまとめるところから始めてください。

ライトハウスコンサルタントでは、専任の情報システム担当者がいない中小企業を対象に、SCS★3を見据えた準備支援を行っています。現状確認、要求事項とのギャップ整理、規程・台帳・証跡の準備など、自社だけでは進めにくい部分をご相談いただけます。

投稿タグ
, , , , , , , ,