投稿日: 投稿者: 彦坂菜奈子

SCS評価制度の★4とは？ 43の要求事項・第三者評価・ 技術検証と取得準備を解説

Share
SCS評価制度の★4とは？アイキャッチ画像

SCS評価制度の★4は、サイバー攻撃の初期侵入を防ぐだけでなく、侵入後の被害拡大を抑え、取引先のデータやシステムを保護するための対策状況を第三者評価によって確認する段階です。★3とは異なり、評価機関による文書確認、実地審査、技術検証を受けます。★4には7分野、43の要求事項、153の評価基準があり、原則としてすべての基準への適合が必要です。規程を整えるだけでなく、対策を実際に運用し、その実施状況を記録やシステムの設定によって説明できる状態が求められます。本記事では、★4の要求事項、第三者評価と技術検証の内容、登録までの流れ、評価前に企業が準備すべき事項を解説します。

※本記事は、IPA、経済産業省およびBBSecが公表している情報に基づいて作成しています。制度の内容は今後変更される可能性があるため、最新の情報は各公式サイトをご確認ください。

【関連記事】
・「SCS評価制度とは？★3・★4の違い、開始時期と企業が進める対策【2026年版】」
・「SCS評価制度の★3とは？26の要求事項・81の評価基準と自己評価を解説」

SCS評価制度の★4とは

SCS評価制度は、正式には「サプライチェーン強化に向けたセキュリティ対策評価制度」（記事内「SCS評価制度」と表記）といい、経済産業省と内閣官房国家サイバー統括室の監督のもと、独立行政法人情報処理推進機構（IPA）が運営する制度です。発注者と受注者が、取引で必要となるセキュリティ対策の水準を共通基準で確認できるようにすることを目的としています。

★4は、IPAが「取引先のデータやシステム保護に寄与すること」や、「サプライチェーンにおける自社の役割に適合した強靱化策が講じられていること」を水準として示した段階です。初期侵入の防御に加え、侵入後の横展開、情報窃取、サービス停止などを想定し、検知、封じ込め、復旧まで含めて備えることが重視されます。一般には「★4認証」「★4取得」と表現されることがありますが、SCS評価制度の公式文書では、評価機関による第三者評価を受けたうえでIPAへ申請し、登録組織台帳へ掲載されることを「登録」としています。

SCS評価制度の★3と★4の違い

★3と★4は、単に要求事項の数が違うだけではありません。最大の違いは、誰が、どの方法で対策状況を確認するかにあります。

比較項目★3★4
想定する水準一般的なサイバー脅威に対処できる被害拡大を防ぎ、取引先のデータ・システム保護とサプライチェーン強靱化に寄与する
要求事項・評価基準26要求事項・81評価基準43要求事項・153評価基準
評価方法専門家確認付き自己評価評価機関による第三者評価と技術検証
主な確認方法自己評価表と関連書類の確認文書確認、ヒアリング、実地審査、技術検証
有効期間1年3年。ただし毎年自己評価を提出
出典：独立行政法人情報処理推進機構（IPA）「SCS評価制度の詳細情報」（https://www.ipa.go.jp/security/scs/details.html）「SCS-400 ★3・★4 要求事項・評価基準」（https://www.ipa.go.jp/security/scs/requirements-criteria.html）をもとに弊社作成

★4は★3の要求事項を包含しますが、★3の登録を先に受けなければ★4へ進めない制度ではありません。取引先から求められる水準や、自社が扱う情報、供給停止時の影響などを踏まえ、最初から★4を目指すこともできます。

★3の要求事項や専門家確認付き自己評価、登録までの流れについては「SCS評価制度の★3とは？26の要求事項・81の評価基準と自己評価を解説」で詳しく解説しています。

SCS評価制度★4の43要求事項

IPAの要求事項・評価基準では、★4の対策を「ガバナンスの整備」「取引先管理」「リスクの特定」「攻撃等の防御」「攻撃等の検知」「インシデントへの対応」「インシデントからの復旧」の7分野に整理しています。公式Excelを要求事項単位で集計すると43項目、★4登録時に適合が必要となる評価基準は153項目です*1。

大分類要求事項数★4で確認される主な内容
ガバナンスの整備6社内ルール、監視・分析体制、推進計画
取引先管理5重要な取引先の対策状況、契約終了時の情報回収・破棄
リスクの特定6IT資産、機密情報、リモートワーク、脆弱性管理
攻撃等の防御21認証、アクセス管理、暗号化、ログ、パッチ、境界防護
攻撃等の検知3ネットワーク・端末監視、インシデントレベルの判断
インシデントへの対応1対応手順、連絡・報告、調査と封じ込め
インシデントからの復旧1目標復旧水準、バックアップ、復元確認
出典： 独立行政法人情報処理推進機構（IPA）「SCS-400 ★3・★4 要求事項・評価基準」（https://www.ipa.go.jp/security/scs/requirements-criteria.html）をもとに弊社作成

ガバナンスでは経営と監視・分析体制をつなぐ

★4では、法令、業界基準、取引先からの要求事項を把握して社内ルールへ反映し、セキュリティ対策推進計画を策定します。また、サイバー攻撃や脆弱性に関する情報を収集し、ログとの相関分析などによって攻撃の予兆やインシデントを検知できる体制も求められます。重要なのは、経営方針、年間計画、監視業務が別々に存在する状態にしないことです。脅威情報から何を判断し、誰が改善を指示し、どの予算や計画へ反映するのかをつなげる必要があります。

取引先管理では重要度に応じて対策状況を確認する

★4では、自社の重要な機密情報を共有する取引先、事業継続上重要な取引先、発注者の内部システムへアクセスできる取引先などを対象に、年1回以上、セキュリティ対策状況を把握します。契約終了時には、共有した機密情報やアクセス権が回収・破棄されたことを確認する手順も必要です。すべての取引先へ一律に同じ確認を求めるのではなく、自社との接続関係、情報の重要度、供給停止時の影響を整理し、確認対象と方法を決めることが現実的です。SCS評価制度は、自社が評価されるだけでなく、自社のサプライチェーンを管理するための基準としても使われます。

脆弱性管理では収集から対応完了までを追跡する

★4では、脆弱性情報と脅威情報を収集する情報源、担当部署、対応要否の判断基準、対応手順を定めます。管理対象の情報機器に残る脆弱性を把握し、対応履歴を記録したうえで、対応漏れがないかを月次で点検します。パッチを配布するだけでは、対象外になった機器や適用失敗を把握できません。IT資産台帳、脆弱性情報、パッチ適用結果、例外時のリスク低減策を対応付け、未対応の脆弱性を継続して追跡できる仕組みが必要です。

防御では認証、暗号化、ログ、境界機器まで対象が広がる

★4では、重要な機密情報を扱うクラウドサービスだけでなく、インターネット経由で社内環境へ接続する場合や、管理者がインターネット経由でシステムへアクセスする場合などにも、多要素認証が求められます。社外へ持ち出す端末や記憶媒体の機密情報、重要な機密情報の暗号化についてもルールを定めます。さらに、ファイアウォール、プロキシ、認証サーバなどのログを定められた期間保管し、不審な認証試行を定期的に監視します。インターネット境界に設置されたネットワーク機器のOSやファームウェアについて、CVSS基本値7.0以上の脆弱性が残っていない状態も求められます。

検知・対応・復旧では攻撃後の動きを具体化する

★4では、ネットワーク通信だけでなく、情報機器やソフトウェアの挙動監視を行い、アラートを分析してインシデントのレベルと影響範囲を判断します。対応手順には、初動、調査、封じ込め、根絶、復旧、取引先を含む関係者への報告などを具体化します。復旧準備では、事業継続上重要なシステムについて目標復旧時点と目標復旧時間を定め、バックアップから手順どおり、かつ目標時間内に復元できることを確認します。バックアップを保存しているだけではなく、実際に戻せるかを検証するところまでが対策です。

★4の第三者評価では何を確認するのか

★4では、登録希望組織が自己評価を行った後、指定評価機関へ第三者評価を依頼します。第三者評価は、文書確認、実地審査および技術検証を通じて行われ、評価機関はその結果を評価報告書として登録希望組織へ交付します。

文書確認では、登録希望組織が提出したアセスメントシート等を確認します。実地審査では、担当者へのヒアリングや規程、記録、機器の操作画面等の確認を通じて、定めた対策が実際に運用されているかを確かめます。実地審査は事業所またはオンラインで行われ、審査対象となる拠点は原則1拠点です。第三者評価は、適用範囲内の一部の機器、端末、規程、手順等を対象として実施されます。サンプリングの対象だけを整えるのではなく、適用範囲全体で対策を運用し、必要な証跡を提示できる状態にしておく必要があります。

SCS評価制度★4の技術検証とは

★4の技術検証では、適用範囲内にあり、外部から直接アクセス可能なVPN装置、ルーター、ファイアウォールなど、通信制御機能を持つ機器を対象に、外部から脆弱性診断を行います。技術検証事業者は、登録希望組織が把握している対象機器の製造元、モデル、グローバルIPアドレス、利用ポートなどを確認します。そのうえで、原則として5台の候補を選び、業務上の重要性、外部から通信可能な公開ポート数、稼働環境への影響などを踏まえて診断対象を決定します。対象となり得る機器が5台以下の場合は、原則としてすべてが候補となります。

診断では、TCP・UDPポートの開放状況や、対象機器のOS・ファームウェアのバージョンを確認し、CVSS基本値7.0以上の脆弱性の有無を調べます。OSやファームウェア以外のすべてのソフトウェアについて、脆弱性がないことまで確認するものではありません。技術検証に備え、公開IPアドレス、ポート、機器の種類、製品名、バージョン、管理部門などを整理し、脆弱性対応の履歴を説明できるようにしておく必要があります。なお、この技術検証はWebアプリケーション脆弱性診断やペネトレーションテストと同一ではありません。

SCS評価制度★4の登録までの流れ

適用範囲と目指す水準を決める

最初に、取引上求められる水準と、自社が扱う機密情報、システム接続、供給停止時の影響を整理し、★4を目指す理由を明確にします。そのうえで、対象事業、拠点、IT基盤、クラウドサービス、インターネット公開資産、委託関係を洗い出し、適用範囲を決めます。

申請単位は原則として法人または個人事業主ですが、評価機関が適用範囲の妥当性を確認する場合は、事業部やグループ単位での申請も想定されています。公開Webサーバーやメールサーバーは適用範囲に含める必要があり、クラウドサービスは責任共有モデルを踏まえて、自社が実装する対策と提供者の対策を確認します。

43要求事項・153評価基準で自己評価する

次に、IPAの要求事項・評価基準を使い、現状とのギャップを把握します。評価基準ごとに、適合している項目、対策はあるが証跡が不足している項目、未対応の項目へ分け、規程、設定、運用記録、責任者を対応付けます。★4では、原則としてすべての要求事項・評価基準を満たす必要があります。点数の合計で合否を決める制度ではないため、未対応項目を残したまま評価を依頼するのではなく、是正計画を立てて対策を実装し、一定期間運用して証跡を残すことが重要です。

自己評価は、IPAが公開している「SCS-410 ★3・★4 自己評価等ガイド」を参照して実施します。IPAのアセスメントシートの利用は任意ですが、独自の様式を使用する場合も、同シートに示された項目を最低限含める必要があります。評価基準ごとに適合状況、根拠となる規程・記録、対象となるシステムや担当部門を整理し、未対応事項を把握します。

評価機関による評価と技術検証を受ける

自己評価と是正が完了したら、指定された評価機関へ第三者評価を依頼します。評価機関は文書と実地で適合状況を確認し、自らまたは委託した技術検証事業者が技術検証を行います。検証結果を踏まえ、評価機関から評価報告書が提供されます。評価を依頼する際は、IPAの公式サイトで指定評価機関と技術検証事業者の最新の登録状況を確認してください。

IPAへ登録を申請する

評価報告書を受け取った登録希望組織は、IPAの制度事務局へ★4の登録を申請します。申請内容に問題が認められなければ登録組織台帳に掲載され、制度の条件に従ってロゴマークを使用できます。★4の有効期間は登録完了の通知日から3年間ですが、その間も1年ごとに自己評価を行い、評価機関へ提出する必要があります。適用範囲や要求事項の達成状況へ顕著な影響を及ぼす変更があった場合には再評価が必要です。3年間何もしなくてよい制度ではありません。

★4取得準備で企業が注意すべきポイント

文書を作るだけでなく実地で説明できる状態にする

規程に「定期的に点検する」と書かれていても、担当者が点検方法を説明できず、記録も残っていなければ、運用の実態を示せません。規程、担当者の理解、システム設定、運用記録の内容が一致しているかを、評価前に確認する必要があります。

インターネット公開資産と境界機器を正確に把握する

技術検証に備えるには、自社が把握している機器だけでなく、過去に構築したVPN装置、別部門が管理する公開サーバー、クラウド上の公開IPアドレスなども含めて確認することが重要です。資産台帳と実際の公開状態が食い違っていると、脆弱性対応や検証対象の判断に影響します。

★4を一度限りの審査対応にしない

★4は3年間有効ですが、毎年の自己評価と変更時の再評価が求められます。評価直前だけ記録を整えるのではなく、資産、脆弱性、ログ、取引先、教育、バックアップなどの更新頻度と担当者を決め、通常業務として回せる状態にする必要があります。

BBSecの事前対策支援で★4対応を準備する

★4への対応では、43の要求事項・153の評価基準を読み解き、第三者へ説明できる規程や証跡を整えるとともに、実地審査や技術検証に対応できる運用体制を構築する必要があります。自社だけで準備する場合、評価基準の解釈や現状の対策との対応付け、是正の優先順位付けに時間がかかることがあります。

ブロードバンドセキュリティ（BBSec）のSCS評価制度事前対策支援サービスでは、企業の対策状況や課題に応じた支援を提供しています。「★3/★4自己評価対応支援（プレリミナリーサーベイ）」では、自己評価結果をコンサルタントが客観的に分析し、評価サマリーを提供するとともに、要求事項への対応に向けた対策ロードマップの策定を支援します。また、「★3/★4準拠に向けた対策実行支援（BBSec Prime for Supply Chain Security Measures）」では、策定した対策ロードマップに沿って、コンサルタントが継続的な是正・実行を支援します。必要に応じて、情報セキュリティ文書の整備、教育、インシデント対応訓練、標的型攻撃メール訓練などを組み合わせることもできます。

これらは、SCS評価制度への対応に向けた現状分析、自己評価、是正・実装を支援するサービスです。制度上の評価機関による第三者評価、技術検証、IPAによる登録やロゴマークの発行そのものを代替するものではありません。

SCS評価制度★4に関するよくある質問

▼ ★4は第三者認証ですか
▼ ★4を取得する前に★3の登録は必要ですか
▼ ★4の要求事項は何項目ですか
▼ ★4の技術検証では何を確認しますか
▼ ★4の有効期間は何年ですか
▼ ★4の評価機関はどこですか

まとめ：★4対応は第三者に実効性を示す取り組み

SCS評価制度の★4は、43要求事項・153評価基準への適合を、評価機関による第三者評価と技術検証によって確認する仕組みです。★3の対策を土台に、取引先管理、脆弱性管理、ログの取得・分析、端末監視、インシデントの影響判断、復旧確認などを強化します。

準備の第一歩は、適用範囲とインターネット公開資産を明確にし、要求事項・評価基準と現在の規程、設定、運用、証跡を対応付けることです。第三者評価で初めて不足に気付くのではなく、事前にギャップを把握し、対策を実装して運用記録を蓄積する必要があります。SCS評価制度への対応を自社だけで進めることが難しい場合は、自己評価を通じて要求事項とのギャップや必要な証跡を整理し、是正の優先順位を明確にすることが有効です。

SCS評価制度全体の目的や対象企業、開始時期については「SCS評価制度とは？★3・★4の違い、開始時期と企業が進める対策【2026年版】」をご覧ください。

【参考情報】