.png)
SCS評価制度の自己評価ガイド公開｜公式シートで中小企業が確認したいこと
「SCS評価制度の資料が出たそうだけど、どれを読めばいいの？」
「チェックシートがあれば、総務だけで記入できる？」
「保守会社に任せている部分は、どう答えればいいのだろう」
セキュリティ対策の状況を取引先へ説明する機会が増えると、こうした疑問も出てきます。
2026年10月28日、IPA（情報処理推進機構）は、SCS評価制度の自己評価等ガイドや解説書などを公開しました。要求事項・評価基準も更新され、自己評価に使うExcelのアセスメントシートが掲載されています。[1]
今回の資料で注目したいのは、自社の対策を、何を根拠に説明するかを具体的に整理できることです。
この記事では、IT専任担当者がいない中小企業に向けて、公式資料の選び方と、シートを使って準備を進める手順を紹介します。
※ 2026年10月28日時点の公開資料に基づきます。登録を進める際は、IPAの最新の案内・規程をご確認ください。
SCS評価制度とは？まずは「取引先へ対策状況を伝える仕組み」と考える
SCS評価制度は、「サプライチェーン強化に向けたセキュリティ対策評価制度」の略称です。
サプライチェーンとは、発注元、委託先、仕入先など、事業を支える企業のつながりを指します。
そのつながり全体のセキュリティ対策を強化するため、対策の段階を★で示す仕組みです。今回の資料は、★3・★4の評価に関するものです。[2]
制度自体は任意ですが、取引先が契約や調達の条件として対応を求める場合は、その内容を別に確認する必要があります。
まず確認したいのは、「何となく★を取った方がよさそう」ではなく、取引先から何を求められているかです。
対策状況について回答してほしいのか
★の取得を求められているのか
どの会社・事業を対象に、いつまでの対応が必要なのか
ここが曖昧な場合は、資料の記入を進める前に、依頼元と認識を合わせましょう。
資料が多いときは、役割を分けて読む
資料 | 何を確認するか |
★3・★4 要求事項・評価基準 | 求められる対策と、満たしていると判断する基準 |
★3・★4 自己評価等ガイド | 評価対象の範囲を決め、自己評価と確認を進める手順 |
別紙 アセスメントシート | 自己評価の結果や質問への回答を記入する様式 |
★3・★4 要求事項・評価基準 解説書 | 基準の考え方や、解釈に迷う点の補足 |
★4 第三者評価ガイド・技術検証ガイド | ★4の評価や技術検証の進め方、対応時の留意点 |
最初は、自己評価等ガイドの目次で全体像を確認し、取得を検討する段階に合うシートを開くと取りかかりやすくなります。設問で迷ったら、該当する基準と解説書へ戻る使い方がおすすめです。
以前ダウンロードした資料で準備している場合は、版も確認してください。公式ページには、10月28日公開版と3月27日公開版の差分資料が掲載されています。[1]
資料の入手先：IPA「要求事項・評価基準」
記入前に決めるのは「どこを評価するか」
ガイドでは、自己評価に先立って「取得単位」と「適用範囲」を定めることが示されています。[3]
取得単位：どの組織として★の取得を目指すか
適用範囲：その評価で、どのIT基盤を対象にするか
取得単位は、原則として法人または個人事業主単位です。
事業部単位や企業グループ単位などにする場合には、妥当性の確認が必要です。[3]
この準備で、最初から立派な図を作ろうとする必要はありません。
まずは社内の打ち合わせ用に、次の内容を書き出してみましょう。
整理すること | 打ち合わせ用メモの例 |
対象とする組織 | 株式会社○○。関連会社との関係は別途確認 |
利用している場所 | 本社、営業所、在宅勤務先 |
日常的に使うIT | PC、メール、ファイル共有、ネットワーク機器など |
共用しているもの | 関連会社と共用するネットワークや管理アカウント |
判断に迷うもの | 外部委託しているサーバー、工場の設備につながる機器など |
これは正式な範囲の決定書ではなく、抜け漏れや疑問点を見つけるための下書きです。
「管理を外に任せているから対象外」
「このシステムだけなら対策できているから、そこだけ評価する」
と自己判断せず、ガイドや解説書に照らして確認しましょう。
範囲が曖昧なままでは、回答する人ごとに想定する対象が変わってしまいます。
公式シートでは、判定と回答の根拠を一緒に確認する
自己評価等ガイドによると、アセスメントシートには、要求事項・評価基準、対象外とする場合の理由、適合基準・自己評価方法、自己評価結果、質問事項と回答欄があります。適用範囲に関する質問への回答も必要です。[3]
読み進める際は、一つの項目ごとに次の順で考えると整理しやすくなります。
何について確認する項目か
自社では誰が状況を知っているか
どの資料や画面で事実を確認できるか
確認した内容が、基準を満たしているか
たとえば「保守会社が対応しているはず」と思ったら、すぐに適合とせず、担当範囲と実施状況を確認します。
「いつ対応したか分からない」
「社内と保守会社のどちらが担当か不明」
と分かったことも、準備を進めるうえでは大切な成果です。
分からない項目は、作業用メモへ分けて残す
初回から、すべての回答を完成させる必要はありません。
別の作業用メモで、確認待ちの項目を管理すると進めやすくなります。
確認すること | 確認先（例） | 次の行動 |
規程の最新版が見つからない | 総務責任者 | 保存先と承認日を確認する |
機器の設定状況が分からない | 保守会社 | 対象機器と確認方法を相談する |
運用した記録があるか不明 | 業務担当者 | 実際の記録と保管場所を探す |
この「確認待ち」は社内作業の管理用です。
正式な自己評価欄への記入は、ガイドの判定方法に従ってください。
また、対象外とする場合は、ガイドの条件と理由を確認する必要があります。[3]
根拠は、普段の業務記録から探す
回答のために、すべての書類を新しく作るところから始めると、負担が大きくなります。
まずは、すでに使っている資料を探してみてください。
社内規程や業務手順書
管理台帳、申請・承認の記録
管理画面の設定情報
保守作業の報告書
点検や訓練の実施記録
ガイドでは、文書や記録などに、システム上の設定・登録情報、ログ、管理ツールの画面表示や出力も含むとされています。[3]
ただし、資料が見つかることと、その項目の基準を満たすことは別です。
該当する自己評価方法に沿って、内容と実際の運用を確認しましょう。
社内では、資料の名前だけでなく、保存場所と確認日も控えておくと便利です。
「去年の担当者のPCにあるはず」という曖昧な状態を減らせます。
なお、設定画面や台帳には、個人情報や社内構成などが含まれる場合があります。
資料を外部へ渡すときは、提出範囲と受け渡し方法を確認しましょう。
保守会社には「SCS対応できますか？」から一歩踏み込んで具体的に聞く
保守会社への依頼も、対象が明確になるほど回答しやすくなります。
たとえば、次のような聞き方です。
SCS評価制度の自己評価を準備しています。 添付した項目について、御社の契約上の対応範囲と、現在の実施状況を確認させてください。 回答の根拠となる報告書や設定情報の有無、当社側で確認・対応すべき点も教えていただけると助かります。
あわせて、確認作業に追加費用がかかるかも聞いておくと、社内調整を進めやすくなります。
保守会社が機器を管理していても、人の入退社の連絡や社内規程の承認などは、自社の仕事になっていることがあります。「誰が何を確認するか」を分けておきましょう。
シートの完成と、正式な★取得は区別する
アセスメントシートを記入しただけで、★を取得したことにはなりません。
また、公式テンプレートの使用自体は任意ですが、独自様式を使う場合にも必要な項目を含めることが求められます。「自由なチェックリストで代用すればよい」という意味ではありません。[3]
登録時には、シートの保存方法にも指定があります。
確認後のシート全体のPDF化や、ファイルが変更されていないか確認するためのハッシュ値の取扱いなどは、自己評価等ガイドの3.3節を確認してください。[3]
準備中のExcelを上書きしていく運用と、登録に使った確定版を保管する運用は、分けて考えておくと安心です。
最初の一歩は、担当者を集めて一つの項目を確認すること
最初の打ち合わせでは、シートを全部埋めることを目標にしなくても構いません。
まず対象とする組織とITの全体像を共有し、一つの項目を選んで、「誰が確認できるか」「何を見れば分かるか」までたどってみましょう。
一つ具体的に確認できれば、次に必要な人や資料も見えてきます。
回答できない箇所が見つかったら、担当者と期限を決め、順番に確かめていきます。
以前、公開したnote記事では、取引先から対応を求められた際の初動整理を扱いました。
今回は、その整理を進めた先で、公式資料を使って自己評価の準備を具体化するための記事です。
関連記事：
ITワークラボでは、中小企業のIT管理やセキュリティ対策の整理を支援しています。
「公式シートを開いてみたものの、社内の誰に聞けばよいか分からない」という段階から、現状の確認や保守会社への確認事項づくりをご相談いただけます。
参考資料
[1] IPA「要求事項・評価基準」（2026年10月28日更新）
[3] IPA「★3・★4 自己評価等ガイド」第1.2節、第2章、第3章（2026年10月28日）
📖 あわせて読みたい
関連ページ
IT・セキュリティ体制構築の支援内容は、「サービスページ」でご案内しています。
実際のご相談事例は、「導入事例」でもご紹介しています。
ITワークラボの考え方は、「ITワークラボについて」をご覧ください。
コメント