サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の登録を、自己評価の作り込みから支援します。制度が標準に置いているのは★3です。★4を急ぐ必要があるかどうかから、ご一緒に整理します。
委託先のセキュリティ対策が見えないという発注側の悩みと、委託元ごとにバラバラのチェックリストを求められるという受注側の負担。その両方を、共通のものさしで解こうとしている制度です。
IPA（情報処理推進機構）が制度運営機関。所管は経済産業省と内閣官房 国家サイバー統括室です。情報処理の促進に関する法律に基づく制度で、任意の民間認証ではありません。
★1〜★5の段階があり、いま整備が進んでいるのは★3と★4です。★3は専門家の確認付きの自己評価、★4は評価機関による第三者評価にあたります。
規程・規則の7文書が2026年8月28日に施行されました。要求事項・評価基準やガイドは2026年度内に順次公開される予定です。
※ 本ページの記載は2026年9月1日時点の公開情報に基づきます。制度の語（登録／評価機関／第三者評価など）は制度規程の定義に合わせています。
制度が標準に置いているのは★3です。★4は、取引先から求められた企業が選ぶ上位区分だと整理されています。ここを取り違えると、必要のない負担を抱えることになります。
運営審議委員会は「まず多くの企業は★3を目指し、さらに対策を進めたい企業のために★4を用意している」と整理し、★4の取得を急がせる説明を戒めています。当社も、★4が要る状況かどうかの確認から入ります。
取引先からどう聞かれているか、いまどこまで対策が入っているかをうかがいます。「まだ動かなくてよい」という結論になることもあります。
評価機関の公平性は、資本関係・財務的な利害・役務提供の3点で判断されます。システムを構築または運用している事業者は、その対象を評価できないと定められています。
報酬を得て構築を支援した相手のIT基盤は、自社では評価できません。
運用に携わっている以上、その対象の評価者にはなれません。
自己評価の作り込みと、★3確認責任者としての確認・助言を担えます。
当社の立場※ 当社は評価機関でも技術検証事業者でもありません。取得支援の立場で、自己評価の作り込みと★3確認責任者としての確認・助言を担います。
インターネット境界の機器に、CVSS基本値7.0以上の脆弱性が無いことを外部から確かめる脆弱性診断です。初回診断から再診断までを1か月以内に収める必要があります。
診断の範囲と方式を契約で合意します。IPアドレス等の必要情報を提供し、診断そのものがIT基盤に与えるリスクも先に確認します。
インターネットとの境界に置く機器を選びます。IPS・WAFを一時的に無効化して診断の実効性を確保し、通信の遮断が起きうる関係者へ事前に周知します。
対象機器へ外部から疑似的な攻撃の通信を行い、通信可能なTCP／UDPポートを洗い出します。
通信可能なポートに対し、OS・ファームウェアがCVSS基本値7.0以上の脆弱性を持たないかを確認し、結果報告書にまとめます。
検出された脆弱性に対応し、初回診断から1か月以内に再診断を受けます。対応の証跡と再発防止策の提出をもって合格とする形式も想定されています。
全機器が自社の管理外でISP等の許可を得られない場合と、1か月以内の診断実績がある場合は、免除を申請できます。逆算の起点は評価機関との契約日ではなく、自己評価に着手する日です。
登録そのものは貴社が申請します。私たちが引き受けるのは、その手前で一番時間がかかる工程です。
取引先からの要請内容と、いまの対策状況を突き合わせ、★3で足りるのか★4が要るのかを判断します。急がなくてよい場合は、そうお伝えします。
全体の期間を決めるのはここです。要求事項に対して、いまの運用のどこが証跡として使えて、どこが足りないのかを洗い出し、埋めるところまでご一緒します。
自己評価の妥当性を確認し、署名します。経営層による自己適合宣言までの段取りも設計します。
評価機関・技術検証事業者との進め方、診断のための設定変更や関係者への周知、指摘への是正までのスケジュールを引きます。
★3と★4の使い分け、★4の技術検証の中身、取得のリードタイム、評価の公平性要件。社内でのご検討にそのままお使いいただけます。
取引先から求められていないのであれば、まずは★3です。制度側も「多くの企業はまず★3を目指し、さらに対策を進めたい企業のために★4を用意している」と整理しており、★4の取得を急がせる説明を戒めています。★4は取引先から求められた企業が選ぶ上位区分だとお考えください。
制度が期間を区切っているのは、評価に着手したあとの1か月だけです。全体の長さを決めるのは、自己評価と自己適合宣言をどれだけ早く整えられるかです。逆算の起点は評価機関との契約日ではなく、自己評価に着手する日になります。
評価機関の公平性は、資本関係・財務的な利害・役務提供の3点で判断されます。システムを構築または運用している事業者は、その対象を評価できません。構築を支援したベンダーも、運用を受けているSIerも、評価者にはなれない仕組みです。
いいえ。当社は取得支援の立場です。評価機関でも技術検証事業者でもありません。自己評価の作り込みと、★3確認責任者としての確認・助言を担います。★4をご希望の場合は、評価機関・技術検証事業者との進め方の設計までをご一緒します。
規程・規則の7文書は2026年8月28日に施行されています。要求事項・評価基準やガイドは2026年度内に順次公開される予定で、当社では公開状況を継続して確認しています。本ページの記載は2026年9月1日時点の公開情報に基づきます。
1〜2営業日以内にご返信します。検討の初期段階でのご相談も歓迎です。お急ぎの場合は info@nautilus-capital.jp まで。