この記事のポイント（結論を先に）
- ★3の運用開始は2027年3月頃の予定。待たずに、いま無料でできる準備があります（IPA「SCS評価制度 よくある質問」2026年）。
- 使うのはIPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開）。自社診断25項目、資産管理台帳、規程サンプル、基本方針のひな型まで、本編も付録も無料です。
- 順番は「現在地を測る→守るものを書き出す→規程を1枚にする」。そのうえでSECURITY ACTIONの自己宣言まで進めます。★3の解説書が出る前でも、ここまでは動けます。
結論：★3の中身が出そろう前でも、無料でできる準備は多い
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の★3は、2027年3月頃の運用開始が予定されています。申請方法の公開は2026年10月頃の予定で、要求事項の解説書もまだ手元にありません（IPA「SCS評価制度 よくある質問」2026年）。
それでも待つ必要はありません。IPAが2026年3月27日に公開した「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、SCS評価制度の基本的な考え方に沿った内容として改訂されています（IPAプレスリリース）。本編も付録も無料です。
- 付録3の自社診断（25項目）で現在地を測る
- 付録6の資産管理台帳に「守るべきもの」を書き出す
- 付録5の規程サンプルから自社に要る条項を選ぶ
- 付録2のひな型で情報セキュリティ基本方針を1枚つくる
- SECURITY ACTIONの一つ星・二つ星を自己宣言する
SCS評価制度の★3は何を求めているのか
制度は、経済産業省と内閣官房国家サイバー統括室が2026年3月27日に公表した「制度構築方針」に基づきIPAが運営します。★3と★4では水準も確かめ方も違います（以下、IPA「SCS評価制度の詳細情報」2026年）。
| 段階 | 評価の方法 | 要求事項数 | 有効期間 |
|---|---|---|---|
| ★3 | 専門家確認付き自己評価（書類確認） | 26件 | 1年 |
| ★4 | 第三者評価（実地審査・技術検証を含む） | 43件 | 3年 |
★3は、自社で評価基準に沿って自己評価を書き、セキュリティ専門家が内容を確認して署名し、経営層の自己適合宣誓を添えて事務局へ提出します。実地審査や技術検証が入るのは★4からです。なお★3・★4は定められた要求事項・評価基準をすべて満たす必要がある一方、★3を先に取らないと★4へ進めないという関係ではありません。
IPAガイドライン第4.0版に何が入っているか
本編は全70ページで、経営者編と実践編に分かれます。直前の第3.1版は2023年4月の公開でした。経営者がまず知るべき変更は、「情報セキュリティ5か条」に1項目が加わって6か条になったことです。
- OSやソフトウェアは常に最新の状態にしよう！
- ウイルス対策ソフトを導入しよう！
- パスワードを強化しよう！
- 共有設定を見直そう！
- バックアップを取ろう！（第4.0版で追加）
- 脅威や攻撃の手口を知ろう！
背景にはランサムウェア（データを暗号化して身代金を要求する攻撃）被害の顕在化があります。付録3の自社診断にも「外部から内部ネットワークへの不要な通信を遮断する」「ウェブサイトを安全に運用する」が加わりました。ガイドライン自体の読み方は別記事に譲ります。付録は次の8種類です。
| 付録 | 内容／形式・分量 |
|---|---|
| 1 | 人材の確保・育成の実践ガイドブック／PDF・14ページ |
| 2 | 情報セキュリティ基本方針（サンプル）／Word・1ページ |
| 3 | 5分でできる！情報セキュリティ自社診断／PDF・8ページ |
| 4 | 情報セキュリティハンドブック（ひな形）／PowerPoint・17ページ |
| 5 | 情報セキュリティ関連規程（サンプル）／Word・59ページ |
| 6 | 資産管理台帳（サンプル）／Excel・9シート |
| 7 | クラウドサービス安全利用の手引き／PDF・8ページ |
| 8 | セキュリティインシデント対応の手引き／PDF・8ページ |
台帳から始めて、SECURITY ACTIONの自己宣言まで進める
ひな型は付録2・4・5・6です。Word、Excel、PowerPointで配られ、社名と体制を書き換えれば社内文書になります。よくあるのは59ページの規程サンプル（付録5）を最初に開いて止まるケースです。順番を変えたいところです。
- 付録3の自社診断を経営者自身が埋める。25項目を4点・2点・0点・マイナス1点で自己採点する形式
- 付録6の台帳に、業務で使うPC・スマートフォン・クラウドサービス・重要データを書き出す
- 台帳を見ながら付録5を読み、自社に関係する条項だけ残す
- 付録2で基本方針を1枚つくり、自社サイトに掲載する
台帳が先の理由は単純で、何を持っているか分からないまま規程を整えても守る対象が決まらないからです。★3が水準に置くのは、全企業が最低限実装すべき基礎的な組織対策とシステム防御策です。
台帳には、公開中のウェブサイトの状態も併記すると後が楽です。当社の無料セキュリティ診断はURLを入れるだけ・登録不要で、通信の暗号化やメールのなりすまし対策などの設定を確認できます。結果を備考欄へ転記しておくとよいでしょう。
ここまで揃えば、SECURITY ACTIONの自己宣言に届きます。一つ星は6か条に取り組む宣言で、対策の実施前でも申し込めます。二つ星は自社診断を実施し、基本方針を策定・外部公開したうえでの宣言です。ロゴマークは無料で使えます。
言い方に注意してください。IPAは「認定を受けました」「取得しました」を不適切な表現とし、「宣言しました」が適切だと明示しています。IPAが認定する制度ではないからです。SECURITY ACTIONの星とSCS評価制度の★3・★4も別物で、自己宣言しても★3にはなりません。ただし二つ星までに用意する基本方針・台帳・規程は、★3の準備でそのまま使う材料です。
どこから先が専門家の領域か
線を正直に引きます。現時点で「★3対応済み」と言える状態は誰にもつくれません。要求事項・評価基準の解説書と、適合・不適合を自分で判断する取得ガイドは2026年10月頃の公表予定です。申請・登録の費用もこれから公開されます。
★3の確認を担う「セキュリティ専門家」も登録はこれからです。要件は、情報処理安全確保支援士・公認情報セキュリティ監査人・CISSP・CISA・CISM・ISO27001主任審査員のいずれかを保持し、所定の研修を受けてSCS評価制度の事務局に登録することです。研修事業者の公表は2026年12月末頃、専門家の公開は2027年1月以降の予定です。
筆者は情報処理安全確保支援士（第004395号）としてIPAの「中小企業向けサイバーセキュリティ対策支援者リスト」に掲載されていますが、IPAは支援者リストの専門家とSCS評価制度のセキュリティ専門家は要件が異なると説明しています。肩書きが近くても同じではありません。制度が動く前から「SCS対応を代行できます」と断言する事業者を見たら、根拠を確かめたいところです。
なお、取引先から対応を求められ、その費用の負担が論点になっている場合は、取引先からSCS評価制度への対応を求められたら｜セキュリティ対策の費用は誰が負担するのかをご覧ください。対策費用は価格交渉の対象になります。
なお、取引先がセキュリティ対策を求める背景には、委託先を経由した攻撃の増加があります。IPA「情報セキュリティ10大脅威 2026」でも組織向けの2位に挙げられており、その内容は情報セキュリティ10大脅威2026を中小企業向けに解説で扱っています。
いま外部の手が要るのは制度対応そのものより、台帳と規程を実務に一致させる部分でしょう。書いたルールとネットワークやクラウドの実際の設定がずれたままでは、どの制度でも評価に耐えません。進め方の整理だけでも構わないので、迷ったら初回30分の無料相談をご利用ください。
参考・出典
- IPA プレス発表「中小企業の情報セキュリティ対策ガイドライン」第4.0版を公開（2026年3月27日）
- IPA 中小企業の情報セキュリティ対策ガイドライン 第4.0版（2026年）
- IPA 付録3「5分でできる！情報セキュリティ自社診断」（PDF）
- IPA SCS評価制度の詳細情報
- IPA SCS評価制度 よくある質問
- IPA SECURITY ACTIONとは？
- IPA SECURITY ACTION「一つ星」を宣言する
この記事に関連するよくある質問
SCS評価制度の★3に備えて、いま無料でできることはありますか？
あります。IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開）は、本編も付録も無料です。自社診断25項目、資産管理台帳、規程のサンプル、情報セキュリティ基本方針のひな型まで揃っています。
取引先からセキュリティチェックシートが届きました。何から手を付ければよいですか？
「現在地を測る→守るものを書き出す→規程を1枚にする」の順です。IPAガイドライン第4.0版の付録を使えば、その結果がそのまま回答の根拠になります。そのうえでSECURITY ACTIONの自己宣言まで進めておくと、取引先への説明材料になります。