★★★
SCS評価制度の ★3 は「専門家確認付き自己評価」。
第三者審査も技術検証もない、中小企業が自力で届く現実的な水準です。
その自力を、制度が始まる前に用意しておくための伴走支援を始めます。
2026年度末頃の制度開始に向けて準備中のサービスです。先行登録いただいた方に、正式な提供開始・料金を最初にご案内します。
企業のサイバーセキュリティ対策の実施状況を、星の数で可視化する経済産業省の新しい制度です。
星の数は、発注元が求める
発注元の企業が、取引先に対して「うちと取引するならこの星が必要」と水準を示す仕組みとして設計されています。 自社が取りたいかどうかではなく、取引先から求められるかどうかで必要性が決まります。
入口は★3
制度開始時点で運用されるのは★3と★4で、★5は今後検討とされています。 大多数の企業にとっての入口は★3です。
要求事項はこれから詳細化
制度の骨格は2026年3月に固まりましたが、具体的な要求事項・評価基準は2026年度に詳細化され、 順次公開される予定です。だからこそ、土台にあたる部分から先に着手できます。
星の段階と、いま基準があるところ
SCS評価制度としての基準は示されていない
一般には IPA の SECURITY ACTION（一つ星・二つ星）が相当すると説明されますが、SCS評価制度の公式資料でその対応関係は確認できていません（2026年8月時点）。ただし二つ星でやる作業の中身は、★3の土台とそのまま重なります。
ここから運用が始まる
2026年度末頃の制度開始時点で運用されるのはこの2段階です。★3は専門家確認付き自己評価（要求事項26件・有効期間1年）、★4は第三者評価（43件・3年）。
今後検討
高度な対策（ベストプラクティス）と位置づけられ、評価スキームを含めて今後検討とされています。
出典：経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日公表）、 IPA「SCS評価制度」ポータル、 IPA「SCS評価制度の詳細情報」
★3は第三者による審査も技術検証もありません。ここが、中小企業にとっての現実的な入口である理由です。
← 横にスクロールできます →
| レベル | 評価スキーム | 要求事項数 | 有効期間 | 実施内容 | 主な想定対象 |
|---|---|---|---|---|---|
| ★3 | 専門家確認付き自己評価 | 26件 | 1年 | 文書確認のみ | 取引先からセキュリティ水準の提示を求められる、大多数の企業 |
| ★4 | 第三者評価 | 43件 | 3年 | 文書確認・実地審査・技術検証 | 重要インフラ・機微情報を扱うなど、特に高い水準を求められる企業 |
| ★5 | 第三者評価（今後検討） | 今後検討 | 今後検討 | 高度な対策（ベストプラクティス） | — |
出典：IPA「SCS評価制度の詳細情報」。 ★3の有効期間は1年です。取得して終わりではなく、毎年その状態を保っていることを示し続ける必要があります。
「自己評価」を、ひとりで正しく書ききれるか
★3に審査官は来ません。裏を返せば、自社の対策が要求事項を満たしていると自分で説明しきる必要があるということです。 規程が実態と食い違っている、運用の記録が残っていない、用語の解釈を取り違えている—— この種のつまずきは、社内だけで進めると最後まで気づけません。 scs3.jp は、そこに外の目を入れるためのサービスです。
資料を渡して終わりにはしません。現状把握から、文書づくり、実際の設定変更まで一緒に進めます。
01
公表済みの制度構築方針をもとにした確認シートで、いまの対策がどこまで届いていて、何が空いているのかを可視化します。「わが社は何から手を付ければいいのか」を、最初の1か月ではっきりさせます。
02
★3で問われるのは技術だけではありません。情報セキュリティ基本方針、インシデント対応手順、委託先管理など、組織として必要な文書をひな型から一緒に作り、自社の実態に合わせて書き換えます。
03
多要素認証、バックアップ、資産管理、ログ、脆弱性対応。文書に書いたことを実際の環境で動く状態にするところまで見ます。既存の環境（Microsoft 365 / Google Workspace など）で満たせるものは、新規購入せずに満たします。
04
★3は自己評価に専門家の確認が付く方式です。自己評価そのものに矛盾や説明不足があると、そこで止まります。提出する記録・証跡が第三者から見て筋が通っているかを、事前に点検します。
製品を売らない
特定のセキュリティ製品の販売代理をしていません。まず既存環境の設定で満たせるものから潰します。
オンライン完結
全国どこからでも。移動費が乗らない分、中小企業でも続けられる価格帯を目指しています。
情シス専任がいない前提
兼任の総務・経理の方が窓口でも進むように、作業の粒度と言葉を合わせます。
公表されている予定は次のとおりです。
2026年3月27日
「制度構築方針」を公表
経済産業省・内閣官房国家サイバー統括室が正式版を公表。制度の骨格が固まった。
2026年8月頃いまここ
評価機関・技術検証事業者の要件詳細を公表予定
★4を支える評価側の体制づくりが動き出す段階。
2026年12月末頃
研修事業者を公表予定
2026年度下期（10〜3月）
評価用ガイド等を公表し、以降 運用開始予定
要求事項・評価基準の詳細もこの期間に順次公開される見込み。
※ 上記はIPAが公表している予定であり、今後変更される可能性があります。最新情報は必ず一次情報をご確認ください。
制度開始を待たなくていい
IPA の自己宣言制度で、費用ゼロ・実作業1〜2日で完了します。 二つ星で求められる「自社診断」と「情報セキュリティ基本方針の策定・公開」は、 そのまま★3で問われる組織的対策の土台です。 最初の一歩として、ここから片付けてください。
準備中
制度の要求事項が2026年度に詳細化されるため、支援範囲を確定させたうえで正式にご案内します。 先行登録いただいた方には、正式リリース時に先行価格でご案内します。
月額の伴走型を想定しています。大手コンサルティング会社のパッケージとは異なり、 情シス専任のいない中小企業が続けられる金額に収めることを設計方針にしています。
★3で求められる「規程を作り、運用し、その記録を残す」という部分は、着手してから記録が積み上がるまでに時間がかかります。制度開始と同時に星が必要になったとき、一夜漬けでは記録の実績がありません。逆に言えば、いま始めておけば開始時点で十分な運用実績を持って臨めます。
ISMSはマネジメント体制、Pマークは個人情報の取扱いに軸足があり、SCS評価制度はサイバーセキュリティの技術的対策に軸足があります。重なる部分は当然あるので、すでにお持ちなら有利ですが、そのまま置き換わるものではありません。お持ちの認証で満たせる部分と、追加で必要な部分を切り分けるところからご一緒します。
いいえ、制度上は任意です。ただし、この制度は発注元が取引先に一定の星を求めることを想定した仕組みです。義務かどうかよりも、取引先から求められたときに応えられるかどうかが実質的な論点になります。
SCS評価制度として要求事項・評価基準が示されているのは★3以上で、★1・★2についてはIPA・経済産業省の公式資料に説明が見当たりません（2026年8月時点）。一般にはIPAのSECURITY ACTION（一つ星・二つ星）が相当すると説明されますが、当サイトはその対応関係を制度上の決まりごととしては扱いません。ただし、SECURITY ACTIONの二つ星でやる作業——情報セキュリティ自社診断と、基本方針の策定・外部公開——は、★3で問われる組織的対策の土台とそのまま重なります。費用がかからず今日から着手できるので、最初の一歩としてお薦めしています。
まずは★3を土台として固めるのが現実的です。★4は第三者評価（実地審査）と技術検証が入るため、準備の重さが大きく変わります。★3の中身は★4の土台でもあるので、先に★3を固めておけば、後から★4に進む場合も積み上げになります。
当サービスは特定のセキュリティ製品の販売代理をしていません。まずはお使いのMicrosoft 365やGoogle Workspaceの設定で満たせるものを洗い出し、それでも足りない部分だけをご相談します。
いいえ。★3における「専門家」の要件は制度側でこれから明確化される部分であり、現時点で当サービスがその役割を担うとお約束することはできません。当サービスが行うのは、確認を受けられる状態まで自社の対策と記録を整える支援です。
サービスの提供開始が決まりしだい、先行価格とあわせて最初にご案内します。 いまの段階でのご相談・ご質問だけでも構いません。登録は無料で、費用は発生しません。