SCS評価制度の★4とは、サプライチェーンを構成する企業が標準的に目指すべきセキュリティ対策の水準として、経済産業省と内閣官房国家サイバー統括室が定めた評価段階です。専門家の確認を受けた自己評価で取得できる★3とは異なり、制度の指定委員会から指定を受けた評価機関による第三者評価と、実機に対する技術検証を受ける必要があります。
この記事では、★4の位置づけ、★3との比較や要求事項、技術検証などのほか、★4を目指すべき企業の目安、着手の手順を解説します。要求事項の中身と審査の実態が分かれば、自社で★4の取得を目指す方は、ぜひ参考にしてください。
SCS評価制度の★4は、★3が「すべてのサプライチェーン企業が最低限実装すべき対策」であるのに対し、「サプライチェーン企業等が標準的に目指すべき対策」として位置づけられた段階です。まず★4が想定している脅威と対策の考え方を押さえ、そのうえで要求事項数や評価方式といった基本仕様を確認します。
制度構築方針では、★4が想定する脅威を「供給停止等によりサプライチェーンに大きな影響をもたらす企業への攻撃」と「機密情報等、情報漏えいにより大きな影響をもたらす資産への攻撃」としています。この文言を自社の立場に置き換えると、自社が止まれば取引先の生産や業務が止まる企業、あるいは漏えいすれば取引先に大きな損害が出る情報資産を預かっている企業です（※1）。
このため★4の対策は、初期侵入を防ぐだけでは足りません。侵入された後に取引先のシステムやデータへ被害が広がることを防ぎ、攻撃者が目的を遂げるリスクを下げること、さらに事業継続の取組みや取引先の対策状況の把握など、自社の役割に応じたサプライチェーン強靭化策を講じることが水準として規定されています（※2）。
★4の骨格は、要求事項43件、評価基準153件、第三者評価と技術検証、有効期間3年です。評価基準は要求事項ごとに実施状況を確認するために設けられた細目で、要求事項の数とは別物として読んでください。
有効期間は3年ですが、期間中は1年ごとに自己評価を実施し、その結果を評価機関に提出することが求められます。前回取得時に設定した適用範囲の変更や、要求事項・評価基準の達成に顕著な影響を及ぼす変更があった場合は、有効期間中であっても改めて評価機関の評価を受ける必要があります。有効期限の更新（3年に1回）は第三者評価を受け直す設計です（※1）（※3）。
対策項目を検討するうえでのベンチマークは、日本自動車工業会と日本自動車部品工業会が策定した自工会・部工会サイバーセキュリティガイドラインのLv2〜3（Lv3は一部項目）と、分野別ガイドラインです。自動車業界でLv2に対応済みの企業は、既存の取組みを★4の要求事項に読み替えやすい立場にあります（※1）。
※1 参考：経済産業省│「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」. IPA
※2 参考：IPA│「SCS評価制度の詳細情報」
※3 参考：IPA│「要求事項・評価基準」
★3と★4の違いは、評価方式、要求事項と評価基準の数、有効期間、対策の深さ、想定される企業の5つに集約できます。表で全体を見比べた後に、最も本質的な違いである「証明の方法」と、★3を経由せずに★4を取得できるという制度上の関係を確認します。
5つの観点の比較表
| 観点 | ★3 | ★4 |
|---|---|---|
| 評価方式 | 専門家確認付き自己評価 | 第三者評価と技術検証 |
| 要求事項と評価基準の数 | 26件と81件 | 43件と153件 |
| 有効期間 | 1年 | 3年（年次の自己評価を評価機関に提出） |
| 対策の深さ | 基礎的な組織的対策とシステム防御策 | 組織ガバナンス、取引先管理、検知、インシデント対応を含む包括的対策 |
| 想定される企業 | すべてのサプライチェーン企業 | 供給停止や情報漏えいで取引先に大きな影響を及ぼす企業 |
数字だけを見ると要求事項は約1.7倍、評価基準は約1.9倍です。ただし、増えた項目の多くは新しいツールの導入ではなく、体制やプロセスを定めて運用し、その記録を残す性質のものです（※1）（※3）。
★3では、取得希望組織が自己評価を記入し、情報処理安全確保支援士やCISSPなどの資格を持つセキュリティ専門家が内容を確認して署名します。評価の中心は提出書類の確認です。一方★4では、評価機関が文書確認に加えて実地審査と技術検証を行い、対策が実際に機能しているかを証跡と実機で確かめます（※2）。
つまり★4で問われるのは「ルールがあるか」ではなく「ルールどおりに動いている記録があるか」です。規程を整えていても、点検記録や教育の受講記録、復旧テストの実施記録が残っていなければ、実地審査で裏づけを示せません。
上位の段階は下位の段階で求められる事項を包括します。そのため制度上、★3を事前に取得していなければ★4を取得できないという関係にはなっていません（※2）。
★3から段階的に進むか、最初から★4を目指すかは、既存対策の成熟度で決める話です。ISMSや自工会・部工会ガイドラインLv2への対応が済んでいる企業であれば、直接★4を目指す選択肢も現実的です。
※1 参考：経済産業省│「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」. IPA
※2 参考：IPA│「SCS評価制度の詳細情報」
※3 参考：IPA│「要求事項・評価基準」
★4と★3の要求事項は、NIST CSF（米国の国立標準技術研究所が定めるサイバーセキュリティフレームワーク）の6つの機能に「取引先管理」を加えた7つの領域で構成されています。
制度構築方針で示されている大分類は、以下の7つです。
IPAが公開している要求事項・評価基準のExcelをもとに、この順で★4で加わる対策の方向性を確認します。なお同方針では、大分類「インシデントへの対応」については★4での追加項目はないと注記されています（※3）。
★3では、セキュリティを統括する役員と担当部署の役割を定め、対応方針を策定して周知することが中心です。★4ではそこに、法令や取引先の要求事項を踏まえた社内ルールの策定と定期的な点検、経営層が参加する意思決定の場、サイバー攻撃を監視・分析する体制、対策推進計画を経営層に報告して指示を反映する仕組みが加わります。
審査ではこれらが文書として存在するかだけでなく、会議体の議事録や報告の記録によって実際に回っているかが確認されます。年1回の点検記録や経営層への報告資料は後からさかのぼって作れないため、早い段階から蓄積を始めてください。
なお、専用の情報セキュリティ委員会を置く場合、その代表者は必ずしも役員である必要はなく、部門長クラスでも差し支えないとされています。委員会を設けていない場合は、経営会議や取締役会など上位の会議体で年1回以上取り上げることが定められているか、それに相当する記録があるかで確認される想定です。
取引先管理はSCS評価制度に固有の領域です。★3では、機密情報を共有する取引先との間で情報の取扱いやインシデント時の役割を取り決めることが求められます。★4ではさらに、重要な取引先を対象にセキュリティ対策の状況を年1回以上確認することや、契約終了時に機密情報とアクセス権を回収・破棄する手順が加わります。
ここでいう対象は、自社の重要な機密情報を提供・共有している、自社の事業継続にとって重要な位置づけを持つ、当該取引先の環境から自社の内部システムへアクセスできる、のいずれかに該当する子会社または取引先です（要求事項2-1-3）。
対策状況の確認方法としては、本制度の★取得状況の確認、訪問による点検、チェックシートへの回答などが想定されています。取引先の★取得状況が確認手段のひとつになるため、発注側の立場でも制度を活用できる設計です。
★3の中心はIT資産やクラウドサービスの把握と、機密区分に応じた管理ルールです。★4ではこれに加え、脆弱性の管理体制と管理プロセスを定め、それにもとづいて運用することが求められます。脆弱性管理とは、自社の機器やソフトウェアに公表された脆弱性を把握し、影響を判断して対処するまでの一連の活動を指します。
この項目は実地審査で確認される事項の例にも含まれます。どの情報源から脆弱性情報を収集し、誰が影響を判断し、どの期限で対処するかを手順として文書化し、対処の記録を残しておく必要があります（※2）。
防御の領域は★3・★4ともに項目数が最も多い領域です。★3ではパッチ適用、マルウェア対策、多要素認証、バックアップ、アクセス権管理といった基本的な防御策が求められます。★4では、サーバ設置エリアの入退室管理、可搬媒体の持込み・持出しの制限、保管データの暗号化ルールが加わります。ファイアウォールやプロキシ、認証サーバのログの取得・保管とモニタリングも★4からの要件です。さらに、サポート期限切れのOSやソフトウェアの利用停止、社外公開サーバや重要サーバのネットワーク分離、社外への不正通信の遮断（出口対策）、経営層を含む全要員への意識向上教育が求められます。
なお、公開されている要求事項に、特定の製品やFIDO2などの特定技術を名指しで必須とする規定は確認できません。技術の選択は各社の裁量であり、要求事項を満たす手段として何を採用するかは自社の環境に合わせて判断します。
★3では、ネットワーク境界や端末で侵入や不正通信をリアルタイムに検知・遮断する仕組みと、アラートの通知が求められます。★4では、情報機器やソフトウェアの状態と挙動を監視すること、インシデントのレベルとレベルごとの対象範囲を定めることが加わります。
挙動の監視はEDR（端末の不審な動作を検知する仕組み）などで実現することが一般的ですが、導入すれば終わりではありません。検知したアラートを誰がどう判断し、どのレベルのインシデントとして扱うかまでを定めて初めて要求事項に応えられます。
インシデント対応の手順と体制は★3の時点で求められます。復旧については、★3で目標復旧レベルの設定、バックアップの取得と遠隔地保管、リストア手順書の整備が必要です。★4ではそこに、目標復旧時点（RPO）まで戻せるようにバックアップを保管し、手順書どおりに目標復旧時間（RTO）内で復元できることを実際に確認することが加わります。
この項目も実地審査の確認事項の例に含まれる「事業継続要件に沿った復旧準備」に直結します。バックアップは取っているが復元したことがない、という状態では証跡を示せません（※2）。
※2 参考：IPA│「SCS評価制度の詳細情報」
※3 参考：IPA│「要求事項・評価基準」
★4の審査は、評価機関への依頼から台帳への登録まで7つの手順で進みます。全体の流れを押さえたうえで、文書確認、実地審査、技術検証の3つのプロセスで何が確認されるのか、合格基準と不適合時の扱い、そして現時点で未公表の事項を確認します。いずれも制度構築方針とIPAの公開情報にもとづく内容で、評価用ガイドの公表によって細部が更新される可能性があります。
★4の評価スキームは、指定委員会（評価機関や技術検証事業者の指定・監督を担うIPA内の委員会）による指定から台帳への登録・公開まで、7つの手順で構成されています（※2）。
| 手順 | 実施主体 | 内容 |
|---|---|---|
| 1 | 指定委員会 | 評価機関と技術検証事業者を指定する。 |
| 2 | 取得希望組織 | ★4の要求事項・評価基準にもとづき自己評価を記入する。 |
| 3 | 取得希望組織 | 評価機関へ検証・評価を依頼する。 |
| 4 | 評価機関 | 文書確認・実地審査・技術検証を実施する。 ※技術検証は委託先の技術検証事業者が行う場合がある。 |
| 5 | 評価機関 | 評価報告書を取得希望組織に提供する。 |
| 6 | 取得希望組織 | 評価報告書をもとに事務局へ登録を申請する。 |
| 7 | 事務局 | 内容を確認し、台帳に登録・公開する。 |
取得希望組織が動くのは手順2、3、6の3か所で、残りは制度側の工程です。自己評価結果に虚偽やその他の不正が発覚した場合、取得した★の取消し等の措置を受ける場合がある点も明記されています。自己評価は審査の入口であると同時に、宣誓に近い重みを持つ書類です。
文書確認は、取得希望組織が作成した自己評価の結果を評価機関が確認するプロセスで、想定所要期間は1〜2日程度です。主に、記載内容に矛盾がないか、評価基準からみて十分な事項が示されているかが確認されます。明らかな不整合が認められなければ、実地審査と技術検証に進みます（※2）。
実地審査は、取得希望組織へのヒアリングや操作画面の確認による評価で、リモートでの実施も可能です。所要期間は事前準備と報告書作成を除いて1〜2日程度が想定されています。相対的に重要性が高いと考えられる対策事項について、証跡の確認を含めた評価が行われます（※2）。
IPAが確認すべき事項の例として挙げるのは、脆弱性の管理体制と管理プロセス、セキュリティインシデント対応手順、事業継続要件に沿った復旧準備の3つです。また、評価プロセスでは各組織が決定した適用範囲の中から対象をサンプリングして評価することが想定されています。すべての端末や記録を見せる必要はありませんが、どれを抜き取られても示せる状態にしておかなければなりません（※2）。
技術検証は、取得希望組織が管理する対象機器に対して、既知脆弱性の悪用など一般的な攻撃パターンを試行するプロセスです。対象は、組織がインターネットに公開している機器のうち、脆弱性を悪用された場合に組織内部へ侵入されるリスクが高い機器で、VPN装置やルータが例示されています。社内のサーバや端末は技術検証ではなく、実地審査の証跡確認やサンプリングで確認される位置づけです。対応する評価基準は4-4-4-3で、所要期間は事前準備と報告書作成を除いて1〜2日程度です（※2）。
注目したいのは、直近における対象機器への脆弱性検査の実施結果など、検証に相当する証跡の提出と確認をもって、検証実施の代替とみなすことも検討されている点です。平時から外部公開資産を棚卸しし、定期的に脆弱性診断を受けて結果を保管しておけば、それ自体が技術検証への備えになります（※2）。
★3・★4ともに、原則としてすべての評価基準への適合が求められます。153件のうち一部を満たせば合格という仕組みではありません。ただし、評価で不適合が発見された場合でも、評価機関からの指摘事項が通知されてから一定期間内（例として1か月以内）に是正報告を提出し、内容について了承を得られれば★4を取得できます（※2）。
不適合が即座に不合格を意味しない一方、是正の猶予は短期間です。審査前に自社で模擬的な確認を行い、指摘されそうな箇所を先に潰しておいてください。
評価機関と技術検証事業者の指定に関する規則は、基本規程などとあわせて2026年8月28日に公開されました。各規程・規則は同年9月2日付で更新されているため、参照する際は最新版かを確認してください。8月28日には、評価機関・技術検証事業者・研修事業者向けの説明会の開催案内も公表されています（※4）。評価機関等の一覧の公表は2026年度下期、セキュリティ専門家向けの研修事業者は2026年12月末頃の公表予定です。（※4） 要求事項・評価基準の解説書は2026年10月頃、評価用ガイドは2026年度下期の公表が予定されています。審査費用については公表された数値がなく、相場と呼べる公的な統計もありません（※2）（※3）。
経済産業省は、★3・★4ともに2026年度末頃、おおむね2027年3月頃の運用開始と申請受付開始を目指しています（※1）。依頼先を正式に選べるのは評価機関が公表されてからです。それまでの期間は対策の実装と証跡の蓄積に充てるのが合理的です。
※1 参考：経済産業省│「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」. IPA
※2 参考：IPA│「SCS評価制度の詳細情報」
※3 参考：IPA│「要求事項・評価基準」
※4 参考：IPA│「制度規程・委員会」
★4を目指すべきかどうかは、制度が示す2つのリスク軸と、自社のサプライチェーン上の立場、そして取引先からの要請で決まります。まず制度が示す判断の目安を確認し、次に★4が視野に入りやすい企業の特徴を確認します。
制度構築方針には、発注者が取引先に対してどの段階を求めるかを判断するフローが例として示されています。取引先の事業中断により自社の事業継続上重要な業務に許容できない遅延等が生じ得るかが「事業継続リスク」です。取引先へのサイバー攻撃等により発注者の機密等に係る情報管理に重大な影響が生じ得るかが「情報管理リスク」、いずれかに当てはまれば★4、どちらにも当てはまらなければ★3が目安です。
このフローは、受注側が自社の立場に置き換えて目指す段階を検討する際の目安としても使えます。なお、このフローには前提があり、事業活動上重要な業務の多くがIT基盤に依存している取引先を対象としています。単発・一過性の調達や市販品など市場で容易に代替可能な調達のうち重要度が相対的に高いとは言えないものは、フローの対象から外すことも考えられると注記されています。
顧客のシステムへのアクセス権を持つITベンダーや運用委託先、電力・通信・金融などの重要インフラのサプライチェーンに属する企業、設計データや個人情報を預かる企業は、事業継続リスクと情報管理リスクのいずれかに該当しやすい立場です。また、自工会・部工会ガイドラインLv2に対応済みの企業は、★4のベンチマークがLv2〜3であることから、追加対応の負荷が相対的に小さくなります（※1）。
取引先から具体的に★4の取得を求められている場合は、そもそも自社の判断だけで完結しません。要求の根拠と期限を確認したうえで、既存対策との差分を把握するところから始めてください。
※1 参考：経済産業省│「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」. IPA
★4を目指すと決めたら、次に決めるのは着手の順番です。制度全体に共通する準備ステップは別記事の内容のため、ここに残るのは★4に固有の勘所を実際に動く順に並べた次の4点です。
いずれも「動いてから記録を作る」のではなく、記録が残る形を先に用意しておくのが★4対応のコツです。順番に見ていきます。
取得単位は原則として法人または個人事業主ですが、法人の場合は、設定した適用範囲について評価機関（★4の場合）の妥当性確認を経たうえで、事業部単位やグループ単位を申請主体とすることもできます。範囲を決めれば、ギャップ分析の対象も審査でサンプリングされる対象も定まります。
適用範囲の考え方も示されており、Webサーバやメールサーバなどのインターネット公開サーバは必ず適用範囲に含めること、ファイアウォール・ルータ・VPN装置といった外部ネットワーク境界の機器も範囲に含めることとされています。一方、製造環境等の制御（OT）システムや、発注元等に販売する製品は適用範囲に含めません。
あわせて、インターネットに公開しているサーバ、VPN装置、ルータなどを一覧にしてください。技術検証の対象になる資産であり、管理から漏れた機器ほど攻撃者に狙われます（※1）。
IPAが公開している★3・★4の要求事項・評価基準のExcelを使い、153件の評価基準ごとに「対応済み」「一部対応」「未対応」を記録します。このとき、規程があるかだけでなく、実施記録が残っているかも同時に確認してください。要求事項43件で数えると粗すぎて、実地審査で確認される粒度と合いません（※3）。
ギャップが見えたら、体制やプロセスの整備を先に進め、その運用記録を残す仕組みを同時に作ります。経営層への報告、取引先の対策状況の確認、脆弱性対処、教育の受講記録は、いずれも実施した日付と内容が残って初めて証跡になります。技術的な対策の実装と並行して、記録の残し方を決めておくことが後戻りを防ぎます。
技術検証は外部公開機器への脆弱性検査であり、実地審査は復旧準備や脆弱性管理プロセスの証跡確認です。申請前に外部公開資産の脆弱性診断を受け、検出された問題を対処したうえで結果を保管しておけば、技術検証の代替証跡として検討される可能性があります。復旧テストも同様に、手順書どおりに目標時間内で戻せたことを記録として残してください（※2）。
脆弱性診断には、ツールで自動的に検査する方法と、専門家が手動で検査する方法があります。自動診断は既知のパターンを広く短時間で確認するのに向いていますが、VPN装置やルータのように設定や構成に依存する問題、複数の弱点を組み合わせて初めて侵入に至る経路は見落としやすく、誤検知の判断にも専門家の目が要ります。技術検証で試行されるのは攻撃者と同じ手順であり、それに備える検査も同じ視点で行う必要があります。
※1 参考：経済産業省│「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」. IPA
※2 参考：IPA│「SCS評価制度の詳細情報」
※3 参考：IPA│「要求事項・評価基準」
ユービーセキュアでは、専門家による手動の脆弱性診断とペネトレーションテストに加え、セキュリティ評価プラットフォームSecure SketCHをベースにした「SCS評価制度の事前セキュリティアセスメント支援」を提供しています。
★4への対応は、適用範囲の決定、153の評価基準とのギャップ分析、体制やプロセスの文書化、運用記録の蓄積、外部公開資産の脆弱性診断と、工程が多岐にわたります。これらを通常業務と並行して情報システム部門だけで回し切るのは、人員に余裕のある企業でも簡単ではありません。「SCS評価制度 事前セキュリティアセスメント支援」は、この負荷を外部の専門家で分担するためのサービスです。
基盤となるのは、国内外7,000社以上、98か国で利用されているセキュリティ評価プラットフォーム「Secure SketCH」です。IPAが公開している要求事項・評価基準にもとづき、専門家が自社のリスクと対策の実施状況を評価し、不足している項目と優先順位を明らかにします。Secure SketCHはセキュリティ水準を偏差値で表示するため、経営層への説明や取引先への状況共有にもそのまま使えます。
評価して終わりではなく、結果にもとづく対策の提案から導入までを一貫して依頼できる点が特徴です。技術検証の対象となるVPN装置やルータなどの外部公開資産には、専門家が手動で行う脆弱性診断とペネトレーションテストを組み合わせ、自動ツールでは見つけにくい設定不備や複数の弱点を経由した侵入経路まで確認します。
ギャップ分析から技術検証を見据えた診断までを一貫して進めたい場合の選択肢としてご検討ください。
SCS評価制度の★4は、★3の対策に組織ガバナンス、取引先管理、検知、インシデント対応と復旧の実運用を加え、それを第三者評価と技術検証で証明する水準です。要求事項は43件、評価基準は153件で、原則すべての評価基準への適合が求められます。審査では規程の有無ではなく、証跡と実機で対策が動いているかが確認され、技術検証の対象はVPN装置やルータなどの外部公開機器です。
取得の判断は、自社が事業継続リスクまたは情報管理リスクに該当するか、取引先から要請があるかで決まります。目指すと決めたら、適用範囲の決定と外部公開資産の棚卸し、公開Excelによるギャップ分析、運用記録を伴う対策の実装、審査を想定した脆弱性診断と復旧テストの順で進めてください。評価機関や解説書の公表を待つ間にも、証跡の蓄積は今日から始められます。要求事項の読み解きや技術検証への備えに不安があれば、ユービーセキュアの無料相談をご利用ください。