SCS評価制度への対応

SCS評価制度での「評価」とは？

★3・★4・★5の3段階で評価され、それぞれ具体的な要求事項・評価基準が設けられています。

2026年5月現在、★3と★4の要求事項・評価基準は公開されていますが、★5は検討中です。

※ ★4の登録を維持するために、毎年1回評価と検証を受ける必要があるか、それとも3年に1回で良いのか等頻度については、2026年6月時点で公表されていません。

★1と★2はどこにある？

★1と★2は、SCS評価制度ではなく、「SECURITY ACTION（セキュリティアクション）」という制度に設けられており、★3よりも初歩的な基準となっています。

「サイバーセキュリティリスク対応に全く手を付けられていない」「そもそも、サイバーセキュリティリスク対応以前に情報セキュリティリスク対応にも全くの手付かず」といった場合は、★1や★2から始めてもよいかもしれません。

セキュリティアクションについては、『情報セキュリティの基礎「セキュリティアクション」メリットと導入方法』をご参照ください。

★3の自己宣言には専門家による確認が必要？

★3で言うところの自己宣言とは、例えばISO認証やプライバシーマーク監査機関などの第三者による評価を受ける必要が無いものとお考えください。自身の判断で宣言していただくことになります。

但し、自己宣言のみだと客観性が全く無いため、専門家の確認（評価ではない）が必要という条件があり、不適合が発見された場合は、専門家の了承を得る必要があります。

なお、「専門家」とは、情報処理安全確保支援士、公認情報セキュリティ監査人、ISMSの主任審査員等一定の条件を満たした者が所定の研修を受講することでなれるものとされていますが、2026年6月時点で詳細な条件は未定です。

また、条件さえ満たせば、専門家は社内の人員でも可となる見込みです。

SCS評価制度はいつから始まる？

制度の運用開始は、2026年度下期（2026年10月から2027年3月）とされており、2026年6月時点では2026年度末（2027年2月～3月頃）になると見込まれています。そのため、★3や★4の登録が可能となるのはそれ以降となります。

ただし、要求されている内容は実際のサイバーセキュリティリスク対応において有意義であるため、登録するしないは別として先行して要求に対応する取組みを始める価値はあります。

例えば、既にISMS等に取り組まれている組織は、SCSの要求とのGAPを分析し、そのGAPを埋める取組みを始めてはいかがでしょうか。

第三者評価や技術検証とは？

第三者評価や確認とは、ISO認証やプライバシーマークと同様に監査機関などの第三者による評価や確認を意味し、①提出書類の確認（★3と★4共通）②実地審査（★4のみ）③技術検証（★4のみ）で構成されています。となお、①②③いずれも所要時間は１～２日と予定されています。

技術検証は2026年6月時点においては詳細不明ですが、前述の第三者評価を行う機関が実施することもあれば、技術検証のみ他の機関が行うこともあるとされています。

具体的には対象組織のルーター等インターネットから侵入されやすい入口に脆弱性検査を実施するとされていますが、同等の脆弱性診断を実施した結果を提出することで要件を満たすことができる可能性も検討されているようです。