この記事の要点と4つの章のご案内
| 章構成 | 主なテーマ | 要点と確認ポイント |
|---|---|---|
| 1. 基本と全体像 | この記事の3つの要点(まずここだけ読めば安心です) | 2026年秋から、取引先のセキュリティ確認が「共通のものさし(3〜5)」に統一されます: これまで親会社ごとにバラバラだったエクセル調査票に代わり、経済産業省とIPAが定める「サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)」が始まります。 |
| 2. 現場での進め方と対策 | なぜ経済産業省とIPAは、2026年に新しい「★3・★4・5」評価制度を始めるのか? | すべての中小企業がまず目指すべき基準は「3(標準的な基礎対策:約26項目)」です: 1・2は現行のSECURITY ACTION(自己宣言)に相当するため、新制度では最初から実効性のある「3」がサプライチェーン取引の共通基準となります。 |
| 3. 関連する制度とルール | SCS評価(★3)の5大領域と、業種別の重点対策一覧 | まずは本ページの図解と3項目チェックリストでご自身でできる範囲からお試しください。もし設定や判断に迷われたときは、過度な営業のないご相談窓口(お助け隊・お問い合わせ窓口)へいつでもご相談いただけます。 |
| 4. 詳しい技術仕様としくみ | METI/IPA SCS ★3 (26 Controls) Policy-as-Code 自動適合性検査エンジンのRust 2024実装 | ——取引先から「3は取得済みですか?」と聞かれたときに慌てないための、お金をかけない最短準備ガイド |
2026年本格始動「SCS評価制度(★3・★4)」
重要26項目と、業種別・実践チェックリスト
——取引先から「3は取得済みですか?」と聞かれたときに慌てないための、お金をかけない最短準備ガイド
この記事の3つの要点(まずここだけ読めば安心です)
- 01. 2026年秋から、取引先のセキュリティ確認が「共通のものさし(3〜5)」に統一されます: これまで親会社ごとにバラバラだったエクセル調査票に代わり、経済産業省とIPAが定める「サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)」が始まります。
- 02. すべての中小企業がまず目指すべき基準は「3(標準的な基礎対策:約26項目)」です: 1・2は現行のSECURITY ACTION(自己宣言)に相当するため、新制度では最初から実効性のある「3」がサプライチェーン取引の共通基準となります。
- 03. 3の取得に150万円の専用機器(UTM)は不要です。基本の5分野を整えれば達成できます: 01 資産の把握、02 多要素認証と権限管理、03 機器更新と静的Web化、04 書き換え不能なバックアップ、05 72時間初動手順の5分野を順番に整えましょう。
1. なぜ経済産業省とIPAは、2026年に新しい「★3・★4・5」評価制度を始めるのか?
これまで多くの中小企業が「SECURITY ACTION(一つ星・二つ星)」を宣言していましたが、自己宣言だけでは実際の設定確認が伴わず、取引先経由のサイバー被害を防ぐことができませんでした。そこで国は、発注元の大企業と受注側の中小企業の双方が共通の基準で安全性を確認・証明できる「SCS評価制度(★3〜★5)」を創設しました。
図1:事象の発生構造と3段階の対策フロー
「高価な箱」ではなく「運用の仕組み」を評価
SCS★3は特定のセキュリティ機器を買ったかどうかではなく、「パスワードの多要素化」「更新」「バックアップ分離」「連絡体制」が動いているかを評価します。
製造・建設・物流・医療で守るべき対象が違う
製造業なら3D CAD図面、建設業なら現場タブレット、物流なら配車システム、医療なら電子カルテと、自社の業種に合わせた重点保護が効果的です。
1つの3台帳を作れば全取引先に回答できる
一度SCS★3の26項目に沿って自社の管理記録を整えておけば、どの親会社からアンケートが来てもその場で転記・提出できるようになります。
場面別の実務確認ポイント
2. SCS評価(★3)の5大領域と、業種別の重点対策一覧
SCS評価(★3)で求められる約26項目を、現場で取り組みやすい5つの領域に整理しました。さらに下段のリンクから、各業種に特化した詳細プレイブックをお読みいただけます。
| SCS★3の5大領域 | 求められる具体的な対策内容 | 費用をかけずに始める方法 | 対応する業種別・詳細ガイド |
|---|---|---|---|
| 01. 把握・資産管理 | 社内にあるPC・サーバー・VPN機器・クラウド・委託先のリスト化 | A4・1枚の「3項目IT資産台帳」を作成し、四半期ごとに見直す | 製造業(CAD保護)・建設業(現場端末管理) |
| 02. 認証・権限管理 | 管理者権限の最小化、退職者IDの即時停止、多要素認証の導入 | 共通IDの使い回しをやめ、パスキー(FIDO2)または認証アプリを設定する | 士業事務所(顧問先マイナンバー隔離)・EC小売 |
| 03. 境界・脆弱性対策 | OS・VPN機器の迅速なパッチ適用、公開Webサイトの改ざん防止 | 自動更新を有効化し、会社案内サイトを動的PHPから静的Webへ移行する | 全業種共通(CVE-2024-4577・VPNゼロデイ対策) |
| 04. バックアップ保護 | ランサムウェアに同時暗号化されない世代バックアップと復元確認 | 外付けHDDの常時接続をやめ、OpenZFS等の書き換え不能スナップショットへ分離 | 物流・倉庫(WMS縮退運転)・医療機関(電子カルテ) |
| 05. 検知・72時間初動 | 異常発生時の連絡網(取引先・IPA・個人情報保護委員会)と年1回訓練 | 「15分でできる緊急初動訓練台本」を使って年1回みんなで手順を確認する | 全業種共通(72時間初動訓練シート) |
今日から無理なく進めるための4ステップ実践手順
現状の棚卸しと「見えにくいリスク」の把握
新しい機器やソフトを購入する前に、現在使っている機器・アカウント・契約先を紙1枚に書き出します。被害の大半は「昔作ったまま誰も管理していない古い機器や共有アカウント」から始まります。
費用をかけずにできる「3つの基本設定」
01 パスキー(FIDO2)または二要素認証の有効化、02 ルーター・VPN・OSの自動更新設定、03 バックアップ用外付けHDDの常時接続解除(切り離し保管)の3点を実施します。
異変に気づいたときの「責めない連絡ルール」
不審なリンクを開いたり偽警告が出たりした際、「怒られるかも」と隠すことが被害を広げます。「迷ったら6秒深呼吸して手を止め、すぐ共有してくれた人を褒める」ルールを共有します。
定期的な復元テストと第三者の落ち着いた確認
季節の変わり目ごとに「バックアップから実際に1つのファイルを戻せるか」を試すとともに、退職・異動に伴うアカウント整理を行い、迷う点は専門窓口で点検します。
現場で陥りやすい3つの落とし穴と、安全な回避策
落とし穴 01:「SCS★3認定代理店」を名乗る業者の高額リース契約に飛びつく
国の制度が始まる前後は必ず「この機器を入れれば3が取れます」という便乗営業が増えます。機器を置いただけでは規程やアカウント管理・バックアップ分離の項目は満たせません。
落とし穴 02:分厚い規程集の雛形をコピーしただけで、現場の誰も中身を知らない
30ページの立派なセキュリティ規程を作っても、現場のスタッフが「偽警告が出たときにどうするか」を知らなければ事故は防げません。A4・1枚の「守れる約束」から始めることが大切です。
落とし穴 03:自社の対策だけを考えて、ホームページ制作委託先や保守業者の管理を忘れる
SCS★3では「外部委託先やクラウドサービスの管理」も重要な評価項目です。保守ベンダーが共通IDでいつでも社内に入れる状態になっていないか必ず確認しましょう。
今日からできる3項目セルフチェック(クリックして確認)
達成状況:0 / 3 項目ご家庭や職場で現在できている項目にチェックを入れてみてください。すべてお使いのブラウザ内でのみ計算され、外部へ送信されることはありません。
2026年秋に本格始動する経済産業省・IPA「SCS評価制度(★3)」に関する説明として、正しいものはどれでしょうか?
よくあるご質問と、迷ったときの判断基準
Q1. 社内に専任のシステム担当者がいないのですが、自分たちだけで始められますか?
はい、始められます。まずは費用や特別な契約を伴わない「基本の3項目(パスキー・自動更新・切り離し保管)」から1つずつ進めてみてください。途中で設定画面の見方が分からなくなったときだけ、相談窓口を頼っていただければ十分です。
Q2. 外部の営業担当者から「今すぐ専用機器(UTM等)をリース契約しないと手遅れになる」と言われました。
その場で即決せず、必ず見積書を持ち帰ってセカンドオピニオンを確認してください。公的ガイドラインや2026年SCS評価制度(★3)が求めているのは、特定メーカーの高額機器ではなく「基本的な管理の仕組み」です。
Q3. このページの内容を印刷して、職場や家族に配ってもよいですか?
もちろんです。本サイトの図解やチェックリストは、地域の企業・医院・学校・ご家庭の安全を守るための公開技術資料として掲載しています。ブラウザの印刷機能(A4縦)でそのまま読みやすく印刷できます。
METI/IPA SCS ★3 (26 Controls) Policy-as-Code 自動適合性検査エンジンのRust 2024実装
本節では、SCS評価制度(★3)の26要求事項を機械可読な不変条件(Policy-as-Code)として記述し、OS・ネットワーク・DNS・ストレージの実測テレメトリから適合率と未達項目の最短是正パスを算出する決定論的エンジンの実装を示す。
1. プロトコル内部構造・数理モデルと設計根拠
1. 【26要求事項のビットマスク表現と最小コスト是正問題】 SCS★3の26要求事項をビットベクトル v ∈ {0, 1}26 で表し、現在の組織状態 vcur から基準適合状態 126 への遷移を考える。各対策アクション a_k が満たす要求事項の部分集合を S_k ⊆ {1, ..., 26}、導入コストを c(a_k) とすると、最短適合計画は重み付き集合被覆問題(Weighted Set Cover)として定式化される。特に (1) FIDO2/Passkey 導入、(2) OpenZFS 不変スナップショット分離、(3) Astro 静的Web化、(4) 72時間初動台本整備の4アクションは、限界費用ほぼゼロで全26項目の80%以上を一挙に充足する。
2. 【業種別プロファイル(製造・建設・物流・医療・士業・EC)の重み付け】 業種ごとに保護すべき最重要資産(Crown Jewels)が異なるため、各業界ガイドライン(医療情報第6.0版・第7.0版、PCI DSS v4.0、トラックGメン基準等)との共通部分を自動マッピングすることで、二重監査の手間を排除する。
2. 技術パラメータ・検証仕様一覧
| SCS ★3 カテゴリ | ビット範囲 | 主要技術プリミティブ | 自動検査コマンド / API |
|---|---|---|---|
| C1: Asset & Boundary | Bits 0..4 (5 items) | FreeBSD pf + Inventory Hash Table | pfctl -sr / TLS CT Log Inventory |
| C2: Identity & Access | Bits 5..10 (6 items) | FIDO2 WebAuthn + PG19 FORCE RLS | WebAuthn Credential Count / pg_policy |
| C3: Vulnerability & Web | Bits 11..15 (5 items) | OS Auto-Patch + Astro Static Edge | pkg audit -F / Static Asset Digest |
| C4: Backup & Continuity | Bits 16..20 (5 items) | OpenZFS CoW Snapshot + zfs hold | zfs list -t snapshot / Hold Verification |
| C5: Incident & Supply Chain | Bits 21..25 (5 items) | Entropy Watchdog + 72h Drill Log | Signed Drill Attestation Timestamp |
#![forbid(unsafe_code)]
pub const SCS_STAR3_TOTAL_CONTROLS: u32 = 26;
pub const SCS_STAR3_FULL_MASK: u32 = (1u32 << SCS_STAR3_TOTAL_CONTROLS) - 1;
#[derive(Debug, Clone, Copy, PartialEq, Eq)]
pub struct ScsStar3State {
pub satisfied_bitmask: u32,
}
#[derive(Debug, Clone, Copy, PartialEq, Eq)]
pub struct ScsAuditSummary {
pub satisfied_count: u32,
pub missing_count: u32,
pub completion_percent: u8,
pub is_star3_compliant: bool,
}
impl ScsStar3State {
#[inline]
pub const fn new(raw_mask: u32) -> Self {
Self {
satisfied_bitmask: raw_mask & SCS_STAR3_FULL_MASK,
}
}
#[inline]
pub const fn mark_control_satisfied(&mut self, index_0_to_25: u32) {
if index_0_to_25 < SCS_STAR3_TOTAL_CONTROLS {
self.satisfied_bitmask |= 1u32 << index_0_to_25;
}
}
#[inline]
pub const fn evaluate(&self) -> ScsAuditSummary {
let satisfied = self.satisfied_bitmask.count_ones();
let missing = SCS_STAR3_TOTAL_CONTROLS.saturating_sub(satisfied);
let pct = ((satisfied * 100) / SCS_STAR3_TOTAL_CONTROLS) as u8;
ScsAuditSummary {
satisfied_count: satisfied,
missing_count: missing,
completion_percent: pct,
is_star3_compliant: satisfied == SCS_STAR3_TOTAL_CONTROLS,
}
}
}
#[cfg(test)]
mod tests {
use super::*;
#[test]
fn full_26_bits_achieves_star3_compliance() {
let state = ScsStar3State::new(SCS_STAR3_FULL_MASK);
let summary = state.evaluate();
assert!(summary.is_star3_compliant);
assert_eq!(summary.satisfied_count, 26);
assert_eq!(summary.completion_percent, 100);
}
}
動的CMS/PHPランタイム攻撃面(CVE-2024-4577等)の解剖とAstro+Rust静的分離設計
プロトコル仕様・数理モデル・Rust 2024 実装コードの詳細は、専門技術モノグラフにて公開しています。
あわせて読みたい関連ガイド
まずは本ページの図解とチェックリストでご自身でできる対策からお試しください。関連する手順や、自分たちだけでは判断に迷われたときの相談窓口も以下からご覧いただけます。