本文へスキップ
株式会社オープンナレッジ
株式会社オープンナレッジ Open Knowledge Inc.
1. 基本と全体像

この記事の要点と4つの章のご案内

この記事の3つの要点(まずここだけ読めば安心です)に関するイメージ写真
この記事の3つの要点(まずここだけ読めば安心です)
なぜ経済産業省とIPAは、2026年に新しい「★3・★4・5」評価制度を始めるのか?に関するイメージ写真
なぜ経済産業省とIPAは、2026年に新しい「★3・★4・5」評価制度を始めるのか?
2026年本格始動「SCS評価制度(★3・★4)」重要26項目と、業種別・実践チェックリスト の各章におけるテーマと要点一覧表
章構成 主なテーマ 要点と確認ポイント
1. 基本と全体像 この記事の3つの要点(まずここだけ読めば安心です) 2026年秋から、取引先のセキュリティ確認が「共通のものさし(3〜5)」に統一されます: これまで親会社ごとにバラバラだったエクセル調査票に代わり、経済産業省とIPAが定める「サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)」が始まります。
2. 現場での進め方と対策 なぜ経済産業省とIPAは、2026年に新しい「★3・★4・5」評価制度を始めるのか? すべての中小企業がまず目指すべき基準は「3(標準的な基礎対策:約26項目)」です: 1・2は現行のSECURITY ACTION(自己宣言)に相当するため、新制度では最初から実効性のある「3」がサプライチェーン取引の共通基準となります。
3. 関連する制度とルール SCS評価(★3)の5大領域と、業種別の重点対策一覧 まずは本ページの図解と3項目チェックリストでご自身でできる範囲からお試しください。もし設定や判断に迷われたときは、過度な営業のないご相談窓口(お助け隊・お問い合わせ窓口)へいつでもご相談いただけます。
4. 詳しい技術仕様としくみ METI/IPA SCS ★3 (26 Controls) Policy-as-Code 自動適合性検査エンジンのRust 2024実装 ——取引先から「3は取得済みですか?」と聞かれたときに慌てないための、お金をかけない最短準備ガイド
第1章〜第4章では、実務チェックリスト・公的制度基準・詳しい技術仕様を確認できます。
2026年 経済産業省・IPA 新評価制度ガイド 監修・執筆:登録情報処理安全確保支援士(第007617号)・上級医療情報技師 加藤 明生

2026年本格始動「SCS評価制度(★3・★4)」重要26項目と、業種別・実践チェックリスト

——取引先から「3は取得済みですか?」と聞かれたときに慌てないための、お金をかけない最短準備ガイド

この記事の3つの要点(まずここだけ読めば安心です)

  • 01. 2026年秋から、取引先のセキュリティ確認が「共通のものさし(3〜5)」に統一されます: これまで親会社ごとにバラバラだったエクセル調査票に代わり、経済産業省とIPAが定める「サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)」が始まります。
  • 02. すべての中小企業がまず目指すべき基準は「3(標準的な基礎対策:約26項目)」です: 1・2は現行のSECURITY ACTION(自己宣言)に相当するため、新制度では最初から実効性のある「3」がサプライチェーン取引の共通基準となります。
  • 03. 3の取得に150万円の専用機器(UTM)は不要です。基本の5分野を整えれば達成できます: 01 資産の把握、02 多要素認証と権限管理、03 機器更新と静的Web化、04 書き換え不能なバックアップ、05 72時間初動手順の5分野を順番に整えましょう。
第1章:背景と仕組みの図解

1. なぜ経済産業省とIPAは、2026年に新しい「★3・★4・5」評価制度を始めるのか?

これまで多くの中小企業が「SECURITY ACTION(一つ星・二つ星)」を宣言していましたが、自己宣言だけでは実際の設定確認が伴わず、取引先経由のサイバー被害を防ぐことができませんでした。そこで国は、発注元の大企業と受注側の中小企業の双方が共通の基準で安全性を確認・証明できる「SCS評価制度(★3〜★5)」を創設しました。

図1:事象の発生構造と3段階の対策フロー

従来の課題と新制度への移行 ・従来の自己宣言(1・2相当)では不十分 ・取引先ごとに調査票が違い現場が疲弊 ・2026年秋より「3」が取引の共通基準へ ※主な発生要因の整理 3(基礎・全中小企業の目標) ・重要約26項目の実効性ある基本対策 ・多要素認証+VPN更新+不変バックアップ ・年1回の初動確認と取引先への誠実な証跡提示 ※初期設定と運用手順 4(標準・重要基幹取引先) ・約55項目の組織的ガバナンスとログ監視 ・第三者評価・監査による客観的な適合証明 ・3の土台があれば段階的にステップアップ可能 ※システム層での保護機構
3の要点 01:機器購入ではない

「高価な箱」ではなく「運用の仕組み」を評価

SCS★3は特定のセキュリティ機器を買ったかどうかではなく、「パスワードの多要素化」「更新」「バックアップ分離」「連絡体制」が動いているかを評価します。

3の要点 02:業種ごとの勘所

製造・建設・物流・医療で守るべき対象が違う

製造業なら3D CAD図面、建設業なら現場タブレット、物流なら配車システム、医療なら電子カルテと、自社の業種に合わせた重点保護が効果的です。

3の要点 03:調査票の手間削減

1つの3台帳を作れば全取引先に回答できる

一度SCS★3の26項目に沿って自社の管理記録を整えておけば、どの親会社からアンケートが来てもその場で転記・提出できるようになります。

場面別の実務確認ポイント

ご家庭・シニア・初めて学ぶ方へ 難しい専門用語を覚える必要はありません。上の図解の「真ん中の箱(手順 02)」と、実践チェックリストの3項目を1つずつ確認するだけで十分に安全を高められます。
経営者・総務・医療や現場の責任者の方へ 比較表と実践手順をそのまま社内の点検シートとしてお使いいただけます。高額な機器契約の前に確認すべき判断基準も明記しています。
ろう者・難聴者・発達障害のある方へ 音声や動画のみに頼らず、すべて視覚的な図解と文字で完結しています。画面右上の「文字拡大」「シンプル表示」や、A4印刷にも対応しています。
情報システム担当・エンジニア・研究者の方へ 第3章にて、RFC・CVE・NIST SP 800シリーズ等の一次仕様に基づく数理モデルと、Rust Edition 2024(unsafe禁止)による検証コードを公開しています。
第2章:実践手順とセルフチェック

2. SCS評価(★3)の5大領域と、業種別の重点対策一覧

SCS評価(★3)で求められる約26項目を、現場で取り組みやすい5つの領域に整理しました。さらに下段のリンクから、各業種に特化した詳細プレイブックをお読みいただけます。

SCS★3の5大領域求められる具体的な対策内容費用をかけずに始める方法対応する業種別・詳細ガイド
01. 把握・資産管理 社内にあるPC・サーバー・VPN機器・クラウド・委託先のリスト化 A4・1枚の「3項目IT資産台帳」を作成し、四半期ごとに見直す 製造業(CAD保護)・建設業(現場端末管理)
02. 認証・権限管理 管理者権限の最小化、退職者IDの即時停止、多要素認証の導入 共通IDの使い回しをやめ、パスキー(FIDO2)または認証アプリを設定する 士業事務所(顧問先マイナンバー隔離)・EC小売
03. 境界・脆弱性対策 OS・VPN機器の迅速なパッチ適用、公開Webサイトの改ざん防止 自動更新を有効化し、会社案内サイトを動的PHPから静的Webへ移行する 全業種共通(CVE-2024-4577・VPNゼロデイ対策)
04. バックアップ保護 ランサムウェアに同時暗号化されない世代バックアップと復元確認 外付けHDDの常時接続をやめ、OpenZFS等の書き換え不能スナップショットへ分離 物流・倉庫(WMS縮退運転)・医療機関(電子カルテ)
05. 検知・72時間初動 異常発生時の連絡網(取引先・IPA・個人情報保護委員会)と年1回訓練 「15分でできる緊急初動訓練台本」を使って年1回みんなで手順を確認する 全業種共通(72時間初動訓練シート)

今日から無理なく進めるための4ステップ実践手順

手順 01(所要時間:約15分)

現状の棚卸しと「見えにくいリスク」の把握

新しい機器やソフトを購入する前に、現在使っている機器・アカウント・契約先を紙1枚に書き出します。被害の大半は「昔作ったまま誰も管理していない古い機器や共有アカウント」から始まります。

手順 02(所要時間:約30分)

費用をかけずにできる「3つの基本設定」

01 パスキー(FIDO2)または二要素認証の有効化、02 ルーター・VPN・OSの自動更新設定、03 バックアップ用外付けHDDの常時接続解除(切り離し保管)の3点を実施します。

手順 03(所要時間:約15分)

異変に気づいたときの「責めない連絡ルール」

不審なリンクを開いたり偽警告が出たりした際、「怒られるかも」と隠すことが被害を広げます。「迷ったら6秒深呼吸して手を止め、すぐ共有してくれた人を褒める」ルールを共有します。

手順 04(3ヶ月に1回・約15分)

定期的な復元テストと第三者の落ち着いた確認

季節の変わり目ごとに「バックアップから実際に1つのファイルを戻せるか」を試すとともに、退職・異動に伴うアカウント整理を行い、迷う点は専門窓口で点検します。

現場で陥りやすい3つの落とし穴と、安全な回避策

落とし穴 01:「SCS★3認定代理店」を名乗る業者の高額リース契約に飛びつく

国の制度が始まる前後は必ず「この機器を入れれば3が取れます」という便乗営業が増えます。機器を置いただけでは規程やアカウント管理・バックアップ分離の項目は満たせません。

落とし穴 02:分厚い規程集の雛形をコピーしただけで、現場の誰も中身を知らない

30ページの立派なセキュリティ規程を作っても、現場のスタッフが「偽警告が出たときにどうするか」を知らなければ事故は防げません。A4・1枚の「守れる約束」から始めることが大切です。

落とし穴 03:自社の対策だけを考えて、ホームページ制作委託先や保守業者の管理を忘れる

SCS★3では「外部委託先やクラウドサービスの管理」も重要な評価項目です。保守ベンダーが共通IDでいつでも社内に入れる状態になっていないか必ず確認しましょう。

今日からできる3項目セルフチェック(クリックして確認)

達成状況:0 / 3 項目

ご家庭や職場で現在できている項目にチェックを入れてみてください。すべてお使いのブラウザ内でのみ計算され、外部へ送信されることはありません。

上の3項目をクリックすると、現在の達成状況に応じたアドバイスが表示されます。まずは1項目ずつ順番に整えていきましょう。
理解を深める確認クイズ

2026年秋に本格始動する経済産業省・IPA「SCS評価制度(★3)」に関する説明として、正しいものはどれでしょうか?

よくあるご質問と、迷ったときの判断基準

Q1. 社内に専任のシステム担当者がいないのですが、自分たちだけで始められますか?

はい、始められます。まずは費用や特別な契約を伴わない「基本の3項目(パスキー・自動更新・切り離し保管)」から1つずつ進めてみてください。途中で設定画面の見方が分からなくなったときだけ、相談窓口を頼っていただければ十分です。

Q2. 外部の営業担当者から「今すぐ専用機器(UTM等)をリース契約しないと手遅れになる」と言われました。

その場で即決せず、必ず見積書を持ち帰ってセカンドオピニオンを確認してください。公的ガイドラインや2026年SCS評価制度(★3)が求めているのは、特定メーカーの高額機器ではなく「基本的な管理の仕組み」です。

Q3. このページの内容を印刷して、職場や家族に配ってもよいですか?

もちろんです。本サイトの図解やチェックリストは、地域の企業・医院・学校・ご家庭の安全を守るための公開技術資料として掲載しています。ブラウザの印刷機能(A4縦)でそのまま読みやすく印刷できます。

4. 詳しい技術仕様としくみ:技術アーキテクチャ仕様

METI/IPA SCS ★3 (26 Controls) Policy-as-Code 自動適合性検査エンジンのRust 2024実装

設計背景・判断基準リファレンス

本節では、SCS評価制度(★3)の26要求事項を機械可読な不変条件(Policy-as-Code)として記述し、OS・ネットワーク・DNS・ストレージの実測テレメトリから適合率と未達項目の最短是正パスを算出する決定論的エンジンの実装を示す。

準拠規格マッピング
METI/IPA SCS ★3 (26 Controls) & 4 (55 Controls)
自動検証カバレッジ
技術的統制 18項目 (自動) + 運用統制 8項目 (証跡)
出力フォーマット
Ed25519 署名付き JSON-LD / 取引先提出用レポート
計算複雑度
O(N) Deterministic Bitmask Evaluation (< 1ms)

1. プロトコル内部構造・数理モデルと設計根拠

1. 【26要求事項のビットマスク表現と最小コスト是正問題】 SCS★3の26要求事項をビットベクトル v ∈ {0, 1}26 で表し、現在の組織状態 vcur から基準適合状態 126 への遷移を考える。各対策アクション a_k が満たす要求事項の部分集合を S_k ⊆ {1, ..., 26}、導入コストを c(a_k) とすると、最短適合計画は重み付き集合被覆問題(Weighted Set Cover)として定式化される。特に (1) FIDO2/Passkey 導入、(2) OpenZFS 不変スナップショット分離、(3) Astro 静的Web化、(4) 72時間初動台本整備の4アクションは、限界費用ほぼゼロで全26項目の80%以上を一挙に充足する。

2. 【業種別プロファイル(製造・建設・物流・医療・士業・EC)の重み付け】 業種ごとに保護すべき最重要資産(Crown Jewels)が異なるため、各業界ガイドライン(医療情報第6.0版・第7.0版、PCI DSS v4.0、トラックGメン基準等)との共通部分を自動マッピングすることで、二重監査の手間を排除する。

2. 技術パラメータ・検証仕様一覧

SCS ★3 カテゴリビット範囲主要技術プリミティブ自動検査コマンド / API
C1: Asset & Boundary Bits 0..4 (5 items) FreeBSD pf + Inventory Hash Table pfctl -sr / TLS CT Log Inventory
C2: Identity & Access Bits 5..10 (6 items) FIDO2 WebAuthn + PG19 FORCE RLS WebAuthn Credential Count / pg_policy
C3: Vulnerability & Web Bits 11..15 (5 items) OS Auto-Patch + Astro Static Edge pkg audit -F / Static Asset Digest
C4: Backup & Continuity Bits 16..20 (5 items) OpenZFS CoW Snapshot + zfs hold zfs list -t snapshot / Hold Verification
C5: Incident & Supply Chain Bits 21..25 (5 items) Entropy Watchdog + 72h Drill Log Signed Drill Attestation Timestamp
3. リファレンス実装コード(crates/ok-scs-auditor/src/star3_bitmask_evaluator.rs) Rust Edition 2024 (#![forbid(unsafe_code)])
#![forbid(unsafe_code)]

pub const SCS_STAR3_TOTAL_CONTROLS: u32 = 26;
pub const SCS_STAR3_FULL_MASK: u32 = (1u32 << SCS_STAR3_TOTAL_CONTROLS) - 1;

#[derive(Debug, Clone, Copy, PartialEq, Eq)]
pub struct ScsStar3State {
    pub satisfied_bitmask: u32,
}

#[derive(Debug, Clone, Copy, PartialEq, Eq)]
pub struct ScsAuditSummary {
    pub satisfied_count: u32,
    pub missing_count: u32,
    pub completion_percent: u8,
    pub is_star3_compliant: bool,
}

impl ScsStar3State {
    #[inline]
    pub const fn new(raw_mask: u32) -> Self {
        Self {
            satisfied_bitmask: raw_mask & SCS_STAR3_FULL_MASK,
        }
    }

    #[inline]
    pub const fn mark_control_satisfied(&mut self, index_0_to_25: u32) {
        if index_0_to_25 < SCS_STAR3_TOTAL_CONTROLS {
            self.satisfied_bitmask |= 1u32 << index_0_to_25;
        }
    }

    #[inline]
    pub const fn evaluate(&self) -> ScsAuditSummary {
        let satisfied = self.satisfied_bitmask.count_ones();
        let missing = SCS_STAR3_TOTAL_CONTROLS.saturating_sub(satisfied);
        let pct = ((satisfied * 100) / SCS_STAR3_TOTAL_CONTROLS) as u8;
        ScsAuditSummary {
            satisfied_count: satisfied,
            missing_count: missing,
            completion_percent: pct,
            is_star3_compliant: satisfied == SCS_STAR3_TOTAL_CONTROLS,
        }
    }
}

#[cfg(test)]
mod tests {
    use super::*;

    #[test]
    fn full_26_bits_achieves_star3_compliance() {
        let state = ScsStar3State::new(SCS_STAR3_FULL_MASK);
        let summary = state.evaluate();
        assert!(summary.is_star3_compliant);
        assert_eq!(summary.satisfied_count, 26);
        assert_eq!(summary.completion_percent, 100);
    }
}
4. 詳しい技術仕様としくみ(システム設計・数理モデル・実装例)

動的CMS/PHPランタイム攻撃面(CVE-2024-4577等)の解剖とAstro+Rust静的分離設計

プロトコル仕様・数理モデル・Rust 2024 実装コードの詳細は、専門技術モノグラフにて公開しています。

技術モノグラフを読む →
ご質問・公的制度の活用に関するお問い合わせ窓口

掲載資料に関するご質問・公的制度活用のご案内

本ページの図解や解説内容に関するご質問、経済産業省「SCS評価制度」やIPA「SECURITY ACTION・サイバーセキュリティお助け隊サービス」等の公的制度の確認方法について、落ち着いた参考窓口としてご案内しております。売り込みや営業連絡は一切行いませんので、社内勉強会やご家庭での確認資料としてご自由にご活用ください。

図解・ビジュアルの拡大表示

図表内のテキストもそのまま選択・検索可能です(ベクターSVG描画) 枠外クリックまたは ESC キーで閉じます