経済産業省「SCS評価制度（★3・★4）」
適合確認・証跡整備サポート
2026年度末から本格運用が始まるサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）。大手・中堅企業との大切な取引を守り抜くための「★3（基礎レベル・26要求事項）」および「★4（標準レベル）」への適合を、高額な機器リースに頼らず、規程作成から技術設定・証跡の自動保管・登録情報処理安全確保支援士による確認署名まで基礎から段階的にお手伝いいたします。
- 01. 2026年度末より本格運用が始まる経済産業省「SCS評価制度」では、自己宣言（SECURITY ACTION）から一歩進み、客観的な証跡と専門家確認を伴う「3（26要求事項）」が取引継続の標準パスポートになります。
- 02. 数百万円の専用機器（UTM等）をリース契約する必要はありません。「多要素認証」「OS自動更新」「書き換え不能バックアップ」「72時間緊急手順」の基本を整えるだけで確実に適合できます。
- 03. オープンナレッジでは、登録情報処理安全確保支援士（第007617号）が規程ひな形の作成から実機設定、月次エビデンス自動収集、適合確認の署名まで最短2週間・明朗会計で一貫支援します。
なぜ2026年に「SCS評価制度（★3）」が必要になるのか？
Overview & Visual Structure身近なたとえ話で考えてみましょう。大きなマンション（サプライチェーン全体）で、1階の入り口にどれだけ頑丈なオートロック（大企業本体のセキュリティ）を設置しても、つながっている通用口の1箇所（取引先の中小企業）の鍵が開いたままになっていたら、空き巣はそこから建物全体へ入り込んでしまいます。
これまで多くの大企業は、取引先に毎年「鍵は閉まっていますか？」という100問近いアンケート用紙（Excelチェックシート）を配っていました。しかし、アンケートに「はい」と書くだけでは実際の侵入を防げない事案が相次いだため、国（経済産業省・内閣官房・IPA）が「全国共通の車検制度（★3・★4）」を作って、一度合格すればどの取引先にも安全性を証明できるようにしたのが「SCS評価制度」です。
サプライチェーン攻撃が上位常連に
IPA「情報セキュリティ10大脅威」において、ランサムウェア攻撃とサプライチェーンの弱点を悪用した攻撃は連続して組織向け脅威の最上位を占めています。取引先経由の侵入による工場停止や納期遅延が現実の経営課題となっています。
3は「全取引先の基礎基準（26項目）」
経済産業省の制度構築方針では、3（基礎レベル）を「サプライチェーンに連なるすべての企業が最低限満たすべき基準（ガバナンス・把握・防御・検知・対応復旧の26項目）」と位置づけ、2026年度末からの運用開始を予定しています。
侵入経路の約8割は「VPNとリモート機器」
警察庁のランサムウェア被害調査では、侵入経路の約8割が「古いVPN機器の未更新」や「多要素認証のないリモートデスクトップ」に集中しています。高価な装置を買うよりも、入り口の点検と書き換え不能バックアップが最も効果的です。
一貫サポートの5大工程・ご提供体制と「準備度セルフ診断」
Practice & Self-Assessmentオープンナレッジの「SCS★3 適合確認・証跡整備」5つの伴走ステップ
単なる「アドバイスだけ」で終わらせず、貴社の実務を止めない形で書類作成・パソコン設定・バックアップ構築・専門家署名までをワンストップで完了させます。
現状ギャップ診断（26要求事項の棚卸しと外部公開リスク点検）
60秒オンライン事前診断と非侵襲の外部点検（DNSのSPF/DKIM/DMARC設定、公開WebサーバーやVPN機器のバージョン確認）を実施し、「すでにできている項目」と「追加で整えるべき項目」を3段階（適合済・軽微な設定変更・要整備）で一覧化します。
業種別「情報セキュリティ基本方針・AI利用規程・72時間緊急手順書」の作成
製造業・建設業・物流業・医療機関・士業など貴社の業態に合わせて、SCS★3で必須となる文書一式（基本方針、情報資産・外部委託管理台帳、生成AI安全利用ルール、インシデント発生時72時間初動連絡フロー）を、社員様が3分で読める平易な言葉で作成します。
技術対策の実装（多要素認証・メール認証DMARC・不変バックアップ）
Microsoft 365 / Google Workspace 等の多要素認証（パスキー）有効化、OS自動更新と標準EDR（Microsoft Defender等）のポリシー統一、そしてランサムウェアに感染しても消去されない『小規模セキュリティ基本構成（OpenZFS不変スナップショット）』を設定します。
バックアップ復元テストの実施と「26項目エビデンス（証跡）台帳」の生成
SCS★3で特に重視される「実際にバックアップからデータを戻せることの証明（リストア訓練）」を実施し、設定画面キャプチャ・ログ・ハッシュ値を紐づけた証跡パッケージを整備します。
登録情報処理安全確保支援士による適合確認・署名と年次更新サポート
国家資格である登録情報処理安全確保支援士（第007617号）が全26項目の適合性を点検・署名し、取引先へいつでも提出できる適合確認書を発行します。
現場で陥りやすい落とし穴と回避策（3つの失敗パターン）
「毎日USBハードディスクに保存しているから安心」という誤解
パソコンや社内NASに常時接続された外付けHDDは、ランサムウェア感染時に本体のファイルと一緒に暗号化・削除されてしまいます。必ず「端末側から削除命令を出せない不変（イミュータブル）領域」へ隔離保管する必要があります。
「ネット上の50ページの規程集をそのまま印刷しただけ」
大企業向けの分厚い規程をコピーしても、現場の社員が読めなければ「緊急連絡先が書かれていない」「実際の運用記録（証跡）がない」としてSCS★3の確認を通過できません。実態に合ったA4・3枚の生きたルールが必要です。
「数年前に退職した社員や旧保守業者のVPNアカウントが残っている」
サプライチェーン侵入の多くは、使われなくなった休眠アカウントの悪用から発生します。年2回のID棚卸しと、共有IDの廃止（個人別アカウント＋多要素認証化）がSCS★3の必須通過条件です。
3項目でその場でわかる「SCS評価制度（★3）適合準備度シミュレーター」
貴社の現在の状態に最も近いものを3つ選んでください。不足している要件と推奨アクションを即座に判定します（入力データは外部に送信されません）。
SCS★3の主要技術・組織要件を高い水準で満たしています（最短2週間で適合確認が可能）
多要素認証・不変バックアップ・基本方針の3本柱がすでに整っています。残りのメールなりすまし対策（SPF/DKIM/DMARC）や時刻同期ログの確認を行い、登録情報処理安全確保支援士による証跡点検・署名を実施することで、速やかに★3適合を証明できます。
高価な専用機器の購入前に整えるべき「多要素認証・不変バックアップ・初動訓練」
経済産業省・IPAのSCS評価制度（★3）では、特定の機器をリース契約することではなく、実際の侵入手口を防ぐ運用と記録（証跡）が求められます。
急所 01：境界防御と認証
VPN機器の脆弱性放置をなくし、フィッシング耐性MFAを導入
ランサムウェア被害の約8割はVPN機器やリモートデスクトップから侵入しています。OS・機器の即時更新とパスキー認証が第一歩です。
急所 02：不変バックアップ
常時接続のUSB外付けHDDを改め、書き換え不能な隔離領域へ保存
端末が感染してもバックアップデータを暗号化・削除できない仕組み（OpenZFS不変スナップショット等）と年1回の復元確認が重要です。
急所 03：規程と初動訓練
取引先調査票に誠実に回答できる基本方針と年1回の15分初動訓練
オープン公開している基本方針ひな形と15分ロールプレイ訓練台本を活用し、実態の伴ったセキュリティ体制を無理なく構築できます。
SCS評価制度（★3・★4）対応メニュー・ご提供方法一覧
| メニュー名 | 含まれる支援内容 | ご提供方法・ご相談窓口 |
|---|---|---|
| 01. 60秒オンライン事前セルフ診断・公開資産チェック | Webブラウザ上での26項目ギャップ点検、SPF/DKIM/DMARC・TLS/CMS世代リスクの即時可視化 | オープン公開中（サンプル即時体験 ＋ 3秒・1タップ無料安全登録） |
| 02. SCS★3対応・情報セキュリティ基本方針＆緊急初動マニュアル＆生成AI安全利用規程 導入キット | 業種別7点セット（基本方針・情報資産台帳・72時間緊急連絡網・生成AI利用規程・元請け調査票回答テンプレート） → 規程ひな形・導入キットの詳細を見る |
基礎ひな形：無料で公開中 詳細キット：お客様のご状況・規模・ご要望をお伺いした上で、個別にご提案・お見積りいたします |
| 03. AI脆弱性診断・ペネトレーションテスト・SCS★3/★4適合確認サポート | 公開サーバー・VPN・クラウド設定の実証診断、26項目エビデンス台帳生成、登録情報処理安全確保支援士（第007617号）による適合確認・署名 → 脆弱性診断・適合確認の詳細を見る |
お客様のご状況・規模・ご要望をお伺いした上で、個別にご提案・お見積りいたします |
| 04. AI-CISO ＆ 継続ペネトレーションテスト／SCS★3継続証明・中小企業セキュリティ相談・継続伴走支援 | 週次自動脆弱性スキャン、OpenZFS不変バックアップ証跡保管、取引先チェックシート回答支援、有事の72時間初動封じ込め支援（公的施策『サイバーセキュリティお助け隊』活用案内を含む） → 中小企業セキュリティ相談・継続伴走支援の詳細を見る |
お客様のご状況・規模・ご要望をお伺いした上で、個別にご提案・お見積りいたします |
| 05. 元請け・士業・団体向け「取引先・顧問先一括導入支援」 | 協力会社・顧問先10社〜100社への小規模事業者向けセキュリティ・業務効率化支援一括導入とSCS★3適合状況のマルチテナント一覧管理 → 団体・元請け向け一括導入支援の詳細を見る |
お客様のご状況・規模・ご要望をお伺いした上で、個別にご提案・お見積りいたします |
理解を深める確認クイズ（1問1答）
【問題】SCS評価制度の「3」において求められるバックアップ対策として、ランサムウェア被害を確実に防ぐために最も適切なものはどれでしょうか？
選択肢 A：社内サーバーにUSB外付けハードディスクを常時つないでおき、毎日上書きコピーする クリックして判定 →
惜しい！要注意です。 常時接続されたUSBハードディスクや一般的な共有フォルダは、ランサムウェアが侵入した際に本体のデータと一緒に暗号化・消去されてしまいます。
選択肢 B：端末側から書き換え・消去ができない隔離領域（不変バックアップ）へ自動保存し、年1回以上の復元テスト記録を残す クリックして判定 →
正解です！ 仮にパソコンがウイルスに感染してもバックアップ側からは原則として削除できない仕組み（イミュータブル・バックアップ）と、実際にデータを戻せることを確認した「復元テストの記録（証跡）」がSCS★3の重要ポイントになります。
関連コラム・豆知識：中小企業セキュリティ相談・継続伴走支援との連携
経済産業省とIPAが推進する「サイバーセキュリティお助け隊サービス」（経済産業省公式案内 ↗）は、中小企業の皆様が安価かつ確実にセキュリティ対策と初動支援を受けられる国の公的枠組みです。当社はこの公的制度の活用案内とあわせ、登録情報処理安全確保支援士（第007617号）による「中小企業セキュリティ相談・継続伴走支援」を通じて、地域の中小企業・医療・福祉・製造業の皆様の「困ったときにすぐ相談できる窓口」として活動を続けています。
段階別の実務確認ポイントと深層実装仕様（Step 1〜Step 4 構成）
第1章（1. 概要と背景）をご覧ください。なぜ元請け企業がSCS★3を求めるのか、どれくらいの期間と適正費用で取得できるのかが3分で把握できます。
第2章（支援内容・自己診断）をご覧ください。26項目のうち現場がつまずきやすい急所と、3問でわかる準備度セルフ診断シミュレーターをご用意しています。
26統制項目の自動証跡収集、OpenZFS不変スナップショット、PostgreSQL 19 RLSによるテナント分離の実装コードは技術モノグラフ（ZFS不変バックアップ仕様）およびPostgreSQL 19 RLS仕様にて公開しています。
よくあるご質問（FAQ）
Q. 社内に情報システム部門やIT専任の担当者が1人もいないのですが、SCS評価制度の3を取得できますか？
A. はい、ご安心ください。当社のSCS★★3適合確認サポートは、従業員5名〜50名規模でIT専任者がいない企業様に最も多くご活用いただいております。専門用語を使わないオンライン事前問診（Web入力）をもとに、情報セキュリティ基本方針や情報資産台帳、緊急連絡網の作成から、パソコン・クラウドの多要素認証設定、書き換え不能バックアップの導入、そして国家資格者（登録情報処理安全確保支援士）による適合確認までを一貫してサポートいたします。
Q. 「SECURITY ACTION 二つ星」はすでに宣言しているのですが、SCS評価制度の3とは何が違うのですか？
A. IPAの「SECURITY ACTION（一つ星・二つ星）」は事業者様ご自身による自己宣言制度であり、すべての企業様の大切な出発点です。一方、2026年度末から本格運用が始まる「SCS評価制度の3」は、サプライチェーン全体の被害を防ぐため、26項目の具体的な対策（脆弱性更新、多要素認証、隔離バックアップ、インシデント手順等）を実施した上で、その客観的な記録（証跡）を整え、登録情報処理安全確保支援士などの専門家が確認する実効性重視の制度です。
Q. 他社から「SCS評価制度に対応するために150万円の専用セキュリティ機器（UTM）のリース契約が必要」と言われました。本当に必須ですか？
A. いいえ、専用機器の購入や高額なリース契約が必須という決まりはありません。SCS★3で求められる本質は、高価な箱を置くことではなく「OSやソフトを常に最新に保つこと」「ログインに多要素認証を設定すること」「ランサムウェアに消されないバックアップを取ること」「事故発生時に迅速に連絡できる体制を作ること」です。当社では既存のパソコン環境と低コストなクラウド・不変バックアップを活用し、無理のない適正費用で確実な適合を実現します。
Q. 複数の元請け企業から毎年別々の「セキュリティチェックシート（Excel調査票）」が届いて困っています。これも楽になりますか？
A. はい、大幅に軽減されます。SCS評価制度は、発注企業ごとにバラバラだった調査票を国が共通の評価基準（3〜5）に統一するために創設された制度です。また、移行期間中に個別取引先から届く50〜200問のチェックシートについても、当社で整備した26項目の証跡パッケージをもとに、整合性の取れた正確な回答作成を代行・支援いたします。
まずは無料の「60秒オンライン事前セルフ診断」または「規程即時導入キット」からどうぞ
オンライン窓口・お電話（072-628-9664）・メールにて、専門用語を使わず丁寧にご案内いたします。