コラム｜セキュリティ
米国NISTの無償の手引きで始める、SCS評価制度★3の準備
取引先からSCS評価制度★3について聞かれた中小企業向けに、米国NISTの無償の手引き（公式日本語版）で今の対策に○×を付け、★3の準備の順番を決める手順を紹介します。
取引先から「SCS評価制度の★3を取れますか」と聞かれ、何から手を付けるか迷っている総務担当・経営者の方に向けた記事です。米国のNIST（国立標準技術研究所）が中小企業向けに出した9ページの手引きには、公式の日本語版があり、無償で使えます。この手引きで今の対策に○×を付け、★3の準備の順番を決める手順を紹介します。
今回のポイント
結論から書きます。★3の準備は、NISTの手引き「SP 1300」で全体に○×を付けてから始めると、順番を決めやすくなります。次に、IPAのアセスメントシート（自己評価用の記入表）を、×が付いた分野から読みます。このシートは2026年10月28日に公開されました。
ただし、NISTで○が並んでも、★3に通るとは限りません。NISTの手引きには、合否も登録もないからです。NISTは全体を見る「地図」、IPAのシートは「答案」と分けて使います。
以前、「取引先からセキュリティチェックシートが届いたら、中小企業がまずやること」で、SCS評価制度の取得は任意だと書きました。まず取引先の要求と自社の現状を確かめる、という助言です。今回はその続きとして、★3を目指すと決めたあとの進め方を書きます。
★3で求められること
制度の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」です。サプライチェーンとは、取引先や委託先とのつながりのことです。経済産業省と内閣官房国家サイバー統括室の監督のもと、IPA（情報処理推進機構）が運営します。
★3の水準は「一般的なサイバー脅威に対処しうること」です。要求項目は26件あり、合格にはすべてを満たす必要があります。★4は43件で、評価機関による第三者評価を受けます。
★3では、まず自社で自己評価をします。それをSCSセキュリティ専門家（★3確認責任者）が確かめ、署名します。最後に、経営層の合意にもとづく自己適合宣言を付けて、IPAに申請します。
専門家になれるのは、決められた資格を持ち、研修を受けてIPAに登録した人です。資格には、情報処理安全確保支援士や、CISSP（国際的なセキュリティ資格）などがあります。
登録料は、1年分で10,000円（消費税込み）です。これは2028年3月31日までの割引料金で、その後は20,000円になります。★3は1年ごとの更新です。
これからの予定
次の予定は、2026年10月時点のものです。IPAは、遅れが出た場合は受付開始の時期を見直すとしています。
- 公開済み（2026年10月28日）：★3・★4自己評価等ガイド（アセスメントシート付き）、要求事項・評価基準の解説書など
- 予定（2026年11月末頃）：登録申請の手引の公開
- 予定（2026年12月下旬）：評価機関・技術検証事業者・研修事業者の指定と公表
- 予定（2027年1月以降）：研修と専門家の登録。1月中旬に申請用のシステムが動き始める
- 予定（2027年3月）：★3・★4の登録申請の受付開始
NISTの手引き「SP 1300」の中身
SP 1300は2024年2月に公開されました。対象は、セキュリティの計画がほとんどない中小企業です。非営利団体や学校にも役立つとしています。
2025年3月には、公式の日本語版が掲載されました。IPAの担当者が翻訳し、NISTの委託先が確認した「米国政府公式翻訳」です。
9ページのうち中心になるのは、「統治・識別・防御・検知・対応・復旧」の6つの機能（取り組みの分野）のページです。1つの機能を1ページで示し、検討すべき行動と質問、記入用の表が付いています。たとえば、次のような表があります。
- 防御：銀行、会計、メール、Microsoft・Google・AppleのIDなどで、多要素認証が有効かを「はい・いいえ」で付ける表。多要素認証とは、パスワードに加えて、スマートフォンでの確認など別の手段でも本人を確かめる仕組みです。NISTはこれを「データを保護するための最も迅速で安価な方法の一つ」としています。
- 統治：法律や契約で求められているセキュリティの決まりを書き出す表。
- 対応：経営者、技術担当、警察、法務、銀行、保険の連絡先表。「対応の計画を練習したことがあるか」という質問も付きます。
- 復旧：バックアップを戻す前に、中身が壊れていないかを確かめる項目。
手引きは、自力で対処できない項目を、外部の専門業者と話す「きっかけ」に使うよう勧めています。日本なら、★3確認責任者やお助け隊の事業者と話すときの材料になります。
米国・英国・日本の比較
中小企業の対策を後押しする仕組みは、国によって性格が違います。同じ観点で並べました。
| 観点 | 日本：SCS評価制度★3 | 米国：NIST SP 1300 | 英国：Cyber Essentials |
|---|---|---|---|
| 発表元・時期 | 経産省・国家サイバー統括室が2026年3月に方針を公表。運営はIPA | NIST。2024年2月（日本語版は2025年3月） | NCSC（国家サイバーセキュリティセンター）が開発。普及の数字は英国政府の調査（2026年4月公表） |
| 性格 | 任意の評価制度。取引条件にするかは当事者が決める | 任意・無償の手引き。合否も登録もない | 政府が推奨する認証制度（運営はIASME） |
| 評価の方法 | 自己評価に、専門家の確認と署名を付ける | 自分で記入表を使って確かめる | 自己評価の回答を役員が承認し、評価者が採点。上位版（Plus）は独立した技術テストを行う |
| 項目の数と範囲 | 26の要求項目。すべて満たす必要がある | 6つの機能。1機能1ページ | 技術的な対策5つ（ファイアウォール（不正な通信を止める仕組み）、安全な設定、更新の管理、利用者の権限の管理、ウイルス対策） |
| 費用と支援 | 登録料は1年10,000円（2028年3月まで）。無償の取得支援事業あり | 無償 | 組織の規模に応じて£320＋VAT（付加価値税）から。売上£20m未満で全社取得した組織には、サイバー保険が付く |
| 普及の状況 | 受付は2027年3月からの予定。取得企業は受付開始後に公表 | 登録がないため、取得数はない | 取得企業は5%（小規模企業は12%）、認知度は17%（2025/26年） |
英国の取得企業は、前年の3%から5%に増えました。100社のうち5社ほどです。小規模企業では、5%から12%に上がっています。同じ調査では、過去12か月に侵害や攻撃を受けた企業が43%、10社のうち4社ほどでした。
この比較から、「手引き」と「証明」は役割が違うことが分かります。米国の手引きは、自社の現状を知るための道具です。日本の★3や英国の認証は、取引先に対策を示すための仕組みです。
日本の中小企業なら、米国の無償の手引きで現状をつかみ、証明が要るときは★3で示す、という使い分けができます。一方で、米国の手引きは日本の制度に合わせて作られていません。★3の26項目と1対1では対応しない点に注意が要ります。
NISTの○×を★3につなぐ
つなぐときの目安は、IPAの解説書の章立てです。解説書の第5章は、次の7つに分かれています。
- ガバナンスの整備
- 取引先管理
- リスクの特定
- 攻撃等の防御
- 攻撃等の検知
- インシデント（事故）への対応
- インシデントからの復旧
NISTの6つの機能と、構成がよく似ています。違いは、「取引先管理」が独立していることです。NISTで○×を付けたあとに「取引先管理」を1行足すと、★3の準備の地図になります。
注意する点は2つあります。1つめに、NISTには合否がありません。★3では、26項目すべてを満たしたうえで、専門家の署名と経営層の宣言をそろえる必要があります。
2つめに、NISTの統治のページには、契約前に取引先のリスクを確かめる項目（GV.SC-06）があります。これは、自社が相手を見るための項目です。自社の対策を取引先に示す証明にはなりません。
ただ、この項目は、自社が仕事を委託する側としても使えます。例えば、経理を会計事務所に、顧客名簿を発送業者に預けている場合です。預け先が攻撃されれば、自社の情報も影響を受けます。IPAの「情報セキュリティ10大脅威 2026」組織編でも、2位は「サプライチェーンや委託先を狙った攻撃」で、8年連続でした。
どこから始めるか
私なら、防御のページにある多要素認証の表から始めます。メールや銀行など毎日使うアカウントが並んでいて、その場で確かめやすいからです。NISTが「最も迅速で安価な方法の一つ」としている点も、最初の一手に向いています。
例えば、月曜の朝に取引先から「★3の予定を教えてください」とメールが届いたとします。6つの機能の○×表が手元にあれば、できている所と未対応の所を、事実にもとづいて返せます。
今日からできること
- NISTの日本語版を印刷して○×を付ける
出典のPDFを開き、6つの機能のページを印刷して、「検討すべき行動」に○×を付けます。 - 多要素認証の表を埋める
銀行・メール・会計などのアカウントごとに「はい・いいえ」を付け、「いいえ」の所から設定を見直します。 - IPAのアセスメントシートを入手する
IPAの「要求事項・評価基準」のページから、Excelのアセスメントシートをダウンロードし、NISTで×だった分野から読みます。 - 確認責任者を社内で育てるか、社外に頼むか決める
研修は2027年1月以降の予定です。社外に頼む場合は、依頼先に見積もりを取ります。 - お助け隊（新類型）の募集状況を見る
IPAのページで15事業者の状況を確かめます。申し込めるのは1社だけで、参加は無償、期間は2027年9月までの予定です。すでに募集を終えた事業者もあります。
よくある疑問
Q. ★3を取れないと、取引は止まりますか
IPAのよくある質問では、すべてを満たしていないことを理由に、すぐ取引停止が求められるものではないとしています。まず取引先に「★いくつを、いつまでに」求めているかを聞きます。そのうえで、準備の予定を伝えます。
Q. 今のお助け隊サービスでは足りませんか
従来のお助け隊サービスは、2026年3月末までに約10,900社が導入しています。ただし、★3の要求項目の一部しか満たさないため、IPAは新類型を作りました。新類型では、要求項目ごとの診断と改善計画、ツールなどの支援、申請の支援まで行います。参加すると、意見や不審な通信の情報を提供するよう求められます。
DXプランニングで受けられるサービス
NISTの手引きやIPAのアセスメントシートで付けた○×を、取引先への回答や★3の準備に使うなら、チェックシートの回答支援でお手伝いできます。各項目が何を求めているかを一覧にし、今の対策を確かめて、事実に沿った回答案を作ります。足りない対策の実施、社内ルールづくり、SCS評価制度への備えも引き受けます。料金は、50項目までの回答支援が30,000円、51〜150項目が60,000円、足りない対策の実施が50,000円からです。
まとめ
NISTの日本語版で6つの機能に○×を付け、×の分野からIPAのシートを読むと、★3の準備の順番が決まります。★3は1年ごとの更新なので、○×表と回答を残しておくと、翌年はその見直しから始められます。同じ作業の繰り返しは、仕組みにできるところから。DXプランニングは、そこから考えます。
出典
- NIST「SP 1300 NIST Cybersecurity Framework 2.0: Small Business Quick-Start Guide」2024年2月26日
- NIST「NIST サイバーセキュリティ フレームワーク 2.0: スモールビジネス クイックスタートガイド（日本語版）」2025年3月14日掲載（PDF）
- 経済産業省「SCS評価制度の制度構築方針（報道発表）」2026年3月27日
- IPA「SCS評価制度の詳細」2026年10月28日更新
- IPA「SCS評価制度 よくある質問」2026年10月30日更新
- IPA「事務局説明資料（第3回運営審議委員会 資料3）」2026年9月11日
- IPA「料金設定のお知らせ」2026年9月18日
- IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の評価用ガイド等を公開」2026年10月28日
- IPA「要求事項・評価基準」2026年10月29日更新
- IPA「サイバーセキュリティお助け隊サービス（新類型）実証事業」2026年9月15日公開、10月28日更新
- IPA「情報セキュリティ10大脅威 2026」2026年1月29日
- NCSC「Cyber Essentials overview」2026年10月31日確認
- 英国政府「Cyber Security Breaches Survey 2025/2026」2026年4月30日
確認日：2026年10月31日
まずは無料でご相談ください
対応できるかの確認・お見積りまでは無料です。その場で契約を求めることはありません。通常、2日以内（土日を含む）にお返事します。