合同会社SecuROIは、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS）の★3評価基準81に対応した準備表を公開しました。あわせて準備ガイドを第5版に差し替えています。SCSの登録申請の受付は、2027年3月以降に開始する予定となっています。

背景と制度の動向

サイバーセキュリティに関する関係閣僚会議による国の緊急対策パッケージ（2026年11月6日（金））では、SCSが3か所で名指しされました。令和9年（2027年）3月から開始し、大企業の委託先管理手法として推奨する旨が示されています。また、運用開始の後に★を取得した企業がサイバー攻撃を受けた場合、国から関係情報を求めることが可能な仕組みを導入する方針も盛り込まれました。

制度の文書は2026年10月28日（水）にVer.1.1として出揃っており、評価基準は確定しています。残る登録手続きの文書である登録申請の手引は2026年11月末頃の予定とされています。

SCS★3の制度内容と評価基準

★3の評価対象は7つの大分類と、その下の12の中分類です。評価はアセスメントシートの記載の妥当性を見る自己評価形式であり、経営層による自己適合宣言と★3確認責任者の確認が求められます。対策の実際の実施状況や証跡の実在までは確かめない形式であるため、記載の真実性は組織が負うことになります。

なお、★4は要求事項43・評価基準153で構成され、そのうち81は★3と共通です。★4では指定評価機関による第三者評価が加わりますが、★3を満たす準備は★4を目指す際にもそのまま活用できます。

また、評価基準の1つ（4-4-4-2）では、ベンダーが重大や高リスクと説明する脆弱性を修正するもの、CVSSの基本値が7.0以上の脆弱性を修正するもの、レベル詳細が提供されていないもののいずれかに該当する場合、公表から14日以内（2週間以内）にアップデートを適用することを定めています。期限内に対応できない場合は、悪用のリスクを低減する代替策の実施が求められます。

公開された準備表と各種ツールの構成

今回公開された準備表は、Excel（3シート）とPDF（11ページ）で提供されています。評価基準81の各行に対し、手元に出す物（文書・台帳・記録・設定・契約の5種）、決める人（経営／情シス／人事・総務／開発・運用／法務・調達の5区分）、今週できる最初の一手が記載されています。用意する物の列を名前でまとめると31個に集約されます。

Excel版では進捗を未着手・用意中・手元にあるの3つから選ぶことで、シート2「進み具合」とシート3「経営向け1枚」へ数式で反映される仕組みです。

あわせて以下の資料やガイドも提供・案内されています。

• 準備表（Excel）：https://www.securoi.com/whitepapers/scs-star3-prep-sheet.xlsx
• 準備表（PDF）：https://www.securoi.com/whitepapers/scs-star3-prep-sheet.pdf
• 準備ガイド 第5版（SCS 評価制度対応 現在地把握ガイド）：https://www.securoi.com/whitepapers/scs-readiness-guide.pdf
• 国の注意喚起 対応点検表（2026年10月版）（Excel / PDF）
• 取締役・監査等委員が執行側に聞く17の問い（実物は19行）：https://www.securoi.com/whitepapers/board-oversight-questions.pdf
• 判定の台帳と組む手順（Excel / PDF）
• 重大な脆弱性が公表された日の判断表：https://www.securoi.com/whitepapers/morning-decision-sheet.pdf
• 公開資料一覧：https://www.securoi.com/downloads

準備表を活用した進め方と代表者コメント

進め方として、用意する物31個で絞って行数の多い認証設定（7行）などから着手する方法、点検表等を用いて土台から構築する方法、決める人の列で絞って各担当へ配分する方法の3つが挙げられています。

合同会社SecuROIの代表社員である小山 幸輝は、81行を埋めて判明したこととして、手元に出す物をまとめると用意する物は31個に収まるため、31個を用意して何行埋まるか確かめる方が速い点、そして守秘義務や教育記録は人事・総務、取引先合意は法務・調達など、情シス以外の担当が入る32行も含めて担当を分散させる重要性を指摘しています。

会社概要

• 会社名：合同会社SecuROI（法人番号：5011203005053）
• 代表者：代表社員 小山 幸輝（Yoshiki Koyama）
• 事業内容：成長企業向けIT統制・セキュリティ診断SaaSの提供
• サービス：SecuROI（セキュロイ）｜https://www.securoi.com
• お問い合わせ：support@securoi.com

本記事は合同会社SecuROIの発表をもとに作成されています。第三者情報として、独立行政法人情報処理推進機構およびサイバーセキュリティに関する関係閣僚会議の公表資料を参照しています。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。