26の要求事項を20問・約4分で
SCS評価制度★3 準備度セルフチェック
取引先から「セキュリティ★3」を求められたら、すぐ示せますか？
SCS評価制度の★3・★4は、2027年3月から登録申請の受付が始まる予定です。★3の要求事項26件すべてを20問にまとめ、「書類で示せるか」まで採点します。
公式の評価ではありません。IPAが公開している要求事項をもとに、独自に作成しています。SCS評価制度とは？
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、企業のセキュリティ対策の水準を★の数で示す制度です。
経済産業省と内閣官房国家サイバー統括室が2026年3月に制度構築方針を公表し、IPAが運営します。
★3は、取引先企業すべてが最低限そろえる水準です。要求事項26件・評価基準81件を、専門家の確認を受けたうえで自己評価します。
★3・★4の登録申請は、2027年3月に受付開始の予定です（2026年10月時点、IPA）。
このチェックでわかること
SCS評価制度★3準備度セルフチェックは、★3の要求事項26件への備えを、20問・約4分で確かめる無料のセルフチェックです。IPAの公表資料をもとに独自に作成したもので、公式の評価ではありません。
- 6分野の準備度：体制・取引先、資産の把握、ID・認証、端末・バックアップ、ネットワーク、事故対応・復旧
- ★3の水準との差：レーダーチャートの外周が★3の水準です
- 書類で取りこぼしている問題の数：やっているのに、ルールや書類がないために示せない項目
- 次にやること3つ：今の段階に合わせた、最初の一歩
結果の例（LEVEL 2・準備度50%の場合）。回答によって、段階・準備度・分野ごとの点数が変わります。
作成：株式会社ピクルス（診断コンテンツ作成ツール「ヨミトル」の運営会社。ISO/IEC 27001認証取得）
最終更新： 参照資料：IPA「★3・★4 要求事項・評価基準」（2026年4月公開）・解説書（2026年10月公開）
26の要求事項を20問・約4分で
SCS評価制度★3 準備度セルフチェック
取引先から「セキュリティ★3」を求められたら、すぐ示せますか？
SCS評価制度の★3・★4は、2027年3月から登録申請の受付が始まる予定です。★3の要求事項26件すべてを20問にまとめ、「書類で示せるか」まで採点します。
公式の評価ではありません。IPAが公開している要求事項をもとに、独自に作成しています。SCS評価制度とは？
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、企業のセキュリティ対策の水準を★の数で示す制度です。
経済産業省と内閣官房国家サイバー統括室が2026年3月に制度構築方針を公表し、IPAが運営します。
★3は、取引先企業すべてが最低限そろえる水準です。要求事項26件・評価基準81件を、専門家の確認を受けたうえで自己評価します。
★3・★4の登録申請は、2027年3月に受付開始の予定です（2026年10月時点、IPA）。
このチェックでわかること
SCS評価制度★3準備度セルフチェックは、★3の要求事項26件への備えを、20問・約4分で確かめる無料のセルフチェックです。IPAの公表資料をもとに独自に作成したもので、公式の評価ではありません。
- 6分野の準備度：体制・取引先、資産の把握、ID・認証、端末・バックアップ、ネットワーク、事故対応・復旧
- ★3の水準との差：レーダーチャートの外周が★3の水準です
- 書類で取りこぼしている問題の数：やっているのに、ルールや書類がないために示せない項目
- 次にやること3つ：今の段階に合わせた、最初の一歩
結果の例（LEVEL 2・準備度50%の場合）。回答によって、段階・準備度・分野ごとの点数が変わります。
作成：株式会社ピクルス（診断コンテンツ作成ツール「ヨミトル」の運営会社。ISO/IEC 27001認証取得）
最終更新： 参照資料：IPA「★3・★4 要求事項・評価基準」（2026年4月公開）・解説書（2026年10月公開）
SCS評価制度は、なぜできたのですか？
IPAによると、近年はサプライチェーンを通じたセキュリティ事故が頻発しています。委託先が攻撃されると、委託元の事業が止まったり、情報が漏れたりするおそれがあります。
委託元は、委託先の対策が見えにくいことが課題でした。委託先は、多くの取引先から違う要求を受け、負担が大きくなっていました。
SCS評価制度は、求める対策の段階を★で示し合い、こうした負担を減らしながら、サプライチェーン全体の対策を底上げする仕組みです。
SCS評価制度のしくみ。取得は任意です。
「本制度は、個社間における商取引に関し規制措置を講じるものではなく」
経済産業省・内閣官房国家サイバー統括室（2026年4月27日）
取得するかどうかは任意です。評価基準を満たすのに、特定の製品の導入が必須なわけでもありません。
★3と★4の違いは？
★3と★4の違いは、求められる水準と評価の方法です。★3は自己評価、★4は評価機関による第三者評価です（IPA）。
| ★3 | ★4 | |
|---|---|---|
| 水準 | 取引先企業すべてが最低限そろえる水準 | 取引先企業が標準的に目指す水準 |
| 要求事項 | 26件（評価基準81件） | 43件（評価基準153件） |
| 評価の方法 | 専門家の確認を受けたうえでの自己評価 | 評価機関による第三者評価と技術検証 |
| 有効期間 | 1年 | 3年 |
★5は今後検討されます。
★3の要求事項26件には、何がありますか？
★3の要求事項26件は、7つの大分類に分かれています（IPA「★3・★4 要求事項・評価基準」より。名称のみ）。
- ガバナンスの整備（3件）
- セキュリティ推進活動部門／守秘義務のルール／セキュリティ対応方針の策定
- 取引先管理（3件）
- 取引先とのビジネス又はシステム上の関係／機密情報の取扱い／セキュリティインシデント発生時の役割・責任
- リスクの特定（4件）
- 情報機器、OS及びソフトウェアに関する情報の把握／ネットワークに関する情報の把握／外部情報サービスの管理／機密区分に応じた情報の管理
- 攻撃等の防御（13件）
- ユーザIDの管理手続／管理者IDの管理手続／認証の強度・実装方法の決定／アカウントロック制御／パスワード設定ルール／パスワード管理ルール／アクセス権の管理ルール／セキュリティインシデント発生時の教育・訓練／適切なバックアップ／情報機器、OS及びソフトウェアの安全な構成／セキュリティパッチ・アップデートの手続／マルウェア感染からの保護／ネットワーク境界防護
- 攻撃等の検知（1件）
- ネットワーク接続・データの監視
- インシデントへの対応（1件）
- インシデント対応手順
- インシデントからの復旧（1件）
- 事業継続要件に沿った復旧準備
このチェックでは、26件を6つの分野・20問にまとめています。
★3の要求事項26件と、このチェックの6分野・20問の対応。
SCS評価制度は、なぜできたのですか？
IPAによると、近年はサプライチェーンを通じたセキュリティ事故が頻発しています。委託先が攻撃されると、委託元の事業が止まったり、情報が漏れたりするおそれがあります。
委託元は、委託先の対策が見えにくいことが課題でした。委託先は、多くの取引先から違う要求を受け、負担が大きくなっていました。
SCS評価制度は、求める対策の段階を★で示し合い、こうした負担を減らしながら、サプライチェーン全体の対策を底上げする仕組みです。
SCS評価制度のしくみ。取得は任意です。
「本制度は、個社間における商取引に関し規制措置を講じるものではなく」
経済産業省・内閣官房国家サイバー統括室（2026年4月27日）
取得するかどうかは任意です。評価基準を満たすのに、特定の製品の導入が必須なわけでもありません。
★3と★4の違いは？
★3と★4の違いは、求められる水準と評価の方法です。★3は自己評価、★4は評価機関による第三者評価です（IPA）。
| ★3 | ★4 | |
|---|---|---|
| 水準 | 取引先企業すべてが最低限そろえる水準 | 取引先企業が標準的に目指す水準 |
| 要求事項 | 26件（評価基準81件） | 43件（評価基準153件） |
| 評価の方法 | 専門家の確認を受けたうえでの自己評価 | 評価機関による第三者評価と技術検証 |
| 有効期間 | 1年 | 3年 |
★5は今後検討されます。
★3の要求事項26件には、何がありますか？
★3の要求事項26件は、7つの大分類に分かれています（IPA「★3・★4 要求事項・評価基準」より。名称のみ）。
- ガバナンスの整備（3件）
- セキュリティ推進活動部門／守秘義務のルール／セキュリティ対応方針の策定
- 取引先管理（3件）
- 取引先とのビジネス又はシステム上の関係／機密情報の取扱い／セキュリティインシデント発生時の役割・責任
- リスクの特定（4件）
- 情報機器、OS及びソフトウェアに関する情報の把握／ネットワークに関する情報の把握／外部情報サービスの管理／機密区分に応じた情報の管理
- 攻撃等の防御（13件）
- ユーザIDの管理手続／管理者IDの管理手続／認証の強度・実装方法の決定／アカウントロック制御／パスワード設定ルール／パスワード管理ルール／アクセス権の管理ルール／セキュリティインシデント発生時の教育・訓練／適切なバックアップ／情報機器、OS及びソフトウェアの安全な構成／セキュリティパッチ・アップデートの手続／マルウェア感染からの保護／ネットワーク境界防護
- 攻撃等の検知（1件）
- ネットワーク接続・データの監視
- インシデントへの対応（1件）
- インシデント対応手順
- インシデントからの復旧（1件）
- 事業継続要件に沿った復旧準備
このチェックでは、26件を6つの分野・20問にまとめています。
★3の要求事項26件と、このチェックの6分野・20問の対応。
最近のサイバー攻撃では、何が多いのですか？
最も多いのはランサム攻撃です。IPAの「情報セキュリティ10大脅威 2026」（組織編）では、1位がランサム攻撃、2位がサプライチェーンや委託先を狙った攻撃でした。
警察庁によると、2025年に報告されたランサムウェアの被害は226件です。2025年上半期の被害企業の66.4%は中小企業でした。
自社が無事でも、つながっている取引先や委託先が攻撃の入口になることがあります。
2026年10月のニュースは、★3とどう関係しますか？
2026年10月には、委託先やサーバのソフトを入口にした出来事が続きました。どれも、★3の要求事項と、このチェックの設問につながります（2026年10月26日時点）。
- 10月7日｜クラウドサービス事業者がランサム攻撃を受けた
- 国内のクラウドサービス事業者がランサムウェア攻撃を受け、495の企業・自治体のサービスに影響が出ました。
利用する側が対策をしていても、委託先が止まれば、業務も止まります。
★3では、事故のときの役割分担、遠隔地のバックアップ、事故対応の手順、復旧の準備が求められています。
このチェックのQ4・Q14・Q18・Q20で確かめられます。 - 10月21日｜PHPの「緊急」の脆弱性に、修正版が公開された
- PHPの開発チームは、「緊急」レベル（深刻度9.2）の脆弱性2件の修正版を公開しました。
認証なしで外部から命令を実行されるおそれがあり、すべての利用者に直ちの更新が推奨されています。
修正版は8.5.12・8.4.27・8.3.36・8.2.35です。8.1以前には、公式の修正が出ていません。
★3では、重大な脆弱性を直す更新を公開から14日以内に当てることが求められています。サポートが切れたものは、削除するか、ネットワークから切り離します。
このチェックのQ12で確かめられます。 - 9月18日｜IPAがSCS評価制度の評価機関の募集を始めた
- IPAは、評価機関などの募集を始め、料金設定の資料を公開しました。
★3・★4の登録申請は、2027年3月に受付開始の予定です。10月28日には、要求事項の解説書と評価用ガイドが公開されました。
被害の入口になりやすいのは、どこですか？
警察庁の調査では、ランサムウェアの侵入経路の8割以上がVPN機器とリモートデスクトップでした。
- 侵入経路：VPN機器が62.2%、リモートデスクトップが22.2%（2025年上半期、警察庁）
- VPN機器を使う組織の52%が、最新のパッチを当てていない（警察庁のアンケート、2026年1月公表）
- 社外からのアクセスをID・パスワードだけで認証している組織が39.8%（同）
- 事故対応のマニュアルを作っていない組織が41.2%（同）
どれも、★3の要求事項で求められている対策です。このチェックのQ10・Q12・Q16・Q18で確かめられます。
最近のサイバー攻撃では、何が多いのですか？
最も多いのはランサム攻撃です。IPAの「情報セキュリティ10大脅威 2026」（組織編）では、1位がランサム攻撃、2位がサプライチェーンや委託先を狙った攻撃でした。
警察庁によると、2025年に報告されたランサムウェアの被害は226件です。2025年上半期の被害企業の66.4%は中小企業でした。
自社が無事でも、つながっている取引先や委託先が攻撃の入口になることがあります。
2026年10月のニュースは、★3とどう関係しますか？
2026年10月には、委託先やサーバのソフトを入口にした出来事が続きました。どれも、★3の要求事項と、このチェックの設問につながります（2026年10月26日時点）。
- 10月7日｜クラウドサービス事業者がランサム攻撃を受けた
- 国内のクラウドサービス事業者がランサムウェア攻撃を受け、495の企業・自治体のサービスに影響が出ました。
利用する側が対策をしていても、委託先が止まれば、業務も止まります。
★3では、事故のときの役割分担、遠隔地のバックアップ、事故対応の手順、復旧の準備が求められています。
このチェックのQ4・Q14・Q18・Q20で確かめられます。 - 10月21日｜PHPの「緊急」の脆弱性に、修正版が公開された
- PHPの開発チームは、「緊急」レベル（深刻度9.2）の脆弱性2件の修正版を公開しました。
認証なしで外部から命令を実行されるおそれがあり、すべての利用者に直ちの更新が推奨されています。
修正版は8.5.12・8.4.27・8.3.36・8.2.35です。8.1以前には、公式の修正が出ていません。
★3では、重大な脆弱性を直す更新を公開から14日以内に当てることが求められています。サポートが切れたものは、削除するか、ネットワークから切り離します。
このチェックのQ12で確かめられます。 - 9月18日｜IPAがSCS評価制度の評価機関の募集を始めた
- IPAは、評価機関などの募集を始め、料金設定の資料を公開しました。
★3・★4の登録申請は、2027年3月に受付開始の予定です。10月28日には、要求事項の解説書と評価用ガイドが公開されました。
被害の入口になりやすいのは、どこですか？
警察庁の調査では、ランサムウェアの侵入経路の8割以上がVPN機器とリモートデスクトップでした。
- 侵入経路：VPN機器が62.2%、リモートデスクトップが22.2%（2025年上半期、警察庁）
- VPN機器を使う組織の52%が、最新のパッチを当てていない（警察庁のアンケート、2026年1月公表）
- 社外からのアクセスをID・パスワードだけで認証している組織が39.8%（同）
- 事故対応のマニュアルを作っていない組織が41.2%（同）
どれも、★3の要求事項で求められている対策です。このチェックのQ10・Q12・Q16・Q18で確かめられます。
使っているクラウドツールの対策も、あわせて確かめませんか？
★3では、つながっている社外のクラウドサービスを、使う前に確かめて管理することも求められています（このチェックのQ6）。
無料セルフチェック｜10問・約1分クラウドツール危険度チェック
無料ダウンロード資料危ないツールを即座に見抜く！クラウドセキュリティ評価基準使っているクラウドツールの対策も、あわせて確かめませんか？
★3では、つながっている社外のクラウドサービスを、使う前に確かめて管理することも求められています（このチェックのQ6）。
よくある質問
SCS評価制度の★3は、いつから申請できますか？
IPAによると、★3・★4の登録申請は2027年3月に受付開始の予定です。申請方法をまとめた「登録申請の手引」は、2026年11月末頃に公表される予定です。最新の日程はIPAの公式サイトでご確認ください。
SCS評価制度を取らないと、取引や入札で不利になりますか？
制度上、そうした決まりはありません。経済産業省は2026年4月、「取得しないと入札から除外される」といった勧誘は制度の趣旨と異なるとして注意を呼びかけています。取得は任意です。
★3の対策をすれば、ランサムウェアの被害は防げますか？
必ず防げるとは言えません。ただし、★3の要求事項には、更新の適用、多要素認証、バックアップ、事故対応の手順など、警察庁が被害の防止や拡大防止に挙げている対策が多く含まれています。
セキュリティパッチ（更新）は何日以内に当てればよいですか？
★3では、重大な脆弱性を直す更新を、公開から14日以内に当てることが求められています。
2026年10月には、Webサイトなどで広く使われているPHPに「緊急」レベルの脆弱性が見つかり、修正版が公開されました。
自社サイトや社内システムのサーバで動いているソフトも、更新の対象です。
このチェックの結果は、公式の評価になりますか？
なりません。IPAが公開している★3の要求事項をもとに、独自に作成したセルフチェックです。★3を取得できるかどうかを判定するものではありません。
「書類で示せるか」まで見るのはなぜですか？
★3は、専門家の確認を受けたうえでの自己評価だからです。対策をしていても、ルールや台帳、点検結果の書類がなければ示せません。そのため、書類の有無で点数を分けています。
回答した内容は外部に公開されますか？
公開されません。回答内容を、会社名や個人と結び付けて第三者に提供することもありません。結果のメール送付と、会社や個人が特定されない統計にのみ使います。
ご注意と出典
このチェックは、IPAが公開しているSCS評価制度の要求事項（★3）をもとに独自に作成したものです。公式の自己評価や評価結果ではなく、★3を取得できるかどうかを判定するものではありません。
正式な要求事項・評価基準は、IPAの公式サイトでご確認ください。（2026年10月29日時点の情報）
よくある質問
SCS評価制度の★3は、いつから申請できますか？
IPAによると、★3・★4の登録申請は2027年3月に受付開始の予定です。申請方法をまとめた「登録申請の手引」は、2026年11月末頃に公表される予定です。最新の日程はIPAの公式サイトでご確認ください。
SCS評価制度を取らないと、取引や入札で不利になりますか？
制度上、そうした決まりはありません。経済産業省は2026年4月、「取得しないと入札から除外される」といった勧誘は制度の趣旨と異なるとして注意を呼びかけています。取得は任意です。
★3の対策をすれば、ランサムウェアの被害は防げますか？
必ず防げるとは言えません。ただし、★3の要求事項には、更新の適用、多要素認証、バックアップ、事故対応の手順など、警察庁が被害の防止や拡大防止に挙げている対策が多く含まれています。
セキュリティパッチ（更新）は何日以内に当てればよいですか？
★3では、重大な脆弱性を直す更新を、公開から14日以内に当てることが求められています。
2026年10月には、Webサイトなどで広く使われているPHPに「緊急」レベルの脆弱性が見つかり、修正版が公開されました。
自社サイトや社内システムのサーバで動いているソフトも、更新の対象です。
このチェックの結果は、公式の評価になりますか？
なりません。IPAが公開している★3の要求事項をもとに、独自に作成したセルフチェックです。★3を取得できるかどうかを判定するものではありません。
「書類で示せるか」まで見るのはなぜですか？
★3は、専門家の確認を受けたうえでの自己評価だからです。対策をしていても、ルールや台帳、点検結果の書類がなければ示せません。そのため、書類の有無で点数を分けています。
回答した内容は外部に公開されますか？
公開されません。回答内容を、会社名や個人と結び付けて第三者に提供することもありません。結果のメール送付と、会社や個人が特定されない統計にのみ使います。
ご注意と出典
このチェックは、IPAが公開しているSCS評価制度の要求事項（★3）をもとに独自に作成したものです。公式の自己評価や評価結果ではなく、★3を取得できるかどうかを判定するものではありません。
正式な要求事項・評価基準は、IPAの公式サイトでご確認ください。（2026年10月29日時点の情報）