SCS評価制度★3の自己評価は誰が確認する？セキュリティ専門家の資格要件・確認の流れ・準備を情シス向けに解説
「★3は自己評価だから社内で完結する」と聞いて安心していた情シスの方ほど、制度構築方針を読んで手が止まります。SCS評価制度の★3は、自己評価の結果をセキュリティ専門家が確認し、署名することが前提の仕組みです。社内にその資格を持つ人がいない会社は、社外の専門家に確認を依頼することになります。
本記事では、経済産業省と内閣官房が2026年3月27日に公表した制度構築方針と、IPAが公開している情報をもとに、★3の自己評価を誰が確認するのか、専門家になれる資格と研修、専門家が実際に何を見るのか、確認に出す前に情シスが準備しておくことを整理します。
お役立ち資料 ｜ 無料他社の被害事例とセキュリティ対策の進め方（事例つき・全19ページ）ランサムウェア被害の実例や、製造業・サプライチェーンでの対策事例をまとめました。SCS評価制度★3/★4への対応や、ログ収集からSIEMまで「何から始めるか」を整理した無料の資料です。他社の事例と対策を見てみる（無料）
目次
想定読者
本記事は、次のような方を想定しています。
- 取引先からSCS評価制度★3への対応を求められている製造業・中堅企業の情シス担当者
- 「自己評価」と聞いて社内だけで進めるつもりだったが、専門家の確認が必要と知って段取りを組み直している方
- 社内に情報処理安全確保支援士などの有資格者がおらず、誰に確認を依頼すべきか迷っている方
- 自己評価シートを提出する前に、確認で差し戻されない準備をしておきたい方
SCS評価制度★3は「専門家確認付き自己評価」：30秒でわかる仕組み
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の★3は、制度構築方針で「専門家確認付き自己評価」と定義されています。取得希望組織が自分で評価を書き、その内容をセキュリティ専門家が確認し、経営層の宣誓を添えて事務局に提出する流れです。
- 取得希望組織が、★3の要求事項と評価基準に基づいて自己評価を記入する（社内外のセキュリティ専門家の支援を受けてもよい）
- 社内外のセキュリティ専門家が記入内容を確認し、必要に応じて修正を含む助言を行い、提出内容を了承した場合に署名する
- 取得希望組織が、経営層による自己適合宣誓を含めて、専門家の署名付きの評価結果を事務局に提出する
- 事務局が申請内容に問題がないことを確認し、台帳に登録して公開する
ここで言う「自己評価」は、経営層の自己適合宣言を経て組織として実施する評価を指します。セキュリティ担当者や担当部門が独自に行うチェックは含まれません。担当者レベルの自己点検と、制度上の自己評価は別物です。
★3の枠組みを数字で押さえると次のとおりです。
- 要求事項は26件。想定する脅威は「広く認知された脆弱性等を悪用する一般的なサイバー攻撃」
- 有効期間は1年。対策状況を年次で点検し、基準全体の遵守を改めて確認できれば更新できる
- 合格基準は、原則として全ての評価基準への適合
- 自己評価結果に虚偽やその他の不正があった場合は、取得した★の取消し等の措置を受けることがある
制度全体の位置づけや★3と★4の違いは、次の記事で解説しています。
セキュリティ専門家になれるのは誰か：資格6種と研修
制度構築方針は、セキュリティ専門家の要件を「力量の保持と維持」と「制度が定める研修の受講」の2つで定めています。力量の目安はITSSレベル4以上、またはそれに相当する力量です。具体的には、次の6つの資格が専門家の資格として設定されています。
| 資格 | 力量を維持するために求められること |
|---|---|
| 情報処理安全確保支援士（登録セキスペ） | 年次のオンライン講習に加え、3年間のうち1回の実践講習を受講する |
| 公認情報セキュリティ監査人（公認情報セキュリティ主任監査人を含む） | 監査業務等を通じて、更新に必要な資格維持ポイントを取得する |
| CISSP | 講習受講・業務経験・書籍通読等を通じて、更新に必要なCPEポイントを取得する |
| CISM | 同上 |
| CISA | 同上 |
| ISO27001主任審査員 | 審査実績の提出と、15時間の継続的専門能力開発（CPD）実績の提出 |
資格を持っているだけでは専門家になれません。制度が定める研修を受講していることが、もう1つの要件です。研修は指定を受けた研修事業者が提供し、内容は制度の概要と、専門家業務を行うにあたっての注意事項です。研修事業者の要件や募集は2026年度に具体化される予定なので、本記事の執筆時点（2026年9月）で研修を修了した専門家はまだ存在しません。制度開始に合わせて整っていく段階です。
専門家が自分の監督のもとで別の要員に確認作業を行わせることもできます。この作業従事者には研修の受講だけが求められ、資格の保持は求められません。確認の統括と署名は専門家が自らの責任で行い、実務を作業従事者が分担する形です。
社内に有資格者がいない場合、制度構築方針は「社外のセキュリティ専門家に確認を依頼し、適宜助言を得る」ことを明記しています。中堅・中小企業の多くはこの形になります。
専門家は何を確認するのか：確認・助言・署名・適用範囲の4つ
専門家の仕事は、対策を実施することではありません。対策を実施し、証跡を残すのは取得希望組織の側です。専門家が担うのは次の4つです。
自己評価結果の確認
専門家は、取得希望組織が作成した書類を確認します。制度構築方針が想定している確認の観点は、記載内容に矛盾がないか、評価基準から見て十分な事項が記されているか、の2点です。所要期間の想定は1日から2日程度で、事前準備と報告書作成は含みません。文書確認の結果、記載内容に明らかな不適合が認められなければ、取得希望組織は事務局に申請できます。
★3では実地審査や技術検証は行われません。専門家が現地でヒアリングをしたり、機器を検査したりする工程は★4のものです。★3の確認は「書いたものが基準に照らして筋が通っているか」を見る工程だと理解しておくと、準備の方向を間違えません。
修正を含む助言
確認の結果、不適合や記載不足があれば、専門家は修正を含む助言を行います。不適合が見つかっても、それで終わりではありません。適切に是正して専門家の了承を得られれば、★3を取得できます。★4では評価機関からの指摘通知から1か月以内に是正報告を提出する例が示されており、★3でも是正の期間を最初から見込んでおくべきです。
署名
専門家は、最終的に事務局へ提出する内容を了承した場合に署名します。署名は専門家が自らの責任で行うものです。取得希望組織はこの署名付きの評価結果に、経営層の自己適合宣誓を添えて提出します。
適用範囲の妥当性確認
申請主体は原則として法人または個人事業主の単位です。事業部単位やグループ単位で申請したい場合は、取得希望組織が設定した適用範囲について、★3ではセキュリティ専門家、★4では評価機関による妥当性の確認を経る必要があります。工場ごと、事業ごとにIT基盤が分かれている製造業では、この確認が最初の論点になります。
証跡として何を用意するかは、8つの評価分野ごとに次の記事で整理しています。
確認に出す前に情シスが準備する5つのこと
専門家の確認は最後の1日から2日です。差し戻しを減らすには、その前の準備が本体になります。情シスが段取りしておく項目は次の5つです。
| 準備項目 | 用意するもの | 主な担当 |
|---|---|---|
| 適用範囲を決める | 法人単位か事業部単位か。事業部単位ならネットワーク境界とシステム一覧 | 情シス・経営層 |
| 自己評価を証跡付きで書く | 26件の要求事項ごとの評価と、規程・台帳・設定画面・記録などの証跡 | 情シス・各部門 |
| 経営層の自己適合宣誓を段取りする | 宣誓者の決定と、セキュリティを経営判断できる体制の記録 | 経営層・情シス |
| 是正の期間を見込む | 指摘から是正、再確認までの日程と担当 | 情シス |
| 更新の運用を決める | 年次点検の時期と、変更時に再確認を依頼する基準 | 情シス |
適用範囲を決める
適用範囲は自己評価の前提です。法人全体で取るのか、取引先と接続している事業部だけで取るのかを先に決めます。事業部単位にする場合は、専門家に妥当性を確認してもらう材料として、ネットワークの境界と対象システムの一覧を用意します。
自己評価を証跡付きで書く
専門家が見るのは「書いてあること」と「それを裏付けるもの」の整合です。評価基準ごとに、規程、台帳、設定画面、実施記録のどれで裏付けるかを決めてから書き始めると、確認の際に矛盾が出にくくなります。
経営層の自己適合宣誓を段取りする
★3の要求事項には、セキュリティリスクを経営の重大事項として扱い、経営層が参加する情報セキュリティ委員会などの経営判断ができる体制を設けることが含まれます。専用の委員会がない場合でも、経営会議や取締役会で年1回以上議題に取り上げることが定められているか、それに相当する記録があるかが確認の対象です。宣誓者を誰にするかと、この体制の記録は早めに決めておきます。
是正の期間を見込む
確認で指摘が出ることを前提に、是正と再確認の日程を組みます。取引先から提示された期限の直前に確認を依頼すると、是正の時間が取れません。
更新の運用を決める
★3の有効期間は1年です。年次点検の時期を決め、前回取得時の適用範囲や要求事項の遵守状況に影響する変更があった場合には、改めて専門家の確認を受ける基準を決めておきます。
ここまで読んで「証跡はあるが、評価基準に照らして十分かどうか自信がない」「専門家に出す前に、誰かに一度見てほしい」と感じた方は、c3index にご相談ください。ギャップ分析から始める無料相談を受け付けています。
社外の専門家に確認を依頼するときの考え方
社内に有資格者がいない場合、依頼先は役割の違う2種類に分かれます。
- 確認と署名を行う専門家：制度が定める資格と研修の要件を満たす個人、またはその専門家を擁する監査法人・コンサルティング会社・セキュリティ会社
- 確認前の準備を支援する会社：ギャップ分析、証跡整備、自己評価シートのレビューを情シスと一緒に進めるSIerや支援会社
制度構築方針は★4について、第三者評価と、コンサルティングや製品・サービス提供などの技術的支援を同一の法人が行うことを必ずしも否定していません。そのうえで、中立性や公平性に関する要件は今後詳細化するとしています。★3の専門家と準備支援の関係も、同じ観点で整理されていくと見込まれますが、執筆時点では明文化されていません。依頼先を決めるときは、確認・署名を担う人と、準備を手伝う会社を分けて考えておくと、要件が詳細化されたときに組み直しが不要になります。
依頼先を選ぶときに見る点は3つです。
- 制度の研修を受講する予定があるか、6つの資格のいずれかを持つ人がいるか（確認・署名を依頼する場合）
- 製造業や中堅企業の支援実績があり、情シス1人体制でも進められる段取りを組めるか（準備支援を依頼する場合）
- ギャップ分析、証跡整備、レビューが段階的に分かれていて、必要な部分だけ依頼できるか
c3index は、この2種類のうち「確認前の準備」を情シスの立場で支援します。現状のギャップ分析、証跡整備の進め方、自己評価シートの記入内容のレビューまでを担当し、専門家の確認・署名が必要な段階では、社内の有資格者または社外の専門家に提出できる書類と証跡の形に整えます。支援内容と費用の考え方は、次の記事で解説しています。
よくある質問
Q. 社内に登録セキスペがいれば、その人が確認して署名できますか？
制度上は「社内外のセキュリティ専門家」とあり、社内の専門家でも確認できます。ただし資格だけでは要件を満たさず、制度が定める研修の受講が必要です。自己評価を記入した本人が自分で確認と署名を行う運用は、確認の意味が薄れるため、記入する担当と確認する専門家は分けておくのが無難です。
Q. 専門家の確認で不適合が見つかったら、★3は取得できませんか？
取得できます。不適合が発見されても、適切に是正して専門家の了承を得られれば★3を取得できると制度構築方針に明記されています。最初から是正の期間を日程に入れておくことが現実的な対策です。
Q. ★3は毎年取り直しが必要ですか？
有効期間は1年です。対策状況を年次で点検し、基準全体の遵守を改めて確認できれば更新できます。前回取得時の適用範囲や、要求事項の遵守状況に影響する変更があった場合は、改めて専門家の確認を受けます。
Q. ★3を取得していないと★4は申請できませんか？
上位の段階は下位の段階で求められる事項を包括しますが、★3を事前に取得していなければ★4を取得できないという関係にはなりません。★4は評価機関による第三者評価と技術検証を受けるスキームで、専門家確認とは別の流れです。
Q. 専門家の確認はいつから依頼できますか？
研修事業者の要件と募集、評価の具体的な実施内容は2026年度に検討・詳細化される予定で、制度の開始は2026年度末（2027年1月から3月ごろ）が見込まれています。執筆時点で研修を修了した専門家はいないため、今できるのは、適用範囲の決定と証跡整備を進め、確認を依頼できる状態を先に作っておくことです。
まとめ
- SCS評価制度★3は「専門家確認付き自己評価」。自己評価をセキュリティ専門家が確認・署名し、経営層の自己適合宣誓を添えて事務局に提出する
- 専門家の要件は、6つの資格（登録セキスペ・公認情報セキュリティ監査人・CISSP・CISM・CISA・ISO27001主任審査員）のいずれかと、制度が定める研修の受講
- 専門家が行うのは、文書確認、修正を含む助言、署名、適用範囲の妥当性確認の4つ。対策の実施と証跡の整備は組織側の仕事
- 確認は1日から2日程度。差し戻しを減らす鍵は、適用範囲の決定、証跡付きの自己評価、経営層の宣誓の段取り、是正期間の確保、更新運用の設計という5つの準備
- 社内に有資格者がいない場合は社外の専門家に確認を依頼する。確認・署名を担う人と、準備を支援する会社は分けて考える
制度の詳細は2026年度中に順次公開されます。専門家の確認が始まる前に、証跡を整え、確認に耐える自己評価を書ける状態にしておくことが、今の情シスにできる準備です。
c3index に相談する
c3index は、製造業・中堅企業の情シスを支援するシステム会社です。SCS評価制度★3に向けたギャップ分析、証跡整備の進め方、自己評価シートのレビューを情シスの立場で伴走し、専門家の確認に出せる形に整えます。名古屋・東京・福岡の3拠点体制で対応しています。まずはお気軽にご相談ください。
【無料お役立ち資料】他社の被害事例とセキュリティ対策の進め方
お役立ち資料 ｜ 無料他社の被害事例とセキュリティ対策の進め方（事例つき・全19ページ）ランサムウェア被害の実例や、製造業・サプライチェーンでの対策事例をまとめました。SCS評価制度★3/★4への対応や、ログ収集からSIEMまで「何から始めるか」を整理した無料の資料です。他社の事例と対策を見てみる（無料）
