SCS評価制度★4の技術検証とは？検証内容・評価機関との流れ・脆弱性診断で備える方法を情シス向けに解説
「★4は第三者評価だと聞いていたが、技術検証という工程が別にある」。取引先から★4相当の対策を求められた情シスの方が、制度構築方針を読んでまず引っかかる箇所です。SCS評価制度の★4は、評価機関が書類とヒアリングで確認する第三者評価に加えて、インターネットに公開している機器への技術検証を受ける仕組みです。VPN装置やルータに既知の脆弱性が残っていれば、書類がどれだけ整っていても不適合になります。
本記事では、経済産業省と内閣官房が2026年3月27日に公表した制度構築方針、IPAが2026年8月28日に公開した基本規程と指定規則、指定委員会の公開資料をもとに、★4の技術検証で何が見られるのか、評価機関・技術検証事業者との流れ、不適合が出たときの是正ルール、技術検証を受ける前に脆弱性診断で備える手順を整理します。
お役立ち資料 ｜ 無料他社の被害事例とセキュリティ対策の進め方（事例つき・全19ページ）ランサムウェア被害の実例や、製造業・サプライチェーンでの対策事例をまとめました。SCS評価制度★3/★4への対応や、ログ収集からSIEMまで「何から始めるか」を整理した無料の資料です。他社の事例と対策を見てみる（無料）
目次
想定読者
本記事は、次のような方を想定しています。
- 取引先からSCS評価制度★4の取得、または★4相当の対策を求められている製造業・中堅企業の情シス担当者
- ★4の「技術検証」で具体的に何をされるのか、社内のどの機器を見られるのかを把握したい方
- VPN装置やルータの脆弱性対応を担当していて、制度の評価基準にどう対応すればよいか知りたい方
- 技術検証を受ける前に脆弱性診断を実施すべきか、いつ・何を対象に実施するかを判断したい方
SCS評価制度★4は「第三者評価＋技術検証」：30秒でわかる仕組み
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の★4は、制度構築方針で「第三者評価（要求事項について評価機関による審査）及び技術検証の実施を求めるスキーム」と定義されています。★3が自分で評価した結果をセキュリティ専門家が確認する仕組みなのに対し、★4は外部の評価機関が評価し、さらに機器そのものを技術的に検証します。
基本規程（2026年8月28日公開）が定める★4の登録手続は次のとおりです。
- 登録希望組織が、★4の要求事項・評価基準に基づいて自己評価を行う（社内外のSCSセキュリティ専門家の支援を受けてもよい）
- 登録希望組織が、経営層の責任で自己適合宣言を行う
- 登録希望組織が、自己適合宣言を含む自己評価の結果を評価機関に提出し、第三者評価を依頼する
- 評価機関が第三者評価（文書確認・実地審査・技術検証）を行う。技術検証は評価機関が自ら行う場合と、指定を受けた技術検証事業者に委託する場合がある
- 評価機関が適合・不適合を判断し、評価報告書を登録希望組織に提供する
- 適合と認められたら、登録希望組織が制度運営機関（IPA）に★4の登録を申請する
- 制度運営機関が申請内容を確認し、登録組織台帳に登録して公開する
★4の枠組みを数字で押さえると次のとおりです。
- 要求事項は43件。★3の26件を包括する
- 有効期間は3年。有効期間中は1年ごとに自己評価を実施し、結果を評価機関に提出する
- 合格基準は、原則として全ての評価基準への適合
- ★3を先に取得していなくても★4を申請できる（制度構築方針に明記）
「第三者評価」という言葉は、基本規程では文書確認・実地審査・技術検証の3つをまとめた総称として定義されています。技術検証は第三者評価の外側にある別工程ではなく、第三者評価の一部です。ただし実施する主体と見るものが他の2つと異なるため、本記事では技術検証を切り出して解説します。
評価機関と技術検証事業者の役割：誰が何をするのか
★4に関わる外部の組織は2種類です。どちらも、制度運営機関（IPA）の指定委員会の審査を経て指定を受けた法人だけが担当できます。
| 役割 | 担当する工程 | 主な要件（制度構築方針） |
|---|---|---|
| 評価機関 | 文書確認、実地審査（ヒアリング、規程・記録・操作画面の目視。リモートでの実施も可）、評価報告書の作成 | SCSセキュリティ専門家を1名以上雇用し、評価責任者として配置する。従事者は制度の研修を受講する。情報保護と品質管理の体制を整える |
| 技術検証事業者 | 技術検証（公開機器への脆弱性検査） | IPA「情報セキュリティサービス基準適合サービスリスト」の脆弱性診断サービスの登録要件（専門性を持つ者の在籍、サービス仕様の明示、品質管理者の割当など）を満たす。従事者は制度の研修を受講する |
評価機関が技術検証の要件も満たしていれば、1つの機関が第三者評価と技術検証の両方を行えます。要件を満たさない評価機関は、技術検証を別の技術検証事業者に委託します。登録希望組織から見ると、依頼先は評価機関の1か所で、技術検証を誰が実施するかは評価機関側の体制で決まります。
第1回公募のスケジュールと、執筆時点で指定された事業者はいないという事実
IPAは2026年8月28日に基本規程、評価機関指定規則、技術検証事業者指定規則、研修事業者指定規則を公開し、第1回公募の説明会を2026年9月14日にオンラインで開催します。第2回指定委員会（2026年8月20日）の配付資料では、第1回公募の日程案が次のように示されています。
- 申請受付：2026年9月中旬から10月下旬まで
- 指定委員会での審議・決定：2026年12月上旬
- 指定名簿への登録と公表：2026年12月下旬
本記事の執筆時点（2026年9月）では、制度上の評価機関も技術検証事業者もまだ1社も存在しません。「SCS評価制度の技術検証事業者です」「認定機関です」と名乗る営業があれば、その時点で事実と異なります。経済産業省と内閣官房は2026年4月27日に注意喚起を出し、「評価を取得していないと商取引が規制される」「今すぐ取得しないと入札から除外される」といった勧誘は制度の趣旨と異なること、本制度は任意の制度であること、評価基準の達成に特定のセキュリティ製品の導入が必須とされているわけではないことを明記しています。
評価機関・技術検証事業者の指定名簿は、IPAが12月下旬に公表する予定です。依頼先はその名簿で確認してください。
技術検証で何が見られるか：対象機器・手順・所要日数
基本規程は技術検証を「登録希望組織が管理する適用範囲内のIT基盤等である機器、システム等に対して、技術的な手法によって要求事項・評価基準への適合性を評価すること」と定義しています。制度構築方針は、その中身をもう一段具体的に示しています。
| 項目 | 制度構築方針の記述 |
|---|---|
| 対象機器 | 登録希望組織がインターネットに公開している機器のうち、脆弱性を悪用された場合に組織内部へ侵入されるリスクが高い機器（例：VPN装置、ルータ） |
| 検証内容 | 対象機器に対して、既知の脆弱性の悪用など一般的な攻撃パターンを試行する脆弱性検査 |
| 対応する評価基準 | 4-4-4-3（要求事項一覧では「適時のアップデート適用、不要ソフトウェアの削除」の項目） |
| 所要期間 | 1日から2日程度（事前準備と報告書作成は含まない） |
| 代替措置 | 直近に対象機器へ実施した脆弱性検査の結果など、検証の実施結果に相当する証跡の提出と確認をもって代替とみなすことも検討 |
技術検証ガイド（仮称）の実施手順として、制度構築方針は次の2段階を例示しています。
- 特定されたIPアドレスを、推奨されるTCP/UDPポートとセットでスキャンする
- インターネットにアクセス可能なサービスのうち、脆弱性を悪用されたときに内部への不正アクセスのリスクが高いものについて、CVSS 7.0以上の脆弱性の有無を確認する
CVSSは脆弱性の深刻度を0.0から10.0で表す共通の指標で、7.0以上は「High」以上に相当します。技術検証は、公開機器のすべての脆弱性を洗い出す作業ではなく、外から侵入口になりうる深刻な脆弱性が残っていないかを確認する作業です。
適用範囲の考え方も押さえておきます。制度構築方針は、適用範囲に「外部ネットワーク境界を定義するネットワーク機器（ファイアウォール、ルータ、VPN装置等）」を含め、他組織の内部システムへ接続する際の境界機器も対象にしています。一方で、一方向ゲートウェイで区切られた製造拠点の制御（OT）システムは適用範囲に含めません。工場のネットワークを持つ製造業では、どこまでが技術検証の対象になるかを、適用範囲の設定段階で決めておく必要があります。
技術検証の詳細な手順書（★4技術検証ガイド）は、IPAが2026年度下期（2026年10月から2027年3月）に公表する予定です。本記事の内容は制度構築方針の記述に基づくもので、ガイド公表後に検証範囲やポートの指定が具体化される見込みです。
技術検証に備える3ステップ：公開資産の棚卸し・脆弱性診断・是正の記録
技術検証は1日から2日で終わる工程ですが、そこで不適合が出ると、是正と再検証の手戻りが発生します。受ける前に自社で同じ観点の確認を済ませておくのが、時間と費用の両面で合理的です。情シスが進める手順は次の3つです。
| ステップ | やること | 残す記録 |
|---|---|---|
| 公開資産の棚卸し | 自社が持つグローバルIPアドレスとドメイン、VPN装置・ルータ・ファイアウォール、公開Webサーバー、クラウド上で公開しているサービス、保守用に開けているポートを一覧化する | 公開資産台帳（機器名、IPアドレス、用途、管理者、ファームウェアやOSのバージョン） |
| 脆弱性診断 | 棚卸しした公開資産に対して、外部からのネットワーク診断（ポートスキャンと既知脆弱性の検出）を実施する。CVSS 7.0以上の検出を優先して確認する | 診断報告書（実施日、対象、検出した脆弱性とCVSS、検出根拠） |
| 是正と再診断 | 検出した脆弱性に対して、パッチ適用・ファームウェア更新・不要ポートの閉塞・サポート終了機器の更改を行い、再診断で解消を確認する | 是正記録（対応内容、対応日、担当者）と再診断結果 |
公開資産の棚卸し
技術検証の起点は「特定されたIPアドレス」です。自社が把握していない公開資産は、棚卸しから漏れたまま検証で見つかります。よくあるのは、拠点ごとに契約した回線のルータ、テレワーク用に追加したVPN装置、検証用に立てたまま放置されたクラウド上のサーバー、保守ベンダー向けに開けたリモート保守用ポートです。ドメインとグローバルIPアドレスの契約情報、ファイアウォールのNAT設定、クラウドの管理コンソールの3か所を突き合わせると、抜けを減らせます。
脆弱性診断
制度の技術検証に近いのは、外部からのネットワーク診断（プラットフォーム診断）です。Webアプリケーション診断は、公開Webサービスがある場合に追加します。診断の範囲は、制度の適用範囲に合わせて「インターネットに公開している機器」に絞ると、報告書がそのまま技術検証の準備資料になります。
是正と再診断
VPN装置とルータで検出される深刻な脆弱性の多くは、ファームウェアの更新で解消します。更新できない理由が「サポートが終了している」「保守ベンダーが対応しない」「再起動の時間が取れない」であれば、それ自体が是正の対象です。サポート終了機器は更改を計画し、不要なポートは閉じ、管理画面はインターネットから直接到達できないようにします。是正後は再診断で解消を確認し、対応内容と日付を記録します。この記録が、評価機関の文書確認と実地審査で「適時のアップデート適用」の証跡になります。
ここまで読んで「VPN装置やルータのバージョンを最後に確認したのがいつか思い出せない」「公開資産の一覧が手元にない」という状態であれば、技術検証を受ける前に一度、外部からの脆弱性診断で現状を確認しておくことをおすすめします。c3index では公開資産の棚卸しから診断、是正の支援まで対応しています。
脆弱性診断とペネトレーションテストの使い分け・費用の考え方
技術検証に備える診断として、脆弱性診断とペネトレーションテストのどちらを選ぶべきかという相談が増えています。制度構築方針が技術検証の内容としているのは「既知脆弱性の悪用等の一般的な攻撃パターンの試行」と「CVSS 7.0以上の脆弱性の有無の確認」で、これは脆弱性診断の守備範囲です。ペネトレーションテストは、特定の侵入シナリオを人手で深く検証する手法で、技術検証の準備としては過剰になりがちです。
| 観点 | 脆弱性診断 | ペネトレーションテスト |
|---|---|---|
| 目的 | 既知の脆弱性を網羅的に検出する | 実際に侵入できるかをシナリオで検証する |
| 技術検証との関係 | 検証内容と同じ観点。事前確認に向く | 制度の技術検証の範囲を超える |
| 向いている場面 | ★4の準備、年次の自己評価に合わせた定期確認 | 重要システムの侵入耐性を確認したいとき |
費用は、診断の種類（ネットワーク・Webアプリケーション）、対象のIPアドレス数やページ数、手動診断の有無で決まります。目安と見積書の見方は、次の2本の記事で整理しています。制度上の技術検証そのものの料金は、執筆時点でIPAから公表されていません。「技術検証の費用は〇〇万円」と断定する情報があれば、出典を確認してください。
不適合の是正と年次の自己評価：取得後も続く運用
技術検証で深刻な脆弱性が見つかっても、そこで★4の道が閉ざされるわけではありません。制度構築方針は、評価結果に不適合が発見された場合でも、適切に是正して評価機関の了承を得られれば★を取得できるとしています。是正報告は指摘から一定期間内に提出する必要があり、IPAの詳細情報ページでは★4の是正期間を「1か月以内」と示しています。
取得後の運用は、基本規程が次のように定めています。
- 有効期間は、登録完了の通知日から起算して3年間
- 有効期間中は1年ごとに自己評価を実施し、結果を評価機関に提出する
- 更新するときは3年ごとに第三者評価を受け、有効期間の満了日前に更新申請を行う。満了日前に提出していれば、審査が完了するまで登録は有効なまま扱われる
- 適用範囲の変更や、要求事項・評価基準の遵守状況に影響する変更があった場合は、改めて評価機関の評価を受ける
技術検証の観点で言い換えると、公開機器の脆弱性対応は取得時に1回やって終わる作業にはなりません。年次の自己評価のたびに「深刻な脆弱性が残っていない状態」を証跡付きで示し続ける運用です。VPN装置やルータの更新を年1回の棚卸しに組み込み、診断と是正の記録を同じ台帳に残しておくと、自己評価の更新にそのまま使えます。
よくある質問
Q. ★3を取得していないと、★4の第三者評価は受けられませんか？
受けられます。制度構築方針は、★3を事前に取得していなければ★4を取得できないという関係にはならないと明記しています。ただし★4の要求事項43件は★3の26件を包括するため、★3相当の対策と証跡が整っていることが実質的な出発点です。
Q. 技術検証の対象になるのはどの機器ですか？クラウド上のサーバーも含まれますか？
制度構築方針が例示しているのはVPN装置とルータで、「インターネットに公開している機器のうち、脆弱性を悪用された場合に組織内部へ侵入されるリスクが高い機器」が対象です。クラウド上に自社が構築して公開しているサーバーは、適用範囲内のIT基盤として対象になり得ます。SaaSのように事業者側が運用するサービスは、責任共有モデルに基づき、事業者側の対策状況の確認（ISMAP登録の有無やSOC2レポートの確認など）で対応する整理です。
Q. 直近に受けた脆弱性診断の結果があれば、技術検証を省略できますか？
制度構築方針は「検証の実施結果に相当する証跡の提出及び確認をもって検証実施の代替とみなすことも検討する」としています。検討段階であり、代替の条件は技術検証ガイドの公表を待つ必要があります。対象と手法を制度の技術検証に合わせた診断であれば、代替が認められた場合にそのまま使え、認められなくても是正済みの状態で技術検証を受けられます。
Q. 技術検証事業者や評価機関はどこに依頼すればよいですか？
執筆時点（2026年9月）では、指定を受けた評価機関・技術検証事業者はまだ存在しません。第1回公募の申請受付が2026年9月中旬から10月下旬、指定委員会での決定が12月上旬、指定名簿の公表が12月下旬の予定です。公表後はIPAの指定機関台帳で確認してください。それまでの間にできるのは、公開資産の棚卸しと事前の脆弱性診断・是正です。
Q. 技術検証で不適合が出たら、どうなりますか？
評価機関から指摘事項の通知を受け、一定期間内（IPAの詳細情報では1か月以内）に是正報告を提出します。是正して評価機関の了承を得られれば★4を取得できます。VPN装置やルータのファームウェア更新のように短期間で是正できるものが多い一方、サポート終了機器の更改は1か月に収まらないことがあるため、事前診断で早めに見つけておくのが現実的な対策です。
まとめ
- SCS評価制度★4は「第三者評価＋技術検証」。要求事項43件・有効期間3年で、★3の取得は申請条件ではない
- 技術検証の対象はインターネットに公開している機器（例：VPN装置・ルータ）。既知脆弱性の悪用など一般的な攻撃パターンを試行し、CVSS 7.0以上の脆弱性の有無を確認する。所要は1日から2日程度
- 技術検証を行えるのは、指定委員会の指定を受けた技術検証事業者（または要件を満たす評価機関）だけ。第1回公募の結果は2026年12月下旬に公表予定で、執筆時点で指定された事業者はいない
- 備える手順は、公開資産の棚卸し、外部からの脆弱性診断、是正と再診断の記録の3ステップ。直近の診断結果が技術検証の代替になる可能性も制度構築方針に示されている
- 不適合が出ても、是正報告（1か月以内）と評価機関の了承で取得できる。取得後も年次の自己評価で「深刻な脆弱性が残っていない状態」を示し続ける
技術検証ガイドと評価機関の指定名簿は、2026年度下期に順次公開されます。それを待つ間に公開機器の弱点を潰しておけば、指定された事業者が決まった時点で、すぐに第三者評価を依頼できます。
c3index に相談する
c3index は、製造業・中堅企業の情シスを支援するシステム会社です。SCS評価制度の技術検証そのものは指定を受けた技術検証事業者・評価機関が行うもので、c3index はその前段階にあたる公開資産の棚卸し、外部からの脆弱性診断、検出された脆弱性の是正と記録の整備を、情シスの立場で伴走します。名古屋・東京・福岡の3拠点体制で対応しています。まずはお気軽にご相談ください。
【無料お役立ち資料】他社の被害事例とセキュリティ対策の進め方
お役立ち資料 ｜ 無料他社の被害事例とセキュリティ対策の進め方（事例つき・全19ページ）ランサムウェア被害の実例や、製造業・サプライチェーンでの対策事例をまとめました。SCS評価制度★3/★4への対応や、ログ収集からSIEMまで「何から始めるか」を整理した無料の資料です。他社の事例と対策を見てみる（無料）
