SCS評価制度の★4とは：第三者評価と技術検証のしくみ・有効期間・登録料

★4とは、SCS評価制度のうち、サプライチェーン企業が標準的に目指す対策を示す段階です。IPA が指定する評価機関が、書類の確認・実地の審査・技術検証の3つで評価する「第三者評価」を受けて、IPA に登録します。要求事項は43件、有効期間は3年です。

★4とは

★4の位置づけ

制度構築方針 p.13 では、★4 を次のように説明しています（要約）。

• 想定する脅威：供給が止まるとサプライチェーンに大きな影響が出る企業や、機密情報を狙う攻撃
• 対策の中身：組織のガバナンスと取引先の管理、防御と検知、インシデントへの対応などを包括的に行う
• 参考にした基準：自工会・部工会ガイドライン Lv2〜3（Lv3 は一部）と、分野別のガイドライン

「取得」という言葉がよく使われますが、IPA の基本規程では★4 も IPA の台帳への**「登録」**として定められています。この記事では「取得（登録）」の意味で書きます。

★4の要点

項目	内容	出典
要求事項の数	43件（★3の26件に17件を加えたもの）	制度構築方針 p.13、要求事項及び評価基準（Excel）
評価の方法	第三者評価（文書確認・実地審査）と技術検証	制度構築方針 p.19、p.23
評価する人	IPA が指定した評価機関	制度構築方針 p.19、基本規程 3.2.1
有効期間	登録完了の通知日から3年（毎年の自己評価あり）	基本規程 3.2.2
登録料	6万円（3年分・税込み）。2028年4月1日以降の申請も同額	料金設定のお知らせ
申請先	IPA（事務局）	基本規程 3.2.1
受付開始	2027年3月の予定	第3回配付資料 p.4

しくみ：第三者評価と技術検証

★4 の手順は、制度構築方針 p.19・p.23、基本規程 3.2.1、IPA「詳細情報」によると次のとおりです。

1. 自己評価と宣言：★4 の要求事項と評価基準に沿って自己評価し、自己適合宣言をします
2. 評価の依頼：IPA の指定を受けた評価機関と契約し、評価を依頼します
3. 評価機関の評価：評価機関が、次の3つを行います
   • 文書確認：規程や記録などの書類を確かめる
   • 実地審査：実際の運用を確かめる。リモートでもかまいません（制度構築方針 p.23）
   • 技術検証：インターネットに公開している機器のうち、侵入されると危険なもの（VPN 装置やルータなど）の脆弱性を検査します。評価機関が自分で行うか、IPA の指定を受けた技術検証事業者に委託します
4. 報告と登録：評価機関が評価報告書を渡します。適合していれば、組織が IPA に登録を申請し、台帳に登録されて公開されます

かかる日数の目安

制度構築方針 p.23 では、文書確認・実地審査・技術検証が、それぞれ「1日~2日程度」と想定されています（実地審査と技術検証は、準備と報告書づくりを除いた日数）。準備にかかる期間は会社によって違い、公式の目安はありません。

合格の考え方

原則として、すべての評価基準に適合することが求められます（制度構築方針 p.23〜24、IPA よくある質問 Q3-2）。足りない点を指摘された場合は、一定の期間内（例として指摘から1か月以内）に是正の報告を出し、了承されれば取得（登録）できます（制度構築方針 p.23）。

具体的な手順は、「★4 第三者評価ガイド」「★4 技術検証ガイド」などが出るまで未定です。IPA の予定では、評価用ガイドなどは2026年10月下旬に公開されます（第3回配付資料 p.4）。

★3との違い

	★3	★4
要求事項	26件	43件
確認する人	SCSセキュリティ専門家（社内外）	指定を受けた評価機関
実地審査・技術検証	なし	あり
有効期間	1年	3年
登録料（2028年3月31日までの申請）	1万円	6万円

要求事項で★4 に加わるのは、経営層への定期的な報告と是正、重要な取引先の対策状況の把握、脆弱性を管理するプロセス、重要なデータの暗号化、ログの収集と分析、社内ネットワークの分離、外への不正な通信を止める出口対策などです（制度構築方針 p.13、p.16 の要約）。分野ごとの件数は「要求事項と評価基準の構成」で説明しています。

★3を持っていなくても★4を目指せる

上の段階は下の段階の内容を含んでいるので、★3 を持っていなくても★4 を取得（登録）できます（制度構築方針 p.13、IPA「詳細情報」）。★3 を先に取るか、最初から★4 を目指すかは、取引先が求める段階と社内の準備の状況で決めます。★3 の詳細は「★3とは」を参照してください。

有効期間と毎年の自己評価

• 有効期間は、登録完了の通知日から3年です（基本規程 3.2.2）
• その間も、1年ごとに自己評価をして評価機関に出します（基本規程 3.2.2、制度構築方針 p.24、概要）
• 適用範囲や達成の状況に大きな影響がある変更をしたときは、評価機関の評価を受け直します
• 更新は、3年ごとの第三者評価で行います
• 満了日の前に更新を申請していれば、審査が終わるまで登録は有効です

評価機関の指定のスケジュール

2026年9月27日時点では、IPA の指定を受けた評価機関はまだありません（経済産業省 FAQ Q5・Q14）。予定は次のとおりです。

時期	予定	出典
2026年9月18日〜10月26日	評価機関・技術検証事業者・研修事業者の指定申請の受付（2026年度分）	指定申請のページ
2026年12月下旬	指定と、指定機関台帳での公表	指定申請のページ、第3回配付資料 p.4
2027年2月（想定）	★4 の第三者評価の開始	第3回配付資料 p.6〜7
2027年3月	★3・★4 の申請受付の開始	第3回配付資料 p.4
2027年度	上期と下期に指定の公募を予定	指定申請に関するよくあるご質問（1番）

評価機関は、SCSセキュリティ専門家を1名以上雇って評価の責任者にすることや、情報を守る仕組みと品質管理の仕組みを持つことなどを求められます（制度構築方針 p.21〜22）。日本の法律に基づいて設立された法人に限られます（指定申請に関するよくあるご質問（2番））。

支援と評価を同じ会社に頼めるか

★4 の第三者評価とコンサルティングを同じ法人が行うことは、制度構築方針 p.21 で、一律に禁じるものではないという趣旨が示されています。中立性の要件は、これから詳しく決まる予定です（IPA よくある質問 Q2-3）。ただし、評価をする人が、評価の対象のシステムの運用に関わる人と同じ場合は評価できません（指定申請に関するよくあるご質問（11番））。

費用の考え方

• IPA に払う登録料は6万円（3年分・税込み）です（料金設定のお知らせ）
• 評価機関や技術検証事業者に払う費用は、制度では決めず、それぞれとの契約で決まります（基本規程 6.5 ③、指定申請に関するよくあるご質問（6番））
• ★3・★4 の申請料があるかどうかは、料金設定のお知らせに書かれておらず確認できていません

準備の段階で外部の支援を使う場合、現状診断（ギャップ分析）、伴走支援、ツールなどの種類があります。料金はパック型・月額型・見積もり型に分かれます。★4 まで見すえた選び方は「★4まで見すえて準備したい」、種類ごとの違いは比較表、費用の全体は「SCS評価制度の費用」を参照してください。

まとめ

• ★4 は、サプライチェーン企業が標準的に目指す対策の段階で、要求事項は43件です
• 指定を受けた評価機関が、文書確認・実地審査・技術検証で評価します
• 有効期間は3年で、その間も毎年自己評価を出します
• 登録料は6万円（3年分・税込み）です
• 評価機関は2026年12月下旬に指定・公表される予定で、いまはまだありません
• ★3 を持っていなくても、★4 を目指せます

※この記事は、経済産業省・IPA の資料をもとに要約して作成しました（2026年9月27日時点）。