SCS評価制度の現状診断（ギャップ分析）とは：何を調べ、結果をどう使うか

現状診断（ギャップ分析）とは、自社のいまのセキュリティ対策を、SCS評価制度の★3・★4の要求事項と評価基準に照らし合わせ、足りない点と直す順番を洗い出す支援です。制度で定められた手続ではなく、制度の最初の手続である「自己評価」の前の準備として、支援会社などが提供しています。

現状診断（ギャップ分析）とは

何をするか

進め方は支援会社によって違いますが、おおむね次の流れです。

1. 適用範囲を決める：どの会社・拠点・システムを評価の対象にするかを決めます。インターネットに公開しているサーバは、適用範囲に含めることになっています（制度構築方針 p.9）
2. 現状を調べる：チェックリスト、聞き取り、規程や設定画面の確認で、いまの対策を把握します
3. 評価基準と照らし合わせる：評価基準ごとに「満たしている」「一部足りない」「できていない」を判定します
4. 報告する：足りない点、直す順番、対策の案をまとめます。計画（ロードマップ）まで作る例もあります

要求事項・評価基準との照らし合わせ

照らし合わせる相手は、経済産業省と IPA が公開している「★3・★4要求事項及び評価基準」（Excel）です。★は、公式には IPA の台帳への「登録」で、この記事では「取得（登録）」と書きます。

	★3	★4
要求事項	26件	43件（★3の26件を含む）
評価基準	81	153（★3の81を含む）
分野	7つの大分類（ガバナンスの整備、取引先管理、リスクの特定、攻撃等の防御、攻撃等の検知、インシデントへの対応、インシデントからの復旧）	同じ

出典：制度構築方針 p.13・p.16、要求事項及び評価基準（Excel）。評価基準の数は当サイトが Excel の「★3/★4」列で数えたもので、公式にこの数を示した資料は確認できていません。

★4は★3の内容をすべて含むので、★4を目指すなら153すべてと照らし合わせます（制度構築方針 p.13）。中身は「要求事項と評価基準の構成」で説明しています。

制度の「自己評価」との関係

★3も★4も、制度の手続は、登録を希望する組織が要求事項・評価基準に沿って自己評価をすることから始まります。このとき、社内外の専門家の支援を受けてもかまいません（基本規程 3.1.1・3.2.1）。

• 現状診断は、この自己評価の下書きや事前の練習にあたります。診断の結果が、そのまま自己評価や★の登録になるわけではありません
• 自己評価で適合・不適合を判断する基準は「★3・★4 自己評価等ガイド」で定めることになっています（基本規程 2.2.13）。このガイドはまだ公開されておらず、IPA の予定では2026年10月下旬に公開されます（第3回配付資料 p.4）
• 2026年9月11日の運営審議委員会では、要求事項・評価基準の一部に軽微な修正を加えることが合意されています（第3回議事要旨）。修正版の公開日は確認できていません

いま診断を受ける場合は、ガイドや修正版が出たあとに、判定を見直す前提で進めるのが無理のない進め方です。

中身と期間の目安（比較表の範囲で）

当サイトの比較表に載せた支援サービス60件のうち、52件が現状診断（ギャップ分析）を案内しています（2026年9月27日時点）。そのうち37件は、診断のあとの対策の導入の支援もあわせて案内しています。

期間

期間を公開しているサービスでは、診断の部分だけで2〜4週間から3〜4か月程度まで幅があります。★4を対象にすると、★3より長くなる例が多く見られます。このほか、設問に答えるだけのWebの簡易診断もあり、10分ほどで終わると案内している例もあります。

期間は、対象の★、適用範囲の広さ、聞き取りや設定の確認までするかで変わります。

料金の出し方

現状診断を案内する52件のうち、料金の金額を公開しているのは14件です。多いのは、診断を1回いくらで頼むパック型で、従業員数で料金が変わる例もあります。金額を公開していないサービスは、聞き取りをしてからの見積もり型です。無料の簡易診断を用意しているサービスもあります。

各社の中身と料金は比較表で確かめられます。

結果の使い方

• 対策の順番を決める：影響の大きさと手間から、どれから直すかを決めます
• 予算と体制を決める：社内で直すもの、外に頼むもの、機器の入れ替えが要るものを分けます
• 自己評価の下書きにする：評価基準ごとの判定と根拠を残すと、自己評価が楽になります
• 取引先への説明に使う：どこまでできていて、いつまでに何をするかを示す材料になります。ただし、診断の結果は★の取得（登録）ではありません

取引先から求められた場合の進め方は「取引先から★を求められたとき」を読んでください。

向いている会社

• 取引先から★を求められたが、自社がどこまでできているか分からない
• 担当者が少なく、要求事項を読み込む時間がとれない
• ISMS などを持っていて、SCS評価制度との差を知りたい（ISMSとの違い）
• ★3で足りるか、★4まで要るかを決める材料がほしい

選ぶときに見る点

1. 対象の★：★3だけか、★4まで見てくれるか
2. 判定の細かさ：要求事項ごとか、評価基準ごとか。評価基準ごとの判定のほうが、自己評価に使いやすくなります
3. 報告の中身：足りない点の一覧だけか、直す順番や対策の案、計画まで含むか
4. ガイド公開後の扱い：自己評価等ガイドや要求事項の修正版が出たときに、判定を見直してもらえるか
5. 特定の製品が前提になっていないか：評価基準を満たすのに、特定のセキュリティ製品の導入は求められていません（経済産業省 FAQ Q10、注意喚起）。診断の結果が特定の製品の購入につながる場合は、ほかの方法がないか確かめます。詳しくは「不適切な勧誘に注意」を見てください
6. ★3の専門家確認との関係：診断した人が★3の確認もするなら、SCSセキュリティ専門家の要件（資格・研修・IPA への登録）が要ります。登録は IPA の予定では2027年1月以降です
7. ★4の評価との関係：評価機関の評価者は、評価を引き受けた日から過去3年以内に、その組織に構築支援・運用支援・対策の実装などをしていた場合、評価できません（評価機関指定基準 2.7③）。診断のあとに対策の導入まで頼んだ会社に、★4の第三者評価も頼めるとは限りません

★3を目指す中小企業向けの条件で選んだ例は「★3を目指す中小企業向け」に、条件と全件の確認結果とあわせて載せています。

まとめ

• 現状診断（ギャップ分析）は、自社の対策を★3・★4の要求事項・評価基準に照らし合わせ、足りない点と直す順番を洗い出す支援です
• 制度の手続ではなく、最初の手続である自己評価の下書きにあたります。診断の結果は★の取得（登録）ではありません
• 自己評価の判断基準を定めるガイドは、IPA の予定では2026年10月下旬に公開されます。いま受ける診断は、見直す前提で使います
• 比較表の60件のうち52件が現状診断を案内しています。期間は診断だけで数週間〜数か月、料金はパック型か見積もり型が中心です（2026年9月27日時点）
• 対象の★、判定の細かさ、報告の中身、特定の製品が前提になっていないかを見て選びます

※この記事は、経済産業省・IPA の資料をもとに要約して作成しました。支援サービスの件数は、当サイトが各社の公開情報で確かめた結果です（2026年9月27日時点）。