IPA、「SCS評価制度」の詳しい資料をまとめて公開。評価基準・自己評価・第三者評価に関するガイド

「★3・★4 要求事項・評価基準 解説書」表紙

　独立行政法人情報処理推進機構（IPA）は10月28日、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）★3および★4の評価制度や自己評価、第三者評価のための解説資料を公開した。いずれもIPAのウェブサイトからPDFファイルをダウンロードできる。

　SCS評価制度は、経済産業省および内閣官房国家サイバー統括室（NCO）の監督のもと、独立行政法人情報処理推進機構（IPA）が運用する、企業のIT基盤におけるセキュリティ対策の状況を共通の基準で評価・可視化する制度。★1～★5の5段階が設けられ、★3・★4については、2026年度内の運用開始が予定されている（★1、★2は、IPAが運用している中小企業向けセキュリティ対策の自己宣言「SECURITY ACTION」の「一つ星」と「二つ星」が相当する。★5の具体的な内容や運用開始時期などは検討中の状態）。

　★3は「全てのサプライチェーン企業が最低限実装すべきセキュリティ対策」とされ、専門家確認付きの自己評価により取得できる。★4は「サプライチェーン企業などが標準的に目指すべきセキュリティ対策」とされ、実地審査や技術検証を含む第三者評価が必要となる。

　今回公開されたのは、次の4つの資料。あわせて、3月に公開されていた「★3・★4の要求事項・評価基準」（SCS-400）の一部が変更されている。

• ★3・★4 自己評価等ガイド（SCS-410）
• ★3・★4 自己評価のためのアセスメントシート
• ★4 第三者評価ガイド（SCS-420）
• ★4 技術検証ガイド（SCS-430）
• ★3・★4 要求事項・評価基準 解説書（SCS-620）

　これまで、「★3・★4の要求事項・評価基準」はExcelファイルとして公開されており、各項目の説明は簡素な内容だった。これに詳細な解説を加え、制度全体の解説なども加えたのが「★3・★4 要求事項・評価基準 解説書」である。取得を目指す企業では「★3・★4 自己評価等ガイド」も参考に、あわせて配布されているアセスメントシートを使用して自己評価を行う。「★3・★4 自己評価等ガイド」には、★3の専門家確認の趣旨についても解説されている。

　「★4 第三者評価ガイド」および「★4 技術検証ガイド」は、★4取得にあたっての第三者評価を行う機関向けの手続き解説書となる。