SCS評価制度★3・★4の取得費用はいくら？ ― 4つの費用に分解して考える見積もりの読み方
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。
「SCS評価制度の★3を取るのに、結局いくらかかるのか」——これが最も多い質問です。
正直にお答えすると、現時点で「総額いくら」と言い切れる人はいません。制度側の申請・登録費用がまだ公表されていないからです（IPAのFAQでも「今後公開予定」とされています）。にもかかわらず「★3取得パッケージ一式300万円」といった見積もりが出回っているのが実情です。
そこでこの記事では、金額の当てっこではなく、費用を4つに分解して、どこが確定していて、どこが自社の選択で動くのかを整理します。これがわかれば、提示された見積もりが妥当かどうかを自分で判断できます。
費用は4つに分解できる
| # | 費用の種類 | ★3 | ★4 | 現状 |
|---|---|---|---|---|
| 1 | 制度費用（申請・登録） | 必要 | 必要＋評価機関の審査費用 | 未公表 |
| 2 | 対策実装費用（ライセンス・機器） | 大きく変動 | ★3＋αで増える | 自社の現状次第 |
| 3 | 文書化・確認費用（規程整備・専門家確認／第三者評価） | 必要 | 大きい | 一部未確定 |
| 4 | 維持費用（年次更新・運用） | 毎年 | 毎年の自己評価＋3年ごとの更新 | 継続的に発生 |
多くの見積もりトラブルは、この4つが混ざった「一式」で提示されていることから生じます。まずは内訳を分けて出してもらうのが第一歩です。
1. 制度費用（未公表）
申請・登録にかかる費用は、IPAから「今後公開予定」とされています。★3は専門家確認付きの自己評価、★4は評価機関による第三者評価という違いがあるため、★4は制度費用に加えて評価機関への審査費用（書類審査・実地審査・技術検証）が発生する構造になります。
評価機関の一覧公開は2026年12月末頃、専門家の一覧公開は2027年1月以降の予定です。審査費用の相場が見えるのは2026年末以降と考えておくのが現実的です。
したがって、いま作るべき予算計画は「制度費用は別枠・未定」と明記したうえで、2〜4の費用で組むことになります。
2. 対策実装費用 ― ここが最も差が出る
★3で求められる技術的対策は、MFA、パッチ適用、マルウェア対策、ネットワーク境界防御、アクセス権管理、バックアップ（遠隔地保管・リストア手順書を含む）、リアルタイムの検知・遮断、資産台帳などです。
重要なのは、その多くがすでに契約しているライセンスの設定で満たせるという点です。
| 要件 | 追加費用が発生しないケース | 追加費用が発生するケース |
|---|---|---|
| MFA | M365 / GWSの標準機能で有効化 | ハードウェアキーを配布する場合 |
| 資産台帳 | Intune / エンドポイント管理で自動収集 | 資産管理ツールを新規導入 |
| パッチ適用 | Windows Update＋Intuneの更新リング | 配信管理ツールを新規導入 |
| マルウェア対策 | Defender（Business Premium） | 端末ごとのEDR製品を追加購入 |
| 検知・遮断 | 既存UTM／ルーターの機能とアラート設定 | UTMの新規導入・更改 |
| バックアップ | OneDrive / ドライブへの集約 | サーバー・NAS向けバックアップ基盤の構築 |
つまり、「M365 Business Standard → Business Premiumへのアップグレード」で複数要件がまとめて片付くケースが最も費用対効果が高くなります。1ユーザーあたり月額1,000円台の差額で、資産台帳（Intune）・パッチ統制・EDR相当の検知（Defender for Business）が手に入るためです。詳細は★3の対策要件をM365 / GWSで実装するにまとめています。
逆に、オンプレミスのサーバーやNASが多い企業、UTMが古い企業、GWSでWindows端末を使っている企業は、この部分の追加投資が読みにくくなります。見積もりを取る前に、セルフチェックリストで自社のギャップを把握しておくと、無駄な提案を弾けます。
★4で増える分
★4では、ログの取得・保管（ファイアウォール／プロキシ／認証サーバのログを各6か月保管、認証サーバのログは月1回以上モニタリング）、EDR等による挙動監視、ネットワークセグメンテーション、サーバ設置エリアの入退室管理、保管データの暗号化、脆弱性管理体制などが加わります。
ログの長期保管とモニタリング、脆弱性管理は運用工数として毎月効いてくる費用です。人手で回すか、マネージドサービスに出すかの判断が総額を左右します（SOCライトの考え方）。
3. 文書化・確認費用
対策を実装しても、文書と証跡がなければ評価は通りません。ここは自社の手間か、外部の費用かのトレードオフです。
- 規程・台帳・手順書の整備：情報セキュリティ規程、IT資産台帳、インシデント対応計画書、委託先管理規程が基本4点セット（文書化テンプレート集）
- 証跡の収集：設定画面のスクリーンショット、ログのエクスポート、教育・訓練の実施記録など（証跡・監査ログ実装ガイド）
- ★3の専門家確認：資格保有＋制度指定の研修受講＋事務局への登録を経た専門家によるレビューと署名
- ★4の第三者評価：評価機関による書類審査・実地審査・技術検証（★4の第三者評価フロー）
なお、対策の実装を支援した事業者が、そのまま専門家確認や評価を担えるか（中立性・公平性の要件）は、IPAのFAQで「今後詳細化する予定」とされており未確定です。「実装から確認まで一気通貫で安くします」という提案は、将来ルール上できなくなる可能性があります。契約前に確認しておきましょう。
4. 維持費用 ― 取得は「始まり」
見落とされがちですが、★3の有効期間は1年です。毎年の自己評価と再宣言が必要になります。★4は有効期間3年ですが、期間中も毎年自己評価を行う必要があります。
維持フェーズで継続的に発生するのは、パッチ適用状況の確認、アカウントの棚卸し、ログ・アラートの確認、年1回のインシデント対応教育・訓練とその記録、委託先の年次確認、バックアップとリストアの確認などです。これらは取得作業ではなく、通常の情シス運用そのものです。
だからこそ、外部に頼む場合は「取得プロジェクト」ではなく月額の運用支援に組み込むほうが、結果的に安くなるケースが多くなります。情シス365でも、運用支援の月額契約の中にSCS対応の維持まで含める形が中心です。
モデルケース：従業員30名・M365利用の製造業
イメージを持ちやすいよう、典型的なケースを分解します（金額は現状の対策レベルによって変動します）。
| 費目 | 内容 | 費用の考え方 |
|---|---|---|
| ライセンス | Business Standard → Business Premium | 差額 × 30名 × 12か月 |
| UTM | 既存機器のファイアウォール設定確認・記録 | 更改が必要なら別途 |
| バックアップ | OneDriveへの集約＋重要データの遠隔地保管 | 月額数千〜3万円規模 |
| 教育・訓練 | 年1回のeラーニングまたは集合研修 | 5〜30万円/回 |
| 文書化 | 規程・台帳・手順書の整備 | 自社対応なら人件費のみ／外部委託なら30〜100万円 |
| 専門家確認 | ★3の自己宣言レビュー・署名 | 未確定（2026年末以降に相場が見える） |
| 制度費用 | 申請・登録 | 未公表 |
外部委託の総額としては、既存記事でも示しているとおり現状レベルと目標★により50〜500万円と幅が非常に大きいのが実態です。逆に言えば、「うちはいくらか」は現状診断をしないと出ないということでもあります。診断なしに総額を提示してくる見積もりは、根拠を確認してください。
補助金・公的支援の使いどころ
- サイバーセキュリティお助け隊サービス（新類型）：中小企業が★3・★4を安価かつ簡便に取得できるようにするための枠組み。2026年6〜7月にサービス提供事業者の公募が行われ、現在は実証事業のフェーズです。中小企業側の利用条件が固まるのはその先のため、当てにして計画を立てるのではなく、使えたら安くなるという位置づけが安全です（解説記事）。
- デジタル化・AI導入補助金（旧IT導入補助金）：セキュリティ製品やクラウドサービスの導入に活用できる場合があります（2026年度の変更点）。
- サイバーセキュリティ対策促進のための各種支援：地域の商工会・自治体が独自の補助を用意している場合があります。
いずれも**「対策の実装費用」に効く支援**であり、文書化や専門家確認の費用まで賄えるとは限りません。
費用を抑える5つの原則
- 既存ライセンスの棚卸しから始める。 買う前に、持っている機能を使い切る。ここだけで数十万〜数百万の差が出ます
- 診断→実装→文書化の順で分けて発注する。 一式契約はブラックボックス化しやすく、後から削れません
- 目標★を先に決める。 取引先の要求がないのに★4を目指すと、費用は跳ね上がります（目標レベルの選び方）
- 評価範囲（スコープ）を適切に絞る。 全社・全拠点を一律に対象にすると、実装も維持も重くなります（評価範囲の決め方）
- 維持まで含めて比較する。 初期費用だけで比べると、翌年から毎年発生する更新工数が見えません
よくある質問
Q. ISMSを取得済みなら安く済みますか？ 規程・台帳・記録の土台があるため、文書化費用は大幅に圧縮できます。ただしSCSは「対策が実装されているか」を確認するベースラインアプローチのため、技術的な実装漏れの確認は別途必要です（SCS vs ISMS vs Pマーク）。
Q. ★3を飛ばして★4を目指すほうが安いですか？ ★4は★3の要求事項を包含するため、二重取得の無駄はありません。ただし対策が未整備の状態からいきなり★4を目指すと、実装・文書化・第三者評価の負荷が同時に来ます。取引先の要求時期次第ですが、段階を踏むほうが結果的にコントロールしやすい傾向です。
Q. 「取得できなければ返金」という提案は？ 現時点で申請受付が始まっていない（2027年3月頃予定）ため、成果を保証できる段階にありません。制度の任意性や時期を誤って説明する勧誘については、経産省・NCOの注意喚起を確認してください。
情シス365による支援
情シス365では、費用の全体像を最初に分解してお見せすることを重視しています。
- 現状診断（初期）： 要求事項と現状のギャップ、既存ライセンスで満たせる範囲、追加投資が必要な範囲を切り分け
- 実装（プロジェクト）： M365 / GWSの設定を中心に、追加購入を最小化して実装
- 文書化（プロジェクト）： 規程・台帳・手順書と証跡の整備
- 維持（月額）： パッチ・アカウント・ログ・教育記録の運用と、年次更新の支援
「他社の見積もりが妥当か見てほしい」というご相談も承ります。
まとめ
- SCS評価制度の費用は制度費用・対策実装費用・文書化/確認費用・維持費用の4つに分解して考える
- 申請・登録費用は未公表。総額を確定できる段階ではないため、見積もりは内訳で判断する
- 実装費用は既存ライセンスの活用で大きく下がる。M365 Business Premiumへの切り替えが最も効率的なケースが多い
- ★3は有効期間1年。取得より維持の設計が総額を決める
- お助け隊新類型は実証事業フェーズ。当てにせず計画し、使えたら安くなるという順序で
- 「一式いくら」ではなく、現状診断を経た内訳の提示を求めるのが失敗しない発注方法
参考リンク：