SCS評価制度★3対応で「買わなくていいもの」｜支援サービスの過剰提案を見抜く5つの質問
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。
「取引先から★3を求められた」という相談が、この数か月で急増しています。それに合わせて、SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）への対応を掲げる支援サービスも一気に増えました。
ただ、寄せられた提案書や見積書を拝見していると、気になるパターンがあります。制度対応という名目で、本来は必要のない機器やクラウドサービスがまとめて計上されているケースです。
「★3を取るために必要です」と言われれば、社内に判断できる人がいなければ断りにくい。★3・★4の申請受付開始は2027年3月頃の予定で、解説書は2026年10月頃の公開予定です。判断材料が出そろう前に見積書だけが先に来ているのが、いまの状況です。
この記事では、特定の事業者を批判する意図ではなく、発注側が自力で提案の妥当性を判断できるようになることを目的に、過剰提案が生まれる構造と、見積書を受け取ったときに確認すべき点を整理します。
なお、「取得しないと取引を切られる」といった事実に反するセールストーク自体については、経済産業省・NCOの注意喚起をまとめた「「SCS評価制度に対応しないと取引を切られる」は本当か」で扱っています。本記事はその一歩先、提案の中身が妥当かどうかを読む話です。
SCS評価制度が求めているのは「製品」ではなく「状態」
まず押さえておきたい大前提です。
IPAが公開している★3の要求事項（26項目・評価基準81件）を読むと分かりますが、制度は特定の製品名や製品カテゴリを名指しで必須としていません。
要求事項は「〜の手続を定めること」「〜のルールを定めること」「〜を把握すること」という、やるべきことを書いた文で構成されています。実現手段は指定されていません。たとえば検知領域の評価基準5-1-1-1は、不正アクセスをリアルタイムに検知・遮断する仕組みを求めていますが、その設置場所を「社内外ネットワークの境界又は端末において」と書いています。つまり、
- オフィスの境界に機器を置いて実現する
- 端末側（EDR等）で実現する
のどちらでもよい、という書き方です。どちらを選ぶかは、その企業のIT環境によって変わります。全社員がノートPCとクラウドサービスだけで働いていて、オフィスのネットワークにサーバーが1台もない会社に、境界防御機器を新規導入することの意味は限定的です。
もう一点重要なのが、評価基準の多くが「定めること」「記録し、保管すること」「点検すること」を求めているという性質です。機器を買って設置しただけでは、要求事項を満たしたことになりません。たとえば教育・訓練の要求（4-2-2）では、実施したうえで実施内容・方法・時期・受講状況を記録して保管すること、さらに年1回以上その内容を点検することまでが評価基準に含まれています。
つまり、制度対応の本体は「調達」ではなく「整理と運用設計」です。ここを取り違えた提案が、過剰提案の入口になります。
なぜ過剰な提案が生まれるのか
悪意があるケースばかりではありません。多くは、提供事業者の出自による構造的なものです。
回線事業者・機器販売系
もともとネットワーク機器や回線を売ってきた事業者にとって、制度対応は既存商材を提案する良い機会になります。結果として、提案の中心が機器の導入計画になりがちです。中には無停電電源装置まで「対策」として計上されている例もありました。
自社SaaSを持つベンダー
自社のクラウドストレージ、資産管理ツール、ID管理ツールなどを提供している事業者は、当然ながらそれらを解決策として提示します。個々の製品が悪いわけではありませんが、すでに同等機能を持つライセンスを契約している企業にとっては二重投資になります。
パッケージ型のワンストップサービス
「★3取得に必要な◯つのサービスをパッケージで提供」という形態です。手離れは良いのですが、単品では買えない、あるいは相談窓口サービスとのセット契約が前提という条件がついていることがあります。自社に不要な要素まで含めて契約することになります。
情報の非対称性
そして最大の要因が、発注側に判断材料がないことです。制度の要求事項は公開されていますが、★3だけで26項目・評価基準81件のExcelで、法令文書に近い書き方をしています。しかも解説書の公開は2026年10月頃の予定です。これを読み解いて「うちはこの項目、既存の設定で満たせている」と言える担当者がいる中小企業は多くありません。
よくある過剰提案の5パターン
実際に見かけた提案から、典型的なものを挙げます。
パターン1：「★3にはUTMが必須です」
最も多い誤解です。正確に言うと、★3には「ネットワーク境界防護」の要求事項（4-5-1）が確かに存在します。ネットワークを適切に分離し、境界部分を防護することが求められています。「境界防護は不要」という話ではありません。
ただし、要求事項に「UTMを設置すること」という記述はありません。既存のルーターやファイアウォール機能で境界防護の要件を満たせているケースは珍しくなく、その場合に必要なのは新規購入ではなく、設定内容の確認と記録です。さらに検知領域の評価基準5-1-1-1は、前述のとおり「境界又は端末において」と実装場所を選べる書き方になっています。
境界防御機器の新規導入が有効なのは、オフィス内にファイルサーバーや業務システムがあり、そこへの通信を守る必要がある環境です。逆に、業務がクラウド中心で、社員が自宅やカフェからも接続する働き方をしている場合、オフィスのゲートウェイを固めても守れる範囲は限られます。
したがって確認すべきは「UTMが必要か」ではなく、**「今あるネットワーク機器で4-5-1を満たせているか、満たせていないとしたら何が足りないか」**です。自社の構成と既存機器を確認せずに機器導入から入る提案は、この要件定義を飛ばしています。
パターン2：既存ライセンスの棚卸をしない
Microsoft 365 Business Premium や Google Workspace Business Plus を契約している企業は、多要素認証、条件付きアクセス、デバイス管理、ログ保全、データ保護の機能をすでに購入しています。
しかし、これらは「契約すれば自動的に有効になる」ものではなく、設定して初めて機能します。実務でよく見るのは、Business Premium を契約しているのに Entra ID の条件付きアクセスも Intune も未設定という状態です。
このとき正しい提案は「今あるライセンスの機能を有効化しましょう」であって、「新しいツールを買いましょう」ではありません。現状のライセンス構成を確認しないまま出てきた見積書は、この検討を飛ばしています。
パターン3：自社SaaSへの乗り換えが前提になっている
「ガバナンス・ログ・アクセス制御を一つのサービスで実現できます」という訴求はよく見ますが、その「一つのサービス」が提案元の自社製品である場合は、一歩引いて考える必要があります。
移行にはデータ移行コスト、社員の再教育コスト、既存ライセンスとの重複が発生します。制度対応をきっかけに基盤を刷新すること自体は合理的な判断になり得ますが、それは「制度が要求しているから」ではなく「自社にとって良いから」選ぶべきものです。この2つが混ざった説明には注意してください。
パターン4：導入だけで運用が入っていない
機器やツールの導入費用は詳細に書かれているのに、運用や証跡の整備が見積に含まれていないパターンです。
前述のとおり、評価で問われるのは運用の実態です。ログを取得する仕組みを入れても、それを定期的に確認する担当と手順が定まっていなければ、要求事項を満たしたとは言えません。導入して終わりの提案は、評価の直前になって「証跡がない」という事態を招きます。証跡として何をどう残すかは「SCS評価制度★3 証跡・監査ログ実装ガイド」で具体的に扱っています。
パターン5：制度上の必須と自社推奨が区別されていない
これは良し悪しがはっきり分かれる点です。誠実な事業者は、資料の中で「これは制度上の要求事項」「これは当社としての推奨」を明示的に書き分けています。
一方で、両者を混ぜて「★3対応に必要な項目一覧」として提示している資料もあります。読み手には区別がつきません。どこまでが制度の要求で、どこからが提案者の意見なのかを聞いてください。 即答できない相手であれば、その提案の根拠は確認したほうがよいでしょう。
既存のMicrosoft 365／Google Workspaceで満たせる範囲
具体的に、追加購入なしで対応できる領域を整理します。以下は代表的な要求領域と、既存ライセンスでの実現手段の対応です。
| 要求されている領域 | Microsoft 365 での実現手段 | Google Workspace での実現手段 |
|---|---|---|
| 本人認証の強化（4-1-3） | Entra ID の多要素認証、条件付きアクセス（Business Premium 以上） | 2段階認証プロセスの全社強制（全エディション） |
| 端末の管理・保護（4-4-5） | Intune によるデバイス登録・構成、Defender for Business（Business Premium） | ChromeOS／Chrome ブラウザ管理、エンドポイント管理。Windows端末のマルウェア対策・統制は別途必要 |
| アクセス権限の管理（4-1-7） | ロール設計、グループベースのアクセス制御、退職者アカウントの無効化 | 組織部門と権限グループ、共有ドライブ権限、アカウント停止 |
| ログの取得と分析（5-1-1） | 統合監査ログ（既定180日）、サインインログ | 管理コンソールの監査ログ（標準6ヶ月）、アラートセンター |
| データの保護・バックアップ（4-3-4） | 保持ポリシー、バージョン管理（＋別途バックアップ設計） | ドライブへの集約、Vault の保持ルール（Business Plus 以上） |
| 不正な外部共有の制御 | SharePoint／OneDrive の外部共有設定 | ドライブの共有ポリシー、信頼できるドメイン設定 |
| 脆弱性・更新管理（4-4-4） | Intune の更新リング、Windows Autopatch（Business Premium で利用可） | ChromeOS の自動更新、エンドポイント管理のOS更新ポリシー |
領域ごとの詳しい設定マッピングは「SCS評価制度★3をM365・GWSで実装する｜設定マッピング一覧」にまとめています。
エディションの境目には注意が必要です。 Microsoft 365 は Business Standard 以下では条件付きアクセスも Intune も使えないため、Business Premium への変更が前提になります。Google Workspace は、Vault が Business Plus 以上、DLP とコンテキストアウェアアクセスは Enterprise Standard 以上で、Business Plus には含まれません。「Business Plus だから全部満たせる」という説明を受けたら、機能ごとに対応エディションを確認してください。
ただし、これらはいずれも「新しい製品を買う」のではなく「今の契約を上げる」判断であり、コストの水準がまったく違います。★3の要求水準で言えば、たとえばアクセス権の棚卸（4-1-7-1）は自動化ツールがなくても、四半期ごとに権限一覧をエクスポートして責任者が確認・記録する運用で満たせます。Entra ID のアクセスレビュー機能は P2（E5相当）が必要ですが、★3で問われるのは「ルールを定め、棚卸をしていること」であって「自動化されていること」ではありません。
まず確認すべきは、次の3点です。
- 現在契約しているプランは何か
- そのプランに含まれる機能のうち、有効化されていないものは何か
- 有効化するだけで満たせる要求事項はどれか
この棚卸しを終えてから、初めて「不足分に何を買うか」の話に進みます。順番が逆になっている提案は、必ず過剰になります。
見積書を受け取ったら確認すべき5つの質問
支援サービスの提案を受けたら、次の質問をしてみてください。答え方で、提案の性質がかなり分かります。
質問1：「この項目は制度の要求事項のどれに対応していますか？」
各見積項目について、要求事項の番号との対応を示してもらいます。対応表を出せない項目は、制度対応ではなく別の目的で入っている可能性があります。
質問2：「今契約しているライセンスで代替できませんか？」
現在のライセンス構成を伝えたうえで聞きます。「確認します」と持ち帰るのは誠実な反応です。即座に「別途必要です」と答える場合は、根拠を聞いてください。
質問3：「パッケージから外せる項目はどれですか？」
セット販売型の場合の質問です。外せない理由が「制度上必要だから」なのか「販売条件だから」なのかを切り分けます。後者であれば、それは制度の話ではなく商流の話です。
質問4：「導入後の運用と証跡整備は、この金額に含まれていますか？」
含まれていない場合、評価に向けた実務の大半が残っていることになります。追加費用がいくらになるかも合わせて確認してください。
質問5：「この提案のうち、御社の推奨であって制度上の必須ではない項目はどれですか？」
最も効く質問です。誠実な事業者は明確に線を引いて答えます。「全部必要です」という回答が返ってきたら、その提案は精査が必要です。
費用そのものの内訳の読み方は「SCS評価制度★3・★4の取得費用はいくら？」で、4つの費用に分解して解説しています。
それでも投資する価値があるもの
過剰提案の話ばかりしましたが、「何も買わなくていい」という主張ではありません。支出すべきところとそうでないところを分けようという話です。
投資する価値が高いのは、次のような領域です。
現状把握とギャップ分析 自社の現在地を要求事項に対してマッピングする作業です。ここを省くと、後続のすべての判断が当てずっぽうになります。外部の目を入れる価値が最も高い部分でもあります。
規程・ルールの整備 要求事項の相当部分は、技術ではなく文書と運用ルールで対応します。テンプレートをそのまま流用すると実態と乖離するため、自社の業務に合わせた調整が必要です。ここは工数がかかります。
設定の実装と、その記録 既存ライセンスの機能を有効化する作業自体は、経験があれば短時間で終わります。ただし「なぜその設定にしたか」「いつ誰が実施したか」の記録を残すことが、評価では効いてきます。
継続運用の体制 評価は一度取って終わりではありません。定期的なログ確認、権限の棚卸し、教育の実施を回す体制が必要です。社内に担当がいない場合、ここは外部に任せる合理性が高い部分です。
バックアップ これは環境によっては本当に不足していることが多い領域です。★3の要求事項4-3-4は、取得対象・頻度・保管期間を定めたバックアップに加えて、重要な機密情報については遠隔地バックアップ、そしてバックアップ対象ごとのリストア手順書まで求めています。クラウドサービスの保持ポリシーやごみ箱は削除防止の仕組みであってバックアップではなく、ランサムウェア被害や大量削除に対する保全としては不十分なケースがあります。現状を確認したうえで不足しているなら、正当な投資対象です。
逆に、後回しでよいことが多いのは、既存機能と重複するツール、境界防御機器の環境に合わない導入、そして機能を使い切れないまま契約する上位プランです。
まとめ
SCS評価制度への対応で、最初にやるべきことは調達ではありません。
- 要求事項に対する自社の現在地を把握する
- 今契約しているライセンスで満たせる範囲を確定させる
- 残った不足分だけを、手段を比較して埋める
この順番を守れば、過剰な支出は自然に避けられます。逆に、現状把握を飛ばして製品の話から始まった提案は、ほぼ確実に必要以上の金額になります。
提案を受ける側が「これは要求事項のどれに対応していますか」と聞けるだけで、話の質は大きく変わります。制度の要求事項はIPAが公開しており、誰でも読めます。まずは公式資料に目を通すことをおすすめします。
自社の現在地を短時間で把握したい場合は、無料で公開している★3セルフチェックツールをご利用ください。登録不要で、その場で結果とロードマップまで確認できます。制度の解釈や自社環境での対応方針についてご相談がある場合は、無料相談からお気軽にお問い合わせください。
参考リンク：