SCS評価制度★4の第三者評価フロー徹底解説 ― 書類審査・実地審査・技術検証の流れと費用
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の★4は、★3の「専門家確認付き自己評価」と異なり、第三者評価機関による評価＋技術検証が必要です。重要インフラのサプライチェーンに属する企業、ITベンダー・MSP、政府調達への参加を視野に入れる企業にとっては避けて通れません。
しかし★4については「第三者評価」という言葉だけが先行しており、実際にどんな手順で進み、何が起き、いくらかかるのかの解像度が低いまま、漠然と不安を抱えている企業が多いのが実情です。本記事では、★4の評価フローを書類審査・実地審査・技術検証の3フェーズに分けて具体的に解説します。
★4第三者評価の全体像
評価の3フェーズ
★4の第三者評価は、次の3フェーズで構成されます（2026年10月28日公表の「★4 第三者評価ガイド」「★4 技術検証ガイド」に基づく）。
- フェーズ1：書類審査（評価機関による文書確認）
- フェーズ2：実地審査（評価機関によるヒアリング・現場確認。原則1拠点で、合意があればオンラインでも可）
- フェーズ3：技術検証（技術検証事業者が、外部に公開している境界機器にCVSS 7.0以上の脆弱性がないかを確認）
3フェーズの合計所要期間は2〜4か月が目安です。費用のうち、IPAに支払う★4の登録料は60,000円/3年（2026年9月18日公表）です。評価機関・技術検証事業者に支払う評価費用は各事業者が定めるため未公表で、150〜500万円という数字は当社の目安にすぎません（評価機関・対象範囲により変動）。これに事前の対策実装と書類整備の期間を合わせると、★4取得には半年〜1年を見込む必要があります。
有効期間と更新
★4の有効期間は3年です。ただし期間中も毎年自己評価を行い、対策の継続実施状況を評価機関または制度運営機関に報告する仕組みです。3年経過時には再度第三者評価を受ける必要があります。
フェーズ1：書類審査
提出書類の構成
書類審査では、★4の43項目（評価基準153件）について、対策の実施状況と証跡を示す書類一式を評価機関に提出します。代表的な書類は次のとおりです。
- 自己評価シート（全項目への適合状況の記入）
- 情報セキュリティポリシー、関連規程類
- 組織図、セキュリティ責任者の任命書
- 情報資産台帳、重要委託先リスト
- リスクアセスメント結果、リスク対応計画
- インシデント対応計画書、対応手順書
- 訓練・教育の実施記録
- パッチ適用記録、脆弱性対応記録
- バックアップ取得・復旧テスト記録
- ログ管理規程と直近のサンプルログ
- BCP（事業継続計画）
書類審査でよく指摘される不備
実務で頻発する指摘パターンは次のとおりです。
- 規程はあるが運用記録がない：ポリシーだけ整備されて、実施記録（教育ログ、点検記録など）が残っていない
- 規程と実態の乖離：規程では「四半期ごとにパッチ適用」となっているが、実際は不定期
- 委託先管理の証跡不足：契約書にセキュリティ条項はあるが、年次の評価シート回収記録がない
- インシデント訓練の未実施：手順書はあるが、机上演習の記録がない
- 責任者と実務者の混同：CISOを任命しているが、実質的に動いているのが情シス担当者でロールが曖昧
書類審査の所要期間は1〜2か月、この時点で大きな不備が見つかれば、是正後に再提出となり評価期間が伸びます。
フェーズ2：実地審査（ヒアリング・現場確認）
実地審査で確認されること
実地審査では評価機関の審査員（通常2〜3名）が訪問し、書類審査で確認した内容の実地での裏付けを取ります。半日〜2日程度の日程です。
- 経営層インタビュー：CISO、経営層へのセキュリティガバナンスに関するヒアリング
- 情シス担当者ヒアリング：パッチ管理、アカウント管理、ログ運用などの実態確認
- 現場確認：サーバルーム・データセンター、執務室の物理セキュリティ
- 設定確認のサンプリング：MFAの有効化、アカウント棚卸し、AD/Entra IDのGroup Policyなど
- インシデント対応訓練の実演または直近の訓練記録の確認
実地審査でよくある”刺さる質問”
- 「直近12か月で発生したセキュリティインシデント（軽微なものも含む）を教えてください」
- 「退職者が出た最後の事例について、アカウント無効化のタイムラインを示してください」
- 「重要委託先A社の最新の評価シート回答を見せてください」
- 「ログから特定の不正アクセスを検出するクエリのデモをしてください」
- 「ランサムウェア感染を想定した復旧テストを直近で実施した記録は？」
これらは「規程ではどうなっているか」ではなく**「実際にどう動いているか」**を問う質問です。書類だけ整備してきた企業はこの段階で大きく失点します。
実地審査前の準備チェックリスト
- 過去12か月のインシデント記録を時系列で整理
- 退職者・入社者のアカウント変更ログを抽出可能に
- 委託先評価シートの回収状況を最新化
- インシデント対応の机上演習を直近で1回実施
- 復旧テストを直近で1回実施し、記録を残す
- ログ抽出のクエリを担当者が手元で実演できるよう練習
フェーズ3：技術検証（脆弱性検査）
技術検証の内容
「★4 技術検証ガイド」（2026年10月28日公表）では、技術検証の対象は外部に公開している境界機器（VPN装置、ファイアウォール、公開サーバなど）にCVSS 7.0以上の脆弱性がないかの確認とされています。テナント設定や端末のパッチ状況は技術検証ではなく、書類審査・実地審査で評価基準への適合として確認されます。事前に自社で点検しておきたい項目は次のとおりです。
- 外部公開IPの脆弱性スキャン：自社が公開しているWebサイト・VPN装置・メールサーバなど（技術検証の直接の対象）
- 設定診断：Microsoft 365／Google Workspaceのテナント設定（MFA有効化率、条件付きアクセス、外部共有制限など）
- クライアント端末のサンプリング診断：パッチ適用状況、AVの定義ファイル、暗号化の有効化
- ネットワーク構成のレビュー：境界防御の構成、セグメンテーションの状況
検査結果の評価
境界機器にCVSS 7.0以上の脆弱性が検出されても直ちに不合格にはならず、合否判定が保留されます。診断結果の受領から14日以内に、原則としてアップデートで解消（修正版がない場合はリスク低減策）し、初回の合否結果の通知から1か月以内に再診断または低減策の実施状況確認を依頼します。期間内に依頼がない場合や解消されなかった場合は不適合（不合格）となります（★4 技術検証ガイド）。中小企業でよく検出される高頻度の問題は次のとおりです。
- VPN装置のファームウェアが古い
- M365テナントの「レガシー認証」が有効のまま
- 退職者アカウントが残っている
- 共有メールボックスにMFAが適用されていない
- 外部公開のRDPポート
これらは事前の自己診断で先に潰しておけば、技術検証で指摘されることを回避できます。
評価機関の選び方
評価機関に関する公表スケジュール（2026年11月時点）
| 時期 | 内容 |
|---|---|
| 2026年8月28日／9月11日 | 基本規程等、制度基準・制度手順を公表（公表済み） |
| 2026年10月28日 | ★4 第三者評価ガイド、★4 技術検証ガイド、要求事項・評価基準 Ver.1.1、解説書を公表（公表済み） |
| 2026年11月末頃 | ★3・★4の登録申請の手引を公表予定 |
| 2026年12月下旬 | 評価機関・技術検証事業者（および研修事業者）を公表予定 |
| 2027年1月以降 | セキュリティ専門家の一覧を公表予定 |
| 2027年3月 | ★3・★4の登録申請受付開始 |
つまり、依頼先の評価機関を正式に確認・選定できるのは2026年12月下旬以降です。それまでは対策実装と証跡整備に集中し、機関選定は年末以降に行うのが現実的な進め方になります。なお現時点では「SCS評価制度の認定評価機関」を名乗れる事業者は存在しません（経産省・NCOの注意喚起）。
選定時に確認すべき5点
公表された一覧から評価機関を選ぶ際は、次の観点で比較します。
- 対象業種への対応経験：自工会対応、医療3省2、防衛など業界知見の有無
- 企業規模感の合致：中小企業を扱う経験があるか（大企業専門の機関は中小には重い）
- 費用構造の透明性：書類審査・実地審査・技術検証の内訳が明示されるか
- 是正対応のサポート：指摘事項の是正に向けた助言の手厚さ
- 更新審査での継続性：3年後の更新を見据えた継続関係を築けるか
最安値の機関を選んで指摘の質が低いと、本来防げたインシデントを取り逃すリスクがあります。コスト最適化と評価品質のバランスが重要です。
★4取得までの全体スケジュール（モデルケース）
| 月 | アクション |
|---|---|
| M-12〜M-9 | 現状アセスメント、ギャップ分析、対策計画策定 |
| M-9〜M-3 | 不足対策の実装、規程整備、運用記録の蓄積 |
| M-3〜M-1 | 自己評価、模擬監査、評価機関の選定 |
| M-1 | 評価機関への申し込み、書類提出 |
| M-1〜M+1 | 書類審査 |
| M+1〜M+2 | 実地審査、技術検証 |
| M+2〜M+3 | 是正対応、最終評価結果 |
| M+3 | ★4登録・公表 |
合計1年強。ISMS取得済みの企業はM-9〜M-3の対策実装フェーズが大幅に短縮できます。
情シス365の★4取得支援
情シス365では、★4取得を目指す中小企業向けに次の支援を提供しています。
- 現状アセスメントとギャップ分析（★4要件43項目／評価基準153件への適合度）
- 不足対策の実装支援（M365高度化、EDR、ログ管理基盤、BCP整備）
- 規程・運用記録の整備支援
- 模擬監査（評価機関の審査前リハーサル）
- 評価機関選定のアドバイス
- 是正対応の伴走
★3を先行取得して★4にステップアップする計画もご相談に応じます（★3の事前取得は★4の条件ではありません）。
本記事は2026年5月5日時点の公表情報をもとに執筆し、2026年11月5日に公表状況を更新しました。