作成日: 2026-06-10
はじめに
「★3を取得しなければならない、でも何から手をつければいいかわからない」
SCS対応を任されたとき、多くの方がこの状態から始まるのではないでしょうか。
実は、★3を目指す前に知っておくべき「出発点」があります。SECURITY ACTION（セキュリティアクション）の★1・★2です。
★3の前段として位置づけられているこの制度を理解しておくと、「今の自社はどのレベルにいるか」「★3に向けて何がすでに揃っていて、何が足りないか」の見通しが立ちやすくなります。今回はSECURITY ACTIONの概要と、★3との関係を整理します。
SECURITY ACTIONとSCS評価制度は、ひとつの体系でつながっている
まず前提として、SECURITY ACTIONとSCS評価制度の関係を整理しておきます。
両制度は、企業のセキュリティレベルを可視化する**共通の5段階評価（★1〜★5）**として一つの評価体系を構成しています。
| 評価 | 制度名 | 対策レベルの概要 | 評価の方法 |
|---|---|---|---|
| ★1 | SECURITY ACTION | 情報セキュリティ5か条の取組 | 自己宣言 |
| ★2 | SECURITY ACTION | 情報セキュリティ基本方針の策定・外部公開 | 自己宣言 |
| ★3（Basic） | SCS評価制度 | 一般的なサイバー脅威への対処 | 専門家確認付きの自己評価 |
| ★4（Standard） | SCS評価制度 | 包括的な対策（検知・対応・復旧を含む） | 認定評価機関による第三者評価 |
| ★5（Advanced） | SCS評価制度 | 高度なサイバー攻撃への対処 | 認定評価機関による第三者評価 |
現在は「SECURITY ACTIONが★1〜★2を担い、SCS評価制度が★3〜★5を担う」という形で、一つの評価体系として整理されています。
ただし、最初からこの5段階体系が設計されていたわけではないかもしれません。★1・★2（SECURITY ACTION）は2017年にスタートした制度で、★3〜★5にあたるSCS評価制度の構想検討が始まったのは2024年7月のことです。
→ 経産省 産業サイバーセキュリティ研究会 WG3 サプライチェーンセキュリティ分科会 https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_supply_chain/index.html
7年のタイムラグがあることを考えると、「最初から一体として設計された」というよりは、「既存の制度を取り込む形でSCS評価制度が設計された」と見るほうが自然かもしれません。公式にどこまで意図されていたかは私にも確認できていないので、断言はしませんが、頭の片隅に置いておくといいかもしれません。
なぜこの体系が生まれたのか
少し背景を説明します。
これまで、発注元の大企業が委託先の中小企業のセキュリティ状況を確認しようとすると、各社が独自のチェックシートを送付し、それを回収・確認するという非効率なやり取りが発生していました。送る側も受け取る側も、相当なコストがかかります。
この状況を改善するために生まれたのが、共通の★マークによる可視化の仕組みです。
- 発注元企業：「我が社の取引先は★3以上を必須とする」という統一基準でリスク管理できる
- 受注元企業：「弊社は★3を取得しています」と提示するだけで、個別のチェックシート対応の工数を削減できる
サプライチェーン全体でセキュリティを底上げするための仕組みとして、この5段階体系は設計されています。
★1（一つ星）とは何か
★1は、「情報セキュリティ5か条」に取り組むことをIPAに自己宣言する制度です。費用はかかりません。
5か条の内容は以下です。
- OSやソフトウェアを最新の状態にする
- ウイルス対策ソフトを導入する
- パスワードを強化する
- 不審なメールやリンクに注意する
- 重要データのバックアップを取る
→ IPA 情報セキュリティ5か条（PDF） https://www.ipa.go.jp/security/security-action/download/infosec6to-dos.pdf
「これだけか」と感じる方もいるかもしれませんが、中小企業の実態としては、これらが徹底されていない企業もあるのではないでしょうか。2017年ということも考えると、まずはこれからスタートしようということになったのではないかなと思います。
私は以前、IPA（情報処理推進機構）が2020年に実施した中小企業向けの★1支援事業に関わったことがあります。その時に、セキュリティ対策が「何から始めればいいかわからない」状態のまま放置されている現場を見ました。今回このブログを始めたのは、その経験が出発点の一つになっています。
★2（二つ星）とは何か
★2は、「情報セキュリティ基本方針を策定し、外部へ公開する」ことをIPAに自己宣言する制度です。
★2の要件は大きく2点です。
- 「5分でできる自社診断シート」を実施する（自社のセキュリティ対策状況を25項目で自己チェックする）
- 情報セキュリティ基本方針を策定し、外部公開する
→ IPA 情報セキュリティ基本方針テンプレート（中小企業の情報セキュリティ対策ガイドライン 付録） https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_3.pdf
→ IPA SECURITY ACTION ★2（二つ星）について https://www.ipa.go.jp/security/security-action/twostar/
★3との関係で注目したいポイント
第3回の記事でSCS★3の要求事項（1-3-1）として紹介した「▪️第3回リンク」の内容を思い出してみてください。
「セキュリティ対応方針を定め、周知する」という内容でしたが、★2との違いが一点あります。★2では外部公開が必要なのに対し、★3では外部公開は不要です。 この点で言えば、★2の方が★3よりレベルが高いような感じもしてしまいますが、項目のつながりはあるなと感じます。
★1が6項目、★2が25項目。そこから★3の81評価基準へ、という段差をイメージしてもらえると、★1・★2が「準備運動」として機能していることが伝わるかと思います。
実際に情報セキュリティ基本方針を宣言している企業の例
大企業の例では、トヨタ自動車さんが情報セキュリティ基本方針をウェブサイトで公開しています。
→ トヨタ自動車 情報セキュリティ方針 https://global.toyota/jp/sustainability/esg/information-security/
もちろん、大企業だけの話ではありません。セキュリティアクション★2を積極的に開示している中小・中堅企業もたくさんあります。
→ セキュリティアクション2つ星取得の企業事例（参考） https://www.staf.co.jp/media/category03/SecurityAction241126
★2の宣言が、「セキュリティ対策をちゃんとやっている会社だ」という対外的なアピールになると考えている企業が出てきているということですね。
★1・★2の学習にIPAのコンテンツが役立つかもしれません
IPAが★2取得に向けた参考コンテンツを公開しています。情報セキュリティ規定の作成プロセスをドラマ形式で紹介したもので、セキュリティという再生数が伸びなさそうなジャンルで約3万再生という数字からも関心の高さが伝わります（数十から数百件しか再生されていないようなクオリティが高い動画も散在するジャンルなので、もっとみんなに興味を持ってもらえると嬉しい、笑）。
→ IPA 中小企業のための情報セキュリティ対策動画（YouTube） https://youtu.be/fot-PEzBZO4?si=7F7fDmYzIbg-rB8J
特に「社内でセキュリティ規定を作るプロセスを経営層や他部門に説明したい」という場面で、動画を一緒に見てもらう使い方も考えられます。固い資料を読ませるよりも、動画のほうが伝わりやすいことがあるので、うまく活用できるといいかもしれませんね。
★1・★2とSCS★3の違い：「自己宣言」と「第三者確認」
最後に、★2までと★3以降の大きな違いを整理しておきます。
最大の違いは「誰が対策状況を担保するか」です。
- ★1・★2（SECURITY ACTION）： 企業がIPAに対して自己宣言する仕組み。費用はかからず、参入障壁が低い
- ★3（SCS評価制度 Basic）： 専門家の確認が入る自己評価。第三者の目が入ることで客観性が担保される
この違いを理解しておくと、「なぜ★3の取得にはコストや準備が必要なのか」の理由が腑に落ちると思います。自己宣言から専門家確認付きの評価へのステップアップが、この体系の設計思想です。
このブログが目指していること
私はグローバルな製造業グループのCSIRTリーダーとして働いており、セキュリティ製品を売る立場ではありません。自動車部品メーカーに勤めているため、取引先にセキュリティ要件を「求める側」であり、完成車メーカーから要件を「求められる側」でもあります。
その立場から、「このブログを読んだ担当者が、経営者を動かすための言葉と資料を手に入れられる」ことを目指して書いています。
「要求される側の現場目線」を込めようとしています。難しい言葉をわかりやすく言い換えるだけでなく、「現場では実際にどう判断するか」という視点を大事にします。
次回の予告
次回は、SCS★3の要求事項を大分類ごとに確認していきます。第6回は1つ目の大分類「ガバナンスの整備」です。
技術的な話はほとんど出てこない分野ですが、「誰が何に責任を持つか」「どう体制を整えるか」という組織運営の基盤になる部分です。評価基準を8つ確認しながら、何が求められているかを一緒に見ていきます。
相談してみませんか？
「ちょっと聞いてみたい」という段階でも構いません。私の経歴・支援内容の詳細は「このブログについて」をご覧ください。
なお、SCSへの関心が高まる中、制度に便乗した不審な勧誘も出てきています。私のことも含め、見知らぬ相手を安易に信用しすぎないようご注意ください。経産省も注意喚起を出しています。
→ サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に係る不適切な勧誘に御注意ください https://www.meti.go.jp/policy/netsecurity/20260427_scs.html
CISSP・情報処理安全確保支援士 ｜ けい
コメント