SCS評価制度の星3（★3）と星4（★4）を、要求事項、評価方法、有効期間、更新、ログ管理で比較。取引先から求められる段階の選び方と、教育・監視・ログの準備例を公式資料に基づいて解説します。
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の星3（★3）と星4（★4）の主な違いは、求められる対策の範囲、評価の方法、取得後の維持手続です。星4では星3の内容を含む対策に加え、第三者による評価を受けます。星3を先に取得することは、星4の取得条件ではありません。IPAの段階別評価
「星3なら何を準備するのか」「取引先から星4を求められたら何が増えるのか」を、比較表と実務例で整理します。
確認日：2026年9月17日。 星3・星4は2027年3月頃の運用開始予定です。制度資料の公開と、企業からの取得申請の受付開始は区別してください。IPAのよくある質問
星3・星4の違いを比較表で確認
比較する点 | 星3（★3・三つ星） | 星4（★4・四つ星） |
|---|---|---|
対策の水準 | 一般的なサイバー脅威への対処 | 侵入防止に加え、被害拡大の防止や取引先の情報・システム保護 |
要求事項の数 | 26件 | 43件。星3の内容を含む |
評価方法 | 専門家確認付き自己評価 | 第三者評価。文書確認・実地審査・技術検証を実施 |
有効期間 | 登録完了通知の日から1年間 | 登録完了通知の日から3年間 |
維持・更新 | 満了前に専門家の確認・助言を受け、自己評価の更新版を提出 | 毎年の自己評価を評価機関へ提出し、3年ごとに第三者評価を受けて更新申請 |
ログ取得 | ネットワークのログ・アラートの分析などを要求 | 左記に加え、対象ログの6カ月保管や認証ログの月1回以上の確認などを要求 |
要求事項とログの根拠は公式の要求事項・評価基準、評価方法はIPAの制度詳細、有効期間・更新は基本規程 SCS-100の3.1.2・3.2.2を参照しています。
星4は「星3に17項目を足すだけ」ではない
26件・43件は「要求事項」の数です。その一つひとつに、対策を満たしているか確認する複数の「評価基準」があります。
星4では、ログ取得、取引先の対策状況把握、機器の挙動監視などの要求事項が増えます。さらに、星3と共通する要求事項の中でも、星4向けの評価基準が追加されます。作業の一覧を作る際は、要求事項の名称だけで比較せず、評価基準IDまで照合しましょう。公式の要求事項・評価基準
また、星3は社内担当者がチェックして終える自己申告ではありません。専門家による確認と署名、経営層による自己適合宣言を経て申請します。星4は自己評価を用意したうえで評価機関の評価を受けます。基本規程 SCS-100の3.1.1・3.2.1
星3と星4、どちらを目指すべきか
判断の起点は企業規模よりも、取引先への影響です。自社の業務が止まったときに発注者の重要業務も止まるか、重要な機密情報を預かるか、発注者のシステムへ接続できるかを整理します。経済産業省も事業継続と情報管理のリスクを、段階を検討する観点として示しています。制度構築方針15ページ
たとえば、発注者の業務システムを保守し、管理用の接続権限を持つ場合は、その権限が悪用された場合の影響まで説明する必要があります。取引先に「求める段階」「対象業務・システム」「提出物」「期限」を確認し、準備する範囲を合わせます。これは取引条件を整理する実務例であり、段階を自動判定する公式ルールではありません。
SCS評価制度は任意制度です。制度全体が一律に義務化された、特定製品を買えば取得できる、といった理解は避けましょう。正式名称や対象となるIT基盤、OTとの関係は経済産業省の制度説明と、SCS評価制度の概要記事で確認できます。
教育・監視・ログは、何を記録して準備するか
以下は公式要件を社内作業に落とし込むための例です。証跡とは実施を確認できる記録のことで、ここに挙げた資料だけで取得できるという意味ではありません。
教育：受講率と実施内容を揃える
星3・星4の要求事項4-2-2に対応する評価基準では、新規受入れ時と年1回以上のインシデント対応教育・訓練、実施記録の保管、年1回以上の内容点検が求められます。公式Excelの4-2-2-1〜3
準備例は、対象者一覧と受講記録を照合し、教材の版、実施方法・日付、未受講者への対応を残すことです。「全員受講済み」という集計だけでなく、どの対応手順を教えたかまで説明できるようにします。
監視：アラートの後に誰が判断するかを決める
星3にも、不正通信のリアルタイム検知・遮断、ログ・アラートの分析、インシデント該当性の判断、速やかな発報と速報レポートの通知に関する要件があります。公式Excelの5-1-1-1〜3
準備例として、検知する機器、確認担当者、通知先、時間外の連絡方法を整理します。過去の対応記録や通知確認の記録を確かめ、判断する人が決まっていない箇所を埋めます。AIを使った調査支援の考え方はAI SOCの仕組みと人が担う判断で解説しています。
ログ：保存設定と取り出せる記録を照合する
星4の4-4-3では、対象となるファイアウォール・プロキシ・認証サーバーのログを6カ月取得・保管し、認証ログを月1回以上確認します。クラウドも対象です。仕様上満たせない場合には相当するログを取得・保管する条件があり、インターネット経由で保存先へアクセスする際の多要素認証も求められます。公式Excelの4-4-3-1〜3
準備例は、ログごとの保存先、必要な取得項目、実際に検索できる期間、月次の確認担当者を一覧にすることです。保存設定を6カ月にしても、収集開始が先月なら過去6カ月分はありません。記録の不足を把握して、担当者と次の作業を決めます。収集・保存・分析の基盤を検討する場合はSIEMの仕組みと選び方も参照してください。
取得後の更新も、準備台帳で管理する
星4は有効期間が3年でも、その間に毎年の自己評価が必要です。適用範囲の変更や、基準達成に顕著な影響を及ぼす変更があった場合は、再評価の手続も確認します。基本規程 SCS-100の3.2.2
取得に向けて記録する担当者・証跡・期限に、取得後は有効期限、年次自己評価の予定、評価機関への提出日を加えます。まずはSCS評価制度の準備チェックリストと入力用CSVで、公式評価表と自社の作業を結び付けてください。
