SCS★3はどう取得する？ 自己評価・証跡整備・専門家確認までの実務プロセス

「不要になったIDは停止済み」と自己評価に記入したものの、どのサービスの、誰のIDを、いつ確認したのかが資料から分からない。記録から実施内容を確認できなければ、評価の際に調べ直すことになります。

SCS★3は、自社で評価した内容を専門家が確認する仕組みです。今回は、退職者のIDを停止する例で、社内の準備から正式な確認・申請までの進め方を見ていきます。

社内で自己評価し、専門家の確認を受けて申請する

まず自社で対策の実施状況を評価します。制度に登録されたセキュリティ専門家がその内容を確認・署名した後、会社として基準を満たしていると宣言し、登録を申請します。この宣言が「自己適合宣言」です。申請後、IPAが登録・公表します。¹

自己評価を始める前に、対象の組織やシステムを整理し、必要な対策を実施します。その対策が日々の業務で使われているかも確認します。社内準備から登録までの進め方の例を、次の図に示します。

自己適合宣言は、経営層が組織の責任で行います。資料の整理やシステムの改善を支援会社に依頼する場合も、宣言の責任は自社にあります。支援会社に任せる作業と、正式な確認・署名を行う専門家を決めておきます。²

★3・★4の申請受付は2027年3月開始予定です。申請時には、IPAが公表する最新のガイドや手引に合わせて書類を用意します。³

実施した対策を、規程・設定・作業記録で説明する

証跡とは、設定や作業の実施を確認できる資料・記録です。例えばIDの停止なら、規程で社内の手順を、設定画面でIDの状態を、作業記録で実施日や担当者を確認します。

公開基準4-1-1-3は、退職などで不要になったIDを速やかに削除または無効化することを求めています。確認を受ける際は、誰のIDをどのサービスで停止したか、いつ確認したかも説明できるようにします。⁴

ある会社で使うクラウドサービスについて、自己評価の根拠を次のように説明したとします。

退職の連絡を受けたサービス管理者が、部門の利用サービス一覧から停止するIDを確認する。今回確認した3サービスでは、直近の退職者2名のIDを無効化済み。利用サービス一覧、ID停止の承認・作業記録、停止後の確認結果を保存している。他のシステムは、それぞれの管理者に記録を確認する。

この書き方なら、どこまで確認が済んでいて、どの記録を見れば分かるかを伝えられます。利用サービス一覧に漏れがないか、設定画面や記録の日付が古くないかも確認します。過去の記録がなければ、現在の状態と、過去について確認できない点を分けて書きます。

資料が増えてきたら、どの評価基準をどの資料で説明するかを一覧にします。資料名と保存先に加え、いつ、どのシステムを確認した記録かを書いておくと探しやすくなります。

表は横にスクロールできます。

社内の確認担当者や専門家が資料を開けるかも確かめます。個人情報や機密情報を含む記録は、確認に必要な相手と範囲を決めて共有します。取引先へ一律に公開する必要はありません。

バックアップの取得状況を説明するなら、設定情報や実際に取得した記録を確認します。製品の見積書で分かるのは導入予定までです。資料を集める際は、自己評価のどの回答を確かめるためのものかを確認します。

指摘された点を改善し、専門家に再確認してもらう

専門家から「誰のIDをどのサービスで止めたか分からない」と指摘されたとします。この場合は、人事の退職者一覧と、各サービスの利用者・停止記録を照合します。

不要なIDが残っていれば停止し、利用サービス一覧の漏れや連絡先の誤りも直します。その後、確認した結果と日付を残し、自己評価と資料一覧を更新して、専門家に再確認してもらいます。

指摘を「資料が足りない」「対策が不足している」「決めた作業が続いていない」に分けると、誰に改善を頼むかを決めやすくなります。再提出前に、資料が今回の対象と現在の設定を示しているかも確かめます。

正式な確認・署名を依頼する相手は、IPAに登録されたセキュリティ専門家であることを確認します。一般的な相談やシステムの改善支援を依頼した会社が、そのまま正式な確認を担当するとは限らないためです。

申請までの進捗と、取得後の更新期限を管理する

自己評価の各回答について、必要な資料がそろったか、指摘への対応と再確認が済んだかを一覧で管理します。未確認の項目には担当者と確認予定日を書き、申請前に何が残っているか分かるようにします。

★3の有効期間は1年です。更新には、満了前にセキュリティ専門家の確認・助言を受けた自己評価の更新版を提出します。取得後も、新しいサービスの追加、担当者の交代、作業手順の変更に合わせて資料を更新する人と、年次更新の期限を管理する人を決めておきます。⁵

公表された★3登録料は、申請日が2028年3月31日までなら1年分1万円、同年4月1日以降は2万円で、いずれも税込です。登録料に加えて、専門家の確認、システムの改善、日々の運用にかかる費用と、社内の作業時間を見積もります。⁶

自己評価の根拠となる資料を整理したい方へ

対策は進めたものの、どの資料で実施内容を説明できるか分からない。RobustEngineでは、要求事項ごとにどの規程・設定・作業記録を用意するか、不足する資料や対策は何かを一緒に整理します。設定の見直しやID管理の改善が必要な場合も、合わせてご相談ください。

制度上の正式な確認は、IPAに登録されたセキュリティ専門家が行います。

自己評価・証跡の準備を相談する

次回は、発注企業が取引先に求める対策と、費用・準備期間の決め方を考えます。

本記事は2026年9月時点の公表資料に基づきます。申請時には、最新の基準・手引・料金をご確認ください。⁷

参考資料

1. 本記事の「セキュリティ専門家」は、IPAに登録された「SCSセキュリティ専門家」を指します。★3の確認・署名を担う役割を、規程では「★3確認責任者」と呼びます。基本規程 §1.3.7、§2.1.11、§3.1.1 本文へ

2. 基本規程 §1.3.14 本文へ

3. IPAの準備日程 本文へ

4. 評価基準 4-1-1-3 本文へ

5. 基本規程 §3.1.2 本文へ

6. IPA「料金設定のお知らせ」 本文へ

7. IPAのSCS評価制度サイト 本文へ