規制・規格
SCS評価制度とリモートアクセス
サプライチェーン強化に向けたセキュリティ対策評価制度は、取引先から求められる水準を共通の基準で示す任意の制度である。制御システムそのものは直接の評価対象に入らない一方で、外部とつながる境界の機器は対象に含まれる。この線引きが、工場設備の保守にリモートアクセスを使う企業にとっての実務上の要点になる。
情報基準日 2026年10月3日 ★3・★4は申請受付前 公表予定の時期は変更されうる
SCS評価制度は運用開始前
2026年10月3日に確認したIPAの案内では、★3・★4は2027年3月頃に運用開始予定とされている。産業設備へ外部から接続する経路を提供する事業者は、顧客が★4を目指すときに対策状況の把握対象になるため、当社の現状を先に記しておく。
段階を名乗るには手続きが要る
★3はセキュリティ専門家の確認を経た自己評価、★4は指定された評価機関による第三者評価による。その専門家の公表が2027年1月以降、評価機関の公表が2026年12月末頃と案内されており、制度は名乗るための仕組みをまだ整えている段階にある。各評価基準を何をもって適合とするかを示す解説書も2026年10月頃の公表予定である。手続きを経ずに段階を名乗ることは、この制度の設計上できない。
お客様のセキュリティ対策を支援
Secomeaは、遠隔接続のアクセス制御や操作記録を通じて、お客様のセキュリティ対策と、その実施状況の説明を支援します。
サービスの適用範囲、提供者と利用者の責任分担、実際の運用状況は、個別の構成に即して確認します。
制度の骨格
経済産業省と内閣官房国家サイバー統括室が制度を設計し、情報処理推進機構が運営する。委託元が取引契約などの場面で委託先に段階を示し、対策の実施状況を確認する使い方が想定されている。
任意の制度である
制度そのものが★の取得を事業者に義務づけるものではない。取得していないことを理由に商取引が規制されたり入札から除外されたりするという説明は、制度の趣旨と異なるとして所管省庁が2026年4月に注意喚起を出している。
組織を評価する
評価の対象は企業のIT基盤と組織的な対策であり、製品を認証する制度ではない。特定のセキュリティ対策製品を導入することが取得の要件になっているわけでもない。
格付けではない
事業者どうしのセキュリティ対策の水準を競わせる格付け制度ではないと制度構築方針に明記されている。★の取得は取得時または更新時に所定の水準を満たしていることを示すもので、その後の安全を保証するものではない。
二社間の取引を前提とする
委託元が委託先の対策を外から判断しにくいという課題と、委託先が取引先ごとに異なる要求を受けて負担が重くなるという課題を、共通の基準で同時に解こうとする仕組みである。
自社はどちらの立場か
同じ制度でも、取引先に水準を求める側と、求められる側では読むべき箇所が変わる。
委託元として取引先に求める
委託先にどの段階を求めるかを判断する材料として、制度は情報管理のリスクを挙げている。取引先が自社のシステムやネットワークへアクセスできるか、アクセスできる範囲はどこまでかという観点が、判断基準に明記されている。保守のために自社の設備へ接続してくる取引先は、この観点で高い段階を求める対象になりやすい。
委託先として求められる
装置メーカーや保守を担う事業者は、委託元から段階を提示される側に立つ。★4の要求事項には、取引先の環境から発注元の内部システムへアクセスできる場合に、その取引先を対策状況の把握対象に含めるという条件がある。客先へ接続する経路を持っていること自体が、名指しの条件になっている。
★3と★4の違い
現時点で具体化されているのは★3と★4であり、★5は今後の検討対象とされている。上位の段階は下位の段階を包括するため、★3を取得していなければ★4を取得できないという関係にはならない。
| 項目 | ★3 | ★4 |
|---|---|---|
| 水準 | 一般的なサイバー脅威に対処しうること | 初期侵入の防御にとどまらず被害拡大を防ぎ取引先のデータとシステムの保護に寄与すること |
| 要求事項数 | 26件 | 43件 |
| 評価の方法 | セキュリティ専門家の確認を経た自己評価 | 指定された評価機関による第三者評価と技術検証 |
| 評価の内容 | 文書確認 | 文書確認に実地審査と技術検証を加える |
| 有効期間 | 1年 | 3年 |
| 検討時に参考とした基準 | 自工会・部工会ガイドラインのレベル1 | 同ガイドラインのレベル2〜3（レベル3は一部） |
★4は3年の有効期間中も年ごとの自己評価と評価機関への結果提出を行う。★3は年次の自己評価を専門家が確認・助言し、更新する。適用範囲や基準の達成に大きく影響する変更があれば、再確認・再評価が必要となる。参考としたガイドラインのレベルとSCSの★は、一対一で同等・相互認証となるものではない。
合格の基準は★3と★4のいずれも、原則としてすべての評価基準に適合していることとされている。要求事項の大分類は7つあり、ガバナンスの整備、取引先管理、リスクの特定、攻撃等の防御、攻撃等の検知、インシデントへの対応、インシデントからの復旧で構成される。
制御システムは対象外でも境界は対象になる
制度が評価するのは企業のIT基盤である。製造環境の制御システムと、発注元に提供する製品は直接の対象に入らない。ここだけを読むと工場には関係がないように見える。しかし制度が対象に含めるものの一覧には、適用範囲の外側との境界を形づくるネットワーク機器が挙げられており、ファイアウォール、ルータ、仮想プライベートネットワーク装置が例として示されている。他の組織の内部システムへ接続する際の境界を構成する機器も、そこに含まれる。
製造環境の制御システムと発注元に提供する製品
企業のITシステムと組織的な対策
中央の帯が制度の対象に含まれる境界である。制御システムを対象の外に置くという判断は、その境界が引けていることを前提にしている。制度は、対象の外に置いたものとの通信を必要最小限にすることも求めている。
★4の技術検証が見にいく先
★4では、インターネットに公開している機器のうち、脆弱性を悪用された場合に組織の内部へ侵入されるおそれが高い機器を対象として、既知の脆弱性を用いた一般的な攻撃パターンを試す技術検証が行われる。制度構築方針は、その例として仮想プライベートネットワーク装置とルータを挙げている。保守のために外から入る経路は、書類の上で説明するだけでなく、実際に検査される対象になる。
リモートアクセスに関わる要求事項
IPA公開の要求事項・評価基準から、外部接続に関わる内容を要約した。段階は評価基準ごとに異なるため、★3と★4を分けて示す。対象システムや例外の詳細は原文を確認する。
| 項番 | 段階 | 内容の要約 |
|---|---|---|
| 4-4-4-3 | ★4 | インターネット境界のネットワーク機器のOS・ファームウェアに、CVSS基本値7.0以上の脆弱性がないこと。 |
| 4-4-4-2 | ★3 | 利用中の機能・設定に関する更新のうち、重大・高リスク、CVSS基本値7.0以上、または深刻度が不明な脆弱性を修正するものは、公開から14日以内に適用する。やむを得ず間に合わない場合は、適用まで機能の無効化、ベンダー推奨の回避策、ネットワーク分離、監視と不正通信の遮断などでリスクを下げる。 |
| 4-5-1-1 | ★3 | ファイアウォールとルータの初期管理パスワードを強固で一意のものに変更するか、リモートアクセスを完全に無効化する。 |
| 4-5-1-4 | ★3 | ファイアウォールで認証されていないインバウンド通信を遮断する。 |
| 4-5-1-7 | ★3 | ファイアウォールのルールをインターネット経由で変更する場合、指定の認証要素による多要素認証を使うか、信頼できるIPアドレスにアクセスを制限する。 |
| 4-1-3-5 | ★4 | 重要な機密情報を扱うシステムでは、インターネット経由の社内環境への接続、管理者のシステムアクセス、利用者の当該システムへのアクセスに、所定の多要素認証を常に使う。 |
| 4-1-1-1〜4 | ★3 | 利用者IDの付与・変更・削除を申請・承認制にする。IDは共有せず、やむを得ず共有する場合は利用者を特定できるようにする。不要なIDや権限は速やかに削除・無効化する。 |
| 4-1-7-1 | ★3 | アクセス権の申請・承認、必要な範囲への限定、棚卸し、申請書・台帳の管理に関するルールを定める。 |
| 4-1-7-2 4-1-7-5 4-1-7-6 | ★4 | 付与したアクセス権を年1回以上棚卸しする。重要な機密情報を扱うシステムでは、権限を必要最小限とし、利用状況を監視する仕組みを整える。 |
| 3-1-2-2 | ★3 | ネットワーク機器の製造元・モデル・保守事業者を把握する仕組みを整える。 |
| 3-1-2-3 3-1-2-4 | ★4 | ネットワーク図を作成し、年1回以上、記載内容を点検する。 |
| 2-1-1-1 | ★3 | 自社以外の組織が管理・提供し、自社資産が接続するシステムを把握する仕組みを整える。 |
| 4-4-3-1 4-4-3-3 | ★4 | ファイアウォール・プロキシ・認証サーバの所定のログを6か月保管する。認証サーバのログは月1回以上確認する。仕様上満たせない場合は、他の機器・機能で相当するログを取得・保管する。 |
| 2-1-5-1 | ★4 | 取引先との契約終了時に、機密情報とアクセス権の回収・破棄を確認する手順を整える。 |
現場の言葉に置き換える
並んだ項番が問うているのは、結局のところ次の5つである。誰が外から入っているか。いつ入ったか。どの設備まで届くか。どの権限で操作したか。その記録がどれだけ残っているか。制度は方式を指定していない。求めているのは、範囲を限ることと、個人を特定できることと、記録が残っていることである。
いまのやり方が詰まるところ
前の節に並んだ項目を、多くの現場でいま使われている構成に当ててみると、詰まる箇所がはっきりする。どれも珍しい話ではなく、長く運用されてきた仕組みが制度の問いに答えにくいというだけである。
一度つなぐと広く届く経路
拠点間をまるごとつなぐ構成では、接続した先から到達できる範囲が広い。どの設備まで届いているかを設備の単位で示すことが難しく、必要最小限に絞ったことを説明する材料も残らない。棚卸しをしようにも、棚卸しの対象が経路であって設備ではないため、粒度が合わない。
関係者で共有されたID
保守の現場では、事業者ごとに1つのIDを共有する運用が残っていることがある。この形では、実際に操作したのが誰かを後から特定できない。発行と変更と削除を申請と承認のうえで行うという求めにも、記録の側から応えられない。
散らばって短いログ
接続の記録が機器ごとに散らばり、保管される期間もまちまちであれば、6か月分をそろえて示すことができない。取引先と接続する閉域網の入口に置かれた機器の記録まで含めて求められると、そもそもどこに何が残っているかの把握から始めることになる。
台帳に載っていない接続
設備の導入時に事業者が引いた回線が、その後の台帳やネットワーク図に反映されないまま動いていることがある。把握できていない機器は、脆弱性の有無を確かめる対象にもならない。境界の機器に深刻な脆弱性を残さないという求めは、その機器の存在を知っていることを前提にしている。
4つに共通しているのは、対策そのものが足りないというより、実施していることを外から確かめられる形になっていないという点である。★4では、この状態のまま境界の機器が実際に検査される。
Secomeaの機能が担うところ
前の節で挙げた詰まりのうち、外部から設備へ接続する部分は、産業用のリモートアクセスの仕組みそのものを組み替えることで形が変わる。ここから先はSecomeaの機能が直接担う範囲である。
図が枠に収まらない場合は、左右にスクロールできます
図が枠に収まらない場合は、左右にスクロールできます
利用者は設備の単位で許可された先だけに到達する。接続はGateManagerで折り返す形をとり、外から中へ向けて待ち受ける口を設備側に用意しない。誰がどの設備へ接続したかは同じ場所に記録される。
つなぎ方を変える
待ち受ける口を設備側に作らない
設備の側に置いたゲートウェイは、外からの接続を待ち受けず、自ら外へ出てGateManagerで折り返す。保守のために設備側でポートを開ける必要がなく、インターネットに公開する機器が増えない。★4の技術検証はインターネットに公開している機器を対象として既知の脆弱性を用いた攻撃パターンを試すため、検査にさらす面そのものが小さくなる。経路は暗号化される。
届く範囲を設備の単位で限る
利用者ごとに、接続できる機器を指定する。拠点をまるごとつなぐのではなく、許可した設備だけに到達する。同じ利用者であっても、許可していない設備には届かない。ひとつの経路を開いたことが、そのまま内部の広い範囲への到達につながらない。
つなぎっぱなしにしない
接続を常時つないだままにせず、必要なときだけ開くことができる。作業が終われば閉じ、次に必要になればまた開く。経路が開いている時間そのものを短くできる。
誰が何をしたかを確かめられるようにする
操作した人を特定できるようにする
利用者ごとにIDを持たせ、多要素認証を組み合わせる。事業者ごとにひとつのIDを共有するのではなく個人の単位で接続するため、操作したのが誰かを取り違えない。
権限をすぐ止められるようにする
案件が終わったとき、担当が替わったとき、取引そのものが終了したときに、その利用者の接続を止める。設備を一台ずつ回るのではなく、クラウドの側で完結する。取引先との契約が終了したときにアクセス権を回収するという求めに、実務として応じられる。
記録を一箇所に残す
いつ誰がどの設備へ接続したかという記録が、機器ごとに散らばらず一箇所に残る。取引先の監査や自己評価の場面で、実施していることを説明する材料になる。ただし制度が求めるログの範囲はこれより広く、ファイアウォール・プロキシ・認証サーバの所定のログを6か月保管することを含む。月1回以上の確認は、認証サーバのログに求められる。記録の一部を担うものであって、その項目全体に応えるものではない。
ここで示したのは、適用範囲と最新の制度文書を確認したうえで、リモートアクセスに関わる項目への対応を支援するというところまでである。制度は特定のセキュリティ対策製品の導入を求めていない。方針を定めること、対象となるすべてのシステムへ適用すること、棚卸しを実施することは、申請する組織の側の仕事として残る。
自社で整えるところ
機能で担えるのはいま述べた範囲までである。★の取得は組織が受ける評価であり、原則としてすべての評価基準に適合していることが求められる。要求事項は7つの大分類にわたり、その大半はリモートアクセスの外側にある。
図が枠に収まらない場合は、左右にスクロールできます
★の取得に求められる範囲の全体のうち、Secomeaの機能が担うのは外部接続に関わる部分にとどまる。残る領域を引き受けるのは自社の体制であり、その内訳を次に示す。
Secomeaの機能が担う
外部から設備へ接続する経路の設計。接続できる範囲の限定。利用者ごとの認証と権限の管理。接続の記録。
自社とシステムインテグレータが整える
社内規程と体制の整備。従業員への教育と訓練。資産台帳とネットワーク図の作成と点検。機密情報の区分と管理。保管するデータの暗号化。バックアップと復旧の準備。修正プログラムの適用。マルウェア対策。サーバを置く場所の入退室管理。取引先との契約と対策状況の確認。事故が起きたときの対応手順。
自社とシステムインテグレータが整える側に並んだものは、製品を導入して片づく種類の仕事ではない。ここを引き受けるのは自社の体制であり、伴走するとすれば地域や業種に通じた事業者になる。Secomeaは世界のパートナー網とともに、外部接続の部分から関わる。
顧客が評価を受けるときに変わること
顧客が制度に取り組む場面で、当社の関わる部分がどう変わるかを記しておく。
顧客の評価では説明の負荷が下がる
顧客がリモートアクセスに関わる項目を自己評価する場面では、誰がいつどの設備へどの権限で接続し記録がどれだけ残っているかを示すことになる。Secomeaを使っている範囲については、この5つがシステムの側から取り出せる。機器ごとに散らばった記録を集め直す作業が減る。減るのは対応そのものではなく、実施していることを示す作業である。
評価される側として確認に応じる
顧客のIT基盤に当社のクラウドが含まれる場合、外部の情報サービスをどう管理しているかという項目で、提供者側の対策状況を確認することが求められる。適用範囲の考え方、責任の分かれ目、運用の状況について、個別の構成に即して回答する。制度の運用開始を待たずに自己評価を進める企業からの確認にも同じように対応する。
制度整備の進捗と公表予定
制度資料の公表状況と、今後の予定を分けて示す。2026年10月3日確認。予定は変更される場合がある。
| 時期 | 状況 | 内容 |
|---|---|---|
| 2026年 8月28日 | 公開済み | 基本規程、評価機関・技術検証事業者・研修事業者の指定規則など |
| 2026年 9月11日 | 公開済み | 指定基準・指定手順など |
| 2026年 9月18日 | 公開・募集開始 | 料金設定を公開。評価機関・技術検証事業者・研修事業者の新規申請事業者を募集 |
| 2026年 10月頃 | 公表予定 | 要求事項の解説書、取得ガイド、★3・★4の申請方法 |
| 2026年 12月末頃 | 公表予定 | 評価機関の公表 |
| 2027年 1月以降 | 公表予定 | セキュリティ専門家の公表 |
★3・★4の運用開始予定
IPAは2027年3月頃の運用開始を案内している。評価機関等の募集開始と、一般企業による★3・★4の取得申請は別の手続きである。取得申請の方法と受付状況は、IPAの最新案内を確認する。
よくある質問
SCS評価制度への対応は義務ですか。
任意の制度であり、制度そのものが★の取得を義務づけるものではありません。取得していないと商取引が規制される、入札から除外されるといった説明は制度の趣旨と異なるとして、経済産業省と内閣官房国家サイバー統括室が2026年4月27日に注意喚起を出しています。正確な情報は情報処理推進機構の公式サイトで確認してください。
工場の制御システムも評価の対象になりますか。
製造環境などの制御システムは直接の評価対象には含まれません。ただし、適用範囲の外側との境界を形づくるネットワーク機器は対象に含まれます。ファイアウォール、ルータ、仮想プライベートネットワーク装置が例として挙げられており、他の組織の内部システムへ接続する際の境界を構成する機器も同様です。
製品を導入すれば★3や★4を取得できますか。
取得できません。★の取得は組織が受ける評価であり、原則としてすべての評価基準に適合していることが求められます。要求事項には社内規程、教育、バックアップ、物理的な入退室の管理など、製品では代替できないものが多く含まれます。制度も特定のセキュリティ対策製品の導入を求めてはいません。
★3を取ってからでないと★4は取得できませんか。
その関係にはなりません。上位の段階は下位の段階で求められる事項を包括するため、★3を事前に取得していなくても★4を取得することができます。
自工会と部工会のガイドラインとはどう関係しますか。
制度構築方針では、★3の検討に自工会・部工会ガイドラインのレベル1を、★4にはレベル2〜3（レベル3は一部）を参考にしています。同じレベルと認定するものではなく、SCS取得にはSCS自身の要求事項・評価基準への適合が必要です。
出典
サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（経済産業省・2026年3月27日）、要求事項・評価基準（2026年4月21日公開）、情報処理推進機構が公開する制度の詳細情報とよくある質問、およびサプライチェーン強化に向けたセキュリティ対策評価制度に係る不適切な勧誘に御注意ください（経済産業省・内閣官房国家サイバー統括室・2026年4月27日）に基づく。
制度整備の進捗と公表予定は2026年10月3日に更新。同日、掲載したリモートアクセス関連項目と要求事項数（★3は26件、★4は43件）をIPA公開の要求事項・評価基準と照合した。制度の運営・段階別の水準・評価の有効期間と維持・参考としたガイドラインも、IPAの詳細情報・FAQ・制度構築方針と照合した。
次に確認したい情報
NEXT STEP
外部接続の棚卸しから始める
誰がいつどの設備へ接続しているかを一覧にする作業は、制度の有無にかかわらず必要になる。現状の構成をふまえた進め方について相談を受け付けている。