SCS評価制度★3の「専門家確認」とは？自社に専門家がいない場合の対応

経済産業省・IPAが中心となって進めているSCS評価制度(サプライチェーン強化に向けたセキュリティ対策評価制度)。取引先から「★3の取得」を求められ、情報収集を始めている企業も多いのではないでしょうか。

★3取得で多くの担当者がつまずくのが、要件に含まれる「専門家確認」です。「自社に専門家がいない」「何をどこまで準備すればいいのか分からない」という方に向けて、2026年7月時点の一次情報をもとに、専門家確認の仕組みと、自社に登録専門家がいない場合の対応策を整理します。

SCS評価制度★3の「専門家確認付き自己評価」とは何か

SCS評価制度の★3は、「専門家確認付き自己評価」という方式です。外部機関による第三者審査とは異なり、組織が主体となって自己評価を行い、その内容についてセキュリティ専門家の確認を受ける仕組みになっています。

制度の申請から登録までには、主に3つの役割が関わります。

• 取得希望組織:要求事項・評価基準に基づいて自己評価を行い、根拠となる証跡を整理します。最終的に経営層による自己適合宣誓を行います
• セキュリティ専門家:取得希望組織が行った自己評価の内容を確認し、必要に応じて助言を行います。提出内容を了承した場合に署名します
• 制度事務局:専門家の署名と経営層の宣誓書が添えられた申請内容を確認し、問題がなければ台帳に登録・公表します

専門家確認は、自己評価の内容を確認し、助言し、了承した場合に署名するというプロセスであり、専門家が内容を保証したり担保したりするものではありません。また、評価の有効期間は1年間で、毎年の更新が必要です。

専門家確認は、社内の詳しい人が見ればよいわけではない

「社内外のセキュリティ専門家」という表現から、ITに詳しい社員や一般的なITコンサルタントであれば署名できると誤解されやすいのですが、そうではありません。専門家として認められるには、一定の要件を満たし、事務局に登録されている必要があります。

SCS評価制度のセキュリティ専門家に求められる要件

SCS評価制度のセキュリティ専門家になるには、以下のいずれかの資格を保持し、所定の研修を受講したうえで、SCS評価制度の事務局に登録される必要があります。

• 情報処理安全確保支援士(登録セキスペ)
• 公認情報セキュリティ監査人
• CISSP
• CISA(公認情報システム監査人)
• CISM(公認情報セキュリティマネージャー)
• ISO27001主任審査員

資格を持っているだけでは足りず、研修受講と事務局登録の両方が揃って初めて、制度上の「セキュリティ専門家」として確認・署名を行えます。

なお、★3の自己評価結果を確認するセキュリティ専門家の一覧は2027年1月以降、★4の第三者評価を担う評価機関の一覧は2026年12月末頃に公表される予定です。現時点ではまだ一覧が公開されていないため、今は準備を進める段階にあたります。

自社に登録専門家がいない場合の選択肢

社内に該当する資格を持つ人材がいない場合、主に3つの方向性があります。

外部の登録専門家に依頼する
専門家一覧の公表後、外部の専門家に確認をスポットで依頼する方法です。一般的なセキュリティ顧問や情シス担当者がそのまま専門家確認を担えるとは限らないため、制度上の要件を満たした専門家を探す必要があります。

社内メンバーが資格取得・研修受講を目指す
中長期的な運用を見据え、社内の担当者が資格取得と研修受講を進め、社内の専門家として登録を目指す方法です。

サイバーセキュリティお助け隊サービス(新類型)を確認する
経済産業省は、中小企業がSCS評価制度★3・★4を取得しやすくなるよう、既存の「サイバーセキュリティお助け隊サービス」に新類型を創設する実証事業を進めています。2026年6月26日にサービス提供事業者の公募が開始され、中小企業向けの実証参加申込みは2026年8月頃から始まる予定です。

ただし、このサービスは実証段階であり、品質要件や価格要件は今後の検証を踏まえて整理される予定です。また、このサービスの利用がそのまま専門家確認を代替するものではない点にも注意が必要です。

専門家確認から登録までの流れ

★3の取得は、以下のような順番で進みます。

1. 自己評価の実施:取得希望組織が、★3の要求事項・評価基準に基づいて自己評価を記入します。この段階から、社内外のセキュリティ専門家の支援を受けながら進めることも可能です
2. 専門家による確認:セキュリティ専門家が、記入内容を確認します。不足や不整合があれば、必要に応じて助言や修正の促しを行います
3. 専門家の署名:専門家が提出内容を了承した場合、署名を行います
4. 経営層による自己適合宣誓:取得希望組織側で、経営層による自己適合宣誓を行います
5. 事務局への提出:専門家の署名と経営層の宣誓書を添えて、制度事務局に評価結果を提出します
6. 台帳への登録・公表:事務局が申請内容を確認し、問題がなければ台帳に登録・公表します

評価の有効期間は1年間のため、このサイクルは毎年繰り返すことになります。特に2〜3の「専門家による確認・署名」の工程は、事前に自己評価と根拠資料が整理されているかどうかで、かかる時間が大きく変わります。

★3と★4の違い

取引先から求められているのが★3であれば、まずは★3の取得に集中して問題ありません。参考までに、上位の段階との違いを整理します。

• ★3:専門家確認付き自己評価(1年ごとの更新)
• ★4:評価機関による文書確認・実地審査に加え、技術検証が必要な区分です
• ★5:現時点では要求事項・評価基準ともに具体化されていません

専門家に確認してもらう前に、準備しておくべきこと

外部・内部いずれの専門家に依頼する場合も、丸投げはできません。スムーズに確認・署名してもらうために、事前に整理しておきたい点は以下の通りです。

• 要求事項・評価基準に沿った自己評価結果の整理
• 「対応している」と答えた項目に対する根拠(規程、運用手順書、ログ、教育記録など)の紐付け
• 基準に達していない項目の洗い出しと対策の検討
• 担当者レベルの確認だけでなく、責任者・経営層が確認する社内フローの整理

マモリスでできること・できないこと

マモリスは、SCS評価制度の公式な評価機関でも、セキュリティ専門家でもありません。専門家確認そのものを代替するものでもありません。

一方で、専門家に確認してもらう前段階の、社内でのチェックシート運用や証跡の整理には使いやすい面があります。

• 各設問に規程ファイルやログなどの根拠資料を直接添付して管理できる
• 複数部署にまたがる回答依頼・回収・未回答状況の確認・差し戻し・確認済み管理を扱いやすくする
• 前年の回答をベースに、変更点を確認しながら次回の回答を進めやすくなる

サプライチェーン全体のセキュリティ対策への対応を、社内の自己評価と証跡の整理から始めてみたい場合は、マモリスの無料診断で現在の運用状況を確認できます。

まとめ

SCS評価制度★3の取得には、要求事項・評価基準に沿った自己評価と、専門家による確認・署名が必要です。専門家として認められるには資格・研修・事務局登録の3点が揃っている必要があり、自社に該当者がいない場合は、外部専門家への依頼や、実証段階にある「お助け隊サービス新類型」の動向を確認しながら準備を進めることになります。

いずれの場合も、専門家確認をスムーズに進めるための鍵は、事前の自己評価・証跡整理です。SCS評価制度で委託先管理はどう変わる？では制度の全体像を、SCS評価制度対応と言われたら何を確認すべきかでは不適切な勧誘への注意点を扱っていますので、あわせてご覧ください。

よくある質問

Q1. SCS評価制度の専門家確認は、社内のセキュリティ担当者が行ってもよいですか？

A. 制度上の要件(資格・研修受講・事務局登録)を満たし、登録されていれば可能です。要件を満たしていない場合、社内の詳しい担当者であっても専門家確認は担えません。

Q2. お助け隊サービス新類型を使えば、★3を取得できますか？

A. お助け隊サービス新類型は、★3・★4取得に向けた支援策の一つとして実証が進められている段階です。利用がそのまま★3の取得や専門家確認の代替になるものではありません。

Q3. 専門家一覧はいつから確認できますか？

A. ★3の専門家一覧は2027年1月以降、★4の評価機関一覧は2026年12月末頃に公表される予定です。

Q4. ★4はどのような場合に必要になりますか？

A. 取引先から★4を求められる場合や、より高い水準での対策状況の可視化が必要な場合に検討します。★4では評価機関による文書確認・実地審査と技術検証が必要になります。

Q5. マモリスを導入すればSCS評価制度に対応できますか？

A. マモリスは制度の公式な評価機関やセキュリティ専門家ではなく、専門家確認を代替するものでもありません。専門家に確認してもらう前段階の、社内での自己評価・証跡整理を扱いやすくするツールとして利用できます。

参考情報

本記事は、2026年7月時点で公表されている以下の一次情報をもとに作成しています。

• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)」
• IPA「SCS評価制度の詳細情報」
• IPA「SCS評価制度 よくある質問」
• IPA「セキュリティ専門家・評価機関」
• 経済産業省「サイバーセキュリティお助け隊サービス(新類型)」
• 経済産業省「SCS評価制度に係る不適切な勧誘に御注意ください」