SCS評価制度の「要求事項及び評価基準」の見方
- 8月12日
- 読了時間: 3分
SCS評価制度では、大分類が1〜7まであり、それぞれの下に中分類・要求事項・評価項目がぶら下がる形で「X-X-X-X」という番号が振られています。この番号の構造をまずご理解ください。
たとえば★3では、要求事項（X-X-X）が26項目、評価基準（X-X-X-X）が81項目あります。経済産業省のウェブサイトでは★3および★4の項目がExcel形式で公開されていますので、実際の全文をぜひご確認ください。
今、SCS評価制度で注目すべきは「評価基準」ではなく「要求項目」
現時点で目を向けるべきは、細かい「評価基準」ではなく、その一段上にある「要求項目」です。理由は大きく2つあります。
理由1：評価基準はまだ最終版ではない
評価基準は今後変更となる可能性があります。現時点(2026年8月時点)でこの基準の一言一句に振り回される必要性は、まだありません。
理由2：「できていること」への執着は本質を見失わせる
もう一つの理由は、人はどうしても「できていること」に目が向きがちで、「できていないこと」から目を背けてしまう、という点です。
今回の例で言えば、例えば自社のネットワーク構成はキャリアの最終成果物をもとにExcelで管理されているとします。要求項目としては「〇」が付く状態です。ところが評価基準を細かく見ていくと例えば、「機器のモデルが書かれていないから×」といった判定になってしまうことがあります。しかしこの例で言えば、キャリアに確認すればメール1本で解決するような話です。
現時点で、こうした枝葉の部分に目を向ける必要はありません。それよりも重要なのは、★3であれば26ある要求項目それぞれに対して、それに準ずる仕組みや考え方、管理方法を自社がしっかりと持っているか、社内で共有できているか、という点に目を向けることです。
もしこの要求項目のレベルで「×」であれば、その対策には相応の時間がかかります。だからこそ、まずは要求項目のレベルでの充足状況を早めに把握しておくことが重要になります。
★3取得に必要となる"登録セキスぺ監修"オリジナルチェックシート
SCS評価制度において自社の対応状況を把握する際は、まず「要求項目」に目を向けてチェックしてください。評価基準の細部にとらわれるのは、要求項目レベルの土台がしっかり整ってからでも遅くありません。
FXTでは、チェックリストおよび各要求項目・評価基準に対する考え方や対応のポイントを、登録セキスペ監修のもとまとめた「対策マップ」をご用意しています。自社の現状把握にぜひご活用ください。
まとめ
SCS評価制度への取り組みの一歩目として、自社の状況および環境を「要求事項及び評価基準」に沿ってチェックを行うところから始めます。その際に現時点（2026年8月）では、「要求事項」をベースにチェックし、足りないところへの対策を進めることをお勧めします。2026年10月に詳細のガイドラインが出ると発表されていますので、恐らくそのタイミングで「評価基準」も確定すると思いますので、詳細のチェックを進めてください。
もう少し長期的な視点で考えた場合も、「要求事項」は変わらない（追加となる可能性は十分にある）けど、「評価基準」は攻撃に応じて変わる可能性が高いと思われます。すなわち、「要求事項」に目を向けることで全体の戦略として、セキュリティ対策を自社でどのように進めていくべきかが見えてくるとも言えます。
ショート動画でも解説していますので、ぜひこちらもご覧ください。
