2017年より始まったSECURITY ACTION制度で定められました。

情報セキュリティ対策に取り組むという自己宣言を促す制度であり、セキュリティリスク対策としての実効性を問うものではありませんが、SCS制度へ進むための基礎的な取り組みとして位置づけられます。中小企業向けのIT導入補助金などで採択の加点要素とされたため、取得している企業も多いようです。

最低限ここまでは対応することが望ましいとされる基礎的な内容になっています。

「1 ガバナンスの整備」と「2 取引先管理」で評価項目数が設定されている要求事項は、すでに何らかの形で対応している企業もあるでしょう。

「3 リスクの特定」では、自社IT環境の基本情報を把握し、図表3の「情報資産管理台帳」として整理することが必要です。

「4 攻撃等の防御」では、「4-1 アイデンティティ管理、認証、アクセス制御」が主にユーザーIDや管理者IDとパスワードの管理を評価するものです。その多くは★4と共通する評価基準で、重要かつ攻撃耐性に直結しています。IDについては、同じIDを複数の利用者で使い回している現場は今も少なからず存在しています。特に派遣社員やアルバイト人員、受け入れ出向者でIDの使い回しが起こりやすく、社内での過失や不正行為が起こった場合に、誰によるものかの追跡を難しくします。また、予測しやすいパスワード（よくある例では電話番号や生年月日など）を設定していると、外部から特定され侵入されてしまう危険性を高めます。リスト攻撃といって、どこかのサービスから流失したIDとパスワードのリストを使い、別のサービスに不正ログインを試みるサイバー攻撃もあります。これは多くのユーザーが複数のサイトで同じパスワードを使い回している実態を突いた、攻撃者に悪用されやすい手法です。2026年度末から開始予定のSCS評価制度ではログイン時にスマートフォンのショートメッセージ（SMS）通知や指紋などの生体情報を併用する方式（多要素認証）などを利用したうえでパスワードの長さを8文字以上とし、多要素認証などを利用できない場合は、パスワードは英大文字および英小文字と数字を含めた10文字以上とする旨が示されています。これについては、2025年7月に米国NIST（国立標準技術研究所）から新たなガイドラインが発表されており、今後SCS評価制度の評価基準に対しても見直しが入ることが考えられます。

「4-2 意識向上とトレーニング」では、セキュリティインシデント発生時の対応に関する教育・訓練を年1回以上行うことが示されています。インシデントが発生したときに備え、取引先を含む社内外関係各所への報告・共有に必要な最低限の手順を定義、実施されていることが必要です。なお、この報告・共有ルートや初動・復旧等の対応手順については「6-1-1 インシデント対応手順」に記載されています。

「4-3 データセキュリティ」では、データが消失や改ざんされる事態に備え、バックアップの実施と復旧手順の整備も定められています。重要な機密情報については、機器の設置場所から離れた遠隔地でのバックアップの実施が示されています。クラウドサービスなどを活用すると良いでしょう。

「4-4 プラットフォームセキュリティ」では、パソコンやサーバ、スマートフォンなどの機器に、利用を許可していないソフトウェアがインストールできないよう、制限することが示されています。セキュリティ更新プログラムの適用はリリースされてから14日以内と示されているので、頻度を見直しましょう。ネットワークに接続しているパソコンやサーバには、マルウェア（ウイルス等）対策ソフトウェアを導入する、パターンファイルの更新を行うなどの対策を検討しましょう。

「4-5 技術インフラのレジリエンス」では、ファイアウォールやルータ等によるネットワーク境界防護、認証されていない通信の遮断、境界設定の管理などが示されています。加えて、「5-1-1 ネットワーク接続・データの監視」では不正アクセスをリアルタイムで検知・遮断する仕組みの導入が示されています。

UTM（Unified Threat Management：統合脅威管理。複数のセキュリティ機能を統合して運用管理し、社内ネットワーク全体を保護する）と呼ばれる機器か同様の防御機能を持つ機器・サービスを利用することも選択肢の一つです。ただし、制度上、特定製品の導入が必須とされているわけではありません。後述する公的支援制度を活用したり、ITベンダーに相談して自社の規模に合った機器を選定したりしても良いでしょう。異常事態の発生を見逃さないよう、セキュリティ担当者や管理者には、機器からのログやアラートの分析と、インシデントに該当するかの判断を行うことが示されています。

以上は、セキュリティ専門家による確認付きでの自己評価を行うことで、★3マークを取得できます。ここでいうセキュリティ専門家とは、情報処理安全確保支援士などの資格保持者のうち、所定の研修を受講した者が想定され、2027年1月頃にIPAから詳細が公表される予定です。

標準的なセキュリティ対策として実施すべき水準です。★3にはなかった評価項目を見ていきましょう。

「1 ガバナンスの整備」では、自社に関係する法令や所管省庁および関係団体（工業会や業界団体など）が定める基準を把握したうえで社内ルールを定め、年1回以上の頻度で法令や基準を確認して社内ルールを点検し、役員・従業員・派遣・受け入れ出向者などへ周知することが示されています。重要なのは、社内の情報セキュリティ委員会などに経営層が参加し、予算・人員計画や事故対応など経営判断が必要な場面に備えた体制を作ることです。

「2 取引先管理」では、子会社や取引先に年1回以上の頻度でセキュリティ対策状況を把握することが示されています。訪問での点検やチェックシートの回答を受領するなど、実効性ある点検の実施方法が例示されています。

「3 リスクの特定」では、自社IT環境の構成情報を★3よりも詳細に確認する必要があります。「3-1-4 機密区分に応じた情報の管理」では、人員の退職や任期満了時には機密情報やIT機器、印刷物、IDや鍵なども回収することとされています。パソコンやサーバ、スマートフォンなどを廃棄するときは、データを復元できないように確実な抹消処理を実施します。「3-1-5 リモートワークにおけるルール」も★3にはなかった要求事項が加わります。「3-2 リスクアセスメント」ではパソコンなどのIT機器について、ソフトウェアの脆弱性（プログラムの欠陥などでサイバー攻撃を受けうる弱点）の情報収集から対応までを行う管理体制を定めることとされています。専門的な技術知識と作業時間が必要なため、中小企業の社内要員だけで賄うのは難しいかもしれません。ITベンダーなどの情報提供サービスを利用するか、取引先との共同チームを作って対応することも考えられます。後述する公的支援制度を活用する方法もあります。

「4 攻撃等の防御」では、「4-1-7 アクセス権の管理ルール」でアクセス権の棚卸しを年1回以上の頻度で行うなどの運用体制が示されています。「4-1-8 サーバ設置エリアへの入退室管理」や「4-1-9 可搬媒体の制限」、「4-2-1 セキュリティの意識向上のための教育・研修」も★3にはなかった要求事項ですが、基本的な管理策としてすでに運用されている企業もあると思います。「4-3-1 データの暗号化」や「4-3-2 データの保管ルール」、「4-3-3 取引先との情報共有ルール」も、取引先から見れば、実施してほしいと感じる項目でしょう。「4-4-3 ログの取得」と「4-5-1 ネットワーク境界防護」はIT機器の追加投資を要することになりやすく、中小企業には負担が重いかもしれません。ここも、後述する公的支援制度を活用したり、ITベンダーに相談し、自社の規模に合った機器を選定するなどを検討しましょう。

「5 攻撃等の検知」では、「5-1-2 情報機器及びソフトウェアの挙動監視」にて会社支給の各パソコンにインストールされているソフトウェアを年1回以上の頻度で点検する必要があります。人手で点検を行うのは時間と手間を要する上に作業漏れが起こりやすいため、PC管理ツールの活用も有効です。「5-2 有害事象の分析」ではログイン失敗などの不審なアラートをチェックし、インシデントに該当するかを判断することが示されています。

「7 インシデントからの復旧」では、「7-1-1 事業継続要件に沿った復旧準備」でバックアップからのシステム復旧が手順通りに実行でき、目標時間内に復旧できることを確認することが示されています。システムの運用が何年間も続くと、保存データが増えて復旧も長時間に及ぶことが少なくありません。長期運用を見越したバックアップ設計と点検が必要ですし、できることなら訓練的にシステム復旧を実際に行ってみることが望ましいと言えます。

以上は、評価機関によるヒアリングや規程などの確認審査および技術検証といった第三者評価を経て、★4マークを取得できます。ここでいう評価機関とは、2026年12月末を目途にIPAから公表される予定です。

高度なサイバー攻撃を想定した内容です。★5は今後、要求事項・評価基準や評価スキームの具体化が検討される予定です。具体的な対策実装は、産業界で実績のあるガイドライン（例：自工会サイバーセキュリティガイドライン（Lv3））等から対策を選定することが想定されています。また、ISMS適合性評価制度との整合も配慮されるようです。