取引先から★3と言われても慌てない 半年でやることを1枚の表に
アンリミテッドアム株式会社 CEO
取引先から「セキュリティのチェックシートに答えてください」「★3 は取る予定ですか」と聞かれた。調べてみると、制度の名前も、書類の言葉も難しい。何から始めればいいか分からず、返事を先延ばしにしている。そんな会社が増えています。
経済産業省とIPA（情報処理推進機構）が進める「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）は、2026年10月28日に ★3・★4 の自己評価のガイドや解説書が公開されました（IPA プレス発表 2026年10月28日）。IPA のよくある質問には「★3・★4の登録申請は、2027年3月の受付開始を予定しています」とあります（IPA「よくある質問」・2026年11月3日に確認）。
先に答えを言います。今から始めても間に合います。★3 で見られるのは高い製品ではなく、会社として「決めて、回して、残しているか」です。やることは、半年を 1 枚の表にすれば足ります。この記事の最後に、その表を置きました。
★3は「強い会社の証明」ではなく「取引のスタートライン」
★3 は、取引先として最低限やっておくべき対策ができているかを、星の数で外に示す仕組みです。満点の会社を選ぶための試験ではありません。
これまでは、発注する側の会社がそれぞれ独自のチェックシートを送ってきて、受注する側は取引先の数だけ違う質問に答えていました。SCS評価制度は、そのバラバラの確かめ方を 1 つの物差しにまとめるためにできた制度です。星があれば、何十枚ものチェックシートに 1 枚ずつ答える手間が減ることも期待できます。
IPA の公表している内容をまとめると、★3 は次のとおりです。
| 項目 | ★3 の中身 |
|---|---|
| 確かめる項目の数 | 26 件の要求事項 |
| 確かめ方 | 自社で評価し、その結果をSCSセキュリティ専門家が確認する |
| 有効期間 | 1 年 |
| 登録料 | 2028年3月31日までは 1 年 10,000 円（割引）、それ以降は 1 年 20,000 円 |
| 取るかどうか | 任意 |
| 登録の受付 | 2027年3月の開始予定。申請の方法をまとめた「登録申請の手引」は 2026年11月末頃に公表予定 |
自社で評価して、専門家に確かめてもらう形なので、外部の大がかりな監査は必須ではありません。中小企業でも取り組めるように作られています。
見られるのは5つの分野。どれも「決めて、回して、残す」
★3 の中身は、言葉は難しく見えても、5 つの分野に分けると分かりやすくなります。私の著書でも紹介した、SCS評価制度の解説動画を出しているホワイトハッカーの分け方です。
- ルール: USB メモリーやメールで外に出してよい情報、パスワードの決め方などの決まりがあり、社員が知っているか
- 体制と役割: 最終的な責任者は誰か、何かあったら誰に連絡するかが決まっているか。責任者は社長でも部長でもよい
- 基本的な技術の対策: 一人ずつ ID があり、使い回していないか。辞めた人の ID が残っていないか。ソフトを古いまま放っていないか
- インシデント対応: おかしいと気づいたとき、何をして誰に知らせるかが決まっているか
- 教育と見直し: 年に 1 回でも社員に伝え、決まりを少しずつ直しているか
そのホワイトハッカーは「100 点の対策はいらない。70 点くらいの対策が、会社全体に行き渡っている」ことが大事だと話しています。高い対策を一部に入れるより、ほどほどの対策を 26 件の全部に行き渡らせる。それが ★3 の考え方です。
慌てないために、最初に決める3つ
半年の表に入る前に、社長が決めることは 3 つだけです。
1. 今月、現在地を知る
26 件の要求事項を 1 つずつ見て「できている」「足りない」「やっているが記録が無い」の 3 つに分けます。この段階で、いきなり規程を作ったり製品を買ったりする必要はありません。現在地が分かれば、要らない買い物も防げます。
2. 専門家は早めに探す
★3 には、SCSセキュリティ専門家の確認が要ります。IPA のよくある質問によると、専門家の登録手続きは 2026年12月下旬に公表予定です。受付が始まる直前は相談が集中しやすいので、外部の力を借りそうな会社は、年内から候補を探しておくと慌てずに済みます。
3. やったことを記録に残す
対策をしていても、記録が無ければ確認する専門家には伝わりません。社員に伝えた日、バックアップを取って復元できることを確かめた日、辞めた人の ID を消した日。日付と中身を残しておくだけで、2 月の自己評価がぐっと楽になります。
半年でやることを1枚の表に
2026年11月に始めた場合の進め方です。受付の開始（2027年3月予定）に合わせて急ぐ必要がなければ、1 か月ずつ後ろにずらしても構いません。
| 月 | やること | 社長がやること | 完了の目安 |
|---|---|---|---|
| 2026年11月 | 26 件の要求事項で現在地を知る。自社サイトを無料診断で外から点検する | 責任者を 1 人決める | 「できている・足りない・記録が無い」の一覧 |
| 2026年12月 | 足りないルールと連絡体制を決める。専門家の候補を探し始める | 決まりを社員に伝えると決める | ルールの文書と連絡先の一覧 |
| 2027年1月 | 決めたことを実際に回し始め、記録を残す。辞めた人の ID の削除、ソフトのアップデート | 月に 1 回、記録を見る | 社員への説明の記録・作業の記録 |
| 2027年2月 | 評価の基準に沿って自己評価する。足りない所を直す | 結果を聞いて直す順番を決める | 自己評価の表 |
| 2027年3月 | SCSセキュリティ専門家の確認を受け、指摘を直す | 専門家との打ち合わせに出る | 専門家の確認の結果 |
| 2027年4月 | 経営者が基準を満たしていると宣言し、IPA に登録を申請する | 自己適合宣言をする | 登録の申請 |
この表を印刷して、社内の壁に貼っておくだけでも、「何から手をつければいいか分からない」状態からは抜け出せます。
取引先のチェックシートには、今どう答えるか
★3 の受付が始まるのは 2027年3月の予定です。それまでの間に取引先から聞かれたら、無理に「対応済み」と書かず、今の状態と予定をそのまま書けば十分です。「2026年11月に現在地の確認を始め、2027年の登録申請に向けて準備中です」と書ける会社は、何も答えられない会社より、ずっと信頼されます。
今すぐ示せるものとしては、IPA の「SECURITY ACTION」があります。無料で、自社で取り組みを宣言する仕組みです。IPA が認定するものではないので、書くときは「認定」ではなく「宣言しました」と書きます。
星を待たずに第三者の認定を示したい会社には、日本イーコマース学会（JASEC）の「JASECウェブセキュリティ対策認定制度（J-WSC）」があります。VibeGuard のトップページの説明では、基準は ★3 と同じ 26 の要求事項に Web サイトのセキュリティの 12 項目を加えた 38 項目で、VibeGuard の J-WSC 認定 整備サービス（198,000 円・税別・3 か月）で認定まで進められます（2026年11月3日に料金のページで確認）。J-WSC は国の SCS評価制度とは別の制度ですが、整えた書類は ★3 の登録にもそのまま使えます。
Webサイトの部分は、今日確かめられる
26 件の要求事項には、ソフトを古いまま放っていないかといった技術の項目も入っています。そのうち、外から見える自社サイトの状態は、今日のうちに確かめられます。
VibeGuard の無料診断は、URL とメールアドレスを入れるだけで、会員登録なしに、外から見える 6 項目を点検します。会社のドメインのメールアドレスで申し込むと、点数に加えて問題の名前まで届きます。11 月の「現在地を知る」の 1 つ目の作業として、そのまま使えます。
よくある質問
★3 は取らないといけないものですか？
国の制度としては任意です。IPA のよくある質問にも「★の取得は任意です」とあります。ただし、取引先がチェックシートの代わりに星の数を聞いてくることは考えられるので、取引先から求められているなら準備を始めておくと安心です。
★3 を取るのに、いくらかかりますか？
IPA への登録料は、2028年3月31日までは 1 年 10,000 円（割引）、それ以降は 1 年 20,000 円です。このほかに、足りない対策を整える費用と、必要に応じて外部に頼む費用がかかります。いくらになるかは、今どこまでできているかで決まります。
IT に詳しい社員がいなくても取れますか？
取れます。★3 で見られるのは、高い製品を入れているかではなく、会社として決めて、回して、記録を残しているかです。専門的な判断が要る所だけを外部に頼む、という分け方ができます。
★3 と J-WSC は何が違いますか？
★3 は国の制度で、登録の受付は 2027年3月の開始予定です。J-WSC は日本イーコマース学会（JASEC）の認定で、国の制度とは別のものです。J-WSC の基準は ★3 と同じ 26 の要求事項に Web サイトのセキュリティの 12 項目を加えた 38 項目で、整えた書類は ★3 の登録にもそのまま使えます。
★3 の準備は、自社の今の状態を知るところから始まります。表の 11 月の作業として、まず会社のドメインのメールアドレスでVibeGuard の無料診断を受けてみてください。外から見える危ない所があるかどうかが、その日のうちに分かります。
書いた人: 江藤正親（アンリミテッドアム株式会社 CEO）。セキュリティ診断サービス VibeGuard を運営。著書『情報漏洩・ランサムウェアから会社を守る 経営者が今すぐやること』。
出典
この記事を書いた人
アンリミテッドアム株式会社 CEO
大学卒業後、送電線建設会社、コンサル会社、メーカーと転職の後に独立。
1998年よりECスタートし、独立系ECコンサルタントとしては日本最古。
1999年よりネットショップ運営に携わり、立ち上げ1年半で月商4500万円を達成。3年連続楽天総合3位。200社を立ち上げから年商1億円以上に導く。
最高年商10億円。商品開発からシステム開発、広告プロモーションとEC経営とシステム開発にまつわる業務に精通し、運営も行う。
サポート企業は延べ1000社を超え17名のEC関連本の著者を輩出。
自ら著書3冊を持ち、新聞、雑誌など各メディアに寄稿。
2013年設立した一般社団法人ジャパンEコマースコンサルタント協会は、最新の日本と海外最新事例をECコンサルタントにアップデートしている。
2017年には、早稲田大学主幹の一般社団法人日本イーコマース学会を設立、大学にECのカリキュラムを構築。
直近では、多くのシステム開発を要件定義から開発、納品まで、直接クライアントとやりとりし、請け負っている。
著書『情報漏洩・ランサムウェアから会社を守る 経営者が今すぐやること』（SCS評価制度の星3に備える 中小企業のサイバーセキュリティ対策）