SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）で公式に決まっている費用は登録料だけで、会社ごとの負担を分けるのは、足りない対策の費用と、書類をそろえる社内の手間です。
今日やることは、IPAが公開している自己評価のアセスメントシートを開き、★3の項目を「済・一部・未」の3つに分け始めることです。全部を埋めなくても、未がどの分野に多いかが分かれば、見立ての出発点になります。
公式に分かっている費用と時間は？
IPAの概要説明資料で確かめられるのは、次の数字です。受付の開始は2027年3月の予定です。
| 項目 |
★3 |
★4 |
| 登録料 |
1年20,000円（2028年3月31日までは10,000円） |
3年60,000円 |
| 要求事項 |
26件 |
43件 |
| 確認の形 |
専門家の確認つき自己評価 |
評価機関による第三者評価 |
| 文書確認 |
1〜2日程度 |
1〜2日程度 |
| 実地審査・技術検証 |
なし |
各1〜2日程度（準備と報告書作成を除く） |
| 有効期間 |
1年 |
3年（毎年の自己評価あり） |
この表にない費用が、会社ごとの差になります。外部の専門家や評価機関の料金は、2026年11月時点の公式資料では確かめられませんでした。評価機関は2026年12月下旬、SCSセキュリティ専門家は2027年1月以降に公開の予定なので、見積もりを取れるのはその後になります。
費用はどう見立てる？
費用は5つに分けて、埋まるところから数字を入れます。
見立ての5つの箱
- 登録料：★3は上の表のとおり
- 確認の料金：社外に頼む場合の見積もり。社内に確認責任者がいれば発生しない場合がある
- 対策の費用：未の項目を満たすための機器、ソフト、設定の委託
- 社内の人件費：項目ごとの作業時間×その人の時間単価
- 毎年の費用：★3の点検と確認、ソフトの更新、教育
★3の確認責任者は、社内の人でも社外の人でも構いません（概要説明資料）。ただし、資格の保持と研修の受講などの要件があります。社内に該当する人がいなければ、社外に頼む前提で見積もりの枠を空けておきます。
対策の費用は、製品名から考えないことが大切です。IPAのよくある質問は、EDRや資産管理システムなど特定の製品の導入を求めるものではないとしています。項目ごとに「今の機器の設定で足りるか」をベンダーに聞き、足りない分だけを見積もります。
人手はどう見立てる？
★3の26件を分野ごとに見ると、担当者の仕事は社内で決める項目と機器の設定に分かれます。件数は概要説明資料、中身は解説書によります。
| 分野 |
★3の件数 |
主な中身の例 |
主に動く人 |
| ガバナンス |
3 |
統括する役員、方針、ルール |
社長、総務 |
| 取引先管理 |
3 |
接続先の把握、機密情報の取り決め |
総務、営業 |
| リスクの特定 |
4 |
パソコンとネットワーク、情報の把握 |
情シス担当 |
| 攻撃等の防御 |
13 |
IDの管理、認証、バックアップ、更新 |
情シス担当、ベンダー |
| 検知・対応・復旧 |
3 |
監視、事故の手順、復旧 |
情シス担当、ベンダー |
見立ては、未と一部の項目ごとに次の3つを書くだけです。
- 誰がやるか（社内の名前、またはベンダー）
- 何時間かかりそうか（ベンダーに聞けるものは聞く）
- いつ空けられるか（月末や決算を避ける）
時間の合計を、担当者が月に使える時間で割ると、必要な月数が出ます。月に使える時間は、願望ではなく、去年の同じ時期の忙しさから決めます。私たちが確かめた公式資料には工数の目安がなかったので、時間の数字は仮置きで構いません。項目を5つほど実際に進めて、かかった時間で見直します。
たとえば、従業員が数十人の金属加工の工場で、総務が情シスを兼ねている場合を考えます。パソコンの台数とOSの一覧は事務で作れますが、工場の端末や外とつながる機器は、保守会社に聞かないと埋まらないことがあります。この場合は、社内の作業時間のほかに、保守会社への問い合わせの待ち時間も見込みます。
工場の設備については、切り分けも見立てに影響します。解説書は、製造環境等の制御（OT）システムを直接の対象とはしない一方で、適用範囲のIT基盤とつながる場合は境界の防護を求めています。要件がそろわないと、OTであっても適用範囲に含めることになるので、保守会社への確認の項目に入れておきます。
見落としやすい手間は？
自己評価等ガイドを読むと、対策のほかに次の手間があります。
- 自己評価の前に、取得する単位と適用範囲を決める
- シートに、規程の名称や具体的な取り組みを書く
- 経営層が自己適合宣言をする
- ★3では、署名したシートをPDFにし、ハッシュ値（SHA-256）を計算して保管する
- 有効期間中に適用範囲などに大きな変更があれば、再確認を受ける
合格の基準も見立てに響きます。★3・★4は全ての評価基準を満たす必要があります。一部だけ取り組んで登録することはできないので、最後の数項目に時間がかかる前提で余裕を見ます。自社の環境に当てはまらない基準については、ガイドが対象外にする条件を示しています。
★3は有効期間が1年です。初年度の作業を記録に残しておくと、次の年の点検は、変わった部分を中心に進められます。
負担を減らす手立ては？
公開の様式と見本を使う
IPAの資料によると、中小企業の情報セキュリティ対策ガイドライン第4.0版には、★3・★4の要求事項に対応したサンプル規程と、要求項目との対応表が載っています。規程をゼロから書かずに、自社の実態に合わせて直せます。
取引先ごとに違う調査票にも答えている場合は、チェックシート回答ツールの比較で、回答の管理をどこまで任せられるかを見ます。
お助け隊サービス新類型の実証に参加する
IPAはサイバーセキュリティお助け隊サービス（新類型）の実証事業を進めています。★取得の課題の洗い出し、ITツールの導入、規程や教育の支援を組み合わせたもので、参加は無償です。実証期間は2026年10月から2027年9月までの予定で、15事業者が担当します。
事業者ごとに募集の時期や条件が異なり、希望に沿えない場合もあると案内されています。実証後の継続は有償です。今のお助け隊サービスを導入済みでも、★3の要求事項の一部しか達成できないとIPAは説明しているので、別の準備は必要です。
社内に担当者を置けない場合は、セキュリティコンサルティングの比較で支援の範囲を確かめます。外部の評価で今の状態を見たいなら、セキュリティ評価サービスの比較も材料になります。
費用を価格の話に載せる
取引先の要請で費用が増えるなら、価格交渉の材料にできます。公正取引委員会と経済産業省の文書（令和4年）は、認証の取得などを求めながら、コスト上昇分について協議せず価格を据え置く行為を、問題となるおそれのある例に挙げています。IPAの資料も、発注元企業が★取得による価格交渉に積極的に対応する必要があると示しています。
見立てで作った一覧は、そのまま交渉の資料になります。かかった費用と作業時間を分けて残しておいてください。
そもそも自社に★が求められるのかは、SCS評価制度の対象を取引の形から確かめる方法で確かめられます。ISMSも同時に求められている場合は、ISMSの認証機関の選び方も見てください。制度の全体像はサプライチェーンのセキュリティ対策の一覧にまとめています。
