※2026年8月末時点での情報を元に記事を作成しています

2026年度末から本格稼働する「SCS評価制度（サプライチェーン・サイバーセキュリティ評価制度）」。多くの企業で、取引先から「★3（三つ星）」の取得を求められるケースが増えてくるはずです。

しかし、全25〜26項目におよぶ要求事項のリストを見て、「専任者がいないのにどうやって対応すればいいのか…」と頭を抱えている担当者の方も多いのではないでしょうか。

本記事では、SCS評価制度の「★3」で求められる基準を分かりやすく3つのブロックに分類し、最もつまずきやすいポイントと、それを最小工数で乗り切るための「ネットワーク境界防護（UTM）」を活用したアプローチについて解説します。

★3取得で求められる3つの基準ブロック

★3の基準は、サプライチェーンに参画する企業が「最低限クリアすべき標準ライン」です。細かな項目は、大きく以下の3つに分けることができます。

1. 体制と資産の管理（何を守るか決める）

セキュリティを「情シスの頑張り」に依存させず、組織としてのルールを定めるブロックです。

経営層の関与とルールの明文化: セキュリティ責任者を任命し、情報の取り扱いルールを文書化・周知する。
IT資産の棚卸し: PC、サーバー、ネットワーク機器（NASや複合機含む）、利用中のクラウドサービスを台帳化する。
委託先の管理: 外部委託先に対しても、自社と同等のセキュリティ要件を求める。

2. アクセス制御と境界防御（入り口と出口を塞ぐ）

外部からの侵入と、内部からの情報漏えいを防ぐための技術的なブロックです。

アカウントと認証の管理: IDの使い回し禁止、リモートアクセスやクラウド利用時の多要素認証（MFA）の導入。
ネットワークの境界防御: インターネットと社内ネットワークの境界で、不正な通信（インバウンド通信など）を遮断する。デフォルトパスワードは必ず変更する。
マルウェア・脆弱性対策: ウイルス対策ソフトの導入と、OS/ソフトウェアのセキュリティパッチを速やかに（14日以内など）適用する。

3. 検知・対応・復旧（万が一に備える）

「100%防ぐことは不可能」という前提で、被害を最小限に抑え、復旧するためのブロックです。

ログの取得と監視: アクセスログや不審な通信のブロックログを取得し、一定期間保存する。
インシデント初動対応: 異常発生時の連絡網や、初動対応の手順を整備しておく。
バックアップと復旧テスト: ランサムウェア等に備えたバックアップと、実際にデータを復元できるかのテスト（訓練）を実施する。

審査の合否を分ける最大の壁は「エビデンス（証跡）」

★3の審査は「自己評価＋セキュリティ専門家による確認」で行われます。ここで最も注意すべきなのが、「対策をやっているだけでは審査に通らない」という点です。

専門家の確認が入るため、「ウイルスソフトを入れています」「ファイアウォールがあります」という口頭ベースの申告はNGとなります。
必ず「管理画面のキャプチャ」「設定ファイル」「数ヶ月分の通信ログやブロック履歴」といったエビデンス（証拠）の提出が求められます。

特に「ログの取得・保存・レポート化」は、手作業で行うと運用負荷が爆発するため、多くの企業がここで挫折します。

最小工数で要件をハックする「UTM」の活用

限られたリソースでこれらの要件（特に技術的要件とログのエビデンス）をクリアするための最適解の一つが、UTM（統合脅威管理）の導入です。

UTMを活用することで、以下のように審査対応の工数を劇的にショートカットできます。

① 「第2ブロック（防御）」の要件を一台で網羅

ファイアウォール、IPS（侵入防御）、危険なWebサイトへのアクセス制限、マルウェア通信の出口対策など、★3で求められるネットワーク境界のセキュリティ要件をオールインワンでカバーできます。個別に機器やソフトを導入・設定する手間が省けます。

② エージェントレス機器もまとめて保護できる

PCのウイルスソフトだけでは守れない、社内のNAS（ファイルサーバー）、ネットワークプリンタ、監視カメラなどのIoT機器も、ネットワークの出入り口にUTMを置くことで一括して保護対象（審査のアピール材料）にできます。

③ 「第3ブロック」のエビデンス提出が即座に終わる

これが最大のメリットです。UTMはネットワーク全体の通信ログや、脅威をブロックした履歴を自動で蓄積し、月次のセキュリティレポートを出力してくれます。審査員から「エビデンスを出して」と言われた際、このレポートをそのまま提出するだけで要件をクリアできます。

★3の評価は「誰が・どうやって」行うのか？

SCS評価制度の★3は、企業が勝手に「うちは三つ星です」と名乗れるわけではありません。審査は基本的に以下のステップで行われます。

自己評価とエビデンスの用意
企業側が要求事項のチェックリストに回答し、それを裏付ける証拠（台帳、規程、ログデータなど）を準備します。
認定された「セキュリティ専門家」による書面審査
専用のポータルサイト等を通じて提出された資料を、国（IPAなど）が認定した外部の評価機関・監査員がチェックします。
登録と公表
専門家が「要件を満たしている」と承認して初めて、公式ポータルサイトに★3企業として公開されます。

専門家の「目視チェック」が入るからこそ、ごまかしが効かない

ここでのポイントは、「人間の専門家による証拠（エビデンス）のチェックが入る」ということです。

例えば、「ネットワークの境界防御をしていますか？」というチェック項目に対して、「はい（市販のルーターを入れています）」と回答しても、専門家から「そのルーターで本当に不正アクセスを遮断したログ（証拠）を見せてください」と突っ込まれた時点で、提出できるものがなければ審査には落ちてしまいます。

★4のような厳しい「現地への立ち入り監査」がない代わりに、提出するドキュメント（特にシステムのログやレポート）の質が合否を直撃するのが★3審査の特徴です。

だからこそ、誰が見ても一目で「防御が機能している」ことがわかるUTMの月次レポートが、外部の専門家を納得させる最強のパスポート（通行証）になるのです。

まとめ

SCS評価制度の★3取得には、「半年〜1年程度の運用実績（ログ）」が必要になると言われています。直前になって慌てても間に合いません。

まずは「IT資産の棚卸し」から着手しつつ、技術的要件とログ取得の仕組みが不足している場合は、自力で個別に構築するのではなく、UTMのような「丸投げできる仕組み」を賢く活用して、運用工数を最小化することをおすすめします。