SCS評価制度と脆弱性診断｜必須ではない診断の使いどころ

「SCS評価制度の★を取るには、脆弱性診断を受けないといけないの？」

ここを曖昧にしたまま進めると、必要のない出費をしたり、逆に大事な確認を後回しにしたりしかねません。

結論、SCS評価制度の要求事項に、脆弱性診断を必須とする項目は見当たりません。

それでも、診断の結果は自己評価の裏付けとして使えます。

必須ではない診断をどこで使えばいいのか、一緒に見ていきましょう。

SCSの要求事項に「脆弱性診断」は出てこない

SCS評価制度とは、企業のセキュリティ対策を共通の基準で評価し、取引先を踏み台にした侵入などのリスクを減らすための制度です。

いわゆるサプライチェーン攻撃への対策を、取引先どうしで確かめやすくする仕組みともいえます。

では、要求事項の中に「脆弱性診断」は出てくるのでしょうか？

IPAが配布している★3・★4要求事項・評価基準と関連資料を確かめた結果は、次のとおりです。

現行の要求事項・評価基準には、「脆弱性診断」「脆弱性検査」「ペネトレーションテスト」という語が出てきません。

近いのは★4で追加される評価基準で、3-2-1-4は残っている脆弱性の把握、4-4-4-3は境界の機器に一定以上の脆弱性がない状態を求めるもの。

どちらも、診断を受けること自体を求める書き方にはなっていません。

制度の全体像は、SCS評価制度とは？中小企業がWebサイトで確かめることにまとめています。

★4の技術検証は境界の機器が対象

★4の評価では、文書の確認と実地審査に加えて、技術検証として脆弱性検査が行われます。

対象は、インターネットに公開している機器のうち、悪用されると内部への侵入リスクが高いもの。

VPN装置やルーターなどがこれに当たり、対応する評価基準は4-4-4-3。

4-4-4-3は、インターネットとの境界にあるネットワーク機器のOSやファームウェアに、CVSS基本値7.0以上の脆弱性がないことを求めています。

CVSS基本値とは、脆弱性の深刻度を0〜10で表す共通の尺度です。

境界の機器がどう狙われるかは、デジタル庁GSSのVPN機器の脆弱性を利用した不正アクセスの解説がイメージしやすいと思います。

技術検証の細かい条件はまだ決まっていない

技術検証を行う事業者の基準（SCS-320）は、事業者に対象機器の脆弱性診断を適切に行う能力を求めています。

ただ、具体的な対象や実施項目は、技術検証ガイドに任されている状態。

すでに受けた診断の結果で技術検証を代えられるかどうかも、まだ確定していません。

2026年3月の制度構築方針では「検討」とされ、9月のガイド案には、過去1か月以内の診断実績などによる免除の流れが示されました。

これはあくまで案の段階なので、最終のガイドが公開されてから条件を確かめるのが安全です。

「診断が必須」と誤解されやすい理由

要求事項に出てこないのに、なぜ「SCSには診断が必須」と受け止められやすいのでしょうか？

私が資料を読んでいて紛らわしいと感じたのは、次の3つです。

• 技術検証の事業者向け基準に「脆弱性診断」の語が出てくる
• ペネトレーションテストが事業者のサービス登録区分として出てくる
• 中間取りまとめの「脆弱性診断」が、英国の制度の説明として出てくる

ペネトレーションテストは、SCS-320の中で事業者がサービスを登録するときの区分の一つです。

★を取る企業に、一律に実施を求める決まりではありません。

2025年4月の中間取りまとめにある「脆弱性診断」の語は、付録で英国のCyber Essentialsを説明している部分のもの。

SCS評価制度そのものの要求と取り違えないよう、確認しておきましょう。

たとえば、次のような共通の要件も、確認した要求事項と評価手続きには見当たりません。

• 外部に公開しているWebサイトをすべて年1回診断する
• SQLインジェクションなどを全サイトで検査する
• ペネトレーションテストを必ず受ける

★4で追加される評価基準4-4-5-4も、誤解されやすい項目の一つ。

これはPCやWebゲートウェイで不正なWebサイトへのアクセスを制限する、閲覧する側の対策です。

自社の公開サイトを診断する要件として読まないようにしましょう。

なお、取引先が個別の契約で診断を求めることは、制度とは別の話として起こりえます。

必須ではない診断の使いどころ

必須ではないからといって、診断の出番がないわけではありません。

自己評価の中身を外から確かめる手段として、使える場面がいくつかあります。

１．自己評価の裏付けにする

★3の自己評価では、要求事項ごとに対策ができているかを自社で確かめ、専門家の確認を受ける流れ。

たとえば4-4-4-2では、サーバーのOSやミドルウェアなどの更新を、条件に当たるものはリリースから14日以内に当てることが求められます。

公開しているサイトを外から確かめた結果は、「更新を当てている」と書いた内容の裏付けになりえます。

Webサイトで確認する項目と番号は、SCS評価制度★3の自己評価でWebサイトについて確認する項目と番号で表にまとめたので、あわせて見てみてください。

すぐに更新を当てられないときの考え方は、ゼロデイ攻撃とパッチ公開前後の対応手順も参考になります。

２．取引先への説明材料にする

取引先から対策の状況を聞かれたとき、文書だけでは伝わりにくいこともありますよね。

診断の報告書と、指摘を直した記録をセットで残しておくと、説明の材料として使えます。

報告書のどこを読めばいいか迷うなら、脆弱性診断レポートの見方が役に立ちます。

３．受けるタイミングを決める

診断を受けるなら、サイトの公開前や大きな改修のあとなど、変化があったときが目安になります。

★3の有効期間は1年なので、更新の準備とあわせて時期を決めておくのも一つの方法です。

時期の決め方は、脆弱性診断の頻度とタイミングにまとめています。

診断を受けるかは、自己評価の中身を見て決めよう

SCS評価制度の要求事項に、脆弱性診断を必須とする項目はありません。

だからこそ、「必須だから受ける」ではなく、自己評価のどこを裏付けたいかで判断するのがおすすめです。

何を確かめればいいか迷うなら、まず自社の自己評価で自信がない項目を書き出してみてください。

外から確かめたい部分が見えてきたら、診断の料金プランで費用感をつかんでおくと検討しやすくなります。

※この記事は、2026年10月19日時点で確認したIPAと経済産業省の資料をもとにしています。

※配布中の要求事項・評価基準のExcelは、2026年9月11日の委員会で軽微な修正に合意されており、運用開始時の最終版ではありません。

※技術検証ガイドの条件はまだ案なので、最終版が公開されたらあらためて確認してください。