SCS評価制度★3の自己評価｜Webサイトの確認項目と番号

「取引先からSCS評価制度の★3を求められそうだけど、自社のWebサイトは何を確認すればいいの？」

SCS評価制度とは、企業のセキュリティ対策を共通の基準で評価し、委託元と委託先の確認の手間を減らすための制度です。

登録の受付開始は2027年3月の予定で、確定した日付はまだ公表前。

★3は26件の要求事項について、専門家の確認を受けたうえで自社が評価する「専門家確認付き自己評価」です。

証跡とは、点検や作業をしたことを後から示せる記録のことです（台帳・作業ログ・設定画面の控えなど）。

Webサイトの運用に関係する要求事項を番号つきで整理し、確認することと証跡の例を表にまとめたので、一緒に見ていきましょう。

Web関連の項目だけでは★3は取れない

結論、Webサイトの確認は★3の一部にすぎません。

「Webサイトはきちんと管理しているから大丈夫」と思っていませんか？

IPAのSCS評価制度のよくある質問では、該当する段階のすべての要求事項と評価基準を満たす必要があると説明されています。

さらに★3では、所定の専門家が自己評価の中身を確かめて署名し、そのうえで組織が自己適合を宣言して登録を申請します。

社内の担当者だけで宣言して終わり、という制度ではないということ。

評価の流れと期間は、SCS-100 基本規程で次のように決められています。

項目	★3の決まり	根拠
評価の方式	専門家の確認と署名つき	基本規程 3.1.1
有効期間	登録完了の通知日から1年	基本規程 3.1.2
更新のとき	専門家の助言を受けた更新版	基本規程 3.1.2

また、インターネットに公開しているWebサーバーやメールサーバーは、評価の対象範囲に必ず含める方針です。

Webサイトで確認すること×要求事項番号×証跡の例

Webサイトの運用に関係する要求事項を、番号と証跡の例で一枚の表にまとめました。

下の表は公式のチェックリストではなく、要求事項をWeb運用に当てはめた例です。

番号と要旨は、IPAが配布している★3・★4要求事項・評価基準をもとにしています。

確認すること	要求事項番号	証跡の例
公開基盤の把握	3-1-1、3-1-2、3-1-3	機器・ソフト・サービス一覧
更新の適用	4-4-4	更新の適用記録
管理画面とID	4-1-1、4-1-2、4-1-5〜4-1-7	ID台帳と権限の申請記録
多要素認証	4-1-3	対象サービスと設定状況
設定変更と通信の制限	4-4-1、4-5-1	変更の承認記録とルール一覧
監視と通知	5-1-1	通知先と判断の手順
バックアップと復旧	4-3-4、6-1-1、7-1-1	取得方針とリストア手順書

1. 公開基盤を把握する

最初の土台は、何を使ってサイトを動かしているかを把握することです。

要求事項3-1-1では、サーバーやPCの製造元、OS、台数を把握し、導入や更新の管理ルールを決めて年1回以上点検しましょう。

3-1-2は、ネットワークの所在地と用途、機器の製造元やモデル、保守事業者の把握。

3-1-3では、外部の情報サービスを使うときのセキュリティ要件を決め、サービスの内容が合っているかを確かめます。

レンタルサーバーやクラウド、CMS本体とプラグインの一覧も、管理の実務例として用意しておくと説明しやすくなります。

担当者が替わって存在を忘れたサイトがあると、一覧から漏れてしまいがち。

洗い出しの進め方は、IT資産の棚卸しと忘れられたWebサイトの確認にまとめています。

2. 更新を14日以内に当てる

評価基準4-4-4-1は、ソフトのライセンスとサポートを確保し、サポートが終わったものは削除するかインターネットとの通信を断つ決まりです。

可能なら自動更新を使うことも求められているところ。

評価基準4-4-4-2で更新の期限が示されている対象は、次の4区分です。

会社支給PCのOS、ブラウザ、Office
サーバーのOSとミドルウェア
会社支給スマートデバイスのOSとアプリ
インターネット境界機器のOSとファームウェア

これらの重大・高リスク、CVSS基本値7.0以上、または深刻度の情報がない脆弱性を直す更新は、リリースから14日以内に当てます。

CVSS基本値とは、脆弱性の深刻度を0〜10で表す共通の尺度です。

すぐに当てられないときは、所定のリスク低減策で補いましょう。

実は、すべてのWebアプリの部品に一律で14日と書かれているわけではないんです。

CMS本体やプラグインがどの区分に当たるかは、別途確認しておきたいところです。

保守会社との役割分担は、WordPress・DrupalのCMS保守と専門診断の使い分けも参考にしてみてください。

3. 管理画面とIDの管理

管理画面のアカウントは、Webサイトでいちばん身近な入口です。

要求事項4-1-1と4-1-2では、IDの追加や変更を承認し、利用者を特定できるようにして、不要なIDや権限を削除します。

管理者IDには管理責任者を置き、権限を必要な範囲に絞り、開発用と本番用の権限を分けることも、この要求の範囲。

4-1-5と4-1-6は、パスワードの扱いのルールです。

初期パスワードの変更
推測しやすい値や使い回しの禁止
安全な保管
漏えいしたときの変更手順と周知

4-1-7では、権限の申請と承認、棚卸、台帳での管理をルールにします。

退職した人や制作会社のアカウントが、WordPressの管理画面に残っていませんか？

私が見落としやすいと思うのは、公開前の作業用に作ったアカウントです。

パスワードの保管方法を見直すなら、法人向けパスワードマネージャーの選び方が役に立ちます。

4. 多要素認証の対象

多要素認証とは、パスワードに加えて別の手段でも本人かどうかを確かめる仕組みです。

要求事項4-1-3の出発点は、アクセスの前に認証すること。

そのうえで評価基準4-1-3-2〜4-1-3-4は、重要な機密情報を扱うクラウドサービスへのアクセスに多要素認証を求めています。

★3では、すべてのWeb管理画面に一律で多要素認証を求める書き方にはなっていません。

ただ、一律ではないことは「設定しなくてよい」という意味とは違うでしょう。

自社のCMSや顧客情報を扱うクラウドの管理画面が、この対象に当たるかどうかを確認しておきましょう。

★4では、重要な機密情報を扱うシステムへのインターネット経由の管理アクセスなどにも、多要素認証が加わります（評価基準4-1-3-5）。

5. 設定変更とファイアウォールのルール

設定を誰が変えたか分からない状態は、評価のときに説明しにくくなります。

評価基準4-4-1-1は、許可していないソフトの削除や無効化、インストールの制限です。

4-4-1-3では、サーバーやネットワーク機器の設定変更を申請と承認の流れにしましょう。

ファイアウォールとは、許可した通信だけを通す仕組みです。

評価基準4-5-1-1〜4-5-1-7では、境界機器の管理者認証や、認証されていない外からの通信の遮断が求められます。

ファイアウォールのルール設定と、不要なルールの削除もこの範囲。

遠くから設定を変えるときは、多要素認証か接続元のIPアドレス制限をかけます。

サーバー側の設定を見直すときは、サーバーの脆弱性診断とセキュリティチェックリストも確認しておきましょう。

6. 監視から通知まで

要求事項5-1-1は、外から中、中から外の両方向で不正なアクセスをリアルタイムに検知し、遮断することを求めています。

さらに、ログやアラートからインシデントに当たるかを判断し、速やかに警報や速報レポートを通知します。

Webサイトに当てはめると、ホスティング会社やセキュリティ製品から届くアラートを誰が見るかが出発点です。

アラートを受けた人が、誰に、どんな形で知らせるかまで決めておきましょう。

通知先と判断の手順を一枚にまとめておくと、評価のときの証跡にもなります。

担当者が休みの日に通知が届いたらどうするか、という点も忘れがちなポイントです。

7. バックアップとリストア手順

要求事項4-3-4では、バックアップの対象、頻度、保管期間を決めて取得します。

重要な機密情報は離れた場所にもバックアップを置き、リストア手順書も用意しておきましょう。

6-1-1は、インシデント対応の手順を決める要求です。

発見
初動
調査と対応
復旧
最終報告

あわせて、連絡経路や担当の役割も決めておきましょう。

評価基準7-1-1-1では、重要なシステムの目標とする復旧レベルと、そのための対策を決めます。

Webサイトなら、データや設定のバックアップを誰がどこに取っているかを確認するところから始められます。

復元の流れを具体的に知りたいときは、ランサムウェア対策とバックアップの復元手順が参考になります。

★4の要求を★3に混ぜない

★3と★4の要求事項は、同じ表で配布されています。

そのため、★4で追加される要求を★3の作業だと思い込みやすいのが落とし穴。

4-1-7と3-1-2は★3にもある要求事項で、★4では次の評価基準が増えるという関係。

4-4-3と3-2-1は、要求事項ごと★4で追加されます。

★4で追加される要求	評価基準番号	内容
ログの保管と監視	4-4-3-1〜4-4-3-3	6か月保管、認証ログは月1回以上監視
脆弱性の管理体制	3-2-1-1〜3-2-1-5	対応履歴を記録し月次で点検
権限の定期棚卸	4-1-7-2〜4-1-7-6	年1回以上の棚卸
ネットワーク図	3-1-2-3〜3-1-2-4	作成し年1回以上点検

★4は★3の要求を含む上位の段階ですが、★3を先に取得しておく必要はありません。

★3を目指しているなら、まずは表の★3の範囲を固めることに集中してみてください。

まとめ：★3の取得に向けて、Webサイトの管理状況を見直そう

SCS評価制度の★3に対応するには、セキュリティ対策を実施するだけでなく、その取り組みを記録で示せる状態にしておくことが大切です。

Webサイトについても、日頃の管理で何ができていて、どこに不足があるのかを整理しておけば、取引先から確認を求められたときにも対応しやすくなります。

社内の管理状況を整理するのとあわせて、外部から見えるWebサイトの安全性にも目を向けましょう。

公開側の状態を確認するなら、証明書やHTTPヘッダー、Cookieの設定などを調べられる登録不要の無料セキュリティチェックを活用してみてください。

★3の取得だけをゴールにせず、継続して安全に運用できるWebサイトを目指して、必要な対策を進めていきましょう。

※この記事は、2026年10月19日時点で確認したIPAと経済産業省の資料をもとにしています。

※配布中の要求事項・評価基準のExcelは、2026年9月11日の委員会で軽微な修正に合意されており、運用開始時の最終版ではありません。

※解説書は2026年10月頃に公開予定とされているため、公開後に番号や例外の扱いをあらためて確認してください。