セキュリティ最前線
SCS評価制度に「SCAN DOG（正規版）× SCSC Dog」はどこまで対応できるか — 私の判断
著者：青山裕一（株式会社ガーディアン 代表取締役社長）
公開日：2026年10月20日
SCS評価制度は、特定の製品を導入すれば取得できる制度ではありません。★3の要求事項のうち公開Web領域について、Web診断とホームページ運用がどこまで支援でき、何が利用企業に残るのかを、要求事項ごとに整理します。
この記事の要点
SCS評価制度は特定の製品を導入すれば取得できる制度ではない。SCAN DOG正規版とSCSC Dogは、★3の要求事項のうち公開Web領域に関わるものについて、対策の実施と証跡の作成を支援し得るが、適合は組織の適用範囲全体の運用状況と証跡で判断される。
この記事は、総合解説「サプライチェーン攻撃の起点は中小企業にある」の第15章を、独立したページにしたものです。制度の概要は、同じ原稿の第11章の表から引いています。
SCS評価制度とは（2026年10月8日時点）
| 項目 | 内容 |
|---|---|
| 施策 | サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） |
| 所管 | 経済産業省・NCO・IPA |
| 時期・状況 | 制度構築方針2026年3月27日公表。ガイダンス2026年秋頃、評価機関公表2026年12月頃、★3・★4の申請受付開始は2026年度末（2027年1～3月頃）予定 |
| 内容 | ★3：26項目・81件、専門家確認付き自己評価。★4：43項目（★3を包含）、第三者評価機関による文書確認・実地審査・技術検証（インターネット公開機器の脆弱性診断）、有効期間3年。対象はIT基盤（クラウド含む）、OTは対象外。発注者が取引条件として段階を指定する任意制度 |
| 中小企業への影響 | 大企業から「★3を取ってください」と求められる時代が来る。特定の製品導入で取得できる制度ではない。中小企業向けに「サイバーセキュリティお助け隊サービス」の新類型を創設（経産省、IPA FAQ、NTTドコモビジネス解説） |
国の方針が中小企業に突きつけること
国の施策は、すべて同じ方向を向いています。「大企業は取引先の対策水準を確認せよ」「取引先は対策水準を証明せよ」。これまでは努力義務でしたが、SCS評価制度の運用開始で、2社間の取引契約で「取引条件」として示されるようになります。IPAの2024年度調査では、取引先のセキュリティ要求に応えたことが受注・維持の大きな要因になったと答えた中小企業が42.1%（投資企業では49.8%）に達しています。対策していない中小企業は、攻撃される前に、取引から外される可能性があります。なお、SCS評価制度は任意の制度で、個社間の商取引に関し規制措置を講じるものではありません（経済産業省・内閣官房「SCS評価制度に係る不適切な勧誘に御注意ください」2026年4月27日）。
SCAN DOG正規版 × SCSC Dogで対応できる範囲 — 私の判断
結論：SCAN DOG正規版とSCSC Dogは、★3の要求事項のうち公開Web領域に関わるものについて、対策の実施と証跡の作成を支援し得ます。適合の判断は、組織の適用範囲全体の運用状況と証跡で行われるため、サービス導入で「〇項目が完了する」とは言えません。 ★4で加わる技術検証（インターネット公開機器の脆弱性診断）は、VPN装置やルータ等を主な対象に挙げており、公開Webアプリケーションのみを診断するSCAN DOGのレポートが、その検証に代わるわけではありません。
前提を明記します。SCS評価制度は「特定の製品を導入すれば取得できる」制度ではありません。評価方法の詳細はIPAが2026年秋頃に公表するガイダンスで確定します。以下は2026年3月27日公表の「★3・★4要求事項及び評価基準」と「制度構築方針」、各社解説を基にした、私の判断です（経産省 制度ページ、IPA要求事項と評価基準、制度構築方針（2026年3月27日）、★3要求事項の解説、★4の評価の流れ）。
★3の要求事項ごとの「寄与」と「利用企業に残る対応」
| 要求事項（★3） | 対象資産・業務 | SCAN DOG正規版の実施内容 | SCSC Dogの実施内容 | 提供できる証跡 | 利用企業に残る対応 |
|---|---|---|---|---|---|
| 2-1-1 外部接続システムの把握と年次点検 | 取引先・委託先との接続、利用サービス | 発注側：取引先の公開Web資産と脆弱性をダッシュボードで把握。診断は週次～年次 | — | 取引先一覧、診断履歴、対応状況のレポート | 接続の棚卸し、年次点検の実施記録、契約条項（2-1-2 機密情報の取扱い、2-1-4 インシデント時の役割） |
| 3-1-1 機器・OS・ソフトウェアの把握 | 自社のIT資産全体 | 公開Webの技術スタック（DB・フレームワーク・OSS・言語の既知CVE）を自動棚卸し | CMS・サーバー構成を当社が管理し、構成情報を提供 | Web資産の構成一覧 | 社内ネットワーク・端末・業務システムの台帳 |
| 4-1-2～4-1-5 管理者ID・認証強度・ロック・パスワード | 全システムの認証 | Web側の認証・セッション関連51項目（管理者ページの認証不備、二要素認証の回避、ブルートフォース対策、Cookie属性等）を検証 | 管理画面の非公開、ログイン試行の制限 | Web側の検証結果レポート | ユーザIDの発行・変更・削除の運用記録（4-1-1）、アクセス権の管理（4-1-7）、社内システム・クラウドの認証設定 |
| 4-3-4 バックアップ | 重要データ全体 | — | サイトデータのバックアップと復元を当社が実施 | バックアップ・復元の実施記録（Web） | 基幹システム・ファイルサーバー等のバックアップと復元テスト |
| 4-4-1 安全な構成 | 全システム | 設定不備・セキュリティヘッダー関連21項目を検証 | ヘッダー・Cookie属性・分離構成を標準設定 | 検証結果レポート（Web） | 端末・社内機器の設定基準と確認記録 |
| 4-4-4 パッチ適用（重大な脆弱性の修正は、アップデートのリリースから14日以内に適用） | 全ソフトウェア・機器 | 既知CVEの検出で未適用を可視化 | CMS・サーバーの更新を当社が一元管理 | 検出から対応までの履歴、更新記録（Web） | VPN機器・OS・端末・業務ソフトの更新記録 |
| 4-4-5 マルウェア対策 | 端末・サーバー | — | Web基盤側の監視 | — | 端末のウイルス対策・EDRの導入と運用 |
| 4-5-1 ネットワーク境界の防護 | 社内境界・公開サーバー | 公開Webの露出状況を検証 | WAFを標準装備 | WAFの設定とログ（Web） | FW・ルータの設定、初期パスワードの変更、VPN機器の管理 |
| 5 攻撃等の検知 | 全体 | 定期診断（最短毎日）で新規脆弱性を検知・通知 | 24時間365日有人監視、WAFログ | 診断通知の履歴、監視記録（Web） | 端末・社内ネットワークの検知（EDR・SOC等）、ログ分析 |
| 6 インシデントへの対応 | 全体 | 診断レポートが報告の技術資料になる | Web改ざん・障害時の復旧対応 | 対応記録（Web） | 手順書、連絡先、報告フォーマット、年次点検 |
| 7 インシデントからの復旧 | 全体 | — | Webサイトの復旧 | 復旧記録（Web） | 基幹システムの復旧計画、業務継続策 |
| 1 ガバナンス（3項目）、2-1-2・2-1-4 契約、4-1-1・4-1-6・4-1-7 IDとパスワードの運用、4-2-2 教育 | 組織・契約・人 | — | — | — | 統括役員・推進部門、守秘義務ルール、対応方針、契約条項、パスワード管理ルール、教育の実施記録（IPAガイドライン第4.0版の付録サンプルが使える） |
| ★4技術検証（インターネット公開機器の脆弱性診断） | 公開Webアプリケーション、VPN装置、ルータ等 | 300項目の継続診断レポートが、公開Webアプリケーション部分の参考資料になる | 指摘の解消を維持する運用 | 診断レポート（Webアプリ部分） | VPN装置・ルータ等は診断対象外。評価機関の技術検証は別に行われ、レポートが検証に代わるわけではない |
300項目のジャンル別内訳は当社「SCAN DOG正規版 診断300項目リスト」（2025年9月25日更新版）による（認証42・セッション管理9・設定不備13・セキュリティヘッダ8・インジェクション18・ファイル処理16・ログ・監視15・情報漏えい12・その他）。項目数は診断の範囲を示すもので、要求事項への適合や、すべての脆弱性の検出を意味しません。
こう使えば★3への準備は現実的になる
- 中小企業（受注側）：SCSC Dogの運用記録（更新履歴・WAFログ・監視記録・バックアップ記録）とSCAN DOGの診断レポートを、公開Web領域の証跡として整理する。規程・教育・端末・社内ネットワーク・インシデント手順は、IPAガイドライン第4.0版の付録（基本方針・規程・資産台帳・インシデント対応のサンプル）と、端末・ネットワークをカバーするお助け隊サービスで整える。制度上の専門家確認は、当社が専門家を紹介できる。
- 大企業（発注側）：SCAN DOG正規版のダッシュボードが、自社の「取引先の管理・把握」に関する証跡の一つになる。取引先に★3を求める際、「ホームページの脆弱性はこちらで診断する」と費用を持つことで、取引先の最大の障壁（費用と知識）を下げられる。
- やってはいけないこと：SCAN DOGのレポートだけで「★3相当」を名乗ること。制度は組織全体のIT基盤を見ます。Web領域の対策と証跡を整えた上で、残りに集中するのが正しい使い方です。
私の評価を一言で言えば、「SCAN DOG正規版 × SCSC Dogは、★3の中で『最も破られやすく、自社では維持しにくい』公開Web領域の対策と証跡を、中小企業が自分で回さなくても整えられる状態にする」です。それ以上でも、それ以下でもありません。適合の判断は、制度の最新版と各社の適用範囲に基づいて行われます。
よくある質問
Q6.国の制度で中小企業に直接関係するものは？
経済産業省の「サプライチェーン強化に向けたセキュリティ対策評価制度（★3・★4）」で、2026年度末（2027年1～3月頃）に申請受付開始予定です。発注側の大企業が取引条件として段階を指定することが想定されており、対策していない中小企業は取引から外れる可能性があります。また2026年10月1日にサイバー対処能力強化法（能動的サイバー防御）の官民連携部分が施行され、基幹インフラの委託先には対策状況の説明が求められます。IPAの「中小企業の情報セキュリティ対策ガイドライン」は2026年3月に第4.0版となり、情報セキュリティ6か条（バックアップを追加）が最初の一歩です。
Q9.SCAN DOGやSCSC Dogを導入すればSCS評価制度の★3を取得できますか？
導入だけで取得できる制度ではありません。★3は26項目を組織全体のIT基盤で満たす必要があり、専門家の確認を経た自己評価です。当社の判断では、「SCAN DOG正規版 × SCSC Dog」は公開Web領域に関わる要求事項について対策の実施と証跡の作成を支援し得ますが、適合は組織の適用範囲全体の運用状況と証跡で判断されます。規程・教育・端末・社内ネットワーク・インシデント手順等は、自社と他サービスで整える必要があります（このページ）。
あなたの立場に合わせた、次の一歩
取引先に★3を求める側も、求められる側も。立場に合わせてお選びください。
あわせて読みたい
出典一覧（クリックで開く）
※SCS評価制度に関する判断は、筆者（青山）の見解です。評価方法の詳細は、IPAが公表するガイダンスで確定します。制度の公表に合わせて更新します。
