経済産業省のSCS評価制度が始まります。取引先は、貴社に★3を求めてきます。Excelの台帳と外部コンサルに頼らず、端末そのものに証拠を出させる仕組みです。
申請受付の開始は2027年3月頃の見込みです。★3は要求事項26項目・評価基準81件・有効期限1年、専門家確認付きの自己評価で完結します。証跡は数か月分ためる必要があります。取引先から求められてからでは遅い、というのが正直なところです。着手は今です。
各行を押して、自社の状況に合わせてください。●＝対応済み ／ ○＝抜け
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」。経済産業省と内閣官房国家サイバー統括室が、2026年3月27日に制度構築方針を公表しました。取引先のセキュリティ対策を★の数で見える化する仕組みです。
★1と★2は、IPAが既に運営しているSECURITY ACTIONの自己宣言に相当します。制度の対象は★3以上です。
★3は専門家確認付きの自己評価。要求事項26項目、評価基準81件、有効期限1年。認定評価機関への申請は要りません。
★4は第三者評価と技術検証。43項目、153件、有効期限3年。実地審査が入ります。
法的な義務ではありません。ただし発注企業（委託元）が取引条件として★3以上を示すことが想定されており、事実上の参入要件になり得ます。製造・IT・物流のように大企業のサプライチェーンに組み込まれている中小企業ほど、早く動いた方が有利です。
※ 正式な要求事項・評価基準はIPAおよび経済産業省の公開文書に準拠します。本サイトの7領域は、点検用にまとめた簡易区分です。
最初の一歩は無料です。抜けが見つからなければ、お金はかかりません。
26項目の設問に答えます。所要15分。担当者ひとりで終わります。営業は入りません。
どの項目が足りないか、何を直せば★3に届くかを1枚にまとめて返します。他社製品で埋まる項目は、そう書きます。
1本のエージェントを配ります。暗号化、画面ロック、更新状況、マルウェア対策、ログを毎日集めて、証拠として残します。
監査に出す証拠が、中身の見えない箱から出てくるのは筋が通りません。何を集めているかは全て読めます。
osqueryを基盤にしています。端末の状態をSQLのテーブルとして扱う、公開されたオープンソースです。どの問い合わせを投げているかは設定ファイルとして開示します。隠しコマンドはありません。
米国Endpoint Solutions社から技術供与を受けています。検知と防御の中核は、実績のある製品と同じものです。ゼロから作った検知エンジンではありません。
MDMは、もはや商品ではありません。Appleは2026年4月14日にApple Businessを公開し、MDMを無償で同梱しました。無償のものは無償のまま使い、その上に証拠の層を載せます。既存のIntune、Jamf、CLOMOはそのままお使いください。
集めた状態を、★3の要求事項に紐づけて保存します。確認にあたる専門家や取引先には、その画面か書き出したPDFをそのまま渡せます。台帳を手で作る作業がなくなります。
ソフトで片付くのは半分です。残りは人と規程の仕事です。先にお伝えします。
| 領域 | 自動化 | 実際に何が起きるか |
|---|---|---|
| 資産管理 | ● | 端末、OS、導入ソフトを毎日棚卸しします。台帳は自動で最新になります。 |
| 端末保護 | ● | ディスク暗号化、画面ロック、マルウェア対策の稼働を全台で確認し、記録します。 |
| 脆弱性・更新管理 | ● | 未適用の更新を検出し、適用します。適用日時が証跡として残ります。 |
| ログ・監視 | ● | 端末の動作ログを保管します。保管期間の要件を満たしていることを示せます。 |
| アクセス制御 | ◐ | 端末側の権限とアカウント状態は取得します。業務システム側の権限は手で確認が要ります。 |
| インシデント対応 | ◐ | 検知と隔離は自動です。連絡体制と手順書は、雛形をお渡しして貴社で決めていただきます。 |
| 教育・体制 | 責任者の任命、社内教育、内部監査。ここは人の仕事です。販売パートナーが支援します。 |
稟議で必ず聞かれる点を、先にまとめました。制度への対応、データの置き場所、中身の開示、既存の管理策との対応関係です。対応表の全文は「セキュリティと信頼性」のページにあります。
収集した証拠は、★3の要求事項26項目に紐づけて保存します。7領域のうち4領域は自動、2領域は一部自動、教育・体制は人の仕事です。どこまでが自動かは上の表の通りで、それ以上のことは言いません。
データは日本国内に保管します。管理コンソール、報告PDF、サポートは日本語です。監視付きプランの監視と一次対応も、日本語で行います。
収集エージェントはosqueryを基盤とするオープンソースです。どの問い合わせを投げるかは設定ファイルとして公開しており、そこにない情報は取得しません。貴社の情報システム部門でも、確認にあたる専門家でも、中身を読めます。
集める証拠は、ISO/IEC 27001:2022 附属書Aの管理策に対応付けています。資産目録、エンドポイント機器、マルウェア対策、技術的ぜい弱性の管理、ログ取得、暗号の利用などです。ISMS認証を既にお持ちなら、内部監査の証拠として使えます。Kanaが認証を保有しているという意味ではありません。
米国系の取引先から求められる場合に備え、SOC 2のTrust Services Criteriaにも対応付けています。CC6（論理アクセス）、CC7（システム運用・監視）、CC8（変更管理）です。SOC 2報告書の取得を主張するものではありません。
はじめるときは、パートナーにご相談ください。
| 自社で組み立てる場合 | パートナー経由の場合 | |
|---|---|---|
| 価格 | モジュールごと、案件ごとの見積り。総額が決まるのは要件定義のあとです。 | 1台あたりの月額を公開しています。このページに載っている金額がすべてです。 |
| 導入 | 既存のツールをつなぎ、整合を保つ作業が残ります。 | エージェント1つ。既存ツールがすでに出している情報をそのまま読みます。 |
| 出てくるもの | ログと検知データ。答えに変えるのは人の仕事です。 | 要求事項ごとの★3判定と、その根拠となる記録。 |
| 審査の証拠 | 必要になった時点で、残っていた分から組み立てます。 | 初日から継続して蓄積し、証拠パックとして出力します。 |
| 既存の商流 | 入れ替えは不要ですが、整合の維持は自社の負担です。 | トレンドマイクロもCrowdStrikeもIntuneもJamfもSKYSEAも、そのまま。読むだけで、置き換えません。 |
| 問い合わせ先 | 各ベンダーに個別に。 | 貴社のパートナー1社。契約も対応も日本語で、国内で完結します。 |
1台あたりの月額です。最低契約台数はありません。年間契約でも、月次でも構いません。
