独立行政法人情報処理推進機構（以下、IPA）は10月28日、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の「★3・★4 自己評価等ガイド」「★4 第三者評価ガイド」「★4 技術検証ガイド」および「★3・★4 要求事項・評価基準 解説書」を公開した。
これらのガイドは、SCS評価制度における★3・★4取得に向けた自己評価・第三者評価に関する手続き等について解説している。
背景
サプライチェーンを通じたセキュリティインシデントが頻発しており、取引先を含めたセキュリティ対策強化が重要な課題となっている。SCS評価制度は、取引先を含めたセキュリティ対策の強化を促進し、サプライチェーン全体のセキュリティ対策水準の向上を目指す制度である。
IPAは、同制度を運営するスキームオーナーとして制度の開始に向けた各種準備を行っている。これまでに、制度規程類や、本制度の利用者に求める登録料を公表している。
概要
今回、登録希望組織や評価機関等向けに、SCS評価制度★3・★4取得に向けた自己評価や第三者評価の具体的な実施方法について示すガイド3種と、登録希望組織およびSCSセキュリティ専門家向けにその要求事項・評価基準を満たすための対策について解説した解説書を公開した。
また、IPAウェブサイト内のSCS評価制度のページについても、これまでに寄せられた問い合わせ内容等を踏まえ、Q&Aの充実を図るなど制度の詳細をよりわかりやすく伝えるよう記載内容や構成を更新した。
★3・★4 自己評価等ガイド
◎想定読者
★3又は★4の登録希望組織、★3確認責任者等
◎概要
★3又は★4の登録希望組織が行う取得単位及び適用範囲の決定、同組織が行う自己評価、並びに★3確認責任者等が行う確認に関する手続きを示す。
★4 第三者評価ガイド
◎想定読者
第三者評価を行う評価機関
◎概要
SCS評価制度において評価機関が行う★4の第三者評価に関する手続きを示す。
★4 技術検証ガイド
◎想定読者
技術検証を行う評価機関及び技術検証事業者、登録希望組織
◎概要
SCS評価制度において評価機関及び技術検証事業者が行う★4の技術検証に関する手続き、並びに登録希望組織が★4の技術検証に対応する際の留意事項を示す。
★3・★4 要求事項・評価基準 解説書
◎想定読者
★3又は★4の登録希望組織又はSCSセキュリティ専門家
◎概要
★3・★4要求事項・評価基準に関して、登録希望組織が取得単位や適用範囲の設定、自己評価等を適切に実施できるよう、その考え方や留意点を解説する。
今後の予定
「★3・★4 登録申請の手引」の公開や制度ロゴマークの制定、そして2026年12月下旬には、評価機関、技術検証事業者及び研修事業者の指定・公表など、制度開始に向けた準備を進めている。
［i Magazine・IS magazine］
