SCS評価制度の★3は、取れれば取引先への強力な信頼の証明になります。しかし現実的に見ると、準備なしにいきなり★3を目指すのは、多くの企業にとってハードルが高いのも事実です。

「制度が始まる前に何かしておきたい」と考えている担当者こそ、まず★2（SECURITY ACTION二つ星）の宣言から始めるステップアップ戦略が有効です。

この記事では、★3の取得が難しい理由を正直に整理したうえで、★2宣言から★3へつなげる現実的なロードマップを解説します。

この記事を読むとわかること

• SCS評価制度★3が難しい理由と、具体的に何がコストになるか
• ★2（SECURITY ACTION二つ星）の宣言に必要なこと
• ★2宣言のチェックリストと、CWJサービスで対応できる範囲
• ★2から★3へのステップアップロードマップ

なぜSCS評価制度★3の取得は難しいのか？

SCS評価制度の★1・★2は、IPAのSECURITY ACTIONと連動した「自社で取り組みを公表する（自己宣言）」だけで可能です。

一方、★3では、自己評価に加えて、登録セキスペ（登録情報セキュリティスペシャリスト）による「専門家確認」を経て初めて取得が可能になります。つまり、「自社の主張」だけでなく「外部の客観的な証明」が必要になるということです。

★3の取得が高い壁になる理由は、主に以下の3点に集約されます。

システムの導入・整備コスト

メール・端末・アクセス管理・インシデント対応など、求められる対策の範囲が広く、現状の体制によっては複数のツール導入や設定変更が必要になり、相応の費用がかかります。

運用に関わる人的コスト

ツールを入れるだけでは終わりません。社内ルールの整備、担当者のアサイン、従業員への教育など、運用体制を構築するために現場の工数が大きく割かれることになります。

専門家確認の費用

登録セキスペへの確認依頼には、別途コンサルティング費用や評価費用が発生します。評価ガイドの詳細は順次公表されますが、相応の予算確保が必要です。
「費用を試算してみたら想定より大きかった」「担当者が社内にいない」という理由で、★3対応が止まってしまう企業は少なくないでしょう。

まず★2宣言から始める理由

SCS評価制度★3への道が遠くても、何もしないまま制度開始を迎えるのはリスクであると考えます。大企業・官公庁との取引がある企業にとって、SCS評価制度は今後の取引条件に組み込まれる可能性があるからです。

そこで現実的な選択肢となるのが、まず★2（SECURITY ACTION二つ星）の宣言です。

★2宣言に必要なのは2つ

必要な手続きは以下の2つだけです。

• 「5分でできる！情報セキュリティ自社診断（25項目）」の実施
• 「情報セキュリティ基本方針」を策定し、外部公開すること

既に、セキュリティ対策を行っている場合、ここまでの対応なら、費用はかかりません。

まず★2を宣言して「自社のセキュリティへの姿勢」を社内外に示し、対策の土台を作りながら★3に向けた準備を段階的に進めること。
これが、現実的なステップアップ戦略です。

★2宣言チェックリスト（一部抜粋）

★2宣言に向けて確認すべき項目の一部をご紹介します。
IPAの自社診断25項目は、大きく以下の5領域に分類されます。

分類（取組み目標）	具体的なチェック項目（一部抜粋・要約）
1. 情報資産の把握と管理	□ 守るべき情報資産（顧客名簿・台帳等）を把握しているか □ 情報資産の持ち出しルールが決まっているか
2. 物理的・技術的安全管理	□ OSやソフトを最新状態に更新しているか □ ウイルス対策ソフトを導入・更新しているか □ ログインパスワードを適切に設定・管理しているか
3. 組織的安全管理	□ 情報セキュリティ担当者を決めているか □ 事故が発生した時の連絡体制が決まっているか
4. 人的安全管理	□ 従業員にセキュリティ教育を定期的に行っているか
5. 外部委託先の管理	□ 委託先のセキュリティ対策状況を確認しているか/td>

※全25項目の詳細な診断は、IPA公式の「5分でできる！情報セキュリティ自社診断」からブラウザ上で簡単に実施いただけます（外部サイト）。

上記のチェック項目のうち、特に技術的な対策（ウイルスメールの自動ブロック、添付ファイルの無害化、誤送信防止など）は、「CWJ Secure One（セキュアワン）」などのシステムを導入することでクリアすることができます。

メールのセキュリティ対策をオールインワンで実現する
「CWJ Secure One」 紹介動画

★2から★3へのステップアップするロードマップ

いきなり高難度の★3を目指して挫折するのではなく、まずは着実に土台を固め、段階的にハードルを越えていくことが成功の鍵です。具体的な4つのフェーズに分けて解説します。

Phase1：★2宣言

IPAの自社診断を実施し、情報セキュリティ基本方針を策定・公開して宣言。費用ゼロで対策状況の可視化と対外アピールが可能になります。

Phase2：メール・アクセス管理の強化

★2宣言のプロセスで把握した自社の弱点を、優先度の高い順に対処していきます。
特に入口対策となるメールセキュリティや、外部からの侵入を防ぐアクセス管理の整備は、このフェーズで着手するのが費用対効果の面でも現実的です。

Phase3：記録・証跡体制の整備

★3取得において最大のポイントは「対策をしている」と言えるだけでなく、それを「ログで証明できる」状態にすることです。監査ログの取得やメールアーカイブの長期保存など、有事の際や審査時に証跡を出せる仕組みをこの段階で構築します。

まずは「★2」の一歩から

CS評価制度に対する準備をしないまま、2026年度末の制度開始を迎えるのはリスクです。まずは今すぐ着手できる「★2宣言」に動き出すことが、結果的に★3への最短ルートになります。

セキュリティ対策は「完璧になってから始めるもの」ではありません。まず一歩を踏み出す姿勢そのものが、取引先に対する最大の信頼証明になります。

株式会社サイバーウェイブジャパンの「CWJ Secure One（セキュアワン）」は、★2宣言の土台となるメールセキュリティ領域をオールインワンでカバーします。

「まずは★2宣言に向けて、自社の現状を診断したい」「不足している要件を具体的に知りたい」とお考えのご担当者様は、ぜひお気軽にご相談ください。貴社のお悩みに寄り添う、無料のワークショップも行っています。

[関連リンク]

この記事のポイント

• 1.なぜSCS評価制度★3の取得は難しいのか？

  ★3の取得が「高い壁」とされる主な理由は、以下の3つのコストが発生するためです。

  • 対策範囲の拡大に伴う「システムの導入・整備コスト」
  • 社内ルールや教育にかかる「人的コスト」
  • 登録セキスペへの依頼にかかる「専門家確認の費用」

  詳しくは「なぜSCS評価制度★3の取得は難しいのか？」をご覧ください。

• 2.まず★2宣言から始めるメリットは？

  ★2（SECURITY ACTION二つ星）は、以下の2点の手続きだけで宣言でき、費用もかかりません。

  • 5分でできる「自社診断（25項目）」の実施
  • 「情報セキュリティ基本方針」の策定と外部公開

  まず★2で対策の土台を作ることで、★3に向けた準備を段階的に進められるようになります。

  詳しくは「まず★2宣言から始める理由」をご覧ください。

• 3.3へのステップアップはどう進める？

  2026年度末の制度開始を見据え、以下の4フェーズで進めるのが現実的です。

  • Phase1：★2宣言による現状の可視化と公表
  • Phase2：優先度の高いメール・アクセス管理の強化
  • Phase3：証明に不可欠な「ログ・証跡管理」の整備
  • Phase4：専門家確認を経て★3申請へ

  詳しくは「★2から★3へのステップアップするロードマップ」をご覧ください。