>
>
公開日
SCS評価制度の★4は、43の要求事項と153の評価基準について、評価機関による第三者評価を受けて登録する段階です。★3の81基準に72の評価基準が加わり、書類の確認に加えて、実地審査と、インターネットに公開している機器への技術検証が行われます。
本記事では、★4で追加される要件の中身、第三者評価と技術検証で確認されること、取得までに情シスが準備することを、IPAが2026年10月に公開した評価ガイドと解説書をもとに整理します。制度全体の仕組みや料金の詳細は「SCS評価制度の全体像と料金」で、★3の要件は「★3で求められる81の評価基準」で解説しています。
本記事のポイント
★4は、取引先のシステムやデータへの被害拡大を防ぐ対策と、サプライチェーンでの自社の役割に合った強靭化策を求める水準です
★3から増えるのは17要求事項・72評価基準で、最も多いのは「攻撃等の防御」の34基準です
追加分の多くは、年1回以上の点検と、その結果の役員への報告を求めています
第三者評価は、文書確認・実地審査・技術検証の3つで行われ、原則としてすべての評価基準への適合が求められます
技術検証では、VPN装置やルータなど外部から直接アクセスできる機器に脆弱性診断が行われます
★3を取得していなくても、★4を直接取得できます
情報は2026年10月29日時点で公開されている、IPAの要求事項・評価基準（Ver.1.1）、自己評価等ガイド、第三者評価ガイド、技術検証ガイド、解説書、基本規程に基づきます。出典を付した事実以外の判断の観点や進め方は、編集部の提案です。
SCS評価制度★4とは？求められる水準と★3から変わる点
★4は、サプライチェーン企業が標準的に目指すべき対策として位置づけられた段階で、★3の内容をすべて含んだうえで要件が上乗せされます。評価の方法も変わり、自己評価を専門家が確認する★3に対して、★4は外部の評価機関が審査します。
★4が想定する脅威と達成水準
★4が想定する脅威は、供給停止などでサプライチェーンに大きな影響をもたらす企業への攻撃と、機密情報など漏えいすると大きな影響が出る資産への攻撃です（出典：IPA「★3・★4 要求事項・評価基準 解説書」）。★3が想定する「広く知られた脆弱性を悪用する一般的なサイバー攻撃」よりも、侵入された後の被害の広がりに重点を置いています。
解説書は、★4の達成水準として次の2つを挙げています。
自組織と取引先のシステムやデータへの被害拡大を防ぎ、不正アクセス、情報窃取、システム停止などの被害に至るのを防ぐ対策を実施している
事業継続のための取り組みや取引先の対策状況の把握など、自組織の位置づけに応じたサプライチェーンの強靭化策を行っている
想定する脅威の範囲も広がります。★3が外部ネットワーク経由の攻撃への基礎的な対策を中心にしているのに対し、★4ではソーシャルエンジニアリング、ログの改ざんによる否認、情報窃取に加え、サーバ設置エリアへの侵入や不正な媒体の接続といった物理的な脅威も対象になります（出典：同解説書 第4章）。
★3から★4で変わる点
★3と★4の違いは、要件の量よりも、評価する人と確認の方法にあります。下の表は、★4の準備で押さえておきたい差分だけを並べたものです。準備期間なども含めた比較は「★3と★4の比較表」で紹介しています。
項目 | ★3 | ★4 |
|---|---|---|
要求事項・評価基準 | 26要求事項・81評価基準 | 43要求事項・153評価基準（★3の81基準を含む） |
評価の方式 | 専門家確認付き自己評価 | 第三者評価 |
評価する人 | ★3確認責任者（SCSセキュリティ専門家） | 評価機関（★4評価責任者はSCSセキュリティ専門家が担う） |
確認の方法 | アセスメントシートの記載内容の確認 | 文書確認・実地審査・技術検証 |
有効期間 | 1年 | 3年（毎年の自己評価を評価機関へ提出） |
IPAへの登録料（税込） | 1万円／1年（2028年4月以降の申請は2万円） | 6万円／3年（2028年4月以降も同額） |
出典：IPA「★3・★4 要求事項・評価基準 解説書」「★3・★4 自己評価等ガイド」、SCS-100 基本規程、IPA「料金設定」（2026年9月18日）
★3の確認は、原則としてアセスメントシートに書かれた情報だけをもとに行われ、対策が実際に講じられているかまでは確かめません（出典：自己評価等ガイド 4.1）。★4では、評価機関が記録や設定画面を見て運用の実態を確かめ、境界機器には実際に診断を行います。評価責任者を担うSCSセキュリティ専門家の要件は「SCSセキュリティ専門家になれる資格」で紹介しています。
登録料はIPAに支払う金額で、評価機関に支払う審査費用は含まれていません。審査費用は評価機関との契約で決まると基本規程に定められており（SCS-100 6.5）、2026年10月29日時点で目安は公表されていません。
★4の準備で最も大きく変わるのは確認の方法です。書類だけでなく運用の実態や機器の状態まで確認されるため、何をどこまで見られるかは「★4第三者評価の流れ」と「★4技術検証の対象と事前準備」で詳しく解説します。
★3を取らずに★4を直接取得できる
★4の取得に、★3の取得は必要ありません。解説書は、上位の段階には下位の段階で求められる事項がすべて含まれるため、★3を取得していなくても★4の登録申請ができると明記しています。
ただし、★4の第三者評価では、★3と共通の81基準も改めて評価されます。★3を先に取得していても、その部分の確認が省略されるわけではありません。★3を経由するかどうかは、取引先から求められている時期と、自社の準備状況で決めることになります。
自社に★4は必要か？判断するための観点
★4が必要かどうかは、自社の規模ではなく、取引先にとっての自社の位置づけで決まります。制度は、委託元が委託先に適切な★を示して対策を促す使い方を想定しているため、まずは取引先から何を求められているかを確かめるところから始まります。
最初に取引先へ確認すること
取引先から★4の取得を求められたら、情シスは営業や法務と一緒に、次の3点を確認しておくと計画が立てやすくなります。
求められている★と期限：★4が必須なのか、★3でもよいのか。いつまでに必要なのか
取得する組織の単位：会社全体で取得するのか、取引に関わる事業部や事業所で取得するのか
根拠：契約や取引条件に書かれる予定なのか、取引先の調達方針なのか
取得単位は原則として法人単位で、事業部や事業所を単位にすることもできます（出典：解説書 3.1）。ただし、単位を小さくしても、その組織が使う共通のIT基盤やクラウドサービスは評価の対象に含まれます。取得単位と適用範囲の決め方は「★4取得に向けた準備の進め方」で解説します。
★4を求められやすい企業の特徴
★4の要件そのものに、発注者がどの取引先を重視するかのヒントがあります。★4の評価基準2-1-3-1は、取得企業が自社の取引先の対策状況を年1回以上把握するよう求めており、その対象として次の条件を挙げています。
自社の重要な機密情報を提供・共有している
自社の事業継続にとって重要な位置づけを持つ
取引先の環境から発注者の内部システムにアクセスできる
自社がこのいずれかに当てはまる取引先を持つなら、その取引先からも同じ目線で見られていることになります。製品や部品の供給が止まると取引先の事業が止まる、取引先の設計情報や顧客データを預かっている、取引先の社内システムにVPNや専用線で接続している、といった場合は、★4を求められやすい立場です。こうした経路を狙う攻撃の実態は「サプライチェーン攻撃の手口」で解説しています。
★3から始めてよいケース
取引先から具体的な★の指定がなく、上の条件にも当てはまらない場合は、★3の取得から始めるのが現実的です。★3の81基準は★4にもそのまま含まれるため、★3の準備は★4に向けた土台になります。
なお、★4を取得しても、重要インフラ分野の安全基準など他の法制度で求められる対策を満たすことが保証されるわけではありません（出典：解説書 2.3）。業界の基準が別にある場合は、それとは別に対応が必要です。
逆に、自社が発注者として取引先に★を求める立場にある場合は、一律に★4を求めないよう注意が必要です。考え方は「発注者として★を求めるときの注意点」にまとめています。
★4で追加される17要求事項・72評価基準の全体像
★4で追加される72の評価基準は、新しく加わる17の要求事項にぶら下がる42基準と、★3と共通の14の要求事項に上乗せされる30基準でできています。数で見ると、「攻撃等の防御」と「リスクの特定」の2分類で全体の7割を占めます。
分類 | ★3と共通 | ★4で追加 | 主な追加内容 |
|---|---|---|---|
ガバナンスの整備 | 8 | 11 | 法令等を踏まえた社内ルール、経営判断の体制、脅威情報の活用体制、対策推進計画の役員報告 |
取引先管理 | 4 | 3 | 取引で授受する情報資産の把握、重要な取引先の対策状況の年次把握、契約終了時の回収確認 |
リスクの特定 | 11 | 18 | スマートデバイスと重要システムの設定情報の把握、ネットワーク図、退職時の回収、リモートワークのルール、脆弱性の管理体制 |
攻撃等の防御 | 48 | 34 | 多要素認証の対象拡大、アクセス権の棚卸し、サーバ設置エリアの入退室、可搬媒体、教育、暗号化、ログの6か月保管、境界機器の脆弱性 |
攻撃等の検知 | 3 | 5 | 許可ソフトウェアの一覧とインストール状況の点検、インシデントのレベル定義 |
インシデントへの対応 | 6 | 0 | （追加なし） |
インシデントからの復旧 | 1 | 1 | 目標復旧時間内に復元できることの確認 |
合計 | 81 | 72 |
出典：IPA「★3・★4 要求事項・評価基準」（Ver.1.1、2026年10月28日）をもとに編集部で集計
★4の追加要件を読むときの3つの観点
72の基準を1つずつ読む前に、全体に共通する傾向を押さえておくと、準備の優先順位を決めやすくなります。
1つ目は、年1回の点検と役員報告の流れです。 追加された72基準のうち15基準が、社内ルール、機器の情報、ネットワーク図、アクセス権、教育などを年1回以上点検するよう求めています。さらに評価基準1-4-1-1は、セキュリティ担当部署が18の評価基準の点検結果を踏まえて、セキュリティを統括する役員に対策の実態と今後の推進計画を報告し、承認を得ることを求めています。★4では、対策を一度整えるだけでなく、点検して報告し、指摘があれば是正するまでの流れが回っていることが評価の対象になります。
2つ目は、「重要なシステム」と「重要な機密情報」の範囲です。 多要素認証の対象拡大（4-1-3-5）、アクセス権の付与条件や最小権限（4-1-7-3〜6）、暗号化のルール（4-3-1-2）、ネットワークセグメントの分離（4-5-1-9）など、8つの追加基準が「重要な機密情報」の範囲を前提にしています。解説書は、「重要なシステム」「事業継続上重要なシステム」「重要な機密情報を扱うシステム」を、自己評価の前に自社の基準で決めておくよう求めています。インシデント調査用のログを保管するサーバは、必ず「重要なシステム」に含める必要があります（出典：解説書 5.1.2、用語集）。
3つ目は、数値で決まっている基準です。 ファイアウォール・プロキシ・認証サーバのログを6か月保管する（4-4-3-1）、認証サーバのログを月1回以上確認する（4-4-3-3）、脆弱性への対応履歴を月次で点検する（3-2-1-5）、サーバ設置エリアの入退場記録を6か月以上保管する（4-1-8-4）といった基準は、満たしているかどうかが記録ではっきり判断されます。今からログの保管期間を延ばしても、6か月分がそろうまでには時間がかかるため、早めの確認が必要です。
分野別：★4の追加要件で情シスが押さえるポイント
★4の追加要件は、新しい仕組みを入れることよりも、すでにある業務を記録に残し、定期的に点検することを求めるものが中心です。ここでは分野ごとに、評価基準が求める内容と、解説書やガイドが示す準備のポイントを整理します。
ガバナンスの整備：ルールの点検と経営層の関与
★4では、社内ルールを作るだけでなく、その前提となる法令や取引先の要求を把握し、年1回以上見直すことが求められます（1-1-1）。自己評価等ガイドは、自社に関連する法令、所管省庁や業界団体の基準、取引先からの要求事項を一覧にした資料があるかを確認する方法を示しています。
経営層の関与も明確になります。中心となるのは、経営判断ができる情報セキュリティ委員会などの体制（1-2-1-4）と、役員への推進計画の報告（1-4-1）です。委員会は議事録などで活動の実態があるかまで確認されます。解説書は、小規模な組織であれば専用の委員会を設けず、既存の経営会議などで審議する形でもよいとしています。
サイバー攻撃や脆弱性の情報を活用する体制と、ログの相関分析などで攻撃の予兆を検知できる体制も求められます（1-2-2）。解説書は、自社で担当者と手順を決める方法のほか、外部の監視サービスを使う方法や、UTMやSIEMを活用する方法を例示しています。
取引先管理：自社の取引先を把握する側に回る
★4を取得する企業は、自社の取引先の対策状況を把握する立場にもなります。重要な取引先について年1回以上、対策状況を確認すること（2-1-3-1）が求められ、確認方法の例として、取引先の★の取得状況の確認、訪問による点検、チェックシートによる回答の受領が挙げられています。第三者評価では、過去1年以内に確認した記録が閲覧されます。
あわせて、機密情報を共有する取引先ごとに受発注の手段や授受する情報資産を把握する仕組み（2-1-1-3）と、契約終了時に機密情報とアクセス権が回収・破棄されたことを確認する手順（2-1-5-1）も必要です。解説書は、回収のチェックシートに、削除すべきシステムのログインIDやVPNなどのアクセス権を一覧で載せる例を示しています。取引先に発行したアカウントが契約終了後も残っていないかは、情シスが確認しやすい項目です。委託先の管理全体の流れは「委託先管理の進め方」で解説しています。
リスクの特定：管理対象を広げ、定期的に点検する
★3では、パソコンとサーバの製造元・OS・台数を把握することが求められていました。★4ではこれにスマートデバイス（3-1-1-5）と、重要なシステムを構成する機器の設定情報（3-1-1-6）が加わり、把握した情報を年1回以上点検します（3-1-1-7）。自己評価等ガイドは、IT資産の棚卸しを実施した記録で点検を確認する方法を示しています。ネットワーク図の作成と年次の点検（3-1-2-3・4）も新たに求められ、解説書は適用範囲とその境界の保護施策が見分けられる図にすることを勧めています。
退職者の扱いも具体的になります。退職時と任期満了時に、印刷物や記憶媒体、パソコン、スマートデバイス、IDや鍵などのアクセス権を回収し、回収漏れを防ぐ手順を整えること（3-1-4-5）が求められ、回収状況は年1回以上点検します（3-1-4-6）。なお、許可を得て業務に使っている個人所有の端末は回収の対象に含まれず、業務データの削除などの代替策をとることが望ましいとされています（出典：解説書）。機器を廃棄するときはフォーマットでは不十分とされ、データ消去証明書や廃棄証明書などの記録を保管します（3-1-4-7・8）。
もう一つ大きいのが、脆弱性の管理体制です（3-2-1）。情報の収集から対応までの役割、情報源と収集頻度、対応要否の判断基準を定め、対応履歴を記録して月次で漏れを点検します。リモートワークのルール（3-1-5）は、使用を許可する機器とその申請・承認の方法、個人所有機器にダウンロードできるファイルの機密区分と種類を定めるところまでが求められています。
攻撃等の防御：追加の半分近くが集まる分野
攻撃等の防御は、★4で最も多い34の基準が追加される分野です。主な追加内容を、要件のまとまりごとに整理します。
要件のまとまり | 評価基準が求めること | 解説書・ガイドが示す確認のポイント |
|---|---|---|
認証（4-1-3-5） | インターネット経由の社内接続、管理者のアクセス、重要な機密情報を扱うシステムへのアクセスに多要素認証を使う | インターネットからアクセスできるシステムはすべて含む。実地審査では社内環境へのアクセスを観察される |
アクセス権（4-1-7-2〜6） | 年1回以上の棚卸し、重要システムの付与条件と管理者の要件、最小権限、利用状況の監視 | 棚卸しは、システム上の付与・削除の履歴と申請書や台帳を突き合わせて確認する |
物理（4-1-8） | サーバ設置エリアに入れる人の限定、施錠と鍵の管理、入退場記録の6か月以上の保管 | 設置エリアには委託先やデータセンターも含む |
可搬媒体（4-1-9） | 持込み・持出しのルールと、年1回以上の遵守状況の点検 | 持出し機器を社内ネットワークに再接続するときの条件も定める |
教育（4-2-1） | 経営層向けの機会、新規受入れ時と年1回以上の研修、実施記録の保管 | 記録の保管は3年間が目安 |
データ（4-3-1〜3） | 持出し時と重要情報の暗号化、データの保管場所、取引先とのファイル共有のルール | 社外へのファイル転送は、送信先と送信ファイルが特定できる履歴を残す |
構成・ログ（4-4-1〜3） | 不要サービスの無効化、標準構成の策定、サポート切れOSへの対策、ログの6か月保管と月次の確認 | クラウドサービスのログも対象。自社で取れない場合はサービス仕様書などで保管を確認する |
境界機器（4-4-4-3） | インターネットとの境界にあるネットワーク機器に、CVSS基本値7.0以上の脆弱性がない状態 | 技術検証で実際に診断される |
境界防護（4-4-5、4-5-1） | 不正サイトへのアクセス制限、メールのマルウェアチェック、ソフトウェアファイアウォール、公開サーバと重要サーバのセグメント分離 | 実地審査では端末やゲートウェイの設定画面を観察される |
出典：IPA「★3・★4 要求事項・評価基準」「★4 第三者評価ガイド」「★3・★4 要求事項・評価基準 解説書」
この中で情シスの手間が大きくなりやすいのは、アクセス権の棚卸しとログの保管です。SaaSの数が多い企業では、棚卸しの対象がクラウドサービスごとに散らばり、年1回の実施でも負担が大きくなります。進め方は「アクセス権の棚卸しの手順」と「SaaSの管理者権限の見直し」で、退職者のアカウントが各SaaSに残っていないかの確認方法は「退職者アカウントの削除確認」で解説しています。多要素認証の対象漏れは「多要素認証の適用漏れを点検する方法」で確認の手順を紹介しています。
検知と復旧：決めたルールを動かせるか
攻撃等の検知では、会社支給のパソコンで利用を許可するソフトウェアの一覧を作り（5-1-2-1）、年1回以上インストール状況を点検します（5-1-2-2）。解説書は、資産管理ツールを使って許可していないソフトウェアが入っていないかを確認する方法を挙げています。インシデントのレベルと対象範囲を定め、不審な認証試行やアラートを受けたときに、どのレベルに当たるかを判断することも求められます（5-2-1）。
復旧では、事業継続上重要なシステムについて、リストア手順書どおりに、目標復旧時間内でバックアップを復元できることを確認します（7-1-1-2）。第三者評価では、復元テストの実施結果を1件抜き出して確認されます。バックアップを取っているだけでは足りず、復元テストの記録が必要になる点が★3との違いです。
★4第三者評価の流れ：文書確認・実地審査で確認されること
★4の第三者評価は、適用範囲の確認から始まり、アセスメントシートの文書確認、組織へのヒアリングや設定画面の確認を行う実地審査、境界機器の技術検証へと進みます。原則として審査対象のすべての評価基準への適合が求められるため、書類だけでなく運用の実態を見せられる状態にしておく必要があります。
申請から登録までの流れ
★4の登録までの流れは、IPAのガイドと解説書をもとにすると、次のように整理できます。
取得単位と適用範囲を決める
要求事項・評価基準に沿って自己評価を行い、アセスメントシートに記入する
申請書とアセスメントシートを評価機関に提出し、第三者評価を申請する
評価機関が、取得単位と適用範囲の妥当性を確認する
文書確認、実地審査、技術検証を受ける（不適合があれば改善報告をする）
評価機関から評価報告書の交付を受ける
経営層が自己適合宣言を行い、IPAに登録を申請する
出典：IPA「★3・★4 要求事項・評価基準 解説書」2.2、「★4 第三者評価ガイド」第2章、「★3・★4 自己評価等ガイド」第2章・第3章
アセスメントシートは、IPAが公開している公式様式です。利用は任意ですが、独自の様式を使う場合も、評価基準、対象外とする理由、自己評価の結果、公式シートと同じ質問事項と回答欄をすべて含める必要があります（出典：自己評価等ガイド 3.1.1）。
自己適合宣言は経営層が行うものです。取得単位を事業所にする場合は、事業所長など、その事業所で経営の意思決定を行う人が宣言者になれます（出典：解説書 3.3.2）。
文書確認で見られる4つの観点
文書確認は、提出したアセスメントシートだけを対象に行われ、この段階では証跡の閲覧は必ずしも行われません。第三者評価ガイドは、確認の観点として次の4つを示しています。
観点 | 確認されること | 指摘される例 |
|---|---|---|
網羅性 | 質問への回答がもれなく記入され、対策の有効範囲が取得単位に合っているか | 回答の未記載、グループ単位なのに規程が1社にしか適用されていない |
正確性 | 回答が設問の趣旨と合っているか、誤りや不自然な点がないか | 設問の趣旨とずれた回答 |
適時性 | 回答が期間・時点に対して適切か | 年1回の点検の最新実施日が1年以上前 |
一貫性 | 他の設問の回答と矛盾していないか | 別の質問項目の回答との食い違い |
出典：IPA「★4 第三者評価ガイド」2.9
情シスが特に気をつけたいのは適時性です。年1回の点検を求める基準は多いため、点検した日付が1年以内に収まっているかを、提出前に一覧で確認しておくと指摘を防げます。
実地審査の進め方
実地審査は、原則として1拠点を対象に、事業所の現地で行われます。秘密保持や本人確認などについて合意すれば、オンラインで行うこともできます（出典：第三者評価ガイド 2.10.1）。実地審査が必須となる要求事項は、IPAが年度ごとに指定して評価機関に通知します。
評価の方法は、評価基準ごとに次の3つから指定されています。
質問：対策の整備・運用状況を、関係者に口頭や文書で尋ねる。アセスメントシートの質問事項への回答で代えることもできる
閲覧：記録や文書を確認する。管理ツール上の台帳も含む
観察：システムの設定画面などを評価チームが目で見て確かめる
年1回の点検を求める基準の多くは、「実施頻度」と「直近の実施日（1年以内か）」を質問で確認されます。一方、アクセス権の棚卸し（4-1-7-2）は棚卸しの記録が閲覧され、多要素認証（4-1-3-5）は従業員が社内環境にアクセスする様子が観察されます。どの方法で確かめられるかを把握しておくと、用意すべき証跡の優先順位がつけやすくなります。
なお、制度構築方針では、文書確認・実地審査・技術検証はそれぞれ1〜2日程度を想定しています（事前準備と報告書の作成を除く）。
管理ツールの画面やCSVも証跡になる
IPAのガイドは、「文書」「記録」「台帳」「一覧」に、情報システム上の設定、ワークフローの記録、ログ、管理ツールの画面表示やCSVなどの出力も含むと定めています（出典：自己評価等ガイド 1.2、第三者評価ガイド 1.2）。紙の台帳を新たに作らなくても、IT資産管理ツールや管理コンソールの画面、スクリーンショットで示せる場合があります。
ただし、製品の仕様書で示す場合は、その製品が実際に導入され、確認対象に適用されていることもあわせて示す必要があります（出典：自己評価等ガイド 別紙）。
不適合の改善と合否
文書確認や実地審査で不適合が見つかると、評価チームから指摘文書が出されます。指摘を受けた組織は、指摘文書を受け取ってから遅くとも1か月以内に改善報告を提出し、期間内であれば複数回に分けて改善することもできます（出典：第三者評価ガイド 2.11）。
合格になるのは、審査対象の評価基準すべてに適合し、かつ技術検証に合格した場合です。不合格の判定を受けると、その日から3か月間は第三者評価の申請が受け付けられません（出典：第三者評価ガイド 2.2.1、2.14.1）。
1か月で直せるのは、記録の不足や手順書の未整備といった項目です。ログの6か月保管や年次点検の実績のように、時間をかけないとそろわない項目は、評価を申請する前に満たしておく必要があります。
★4の153評価基準を、1枚のシートで確認できます
SCS評価制度★4対応チェックシートでは、IPAが公表した★4の全153評価基準を、★3と共通の81基準と★4で追加の72基準に分けて確認できます。対応状況を記入するだけで進捗が集計され、不足している基準の対応計画にもそのまま使えます。評価機関に提出する自己評価には、IPAの公式アセスメントシートを使います。チェックシートは、その前段の準備と進捗管理にお使いください。
★4技術検証の対象と事前準備
技術検証は★4にしかない評価で、インターネットとの境界にある機器に、外部から実際に脆弱性診断を行います。対象となる評価基準は4-4-4-3で、機器のOSとファームウェアにCVSS基本値7.0以上の脆弱性がないことが求められます。
対象となる機器
対象は、適用範囲の中で、脆弱性を悪用されると自社のIT基盤への攻撃の起点になり得る機器です。具体的には、外部から直接アクセスできるVPN装置、ルータ、ファイアウォールなど、通信を制御する機能を持つ機器が当たります（出典：IPA「★4 技術検証ガイド」1.1）。
診断で確認するのは、境界機器のOSとファームウェアに限られます。それ以外のミドルウェアやアプリケーションまで脆弱性がないことを求めるものではありません。ただし、診断の途中で別の脆弱性が見つかった場合は、是正を促されることがあります（出典：同 3.2）。
対象機器の選び方と診断の内容
診断する機器は、原則として5台です。技術検証事業者が、次の手順で候補を選びます（出典：技術検証ガイド 2.3.2）。
対象となる機器が5台以下なら、すべてを候補にする
6台以上なら、製造元とモデルが同じ機器を代表の1台にまとめてから5台を選ぶ
選ぶときは、重要なシステムにつながる機器を最優先し、次に外部から通信できるポートが多い機器を優先する
最終的には、業務への影響を考えて、登録希望組織が候補の中から対象機器を決めます。希望すれば、6台以上やすべての機器を対象にすることもできます。
診断では、TCPの1〜65535番の全ポートと、UDPの主要な100ポートなどへのポートスキャンを行います。そのうえで、通信できたポートからOSとファームウェアのバージョンを確認し、CVSS基本値7.0以上の脆弱性があるかを調べます。脆弱性が見つかった場合は、ツールの自動検出だけで判断せず、手動で精査して誤検出を防ぎます（出典：同 3.1〜3.3）。
脆弱性が見つかったときの是正
診断でCVSS基本値7.0以上の脆弱性が見つかっても、すぐに不合格になるわけではありません。登録希望組織は、診断結果を受け取ってから14日以内に、原則としてアップデートの適用で脆弱性を解消します（出典：技術検証ガイド 第2部 4）。
アップデートが公開されていない場合に限り、次のいずれかのリスク低減策で代えることができます。
脆弱性悪用の対象となる機能を無効化する
ベンダーが推奨する回避策を実施する
対象の機器を適用範囲内のネットワークから分離する
不正な通信を検出できるよう、監視機器やソフトウェアの設定を強化する
対応を終えたら、初回の結果を受け取ってから1か月以内に、再診断またはリスク低減策の確認を依頼します。期間内なら複数回依頼でき、脆弱性の解消かリスク低減策の実施が確認できれば合格です。期間内に依頼がない場合や、解消が確認できない場合は不合格になります（出典：同 第1部 4.2・4.3）。
診断が免除される条件
次のいずれかに当てはまる場合は、証跡を提出し、評価機関の審査を受けることで、脆弱性診断が免除されます（出典：技術検証ガイド 第5章）。
免除の条件 | 提出する主な証跡 |
|---|---|
対象機器がすべて自社の管理外で、管理者であるインターネットサービスプロバイダーなどから診断の許可が得られない | 診断の許可が得られないことがわかる契約書や利用規約、事業者の脆弱性対応方針や診断結果 |
文書確認の開始日から1か月以内に、技術検証事業者の指定を受けた事業者が、ガイドと同等以上の範囲で診断を実施している | 機器の一覧、診断結果、診断事業者名、診断後にバージョンや利用ポートが変わっていないことを示す資料 |
出典：IPA「★4 技術検証ガイド」第5章
定期的に外部の脆弱性診断を受けている企業は、診断の時期を第三者評価に合わせて調整すると、2つ目の条件で免除を受けられる可能性があります。
情シスが事前に準備すること
免除を申請しない場合は、技術検証事業者の依頼に応じて、次の準備を進めます（出典：技術検証ガイド 第1部 第2章、第2部 2）。
対象となり得る境界機器の一覧（製造元、モデル、グローバルIPアドレス、利用ポート）
選ばれた機器のOS・ファームウェアのバージョンがわかる資料
経営層または情報セキュリティ責任者による、診断実施の承認
SOCやCSIRTなど、診断の通信を検知・遮断する可能性がある関係者への事前通知
診断中に障害が起きたときの緊急連絡体制
IPSやWAFで、診断元のIPアドレスを遮断しないための一時的な設定変更
最後の設定変更をしないと、診断が妨げられて必要な確認ができず、不適合として扱われる場合があります。運用や保守を外部に委託している場合は、委託先から資料を取り寄せる必要もあるため、早めに相談しておきます。
技術検証を見据えるなら、★3の評価基準4-4-4-2（CVSS基本値7.0以上の脆弱性を修正するアップデートを14日以内に適用）の運用が回っていることが前提になります。解説書は、すべての脆弱性に期限内で対応するのが難しい場合、IPAの「重要なセキュリティ情報」やCISAのKEVカタログなどで攻撃が確認されているものを優先する運用を認めています。ただし、それらに掲載されたCVSS 7.0以上の脆弱性は、機器の露出状況にかかわらず14日以内に適用しなければなりません。境界機器の脆弱性に対応する流れは「FortiGateの脆弱性修正への対応例」が参考になります。
★4取得に向けた準備の進め方
★4の準備は、取得単位と適用範囲を決めるところから始まります。範囲が決まれば、対象外にできる基準を確かめたうえで、153の評価基準と照らし合わせて不足を洗い出します。
取得単位と適用範囲を決める
取得単位は、原則として法人単位です。事業部や企業グループを単位にすることもでき、その場合は評価機関から妥当性の確認を受けます（出典：解説書 3.1、自己評価等ガイド 2.2）。
事業部や事業所を単位にする場合：組織区分とセキュリティ対策の責任者が明確で、プロジェクトのような期間限定の組織ではないこと
企業グループを単位にする場合：含まれるすべての法人が共通のIT基盤を使い、共通のセキュリティ対応方針が適用されていること
適用範囲には、取得単位で使うサーバ、パソコンやスマートフォンなどの端末、ネットワーク機器のうち、インターネットと通信するものや、その通信を制御するものを含めます。クラウドサービスや、親会社が提供するグループ共通のネットワークも含まれます（出典：解説書 3.2）。
情シスが判断に迷いやすいポイントを、解説書の記載から整理しました。
対象 | 適用範囲での扱い |
|---|---|
インターネット公開サーバ（Webサーバ、メールサーバなど） | 必ず含める |
人事管理や営業管理など、特定業務のシステムだけ | 適用範囲にできない（業務全体に共通するIT基盤を含める） |
業務に使う個人所有の端末（BYOD） | 含める（通話・SMS・多要素認証だけに使う機器は除外できる） |
在宅勤務で使う機器 | 会社支給かどうかにかかわらず含める。ルータは会社支給のものだけを含める |
委託先が所有する端末 | 含めない（ただし、自社システムを扱う条件を定め、遵守状況を確認する） |
工場などの制御（OT）システム | 対象外。ただし、境界で保護施策を講じていなければ含める |
出典：IPA「★3・★4 要求事項・評価基準 解説書」3.2
適用範囲から除外する機器やシステムがある場合は、除外の対象と理由を一覧にし、適用範囲との境界にファイアウォールやVLANなどの保護施策を講じます（出典：解説書 3.2・3.3.3）。ネットワークの分離が難しい場合は、除外した組織でも★4と同等以上の対策が講じられていることを確認する必要があります。
対象外の基準を確かめ、ギャップ分析をする
範囲が決まったら、自社に当てはまらない基準を先に確かめます。たとえば、リモートワークを行う人がいなければ3-1-5の基準は、社外にパソコンや記憶媒体を持ち出すことが一切なければ4-3-1-1は対象外にできます。対象外にできるのは、ガイドに定められた条件に合い、評価機関が妥当と認めた場合に限られます（出典：自己評価等ガイド 別紙）。
そのうえで、自社の出発点に合わせて不足を洗い出します。
★3の準備を進めている場合は、★4で追加される72基準が主な作業範囲です。ただし、★3の81基準も第三者評価で改めて確認されます。★3の確認はアセスメントシートの記載だけで行われるため、★3で用意した書類が、実地審査で記録や画面を示せる水準になっているかも見直しておきます。
ISMS認証を取得している場合は、社内ルールの見直しや教育、取引先管理など、管理の仕組みに関する部分を流用しやすくなります。一方で、ログの保管期間や境界機器の脆弱性のように、★4が具体的な数値や状態で求める基準は、ISMSの運用とは別に確認が必要です。SCS評価制度の評価項目はNIST CSFの考え方をもとに分類されているため、ISMSの管理策と対応づける際の目安になります。
どちらもない場合は、153の評価基準すべてが対象です。★3の81基準から着手し、★4の追加分を順に足していくと、作業を段階に分けやすくなります。自社用の確認表を作るなら「自社用のチェックシートを作る手順」も参考にしてください。
証跡と社内体制を整える
★4の準備で時間がかかるのは、仕組みの導入よりも、運用の記録を積み上げることです。年1回の点検は実施日のわかる記録が、ログは6か月分の蓄積が必要になるため、評価を受けたい時期から逆算して始めます。教育の記録は、更新期間の3年間を目安に保管します（出典：解説書 4-2-1-4関連）。
記録を残す担当も決めておきます。アクセス権の棚卸しは情シス、取引先の対策状況の確認は購買や事業部門、教育の実施記録は人事、といったように、★4の要件は情シスの外にまたがります。役員への報告（1-4-1）で点検結果をまとめる担当を情シスに置くと、全体の進み具合を把握しやすくなります。
評価機関の選定とスケジュール
★4の第三者評価を行う評価機関、技術検証事業者、研修事業者は、2026年12月下旬に指定・公表される予定です（出典：IPAプレスリリース 2026年10月28日）。★3・★4の登録受付は、2027年3月以降に始まる予定です（出典：IPA「料金設定」）。登録申請の具体的な手続きを示す「★3・★4 登録申請の手引」は、2026年10月29日時点でまだ公開されていません。
評価機関が決まる前でも、適用範囲の決定、アセスメントシートへの記入、証跡の蓄積、境界機器の脆弱性の確認は進められます。評価機関が公表されたら、審査費用・日程・オンライン審査の可否を比較できるよう、適用範囲、拠点の数、対象となる境界機器の台数を整理しておくと見積もりの依頼がスムーズです。
取得後の3年間で続けること
★4の有効期間は3年ですが、その間も毎年、アセスメントシートで自己評価を行い、評価機関に提出します。提出の時期は、登録日から1年と2年が経過する日を基準に、それぞれ前後3か月以内です。期限内に提出しないと、登録が取り消される場合があります（出典：自己評価等ガイド 3.3、第三者評価ガイド 2.15.1）。
アセスメントシートは年1回以上更新し、自己適合宣言の署名・記名をしたうえでPDFにして評価機関に提出します。適用範囲を変えたときや、端末の大規模な入れ替え、クラウドへの大規模な移行、ネットワーク構成の大きな変更があったときは、変更に関係する部分について改めて実地審査や技術検証を受けます（出典：第三者評価ガイド 2.15.2）。
更新するには、3年ごとに第三者評価を受け直します（出典：SCS-100 3.2.2）。年1回の点検と役員報告の流れを取得後も止めずに回すことが、毎年の自己評価と3年後の更新の負担を軽くします。
★4対応でマネーフォワード Adminaを活用できる領域
★4の追加要件のうち、機器・アカウント・ソフトウェアの把握と年次の点検は、IT資産とSaaSを一元管理するツールで記録を残しやすい領域です。IPAのガイドも、管理ツール上の台帳や画面表示、CSV出力を証跡として認めています。ここでは、マネーフォワード Adminaで記録づくりを支援できる主な評価基準を紹介します。
評価基準 | 求められること | Adminaでできること |
|---|---|---|
3-1-1-5・3-1-1-7 | スマートデバイスを含む機器の把握と年次点検 | デバイス管理で、パソコンやスマートデバイスを従業員と紐づけた台帳として管理 |
4-4-2-1、5-1-2-1・5-1-2-2 | サポート切れOSへの対策、許可ソフトウェアの一覧とインストール状況の点検 | Admina Trackerで、PCのOSバージョンやインストール済みのツールを自動で取得 |
4-1-9-3 | 可搬媒体の持出しルールの遵守状況の点検 | Admina Trackerで、USBデバイスの接続・取り外しの記録を取得 |
4-1-7-2・4-1-7-6 | アクセス権の年次棚卸しと利用状況の監視 | 連携したSaaSのアカウントと権限を一覧で確認し、棚卸しの記録に使う |
3-1-4-5・3-1-4-6 | 退職時のアクセス権と機器の回収、回収状況の点検 | アカウント管理で退職に伴うアカウント削除を進め、デバイスの回収状況とあわせて確認 |
2-1-5-1 | 契約終了時のアクセス権の回収確認 | 社外ユーザーのアカウントを確認し、棚卸しサーベイで委託先の利用状況を照会 |
解説書は、ソフトウェアの種類とバージョンを手作業で漏れなく把握するには大きな労力がかかるため、自動で管理できるIT資産管理ソフトウェアの導入が有用だとしています（4-4-2-1関連）。Admina Trackerは、2026年10月に提供を開始したエージェント型のソフトウェアで、macOSとWindowsのPCにインストールして使います。PCのハードウェア・OS・ネットワークの情報や、実際に起動・利用されているツールを自動で収集するため、年1回の点検のたびに手作業で台帳を更新する負担を減らせます。
一方で、ネットワーク機器の脆弱性診断、ファイアウォールやプロキシのログ基盤、サーバ設置エリアの入退室管理などは、それぞれ専用の対策が必要です。Adminaは、★4の中でも「何がどこにあり、誰が使っているか」を示す記録の部分を担うと考えると、他の対策との役割分担を整理しやすくなります。SCS評価制度への対応でSaaSやIT資産の可視化が必要になる理由は「SaaS・IT資産の可視化がSCS対応に必要な理由」で、Adminaの対応内容は「AdminaのSCS評価制度対応」で紹介しています。
よくある質問（FAQ）
Q. ★3を取得せずに、★4を直接取得できますか？
A. できます。解説書は、上位の段階には下位の段階で求められる事項がすべて含まれるため、★3を取得していなくても★4の登録申請ができるとしています。ただし、★4の第三者評価では★3と共通の81基準も評価されます。
Q. ★4の要求事項と評価基準はいくつありますか？
A. 43要求事項・153評価基準です。このうち26要求事項・81評価基準は★3と共通で、★4で17要求事項・72評価基準が追加されます。2026年10月28日のVer.1.1への更新でも、件数は変わっていません。
Q. ★4の取得にかかる費用はいくらですか？
A. IPAへの登録料は3年分で6万円（税込）です。2028年4月以降の申請でも金額は変わりません。評価機関に支払う第三者評価の費用は評価機関との契約で決まり、2026年10月29日時点では目安が公表されていません。
Q. 技術検証では何をされますか？
A. VPN装置、ルータ、ファイアウォールなど、外部から直接アクセスできる境界機器に、外部から脆弱性診断が行われます。原則5台を選び、OSとファームウェアにCVSS基本値7.0以上の脆弱性がないかを確認します。見つかった場合も、14日以内の対応と1か月以内の再診断で合格できます。
Q. ★4の有効期間と更新の手続を教えてください。
A. 有効期間は3年間です。期間中は、登録日から1年と2年が経過する日の前後3か月以内に、自己評価の結果を評価機関に提出します。更新には3年ごとに第三者評価を受ける必要があり、適用範囲を変えたときなどは、期間中でも変更部分の再評価が必要です。
Q. IPAのアセスメントシートは必ず使う必要がありますか？
A. 利用は任意ですが、推奨されています。独自の様式を使う場合も、評価基準、対象外とする理由、自己評価の結果、公式シートと同じ質問事項と回答欄をすべて含める必要があります。
Q. 第三者評価で不合格になるとどうなりますか？
A. 不合格の判定を受けた日から3か月間は、第三者評価の申請が受け付けられません。不適合の指摘を受けた段階であれば、指摘文書を受け取ってから1か月以内に改善報告を出すことで、合格を目指せます。
Q. ISMSを取得していれば、★4は必要ありませんか？
A. ISMSとSCS評価制度は別の制度のため、★4が必要な場合は別途取得します。社内ルールの見直しや教育など、ISMSで整えた仕組みの多くは★4の準備に流用できます。ログの保管期間や境界機器の脆弱性など、具体的な数値や状態で求められる基準は、別に確認が必要です。
Q. ★4はいつから申請できますか？
A. IPAの料金設定では、★3・★4の登録受付は2027年3月以降に始まる予定です。第三者評価を行う評価機関は、2026年12月下旬に指定・公表される予定です。
まとめ：★4は「点検して報告する流れ」と「境界機器の状態」が鍵
★4は、★3の81基準に72の評価基準が加わり、評価機関による文書確認・実地審査・技術検証を受けて取得する段階です。追加要件の多くは年1回以上の点検と役員への報告を求めており、対策を整えたうえで、その運用が回っていることを記録で示せるかが評価の分かれ目になります。あわせて、境界機器に重大な脆弱性を残さない運用が、技術検証で直接確かめられます。
取引先から★4を求められたら、求められている★と期限、取得単位を確認し、適用範囲を決めたうえで153の評価基準と照らし合わせて不足を洗い出してください。ログの6か月保管や年次点検の実績のように、時間をかけないとそろわない項目から先に手をつけると、2026年12月下旬に評価機関が公表された時点で依頼に進めます。
★4取得に向けた準備チェックリスト
☐ 取引先から求められている★、期限、取得単位を確認した
☐ 取得単位と適用範囲を決め、除外する対象と理由を一覧にした
☐ 「重要なシステム」「重要な機密情報」の基準を決めた
☐ 対象外にできる基準を確認し、153の評価基準について対応状況を洗い出した
☐ 年1回以上の点検が必要な項目と、その担当部署を決めた
☐ 役員への報告と承認の場（情報セキュリティ委員会や経営会議など）を設けた
☐ ファイアウォール・プロキシ・認証サーバのログを6か月保管できているか確認した
☐ 境界機器の一覧（製造元・モデル・グローバルIP・利用ポート）を作り、脆弱性の状況を確認した
☐ 退職時・契約終了時のアクセス権と機器の回収手順を整えた
☐ バックアップを目標復旧時間内に復元できるか、テストした
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
