【SCS★3の評価基準81を埋める準備表】申請前に手元に出す物・決める人・今週の最初の一手を81行すべてに書いた1枚と、準備ガイド第5版を公開
PR TIMES
合同会社SecuROI
SCS★3の評価基準81の全部に、手元に出す物・決める人・今週の最初の一手を書きました。決める人は経営・情シス・人事総務・開発運用・法務調達の5つです。用意する物は31個です。ExcelとPDF。
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS）の★3の評価基準81を1行ずつ読み、どの行にも「記載するために手元に出す物」「それを決める人」「今週できる最初の一手」を書いた準備表を公開しました。
Excel は3シート（準備表81行・進み具合・経営向け1枚）で、PDF もあります。
あわせて準備ガイドを第5版に差し替えました。
・準備表（Excel） https://www.securoi.com/whitepapers/scs-star3-prep-sheet.xlsx
・準備表（PDF） https://www.securoi.com/whitepapers/scs-star3-prep-sheet.pdf
・準備ガイド 第5版 https://www.securoi.com/whitepapers/scs-readiness-guide.pdf
登録申請の受付は、2027年3月以降に開始する予定です。
なぜ今か
国の緊急対策パッケージ（2026年11月6日（金）・サイバーセキュリティに関する関係閣僚会議）が、SCS を3か所で名指ししました。令和9年（2027年）3月から開始し、大企業の委託先管理手法として推奨するとあります。
あわせて、運用開始の後、★を取得した企業がサイバー攻撃を受けた場合に、国から関係情報を求めることが可能な仕組みを導入する、ともあります。
制度の文書は2026年10月28日（水）に Ver.1.1 で出揃い、評価基準は確定しています。残っているのは登録の手続きの文書（登録申請の手引・2026年11月末頃の予定）で、評価基準そのものは、いま読めます。
配布物（公開資料）の使う順と、置き場所
準備表（Excel 3シート／PDF）＝リードに書いた物と同じです（再掲）。
・Excel https://www.securoi.com/whitepapers/scs-star3-prep-sheet.xlsx
・PDF https://www.securoi.com/whitepapers/scs-star3-prep-sheet.pdf
1行が評価基準1つです。左から、評価基準の番号・大分類と要求事項名・評価基準の冒頭の引用・手元に出す物・用意する物・決める人・最初の一手（今週）・参考の8列です。
手元に出す物は、文書・台帳・記録・設定・契約の5種のどれかです。これは評価基準の文の動詞で決まります（配る物の1ページ目に4つの動詞を書いています）。
決める人（対応する人）は、経営／情シス／人事・総務／開発・運用／法務・調達の5つのどれかです。Excel の自動フィルタで、主担当（決める人）の行だけを抜き出せます。
最初の一手は、その行で今週できることを1文で書いています。「規程を作る」ではなく「A4で1枚に責任者の名前と担当部署を書く」の粒度です。
用意する物の列には、同じ物で埋まる行に同じ名前が入っています。81行を名前でまとめると31個です。Excel でこの列を絞ると、その1個で何行埋まるかが見えます。
Excel には状態の列があります。未着手・用意中・手元にあるの3つから選びます。ここを埋めると、進み具合のシートと経営向け1枚のシートが数式で動きます。
参考の列には、当社が公開している資料で始めるときに使える所を書いています。空いている行もあります。当社の資料を使わなくても、81行とも手元に出す物と決める人と最初の一手が書いてあります。
参考の列の読み方は、A-13 のような英字と数字が点検表61問の番号、問2 が取締役会で聞く問いの番号、台帳 工程0 が判定の台帳の工程、判断表 欄3 が判断表の欄です。
17の問いは通称で、実物は19行あります。17は国の項目の数で、当社が2行足しました。だから参考の列には問19まで出ます。
参考の列に出てくる当社の資料は、次の4つです。
・国の注意喚起 対応点検表（2026年10月版）
Excel https://www.securoi.com/whitepapers/security-checklist-2026-10.xlsx
PDF https://www.securoi.com/whitepapers/security-checklist-2026-10.pdf
・取締役・監査等委員が執行側に聞く17の問い
https://www.securoi.com/whitepapers/board-oversight-questions.pdf
・判定の台帳と組む手順
Excel https://www.securoi.com/whitepapers/vuln-triage-ledger.xlsx
PDF https://www.securoi.com/whitepapers/vuln-triage-ledger.pdf
・重大な脆弱性が公表された日の判断表
https://www.securoi.com/whitepapers/morning-decision-sheet.pdf
準備ガイドは第5版に差し替えました。URL は変えていません（リードに書いた物と同じです・再掲）。
・SCS 評価制度対応 現在地把握ガイド
https://www.securoi.com/whitepapers/scs-readiness-guide.pdf
・公開している資料の一覧 https://www.securoi.com/downloads
公開資料の使い分け（どれから）
・国の注意喚起に、まず自社がどこまでできているかを答えたい
→ 国の注意喚起 対応点検表（61問）／情シス／60分
・取締役会・監査役等で執行側に聞きたい
→ 取締役・監査等委員が執行側に聞く17の問い／経営・監査役等／会議1回
・重大な脆弱性が公表された日に、止めるか続けるかを決めたい
→ 重大な脆弱性が公表された日の判断表／情シス・経営／30分
・見つけた脆弱性を、期限を決めて回したい
→ 判定の台帳と組む手順／情シス・開発運用／毎週
・11月5日・6日の国の2文書と監査役協会の調査を、立場ごとに今ある資料のどこで確かめるか知りたい
→ 対応表（A 情シス・B 開発運用・C 経営）／3つの立場／立場ごとに1枚
・SCS★3 の申請に向けて、何を用意し誰が決めるか（対応するか）を埋めたい
→ この準備表（81行）／5つの担当／2027年3月まで
対応表（2026年11月10日（火）公開）は、国の文書を今ある資料のどこで確かめるかの今週の地図です。準備表は、SCS★3 の申請までに何を用意するかの4か月の地図です。入口が違うだけで、どちらも同じ点検表・17の問い・台帳・判断表に戻ります。
場合別の進め方（3つ）
81行を1行ずつ読む前に、用意する物31個か、決める人5つで絞ってください。どちらで絞るかが、下の3つの違いです。
A 負担を最小にして、受付までに形を整えたい
→ 準備表の「用意する物」の列で絞り、行数の多い物から手をつけます。いちばん多いのは認証の設定で7行、次が年1回の点検の記録とパスワードの社内ルールで5行ずつです。週に2個ずつ用意すれば、31個は4か月で一巡します。読む物は準備表1枚だけです。
B 多少の負担は覚悟して、土台から作りたい
→ 国の注意喚起 対応点検表（61問）で現在地を60分で出し、準備表で用意する物を決め、準備ガイドの第4章で制度の読み方を確かめ、取締役・監査等委員が執行側に聞く17の問いで経営に上げます。4つの資料を使いますが、SCS★3 の外でも使える土台になります。
C 取引先から求められた、または取引先に求める側
→ 準備表の「決める人」の列で絞り、5つの担当に配ります。求める側の方は、相手に「この行は誰が決めるか」を聞いてください。決める人が返ってくれば、社内で回る体制があることが分かります。
SCS★3 とは（原文の範囲で）
★3が見るのは7つの大分類で、★3に当たるのはその下の12の中分類です。
評価は、アセスメントシートの記載の妥当性を見る自己評価です。経営層による自己適合宣言と、★3確認責任者の確認が要ります。対策が実際に講じられているか、証跡が実在するかは確かめない形なので、記載の真実性は組織が負います。
★4は要求事項43・評価基準153で、そのうち81は★3と共通です。★4では指定評価機関による第三者評価が加わります。★3を満たす準備は、★4を目指すときにもそのまま使えます。
アップデートの期限「14日以内」と、当社の3つの区分
評価基準の1つ（4-4-4-2）は、アップデートを公表から14日以内（2週間以内）に適用することを定めています。当たるのは3つの場合です。
- ベンダーが「重大」または「高リスク」と説明する脆弱性を修正するもの。
- CVSS の基本値が7.0以上の脆弱性を修正するもの。
- 脆弱性のレベルの詳細がベンダーから提供されていないもの。
やむを得ず期限内にできないときは、適用までの間に、悪用のリスクを低減する対策を実施することを求めています。
当社の判定の台帳は、期限を3つの区分（すぐ動く／順番に入れる／記録して見直す）で決めています。これは当社が自分で置いた区分で、制度から降ろしたものではありません。準備表では、参考の列に判定の台帳が出る行が3行あり、そのうち1行には工程の番号まで書いています。
この準備表でできることと、その先で人が決めること
この準備表でできるのは、評価基準81のそれぞれで、何を用意するかを決めることです。アセスメントシートに記載する前に、手元に何を出せば書けるかが1行ずつ分かります。読む物を増やさずに、今日動く1行を選べます。
準備表は用意する物を示すところまでで、決めるのはその組織の人です。
更新日は2026年11月11日（水）です。原本が改まれば、この準備表も改めます。
配る物の形
準備表は Excel 3シートと PDF（11ページ）です。同じ1本の元データから作っています。保存名は「SCS★3 の評価基準81の準備表」です。
Excel のシート1が準備表の81行です。「決める人」で色を分けていて、自動フィルタで主担当（決める人）の行だけを抜き出せます。状態を入れると、シート2「進み具合」とシート3「経営向け1枚」が動きます。進み具合は決める人・手元に出す物の種類・大分類のそれぞれで数え、経営向け1枚は担当ごとの行数と手元にある行の割合を出します。どちらも数式だけで、マクロはありません。
PDF は読む物、Excel は埋める物です。PDF には状態の列を入れていません。
出典の表に、原本の版と取得日を書いています。脚注には、版の日付と、81行すべてに書いてあることを書いています。
代表コメント
★3の準備で知りたいのは、81行をどう最短で埋めるかだと思います。
当社が81行を埋めてみて分かったのは、用意する物の数は81より少ない、ということです。同じ1枚の社内ルールで埋まる行、同じ1回の訓練の記録で埋まる行、同じ一覧に列を1本足せば埋まる行があります。準備表の「手元に出す物」を名前でまとめると、用意する物は31個に収まりました。81行を1行ずつ埋めるのではなく、31個の物を用意して、それが何行を埋めるかを確かめる方が速いです。
もう1つは、情シスに全部を渡さないことです。守秘義務や教育の記録は人事・総務、取引先との合意は法務・調達、方針と体制は経営が持つ行で、そちらで書く方が早く埋まります。81行のうち32行には、情シス以外の担当が入っています。
この表は、その配り方と順番を決める1枚です。申請の前に、何を手元に出すかを先に決めておくための1枚です。
出典
サプライチェーン強化に向けたセキュリティ対策評価制度 要求事項・評価基準 Ver.1.1（独立行政法人情報処理推進機構・2026年10月28日（水））。評価基準81の番号・大分類・要求事項名・文の引用に使いました。
サプライチェーン強化に向けたセキュリティ対策評価制度 自己評価等ガイド（同・2026年10月28日（水）初版）。自己評価の形、自己適合宣言、★3確認責任者、証跡の実在は確かめないことに使いました。
サプライチェーン強化に向けたセキュリティ対策評価制度 ★4 第三者評価ガイド（同・2026年10月28日（水）初版）。★4に指定評価機関の第三者評価が加わることに使いました。
サプライチェーン強化に向けたセキュリティ対策評価制度 料金設定のお知らせ（同・2026年9月18日（金））。登録申請の受付の時期に使いました。
サイバーセキュリティ緊急対策パッケージ（サイバーセキュリティに関する関係閣僚会議・2026年11月6日（金）に策定）。SCS を名指しした3か所に使いました。
会社概要
・会社名：合同会社SecuROI（法人番号：5011203005053）
・代表者：代表社員 小山 幸輝（Yoshiki Koyama）
・代表者の経歴：情報システム・セキュリティの現場に20年以上。警察庁関連（犯罪対策支援）を経て、大手監査法人グループのセキュリティコンサルティングファームで監査対応・セキュリティコンサルティングに従事。その後、事業会社のセキュリティ部門マネージャー・アドバイザーとして、統制の内製化とIPO準備の実務を担う。
・事業内容：成長企業向けIT統制・セキュリティ診断SaaSの提供
・サービス：SecuROI（セキュロイ）｜https://www.securoi.com
・お問い合わせ：support@securoi.com
・Excel https://www.securoi.com/whitepapers/scs-star3-prep-sheet.xlsx
・PDF https://www.securoi.com/whitepapers/scs-star3-prep-sheet.pdf
1行が評価基準1つです。左から、評価基準の番号・大分類と要求事項名・評価基準の冒頭の引用・手元に出す物・用意する物・決める人・最初の一手（今週）・参考の8列です。
手元に出す物は、文書・台帳・記録・設定・契約の5種のどれかです。これは評価基準の文の動詞で決まります（配る物の1ページ目に4つの動詞を書いています）。
決める人（対応する人）は、経営／情シス／人事・総務／開発・運用／法務・調達の5つのどれかです。Excel の自動フィルタで、主担当（決める人）の行だけを抜き出せます。
最初の一手は、その行で今週できることを1文で書いています。「規程を作る」ではなく「A4で1枚に責任者の名前と担当部署を書く」の粒度です。
用意する物の列には、同じ物で埋まる行に同じ名前が入っています。81行を名前でまとめると31個です。Excel でこの列を絞ると、その1個で何行埋まるかが見えます。
Excel には状態の列があります。未着手・用意中・手元にあるの3つから選びます。ここを埋めると、進み具合のシートと経営向け1枚のシートが数式で動きます。
参考の列には、当社が公開している資料で始めるときに使える所を書いています。空いている行もあります。当社の資料を使わなくても、81行とも手元に出す物と決める人と最初の一手が書いてあります。
参考の列の読み方は、A-13 のような英字と数字が点検表61問の番号、問2 が取締役会で聞く問いの番号、台帳 工程0 が判定の台帳の工程、判断表 欄3 が判断表の欄です。
17の問いは通称で、実物は19行あります。17は国の項目の数で、当社が2行足しました。だから参考の列には問19まで出ます。
参考の列に出てくる当社の資料は、次の4つです。
・国の注意喚起 対応点検表（2026年10月版）
Excel https://www.securoi.com/whitepapers/security-checklist-2026-10.xlsx
PDF https://www.securoi.com/whitepapers/security-checklist-2026-10.pdf
・取締役・監査等委員が執行側に聞く17の問い
https://www.securoi.com/whitepapers/board-oversight-questions.pdf
・判定の台帳と組む手順
Excel https://www.securoi.com/whitepapers/vuln-triage-ledger.xlsx
PDF https://www.securoi.com/whitepapers/vuln-triage-ledger.pdf
・重大な脆弱性が公表された日の判断表
https://www.securoi.com/whitepapers/morning-decision-sheet.pdf
準備ガイドは第5版に差し替えました。URL は変えていません（リードに書いた物と同じです・再掲）。
・SCS 評価制度対応 現在地把握ガイド
https://www.securoi.com/whitepapers/scs-readiness-guide.pdf
・公開している資料の一覧 https://www.securoi.com/downloads
公開資料の使い分け（どれから）
・国の注意喚起に、まず自社がどこまでできているかを答えたい
→ 国の注意喚起 対応点検表（61問）／情シス／60分
・取締役会・監査役等で執行側に聞きたい
→ 取締役・監査等委員が執行側に聞く17の問い／経営・監査役等／会議1回
・重大な脆弱性が公表された日に、止めるか続けるかを決めたい
→ 重大な脆弱性が公表された日の判断表／情シス・経営／30分
・見つけた脆弱性を、期限を決めて回したい
→ 判定の台帳と組む手順／情シス・開発運用／毎週
・11月5日・6日の国の2文書と監査役協会の調査を、立場ごとに今ある資料のどこで確かめるか知りたい
→ 対応表（A 情シス・B 開発運用・C 経営）／3つの立場／立場ごとに1枚
・SCS★3 の申請に向けて、何を用意し誰が決めるか（対応するか）を埋めたい
→ この準備表（81行）／5つの担当／2027年3月まで
対応表（2026年11月10日（火）公開）は、国の文書を今ある資料のどこで確かめるかの今週の地図です。準備表は、SCS★3 の申請までに何を用意するかの4か月の地図です。入口が違うだけで、どちらも同じ点検表・17の問い・台帳・判断表に戻ります。
場合別の進め方（3つ）
81行を1行ずつ読む前に、用意する物31個か、決める人5つで絞ってください。どちらで絞るかが、下の3つの違いです。
A 負担を最小にして、受付までに形を整えたい
→ 準備表の「用意する物」の列で絞り、行数の多い物から手をつけます。いちばん多いのは認証の設定で7行、次が年1回の点検の記録とパスワードの社内ルールで5行ずつです。週に2個ずつ用意すれば、31個は4か月で一巡します。読む物は準備表1枚だけです。
B 多少の負担は覚悟して、土台から作りたい
→ 国の注意喚起 対応点検表（61問）で現在地を60分で出し、準備表で用意する物を決め、準備ガイドの第4章で制度の読み方を確かめ、取締役・監査等委員が執行側に聞く17の問いで経営に上げます。4つの資料を使いますが、SCS★3 の外でも使える土台になります。
C 取引先から求められた、または取引先に求める側
→ 準備表の「決める人」の列で絞り、5つの担当に配ります。求める側の方は、相手に「この行は誰が決めるか」を聞いてください。決める人が返ってくれば、社内で回る体制があることが分かります。
SCS★3 とは（原文の範囲で）
★3が見るのは7つの大分類で、★3に当たるのはその下の12の中分類です。評価は、アセスメントシートの記載の妥当性を見る自己評価です。経営層による自己適合宣言と、★3確認責任者の確認が要ります。対策が実際に講じられているか、証跡が実在するかは確かめない形なので、記載の真実性は組織が負います。
★4は要求事項43・評価基準153で、そのうち81は★3と共通です。★4では指定評価機関による第三者評価が加わります。★3を満たす準備は、★4を目指すときにもそのまま使えます。
アップデートの期限「14日以内」と、当社の3つの区分
評価基準の1つ（4-4-4-2）は、アップデートを公表から14日以内（2週間以内）に適用することを定めています。当たるのは3つの場合です。- ベンダーが「重大」または「高リスク」と説明する脆弱性を修正するもの。
- CVSS の基本値が7.0以上の脆弱性を修正するもの。
- 脆弱性のレベルの詳細がベンダーから提供されていないもの。
やむを得ず期限内にできないときは、適用までの間に、悪用のリスクを低減する対策を実施することを求めています。
当社の判定の台帳は、期限を3つの区分（すぐ動く／順番に入れる／記録して見直す）で決めています。これは当社が自分で置いた区分で、制度から降ろしたものではありません。準備表では、参考の列に判定の台帳が出る行が3行あり、そのうち1行には工程の番号まで書いています。
この準備表でできることと、その先で人が決めること
この準備表でできるのは、評価基準81のそれぞれで、何を用意するかを決めることです。アセスメントシートに記載する前に、手元に何を出せば書けるかが1行ずつ分かります。読む物を増やさずに、今日動く1行を選べます。準備表は用意する物を示すところまでで、決めるのはその組織の人です。
更新日は2026年11月11日（水）です。原本が改まれば、この準備表も改めます。
配る物の形
準備表は Excel 3シートと PDF（11ページ）です。同じ1本の元データから作っています。保存名は「SCS★3 の評価基準81の準備表」です。Excel のシート1が準備表の81行です。「決める人」で色を分けていて、自動フィルタで主担当（決める人）の行だけを抜き出せます。状態を入れると、シート2「進み具合」とシート3「経営向け1枚」が動きます。進み具合は決める人・手元に出す物の種類・大分類のそれぞれで数え、経営向け1枚は担当ごとの行数と手元にある行の割合を出します。どちらも数式だけで、マクロはありません。
PDF は読む物、Excel は埋める物です。PDF には状態の列を入れていません。
出典の表に、原本の版と取得日を書いています。脚注には、版の日付と、81行すべてに書いてあることを書いています。
代表コメント
★3の準備で知りたいのは、81行をどう最短で埋めるかだと思います。
当社が81行を埋めてみて分かったのは、用意する物の数は81より少ない、ということです。同じ1枚の社内ルールで埋まる行、同じ1回の訓練の記録で埋まる行、同じ一覧に列を1本足せば埋まる行があります。準備表の「手元に出す物」を名前でまとめると、用意する物は31個に収まりました。81行を1行ずつ埋めるのではなく、31個の物を用意して、それが何行を埋めるかを確かめる方が速いです。
もう1つは、情シスに全部を渡さないことです。守秘義務や教育の記録は人事・総務、取引先との合意は法務・調達、方針と体制は経営が持つ行で、そちらで書く方が早く埋まります。81行のうち32行には、情シス以外の担当が入っています。
この表は、その配り方と順番を決める1枚です。申請の前に、何を手元に出すかを先に決めておくための1枚です。
出典
サプライチェーン強化に向けたセキュリティ対策評価制度 要求事項・評価基準 Ver.1.1（独立行政法人情報処理推進機構・2026年10月28日（水））。評価基準81の番号・大分類・要求事項名・文の引用に使いました。
サプライチェーン強化に向けたセキュリティ対策評価制度 自己評価等ガイド（同・2026年10月28日（水）初版）。自己評価の形、自己適合宣言、★3確認責任者、証跡の実在は確かめないことに使いました。
サプライチェーン強化に向けたセキュリティ対策評価制度 ★4 第三者評価ガイド（同・2026年10月28日（水）初版）。★4に指定評価機関の第三者評価が加わることに使いました。
サプライチェーン強化に向けたセキュリティ対策評価制度 料金設定のお知らせ（同・2026年9月18日（金））。登録申請の受付の時期に使いました。
サイバーセキュリティ緊急対策パッケージ（サイバーセキュリティに関する関係閣僚会議・2026年11月6日（金）に策定）。SCS を名指しした3か所に使いました。
会社概要
・会社名：合同会社SecuROI（法人番号：5011203005053）
・代表者：代表社員 小山 幸輝（Yoshiki Koyama）
・代表者の経歴：情報システム・セキュリティの現場に20年以上。警察庁関連（犯罪対策支援）を経て、大手監査法人グループのセキュリティコンサルティングファームで監査対応・セキュリティコンサルティングに従事。その後、事業会社のセキュリティ部門マネージャー・アドバイザーとして、統制の内製化とIPO準備の実務を担う。
・事業内容：成長企業向けIT統制・セキュリティ診断SaaSの提供
・サービス：SecuROI（セキュロイ）｜https://www.securoi.com
・お問い合わせ：support@securoi.com
本記事はアフィリエイトプログラムによる収益を得ている場合があります