SCS評価制度（セキュリティ評価制度）対応
経済産業省・内閣官房国家サイバー統括室が推進する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」は、令和8年度末頃の制度開始が予定されています（令和8年3月に制度構築方針が公表済み）。BBSACは★3/★4の要求事項のうち、ログの取得・監視・分析にあたる技術要件を担当します。
SCS評価制度とは
SCS評価制度は、サプライチェーン全体のセキュリティ強化を目的とした制度です。2社間の取引契約等において、発注者が受注者に適切なサイバーセキュリティ対策の段階（★）を提示し、受注者に示された対策の実施を促すとともに、両者で実施状況を確認する——という使われ方を想定しています。
令和8年3月に制度構築方針が公表され、まず★3・★4から制度が開始される予定です（★5の要求事項・評価基準は今後の検討事項とされています）。要求事項・評価基準を満たす具体的な実装例をまとめた評価ガイド等は令和8年秋頃に公表予定で、制度開始は令和8年度末頃が目指されています。
専門家確認付きの自己評価
取得希望組織による自己評価に、セキュリティ専門家の確認を経る方式。有効期間は1年です。
第三者評価＋技術検証
評価機関による要求事項の審査に加え、技術検証の実施が求められます。有効期間は3年です。
今後検討
制度構築方針において、★5の要求事項・評価基準は今後検討するものとされています。
当社もこの趣旨に従います。BBSACを導入すれば★が取得できる、というものではありません。BBSACが担うのは下表に示す技術要件の一部であり、ガバナンス・体制整備・取引先管理などの大半はお客様側での対応が必要です。制度の正確な情報は、スキームオーナーであるIPAの公式サイトをご確認ください。
BBSACがカバーするSCS評価基準
SCS★3・★4の評価基準は全153項目あります（★3が81項目、★4が72項目）。このうちBBSACが証跡を出せるのは、下表の8項目です。残りの大半は社内規程・体制整備・従業員教育・取引先管理など、お客様側での対応が必要な項目です。
下表の評価基準番号は、BBSACが毎週自動生成するレポートの「SCS評価制度への対応状況（審査用の証跡）」欄に、実データの件数つきで出力されます。文章だけの対応表ではなく、審査の場でそのまま提示できる数字が毎週残ります。
| 評価基準No. | 評価基準の内容（要約） | BBSACの対応 | 状態 |
|---|---|---|---|
| 4-4-3-1 ★4 |
インシデント調査に必要なログを取得・保管する。ファイアウォール／プロキシサーバ／認証サーバの各ログを6ヶ月（取得項目の指定あり） | 各ベンダーのログを収集し、通信ログを185日（＝6ヶ月）保管。認証ログは無期限保管。週次レポートに件数を記載 | ✅ 対応 |
| 4-4-3-2 ★4 |
ログの保管先にインターネット経由でアクセスする場合は、常に多要素認証を使用する | ダッシュボードはパスキー（FIDO2）／MFAで保護。ログの実体はお客様自身のAWSアカウント内に閉じます | ✅ 対応 |
| 4-4-3-3 ★4 |
認証サーバのログを月1回以上の頻度でモニタリングし、不審な認証試行を検知する | 常時監視のため、基準が求める頻度を大きく超えています。サインイン件数を週次レポートに記載 | ✅ 対応 |
| 1-2-2-1 ★4 |
サイバー攻撃及び脆弱性に関する公開情報又は非公開情報を活用する体制を整備する | 外部の脅威情報（abuse.ch等・日次更新）を取り込み、検知した接続先と自動で突き合わせ。一致した検知は重大度を引き上げます | ✅ 対応 |
| 1-2-2-2 ★4 |
入手した情報又はログの相関分析等により、サイバー攻撃の予兆及びインシデントの発生を検知できる体制を整備する | 複数ベンダーのログを突き合わせる相関分析（9シナリオ）。単体のログでは分からない事象を検知し、件数を週次レポートに記載 | ✅ 対応 |
| 5-1-1-2 ★3 |
ネットワーク機器のログ及びアラートを分析し、担当者又は管理者によりセキュリティインシデントに該当するかが判断される | AIが一次分析を行い日本語で要約します。該当するか否かの判断はお客様のご担当者が行い、対処した記録が証跡として残ります | 一部対応 |
| 5-1-1-3 ★3 |
アラートが速やかに発報され、インシデントの速報レポートが作成・通知される仕組みを導入する | 重大度High以上を検知から数分以内にSlackへ通知。AIが生成した速報の要約を同時に送ります | ✅ 対応 |
| 5-2-1-2 ★4 |
不審な認証試行やアラートを受け取った場合に、5-2-1-1で定めたレベルに基づき、どのレベルのインシデントに該当するかを分析・判断する | 検知した事象を自動でレベル分けします。レベルの定義そのもの（5-2-1-1）はお客様の社内規程で定める必要があります | 一部対応 |
混同されやすい隣接の評価基準
下記はBBSACが担うと誤解されやすい項目ですが、お客様側またはお使いの製品側での対応が必要です。BBSACは、これらの機器・サービスが出力するログを収集・分析する立場です。
| 評価基準No. | 評価基準の内容（要約） | 担当 |
|---|---|---|
| 5-1-1-1 ★3 |
ネットワークの境界又は端末において、不正アクセスをリアルタイムに検知・遮断する機器又はサービスを設置する | お使いの製品 |
| 5-1-2-1〜3 ★4 |
許可ソフトウェアの一覧作成／年1回以上のインストール状況の点検／マルウェア対策ソフトのリアルタイムスキャン | お客様・製品 |
| 5-2-1-1 ★4 |
自社におけるセキュリティインシデントのレベル及びレベルごとの対象範囲を定め、役員・従業員等へ周知する | お客様対応 |
| 大分類 1 （19項目） |
ガバナンスの整備（社内ルールの策定・周知・点検、役割と責任の明確化 ほか） | お客様対応 |
| 大分類 2 （7項目） |
取引先管理（取引先のセキュリティ対策状況の確認 ほか） | お客様対応 |
評価基準153項目の内訳
| 大分類 | 評価基準の数 | うちBBSACが証跡を出す項目 |
|---|---|---|
| 1. ガバナンスの整備 | 19 | 2（1-2-2-1 / 1-2-2-2） |
| 2. 取引先管理 | 7 | — |
| 3. リスクの特定 | 29 | — |
| 4. 攻撃等の防御 | 82 | 3（4-4-3-1〜3） |
| 5. 攻撃等の検知 | 8 | 3（5-1-1-2 / 5-1-1-3 / 5-2-1-2） |
| 6. インシデントへの対応 | 6 | — |
| 7. インシデントからの復旧 | 2 | — |
| 合計 | 153 | 8 |
数のうえでは153項目中の8項目です。評価基準 4-4-3-1 が求めているのは「ログを取得及び保管すること」であり、BBSACが提供するのはこの取得と6ヶ月保管の仕組み、およびその監視・検知・通知にあたる部分です。
SCS★4取得に向けた証跡の活用
SCS評価の審査では、セキュリティ対策の実施を証明する証跡書類が必要です。BBSACが自動生成するデータが証跡として直接活用できます。
S3に蓄積されるBronze/Silver/Goldログ
各ベンダーから収集した生ログ（Bronze）・正規化済みログ（Silver）・AI分析結果（Platinum）が、お客様自身のAWSアカウントのS3に保存されます。ベンダー原文をそのまま保持しているため、評価基準が求める取得項目は、過去のログに遡って取り出すことができます。
週次・月次セキュリティレポート
毎週月曜日・毎月1日にAIが自動生成します。レポート内に「SCS評価制度への対応状況（審査用の証跡）」欄があり、評価基準番号ごとにその期間の実績件数が入ります。過去レポートはダッシュボードからダウンロードできます。
Platinumファイル + 対応履歴
アラートごとに検知時刻・AI分析・レベル分類・対応アクションのタイムスタンプが記録されます。ご担当者が「インシデントに該当する」と判断して対処した記録が、そのまま5-1-1-2の証跡になります。
Slackの通知履歴
重大インシデントの通知メッセージがSlackに残ります。検知から通知までの時刻が記録されるため、「アラートが速やかに発報されること」の実績として提示できます。
SCS★4取得のロードマップ例
| フェーズ | 実施内容 | 担当 |
|---|---|---|
| Phase 1 （1〜2週間） | BBSAC導入・ベンダー接続・ダッシュボード稼働開始 | BBSAC |
| Phase 2 （1〜2ヶ月） | セキュリティポリシー策定・インシデント対応手順の整備 | お客様 + パートナーSIer |
| Phase 3 （運用開始後） | 週次・月次レポートを蓄積。証跡書類の整理 | BBSAC（自動） |
| Phase 4 （3〜6ヶ月後） | SCS評価機関への申請・審査対応 | お客様 + パートナーSIer |
関連ページ
SCS★4取得に向けた監視体制を整えませんか
BBSACが技術要件をカバーし、SIerがガバナンス面をサポートします。
$ お問い合わせ →