SCS評価ガイド公開：経営者の自己適合宣言を支える評価範囲と証跡管理

結論：星の取得約束より先に、評価範囲と証跡責任を承認する

編集上の提案：経営会議では、目標とする段階、対象となる法人・事業部等、評価するIT基盤、対象外との境界を同時に確認してください。申請に向けた宣言の根拠を示せる状態と、営業資料で説明する範囲を一致させることが要点です。

編集上の分析：一部の組織・範囲について取得した評価を、グループ全社やすべての提供サービスの安全性保証として説明すると、取引先の理解とのずれを生むおそれがあります。委託先へ取得を求める側も、当該取引のリスクと取得範囲の関係を確認してから条件化するべきです。

背景と理由：評価手続と経営層の宣言が具体化した

確認済み事実：IPAは10月28日、SCS-410「★3・★4 自己評価等ガイド」、SCS-420「★4 第三者評価ガイド」、SCS-430「★4 技術検証ガイド」と要求事項・評価基準の解説書を公開し、要求事項・評価基準を更新しました。既存の制度紹介に加え、評価を進める手続を確認できるようになりました。

確認済み事実：IPAの制度説明では、★3は専門家確認付き自己評価で、経営層による自己適合宣言を行います。★4は評価機関による審査と技術検証を受ける第三者評価です。★3を先に取得しなければ★4へ進めないという関係ではありません。

編集上の分析：このため、情シスに回答票の作成だけを委ねる進め方では足りません。経営層が宣言する内容、評価機関が確認する範囲、委託先が運用している範囲を対応付け、未達事項の是正と証跡収集へ人員・予算を配分する必要があります。

具体的な適用期日・数値・対象範囲

確認済み事実：要求事項・評価基準は7大分類、16中分類で構成され、要求項目は★3が26件、★4が43件です。IPAの10月28日更新FAQは、★3・★4の登録申請を2027年3月に受付開始予定としています。これは予定月であり、企業共通の取得期限ではありません。

確認済み事実：取得は任意であり、取引上の要件にするかは契約当事者間で決定します。要求事項・評価基準をすべて満たしていないことを理由に、制度が直ちに取引停止を求めるものではありません。

日付の区別：ガイド公表日＝2026-10-28、要求事項・評価基準及び参照する制度説明・FAQの更新日＝2026-10-28、確認日＝2026-10-29。要求事項掲載ページ自体の初回公開日は2026-04-21です。日単位で確定した申請受付開始日＝null、企業共通の取得期限＝null。今回の公表日を制度開始日や一般企業への法令適用日と読み替えません。

技術・システム上の確認事項：原本とハッシュ値を残す

確認済み事実：SCS-410第2章は、自己評価前の取得単位・適用範囲の決定と妥当性確認を扱います。第3章3.3は、申請時のアセスメントシートとハッシュ値の双方を保管し、改変有無を確認できるよう求めています。★3では署名又は記名済みのシート全体をPDF化し、SHA-256のハッシュ値を算出・保管し、その値を制度運営機関へ提出します。★4では評価機関がPDFのハッシュ値を算出する手続です。

編集上の実装案：作成中の回答票、提出した確定版PDF、ハッシュ値、提出日、承認記録を識別して保存します。確定版の上書きを避け、現状を更新する作業版とは別に管理してください。ハッシュ値だけでは内容を復元できず、シート本体だけでは申請時の版との同一性を照合できないため、保管と復旧の試験は両方を対象にします。

確認済み事実：SCS-430では、外部から直接アクセス可能なVPN装置、ルータ、ファイアウォール等が技術検証の対象として示されています。編集上の提案：境界機器の管理者、診断の許可者、保守時間帯、障害時の中止・連絡手順を先に確認してください。クラウド利用や運用委託だけを理由に診断対象外・実施免除と判断せず、ガイドの条件と評価機関の確認を経ます。

経営・監査・契約・責任分界上の論点

編集上の契約確認案：委託元・委託先のどちらが資産一覧、設定、運用記録、障害・復旧記録を用意し、誰が評価者へ開示できるかを整理します。秘密保持、他の顧客の情報、再委託先の資料提供、追加作業の費用と期限も確認します。SLAの稼働率やサービスクレジットだけで、評価への協力範囲まで確定しているとは判断できません。

編集上の承認案：予算は登録・評価に関する費用に加え、範囲確定、是正、技術検証への対応、証跡保管、社内工数、継続運用を含めて比較します。個別費用は対象範囲と提供者の見積りを確認して決め、固定額を推定しません。経営層の宣言に先立ち、未解決の不適合や対象外とする理由を確認できる資料を用意します。

編集上の反論・選択肢：全委託先へ一律に★4を要求すると、取引の重要度に比べ過大な負担となる可能性があります。取得を条件にする案は確認方法を共通化しやすい一方、費用と準備期間が必要です。要求事項を共通チェックリストとして使う案は段階的な改善に使えますが、自社で実施状況を確認する工数が残ります。要求水準と移行期間を取引ごとに合意する判断を提案します。

エグゼクティブ向けアクション／確認リスト

編集上の手順：まず取引先からの要求と自社の取得目的を確認し、情シス・調達・営業が同じ対象範囲案を作成します。次に確認責任者又は評価機関と範囲の妥当性を確認し、必要な証跡、是正担当、予算、宣言に至る承認手順を固めます。

編集上の完了条件：役員が対象範囲と残課題を説明できること、担当者が提出した版を再取得できること、委託先が合意した資料を期限内に提供できることを確認します。今後の受付開始日や手引の改訂は担当者を決めて再確認し、予定を確定した社内締切として転記しないでください。

公式一次情報と本記事の対応範囲

参照資料は下記のIPA公式ページとPDFです。掲載ページのsourceDateは今回確認した更新日、PDFのsourceDateはガイド公表日としてラベルを付けています。取得が任意であることと、個別契約で取得・維持を合意する場合の義務は区別して検討します。

本記事の予算配分、証跡管理方法、契約確認案、社内承認手順は編集上の提案・分析です。個別案件の法的判断は行いません。行政書士として対応可能かは、関係法令と業務範囲の事前確認が必要です。制度上の評価・確認業務を当然に受任できるという説明はせず、その要件も別途確認します。本記事は法的助言ではなく検討材料です。