SCS評価制度で★3・★4を取得する要件とは？評価項目と必要な対策を解説
更新日時：2026.08.21
自社のセキュリティ対策レベルを示す指標として、導入が進む「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」。
前回のブログでは、SCS評価制度の概要や制度が求められる背景について解説しました。第2弾となる今回は、より実践的な内容として「★3」および「★4」を取得するための具体的要件と、AXSEEDがどのように★取得をサポートできるかを分かりやすくご紹介します。
★取得に向けた社内体制の整備やツール選定に悩んでいるご担当者様は、ぜひ参考にしてください。
★3を取得するために必要なこと
★3の評価基準は、グローバル基準であるNIST CSF（サイバーセキュリティフレームワーク）に沿って構成されています。
一般的なサプライチェーンにおいて「組織的・計画的なセキュリティ管理が定着しており、主要なIT資産の安全性が担保されている状態」が求められます。★1〜★2の基本対策に加え、以下のような管理体制の構築が重要です。
- IT資産（デバイス・アカウント）の把握と可視化
業務で使用する全てのPC、スマートフォン、タブレット、およびクラウドサービスのアカウントを一元管理し、台帳化・最新化できていること。 - セキュリティポリシーの策定と厳格な運用
パスワードルールや外部メディアの利用制限など、社内規定を定めた上で技術的な制限をかけて運用を徹底すること。 - 脆弱性対策とバージョン管理の自動化
OSや主要アプリケーションのアップデート状況を把握し、未適用端末を残さない管理体制を維持すること。 - シャドーIT・未許可端末の検知と排除
会社が把握していない持ち込み端末や未許可アプリの業務利用を防ぐ仕組みがあること。
★4を取得するために必要なこと
★4の評価基準は、SCS評価制度の中でも「高度なセキュリティ水準を満たし、サプライチェーン全体の信頼を牽引するレベル」です。★3の要件に加え、より高度な制御・プロアクティブなリスク対応が求められます。
- ゼロトラストに基づく「厳格なID・アクセス管理（IAM）」
パスワード認証だけでなく、多要素認証（MFA）の導入や、証明書を用いた「許可された端末のみ」からのアクセス制限を実施していること。 - 全デバイスの動的・リアルタイムなリスク管理
紛失・盗難時の迅速なデータ遠隔消去（リモートワイプ）や、端末の健康状態（セキュリティソフトの稼働など）をリアルタイムに監視・制御できること。 - 高度な統合ログ管理と検知・対応体制（EDR・SOC連携など）
不正な挙動やセキュリティインシデントの兆候を早期に検知し、迅速に隔離・対応できる技術的基盤を備えていること。 - 継続的なセキュリティ監査と運用プロセス改善
定性的・定量的な評価を定期的に行い、セキュリティ水準の維持向上を組織全体で回し続けていること。
デバイス管理を怠ることで、以下のような「見えないリスク」とコストが膨らむことになります。
AXSEEDはSCS評価制度の★取得に向けてサポートします
★3・★4の評価項目をクリアするためには、組織的なルール作りだけでなく「技術的対策（システムによる一元管理と強制力）」が不可欠です。AXSEEDでは、モバイル＆PC管理ソリューション「SPPM Secure Series」をはじめとするサービスにより、要件達成に向けて支援いたします。
1. 資産管理（IT資産の可視化と台帳化）
- 全OS・全端末の自動一元化：Windows、Mac、iOS、Androidなどの業務端末を一斉に自動インベントリ化。手作業による台帳作成の漏れを無くします。
- ソフトウェアライセンス管理：業務端末内のアプリケーション情報を自動収集し、業務に不要なソフトウェアやアプリケーションがインストールされていないかを定期的に確認します。
2. デバイス管理（セキュリティ制御とリスク対応）
- 設定の強制適用・標準化：パスワードの複雑化、画面ロック、USBメモリ等の外部利用制限を全端末へ一括設定します。
- OS・アプリのアップデート管理：セキュリティパッチの適用状況を可視化し、未適用の端末へ一括配布・適用できます。
- 紛失・盗難時の迅速対応：万が一の際には24時間365日体制でのリモートロック・リモートワイプ（初期化）に対応。情報漏洩リスクを最小限に抑えます。
3. ID管理（アクセス制御とゼロトラスト対応）
- 端末証明書連携によるアクセス制限：許可されたセキュアな端末からのみ、社内システムやクラウドサービス（SaaS）へアクセスできるよう制御します。
- OS・アプリのアップデート管理：セキュリティパッチの適用状況を可視化し、未適用の端末へ一括配布・適用できます。
- 不正アクセスの遮断：個人の私物端末の業務利用（BYOD）や未許可デバイスからの社内ネットワーク・IDへのアクセスを未然にブロックします。
このように、SCS評価制度の求める要件をクリアするには、自社の状況に合わせた適切なシステム選定と運用策がポイントとなります。（各機能の対応デバイスについては、機能一覧をご確認ください）
以下資料では、SCS評価制度の「別添★3・★4要求事項及び評価基準」に対するAXSEEDサービスの対応表や、自社の対策状況を診断できる簡易チェックリストなどを掲載しております。制度開始に向けた準備や社内検討の参考として、ぜひご活用ください。
SCS評価制度対応のお悩みはAXSEEDにお任せください
SCS評価制度で★3・★4を取得することは、単に評価を獲得するだけでなく、顧客や取引先からの深い信頼を獲得し、ビジネスチャンスを拡大することと同義です。
しかし、要件をすべて人的リソースだけでカバーしようとすると、情報システム部門やセキュリティ担当者の負担が極めて大きくなってしまいます。適切な資産管理・デバイス管理・ID管理ツールを導入し、運用を自動化・効率化することが成功の鍵となります。
AXSEEDでは、貴社の現在のセキュリティレベルや取得を目指す★の数に合わせた最適なソリューションをご提案いたします。「何から手をつければいいか分からない」という段階でも、お気軽にご相談ください。
本記事のまとめ
- ★3要件は、全端末・アカウントの一元管理、セキュリティ規定の適用、パッチ適用の自動化など最低限の対策が必要（有効期間1年/専門家確認付き自己評価）
- ★4要件は、★3要件に加え、MFA・端末証明書によるアクセス制限やリモートワイプ、EDR/SOC連携など高度な対策が必要（有効期間3年/第三者評価）。
- AXSEEDは、端末の資産管理、ポリシー適用・パッチ配布・リモートワイプ、ID管理などにより★取得の技術要件をサポート
