SCS評価制度の★3を無料で支援、お助け隊の実証15事業者を比べる

取引先の部品メーカーから、次の契約の更新までにSCS評価制度の★3を取ってほしいと言われた。社内に情報システムの担当者は1人しかいない。何から始めればいいのか。

まず候補に入れたいのが、IPAの「サイバーセキュリティお助け隊サービス（新類型）」の実証だ。中小企業は2026年10月から2027年9月までの1年間、無料で診断から申請の支援までを受けられる。申し込み先は、IPAが選んだ15事業者のどれか1つだ。15事業者は、対象の地域も、★4を見るかどうかも、まだ募集しているかも違う。IPAが10月28日に更新した一覧で比べると、★4まで支援の対象にするのは2社、募集を続けているのは8社だった。

SCS評価制度そのものの中身や★3と★4の違いは、情シスの相棒の解説が詳しい。ここでは、実証の申し込み先の選び方に絞る。

無料なのは実証の1年間

IPAが新しい類型を作るのは、いまのお助け隊サービスだけでは★3に届かないからだ。IPAによると、★3の要求事項にはポリシーの策定などの組織的な対策が多く、現行のサービスを入れていても、満たせるのは一部にとどまる。

そこで新しい類型は、3つの段階を1つのパッケージで支援する。まず要求事項ごとに対策の状況を診断し、足りない項目を改善計画書にまとめる。次に、推奨されるITツールを入れ、ポリシーや手順書の整備、社員の教育を伴走で進める。最後に、専門家が要求事項を満たしているかを確かめ、申請書の作成を手伝う。

参加は無料で、実証事業者から費用を請求されることはない。ただし、条件もある。参加した企業は、制度づくりへの意見の提出や、不審な通信を検知したときの情報の提供などに協力する。実証が終わったあとは、有償でサービスを続けるかを考えるよう求められる。

15事業者を、地域と★4の扱いで分ける

IPAの一覧を、対象の地域、★4の扱い、10月28日時点の募集状況で並べると次のようになる。

事業者	対象地域	★4の扱い	募集
NTTデータ	対象地域全国	★4の扱い一部の企業	募集募集中
大阪商工会議所	対象地域全国	★4の扱い対象外	募集募集中
三井物産セキュアディレクション	対象地域九州、東北、関東の7都県が中心	★4の扱い一部の企業	募集募集中
アクシス	対象地域全国（リモートが基本）	★4の扱い一部の企業	募集次は11月上旬の予定
富士フイルムビジネスイノベーションジャパン	対象地域全国33支社の所在地	★4の扱い一部の企業	募集終了
NTTドコモビジネス	対象地域全国	★4の扱い対象外	募集終了
オプティム	対象地域全国（遠隔が基本）	★4の扱い対象	募集募集中
NTT Risk Manager	対象地域全国（オンラインと訪問）	★4の扱い対象	募集キャンセル待ち
セキュアイノベーション	対象地域沖縄が中心、全国はオンライン	★4の扱い対象外	募集募集中
ちばぎんコンピューターサービス	対象地域千葉県	★4の扱い一部の企業	募集締切、次は未定
イシマル	対象地域長崎が中心の九州北部	★4の扱い一部の企業	募集締切、次は未定
GMOサイバーセキュリティbyイエラエ	対象地域全国（遠隔が基本）	★4の扱い一部の企業	募集締切、次は未定
SOMPOリスクマネジメント	対象地域全国（自動車業界が対象）	★4の扱い対象外	募集募集中
リコージャパン	対象地域全国	★4の扱い対象外	募集11月6日締切の予定
フォーバル	対象地域関西地域	★4の扱い一部の企業	募集募集中

「一部の企業」は、★3の支援を中心にし、そのうち一部の企業で★4も支援するという意味である。募集の欄は、IPAの一覧に書かれた10月28日時点の状況で、事業者ごとに変わる。

いちばん目を引くのは、募集の締め切りの早さだ。実証が始まって1か月ほどで、15事業者のうち5社が締め切りか終了、1社がキャンセル待ちになった。IPAも、参加の申し込みが多く、希望に沿えない場合があると断っている。一方で、追加の募集を予定する事業者もある。アクシスは11月上旬に次の募集を予定し、リコージャパンは11月6日が締め切りの予定だ。

★4まで支援の対象にするのは、オプティムとNTT Risk Managerの2社だけ。取引先から★4を求められそうなら、候補はかなり絞られる。対象地域では、千葉県、長崎県を中心とする九州北部、関西に限る事業者がある。SOMPOリスクマネジメントは、自動車業界を対象にしている。

支援の進め方も、事業者ごとに違う

同じ伴走支援でも、どこに強みを置くかは分かれる。IPAの一覧にある各社の紹介から、近いものを3つの型にまとめた。

まず、地域の金融機関や商工会議所とつながる型がある。NTTデータは全国の地域金融機関や商工会議所のネットワークを使い、大阪商工会議所は全国の独立系の情報処理安全確保支援士を生かした低価格の自走型を検証する。ちばぎんコンピューターサービスは、千葉銀行グループの会社だ。

ITツールから入る型もある。オプティムはIT資産管理（MDM）を18万社超に入れてきた実績を前面に出し、自社のIT資産管理やAIのチャットボットを組み合わせる。富士フイルムビジネスイノベーションジャパンは、UTMやEDR、ID管理、バックアップを扱う。NTTドコモビジネスの支援モデルでは、MOTEXのLANSCOPE エンドポイントマネージャー クラウド版と、ガイドラインへの対応を学ぶ教育サービスが採用された。

残るのは、監視とインシデント対応の専門会社の型である。三井物産セキュアディレクション、セキュアイノベーション、イシマル、GMOサイバーセキュリティbyイエラエは、SOCの運用や脆弱性診断の実績を挙げる。イシマルは、遠隔の監視と現地での伴走を組み合わせる。

ただ、ツールの多さで選ぶ必要はない。経済産業省は、SCS評価制度の評価基準を満たすのに特定のセキュリティ対策製品の導入は必須ではないと明記している。すでにMDMやウイルス対策を入れているなら、それを生かせるかを最初に聞くとよい。

連絡する前に、社内で決める3つのこと

事業者に連絡する前に、次の3つを社内で決めると話が早い。

まず、取引先から求められているのが★3か★4かを確かめる。★4なら、候補は2社に絞られる。次に、現地に来てもらう必要があるかを考える。遠隔を基本とする事業者が多く、地域を限る事業者は訪問を組み合わせやすい。最後に、実証が終わったあとの費用を聞いておく。実証は2027年9月までで、そのあとは有償の継続を案内される。

申し込みは、IPAではなく、選んだ事業者に直接連絡する。一覧には各社の連絡先と紹介サイトが載っている。

よくある質問

実証に参加すれば、すぐに★3を取れるのか

すぐには取れない。経済産業省によると、★3と★4の申請の受け付けは2026年度末頃に始める予定である。実証の1年間は、それに間に合うように対策を整え、申請の準備をする期間と考えるのが近い。

いまのお助け隊サービスを入れていれば足りるのか

足りない。IPAは、現行のお助け隊サービスを入れていても、★3の要求事項の一部しか満たせないと説明している。規程の整備や教育などの組織的な対策を、別に進める必要がある。

参加できるのはどんな会社か

IPAが示す「中小企業等」の定義に当てはまる会社である。定義はIPAの実証事業のページにPDFで載っている。事業者ごとに対象の地域や業種、募集の時期も違うので、最終的には各事業者に確かめたい。