SCS評価制度の申請方法｜★3の自己評価・アセスメントシートの書き方と登録までの流れ【2026年11月時点】

• 取引先から★3を取ってほしいと言われたけれど、申請って何から始めればいいの？
• IPAのサイトにExcelが2種類あって、どちらに記入すればいいのか分からない
• 自己評価を確認する専門家は、社内の人でもいいのだろうか

SCS評価制度は、2026年10月28日にIPA（情報処理推進機構）が自己評価のガイドと様式を公開し、「どう自己評価して、誰に確認してもらい、どう登録するか」が具体的に見えてきました。

一方で、公開された資料はガイドだけで100ページを超え、兼務のIT担当者が読み解くのは簡単ではありません。

この記事では、IPAが公開した「★3・★4 自己評価等ガイド」と料金表などの一次情報をもとに、★3の申請方法と自己評価の進め方を順番に整理しました。

この記事を書いた2026年11月9日時点では、11月末頃に公表予定の「登録申請の手引」がまだ出ていないため、申請画面などの細かな手続きは今後変わる可能性があります。

そのうえで、いまから準備できることを中心に解説します。

SCS評価制度★3の申請は、「適用範囲を決める→アセスメントシートで自己評価する→★3確認責任者の確認と署名を受ける→経営層が自己適合宣言する→ハッシュ値を提出して登録を申請する→台帳に登録・公開される」という6ステップで進みます。

★3は評価機関による審査がなく、書類（アセスメントシート）の確認だけで登録できる仕組みです。

ステップ	やること	担当
1. 適用範囲を決める	取得単位（原則は法人）と、評価の対象にするIT基盤の範囲を決める	取得を目指す組織
2. 自己評価	アセスメントシートに、評価基準ごとの適合・不適合と質問への回答を記入する	取得を目指す組織
3. 確認・署名	記入内容の妥当性を確認し、問題がなければ署名または記名する	★3確認責任者
4. 自己適合宣言	経営層が要求事項を満たしていることを宣言する	経営層
5. 登録申請	署名済みシートをPDF化し、ハッシュ値をIPAに提出して申請する	取得を目指す組織
6. 登録・公開	IPAが台帳に登録・公開し、ロゴマークを発行する	IPA（制度運営機関）

★3確認責任者による文書確認は、IPAの資料では1〜2日程度が目安とされています。

原則としてすべての評価基準を満たす必要がありますが、不適合が見つかっても是正し、確認責任者の了承を得られれば登録できます。

制度そのものの全体像や★3・★4の違いは、こちらの記事で解説しています。

SCS評価制度とは？★3・★4の違い・いつから始まるか・中小企業が今できる準備を解説【2026年11月最新】

SCS評価制度は2026年3月に経済産業省が制度構築方針を公表した新しい制度です。 2026年10月28日には自己評価の様式（アセスメントシート）と評価ガイ...

自己評価を始める前に、どの組織単位で取得するか（取得単位）と、どのIT基盤を評価の対象にするか（適用範囲）を決めます。

ここが曖昧なまま自己評価を進めると、★3確認責任者から修正を求められ、やり直しになります。

取得単位とは、★を取得する組織の単位のことです。

原則は法人（または個人事業主）単位で、事業部単位や企業グループ単位で取得する場合は、その妥当性を★3確認責任者に確認してもらう必要があります。

• 事業部単位で取得する場合：
  セキュリティ対策の責任者が明確で、プロジェクトのような期間限定の組織ではないこと
• グループ単位で取得する場合：
  含まれる法人すべてが共通のIT基盤と、共通のセキュリティ対応方針を使っていること

中小企業であれば、基本的には「自社1法人」を取得単位にすると考えてよいでしょう。

適用範囲とは、自己評価の対象にするIT基盤（PC・スマートデバイス・サーバ・クラウドサービス・ネットワーク機器など）の範囲のことです。

IPAの自己評価等ガイドでは、次の点が確認の対象になると示されています。

• 人事管理システムや営業管理システムなど、特定の業務のためのシステムだけを適用範囲にすることはできない
• 自社が管理するWebサーバやメールサーバなど、インターネット公開サーバはすべて適用範囲に含める
• 適用範囲と範囲外との境界を、概要図や組織体制図で示す
• 適用範囲から除外したものは具体的に書き出し、境界で保護策を講じる

Microsoft 365を全社で使っている企業なら、Microsoft 365のテナント、社員のPC・スマートフォン、社内ネットワークとインターネットの境界にあるルーターやファイアウォールは、まず適用範囲に入ると考えて整理を始めます。

★3の自己評価は、IPAが公開している「アセスメントシート」というExcelに記入して行います。

アセスメントシートとは、評価基準ごとの適合・不適合と、確認のための質問への回答を記入する自己評価の様式のことで、2026年10月28日に「★3・★4 自己評価等ガイド」の別紙として公開されました。

IPAのサイトには、似た名前のExcelが2つあります。

記入するのはアセスメントシートのほうです。

資料	役割	記入するか
★3・★4 要求事項・評価基準（Ver.1.1）	満たすべき要求事項と評価基準の一覧	記入しない（参照用）
自己評価等ガイド 別紙 アセスメントシート	評価基準ごとに適合・不適合と質問への回答を記入する様式	記入する

アセスメントシートは★3用と★4用の2種類に分かれており、★3用は評価基準81件が並んでいます。

アセスメントシートは、★3・★4とも次の5つの部分で構成されています。

構成	内容
① 要求事項・評価基準	IPAが公表している要求事項と評価基準
② 評価基準に対する対象外	対象外とする場合に、その旨と理由を記入する
③ 適合基準・自己評価方法	何を満たせば「適合」か、どう確かめるかが記載済み
④ 自己評価結果	適合基準ごとに、適合しているかどうかを記入する
⑤ 質問事項・回答欄	確認に使う質問への回答を記入する（適用範囲の質問を含む）

質問事項のうち、規程の有無を尋ねるものには「情報セキュリティ基本方針」のような具体的な規程の名称を、取り組みを尋ねるものには具体的な対策の内容を書きます。

回答が具体的であるほど、確認責任者とのやり取りが少なくなります。

アセスメントシートの適合基準と自己評価方法は、自己評価等ガイドの別紙と同じ内容です。

たとえば、クラウドサービスの多要素認証を求める評価基準4-1-3-2は、次のように示されています。

項目	内容（要約）
評価基準	重要な機密情報を扱うクラウドサービスでは、ユーザーも管理者も常に多要素認証を使う
対象外の条件	重要な機密情報をクラウドサービスで扱っていない場合
適合基準	2種類以上の認証要素を使った多要素認証を常に使用している
自己評価方法	機密情報を扱っているかを確認し、どの認証要素の組み合わせでMFAを実現しているかを確認する

Microsoft 365を使っている企業なら、回答欄には「Microsoft Entra IDの条件付きアクセスで、全ユーザーと管理者にMicrosoft Authenticatorによる多要素認証を必須にしている」のように、使っている仕組みと対象範囲を書くイメージです。

多要素認証の要件をMicrosoft 365で満たす設定は、SCS評価制度の多要素認証要件をMicrosoft 365で満たす設定手順で詳しく解説しています。

SCS評価制度の多要素認証要件をMicrosoft 365で満たす設定手順｜常時MFA・パスワード8文字・端末ロックの対応方法

SCS評価制度★3の評価基準81件のうち、ID・認証・アクセス制御に関するものは33件あり、最も件数が多い分野です。 なかでも多要素認証（MFA）は「重要な...

評価基準ごとに「対象外となるための条件」が決められており、条件に当てはまる場合だけ、理由を書いて対象外を申告できます。

条件が「該当なし」の評価基準は、原則として対象外にできません。

アセスメントシートの利用は任意で、独自の様式で自己評価することも認められています。

ただし、①要求事項・評価基準、②対象外とその理由、③適合・不適合、④アセスメントシートと同じ質問事項と回答欄、の4項目は必ず含める必要があります。

特別な理由がなければ、IPAのアセスメントシートをそのまま使うのが確実です。

★3の自己評価では、紙の規程や記録だけでなく、設定画面のスクリーンショットや管理ツールから出力したCSVも証跡として使えます。

自己評価等ガイドでは、「文書」「記録」「台帳」にシステムの設定、ログ、管理ツールの画面表示や出力が含まれると定義されています。

Microsoft 365で対策している項目は、管理センターの画面やエクスポートがそのまま証跡になります。

代表的な例は次のとおりです。

評価基準の分野	Microsoft 365での証跡の例
多要素認証（4-1-3）	Entra管理センターの条件付きアクセスポリシー画面、認証方法の登録状況
資産管理（3-1-1）	Intuneのデバイス一覧のCSVエクスポート
パッチ適用（4-4-4）	Intuneの更新リングの設定画面（品質更新の期限）
マルウェア対策（4-4-5）	Microsoft Defenderポータルのデバイス一覧（オンボード状況）
教育（4-2）	Microsoft Formsで集めた受講記録

製品の仕様書や技術資料を証跡にする場合は、その製品が実際に導入・適用されていることを示す資料もあわせて用意します。

また、規程の「周知」は社内ポータルへの掲示やメール配信、eラーニングなど、確実に伝わる手段を1つ選べばよいとされています。

★3の評価基準81件のうち、どれがMicrosoft 365の設定で満たせて、どれに文書や運用が必要かは、次の記事で1件ずつ分類しています。

証跡集めの優先順位を決める際に使ってください。

SCS評価制度★3はMicrosoft 365で対応できる？評価基準81件の対応表と足りないライセンスを解説【2026年11月時点】

2026年3月に経済産業省が制度構築方針を公表して以来、Microsoft 365を利用する中小企業から「SCS評価制度に向けてセキュリティを整えたい」とい...

自己評価が終わったら、★3確認責任者にアセスメントシートを確認してもらい、要求事項・評価基準をすべて満たしていると判断されれば署名または記名を受けます。

★3確認責任者は、社内の人でも社外の人でも構いません。

★3確認責任者とは、★3の自己評価結果を確認し、署名する責任者のことです。

IPAのFAQでは、自己評価の確認は「SCSセキュリティ専門家」が担うとされており、次の要件を満たしてIPAに登録された人が対象です。

• 資格：
  情報処理安全確保支援士、公認情報セキュリティ監査人（主任を含む）、CISSP、CISA、CISM、ISO27001主任審査員のいずれか
• 研修：
  IPAが指定した研修事業者の研修を受講する
• 登録：
  制度運営機関（IPA）に登録申請する（登録料は無料）

専門家の登録手続きは2026年12月下旬、研修は2027年1月以降に始まり、専門家の一覧は2027年1月以降に公表される予定です。

確認責任者の指導・監督の下で確認の実務を担当する「★3確認従事者」を置くこともできます。

社内の確認責任者が確認する場合について、ガイドは「確認の結果によって、確認した本人を人事などで不当に扱ってはならない」と定めています。

社内の有資格者に任せる場合は、指摘しにくい雰囲気にならないよう、経営層が確認の結果を尊重する姿勢を示しておくことが大切です。

★3確認責任者は、次の4つの観点でアセスメントシートを確認します。

観点	確認されること	指摘の例
網羅性	回答の記入もれがないか。規程の有効範囲が適用範囲と合っているか	質問への回答が空欄
正確性	回答が設問の趣旨と合っているか	設問とずれた回答
適時性	回答の時点・期間が適切か	年1回の点検の最終実施日が1年以上前
一貫性	他の回答と矛盾していないか	別の設問の回答と食い違う

★3の確認は原則として、アセスメントシートに書かれた内容だけで妥当性を判断するもので、対策が実際に講じられているかの現地確認までは求められていません。

その代わり、記載内容が事実であることの責任は申請する組織が負います。

不自然な記載があれば追加説明を求められるため、証跡と矛盾しない書き方を心がけます。

確認責任者の署名が済んだら、経営層が自己適合宣言を行い、署名済みのアセスメントシートをPDF化してハッシュ値をIPAに提出し、登録を申請します。

問題がなければ台帳に登録・公開され、ロゴマークが発行されます。

ハッシュ値とは、ファイルの内容から計算される固定長の文字列のことで、「データの指紋」とも呼ばれます。

★3では、確認責任者の署名と自己適合宣言の署名・記名が入ったアセスメントシート全体をPDF化し、SHA-256というハッシュ関数でハッシュ値を算出します。

IPAに提出するのはハッシュ値で、PDF本体とハッシュ値は自社で保管します。

登録後に内容が書き換えられていないことを、IPAが照合できるようにするためです。

ハッシュ値の算出に使うツールは問われていません。

Windowsであれば、PowerShellで次のコマンドを実行すると算出できます。

方法	コマンドの例
PowerShell	Get-FileHash -Path .\assessment-sheet.pdf -Algorithm SHA256
コマンドプロンプト	certutil -hashfile assessment-sheet.pdf SHA256

ガイドでは、ハッシュ値の算出は社内の担当者が行うことが望ましい（必要に応じて外部の人が行っても構わない）とされています。

★3・★4の登録申請の受付は、2027年3月に始まる予定です。

申請画面や提出方法などの具体的な手続きは、2026年11月末頃に公表予定の「★3・★4 登録申請の手引」で示されます。

取得企業はIPAのWebサイトで公開され、公表は2027年4月以降の予定です。

★3の有効期間は1年のため、毎年、最新のアセスメントシートで★3確認責任者の確認を受けて更新します。

登録して終わりではなく、アセスメントシートと証跡を1年中最新に保つ運用が必要です。

有効期間中でも、次のような大きな変更があった場合は、速やかに★3確認責任者の再確認を受ける必要があります。

• 適用範囲の変更
• 要求事項・評価基準に関わる社内規程・手順書の大幅な変更
• PCやサーバの大規模なリプレイス、クラウド基盤への大規模な移行、ネットワーク構成の大きな変更

誤字の修正や、要求事項の達成に影響しない軽微な設定変更は対象外です。

Microsoft 365への移行やPCの一斉入れ替えを予定している場合は、登録のタイミングと再確認の要否をあわせて計画しておくと二度手間を防げます。

★3の登録料は1年1万円（税込）で、2028年3月31日までの割引価格です。

登録料以外に、セキュリティ対策の導入費や、社外の確認責任者に依頼する場合の確認費用がかかります。

区分	2028年3月31日まで	2028年4月1日以降
★3の登録料	10,000円（1年分）	20,000円（1年分）
★4の登録料	60,000円（3年分）	60,000円（3年分）
SCSセキュリティ専門家の登録料	無料	無料

※料金はIPA「料金設定のお知らせ」（2026年9月18日）より。

いずれも税込で、申請日を基準に適用されます。

★4の場合は、登録料とは別に評価機関による第三者評価の費用がかかりますが、2026年11月時点で目安は示されていません。

時期	公表・開始されるもの
2026年10月28日	自己評価等ガイド・アセスメントシート・解説書を公開（公表済み）
2026年11月末頃	★3・★4 登録申請の手引
2026年12月下旬	評価機関・研修事業者の一覧、専門家の登録手続き
2027年1月以降	専門家の研修開始・専門家の一覧
2027年3月	★3・★4の登録申請の受付開始（予定）

経済産業省・IPAとも、スケジュールは制度運営基盤の整備状況などにより変更される可能性があるとしています。

WITHWITにも、製造業のお客様から「申請時はこのExcelに記載していく形でしょうか。

申請のイメージをざっくり知りたい」というご相談をいただきました。

お手元にあったのは、IPAが公開している「要求事項・評価基準」のExcelでした。

現在であれば、答えは「記入するのは要求事項・評価基準のExcelではなく、アセスメントシートのほうです」となります。

要求事項・評価基準のExcelで現状を整理していた場合も、その作業は無駄になりません。

評価基準の番号はアセスメントシートと共通なので、整理した対応状況や証跡の場所をアセスメントシートの回答欄に移せば、そのまま自己評価の下書きになります。

Microsoft 365の導入支援の現場では、多要素認証が一部のユーザーにしか設定されていない、PCの台帳がExcelの手作業で最新でない、といった状態から準備を始める企業が多く見られます。

2027年3月の受付開始までは約4か月です。

まずアセスメントシートを開いて「未対応」の評価基準を洗い出し、技術的な対策と規程の整備を並行して進めることをおすすめします。

---

SCS評価制度の準備でMicrosoft 365の設定を見直すと、社内からの問い合わせも増えがちです。

Microsoft 365支援のプロが、現場で実際に寄せられるよくある質問と解決策を厳選してまとめた「トラブルシューティング大全」をご用意しました。

▼資料ダウンロードはこちら 『社内からの「これどうやるの？」を9割削減する Microsoft 365 トラブルシューティング大全』

---

• SCS評価制度★3の申請は「適用範囲の決定→アセスメントシートで自己評価→★3確認責任者の確認・署名→自己適合宣言→ハッシュ値の提出と登録申請→登録・公開」の6ステップ
• 記入するのはアセスメントシート（自己評価等ガイドの別紙）で、要求事項・評価基準のExcelは参照用
• 証跡には設定画面のスクリーンショットや管理ツールのCSVも使え、Microsoft 365の管理画面がそのまま活用できる
• ★3確認責任者は社内・社外どちらでもよいが、資格・研修・IPAへの登録が必要
• 登録料は★3が1年1万円（2028年3月末まで）。受付開始は2027年3月の予定で、詳細な手続きは11月末頃の「登録申請の手引」で示される

申請の受付開始まではまだ時間がありますが、自己評価の様式と基準はすでにそろっています。

アセスメントシートで現状を把握するところから、一歩ずつ準備を進めていきましょう。

---

セキュリティ対策と業務効率化を両立した企業の事例をご覧になりませんか？ SCS評価制度の準備をきっかけにMicrosoft 365の設定を見直し、セキュリティと使いやすさを両立した企業がどのように進めたのか、気になる方も多いはずです。

そんな疑問をお持ちでしたら、ぜひ弊社の「中小企業の導入成功事例【厳選10選】」をご覧ください。

---

• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）｜IPA
• SCS評価制度の詳細情報｜IPA
• 要求事項・評価基準｜IPA
• ★3・★4 自己評価等ガイド（SCS-410）｜IPA
• ★3・★4 要求事項・評価基準 解説書（SCS-620）｜IPA
• SCS評価制度 よくある質問｜IPA
• SCS評価制度 料金設定のお知らせ（2026年9月18日）｜IPA
• SCS評価制度に関する注意喚起｜経済産業省
• Get-FileHash｜Microsoft Learn