取引先から★3を求められたら、取得を待たずにまず回答してください。回答すべきは「取得済みかどうか」ではなく、現状の対策状況と、いつまでに何を実施するかの計画です。最初の1〜2週間でやることは、要求内容の5点確認、現状の粗い棚卸し、暫定回答の提出、社内合意の取り付けの4つに絞れます。
SCS評価制度の★取得について、現状アセスメントからギャップ分析、技術対策の実装、申請サポートまでをワンストップでご支援しています。
SCS評価制度 対応支援 を見る →SCS評価制度 総合ガイドまず確認する5点
要請を受けてすぐ対策の検討に入る企業がありますが、順序が逆です。何を求められているかが確定しないまま動くと、過剰な対応か不足のどちらかになります。まず要請元に次の5点を確認してください。
| 確認事項 | なぜ必要か |
|---|---|
| 求められる★レベル | ★3と★4では評価方法も費用も大きく異なる。★4は第三者評価が必要 |
| 回答の期限 | 取得の期限と混同されがち。多くの場合、回答期限のほうが先に来る |
| 取得の期限 | 制度の運用開始が2027年3月頃のため、それ以降を指定されることが多い |
| 対象範囲 | 全社か、特定の事業所・製品ラインか。範囲が絞れれば対応量が大きく変わる |
| 評価の形式 | 自己評価で足りるのか、第三者評価を求められているのか |
この5点は、メール1通で聞けます。聞くこと自体が「対応する意思がある」というシグナルにもなるため、遠慮する必要はありません。
取得前でも回答はできる
多くの企業がここでつまずきます。「取得していないから回答できない」と考えて、期限が来るまで動かないパターンです。
しかし発注側が知りたいのは、いま取得しているかどうかではなく、この取引先はリスクを管理できているかです。発注側企業のSCS活用ガイドで整理しているとおり、発注側もサプライヤーを一斉に切り替えられるわけではありません。移行期間を設けたうえで、計画を出せる相手かどうかを見ています。
したがって、未取得であっても現状と計画を書いた暫定回答を出すことが正解です。無回答や「検討中です」だけの返信が、最も心証を悪くします。
暫定回答の書き方
暫定回答に必要なのは次の4点です。A4で1枚に収まります。
| 項目 | 書く内容 |
|---|---|
| 1. 現在の対策状況 | 多要素認証、ウイルス対策、バックアップ、資産管理など、すでに実施しているものを列挙する |
| 2. 未対応の項目 | できていないことを正直に書く。隠すと後で整合が取れなくなる |
| 3. 対応予定時期 | 項目ごとに「いつまでに」を書く。四半期単位で構わない |
| 4. 責任者 | 社内の窓口と責任者の氏名・役職。体制があることを示す |
ポイントは2番目です。できていないことを書いても評価は下がりません。むしろ、自社の状況を項目単位で把握できていること自体が、管理されている証拠として受け取られます。逆に「すべて対応済み」と書いて後から実態と違うことが判明するほうが、はるかに大きな問題になります。
現状の棚卸しは、★3の要求事項26項目に自社を照らして「できている／一部／できていない」を3段階でつけるだけで足ります。この段階では精度より速度を優先してください。
社内合意の取り付け方
情シス担当者が一人で抱え込むと、必ず予算と工数の壁に当たります。暫定回答と並行して、経営層の合意を取りに行ってください。
その際、「セキュリティ対策が必要です」という説明は通りません。通るのは「取引継続の条件です」という説明です。次の1枚にまとめると判断材料になります。
- 要請元：どの取引先から、いつ、どういう形で求められたか（メール・調達文書・監査票）
- 要求水準と期限：★レベルと回答／取得の期限
- 該当する売上：その取引先との年間取引額。判断のインパクトが伝わる
- 未対応の場合の想定：次回の取引条件見直しでの不利、入札での減点
- 必要な資源：概算費用と工数、外部支援の要否
費用の見通しについてはSCS評価制度の対応費用ガイドを、既存資産で足りる範囲については新しい機器・サービスの導入は必要かを参照してください。多くの場合、初期に想定するより実際の追加投資は小さく収まります。この見立てを早めに出せると、経営判断が進みます。
いつまでに何をするか
| 時期 | やること |
|---|---|
| 1〜3日 | 要請内容の5点確認（メール送付）。社内の窓口と責任者を決める |
| 4〜10日 | 26要求事項に対する現状を3段階で粗く棚卸し |
| 10〜14日 | 暫定回答を提出。同時に経営層へ1枚の資料で報告 |
| 1〜3か月 | 設定変更で解決する項目を実施。文書化に着手 |
| 3か月以降 | 残った投資判断と、自己評価の実施 |
最初の2週間で暫定回答まで到達できれば、以降は落ち着いて進められます。30日単位の具体的な進め方は自己評価から始める初動ロードマップにまとめています。
やってはいけない回答
- 無回答・引き延ばし：最も避けるべき対応です。回答できない理由があるなら、その旨と回答予定日を伝えます
- 実態と異なる「対応済み」：後の監査や自己評価との整合が取れなくなります
- 「ISMSを取得しているので不要です」：評価軸が異なります。重なる部分は多いものの、そのまま代替にはなりません（ISMS・Pマークとの違い）
- その場での安請け合い：取得時期を確認せずに約束すると、社内の合意形成が追いつきません
なお、個々の評価基準の文言はIPAが公開する★3の評価基準（81基準）に定義されています。本記事はその文言の解説ではなく、要求を満たすために実務でどう設計するかを整理したものです。申請前には必ず公開されている最新の基準を参照してください。
よくある質問
取引先からSCS★3を求められましたが、まだ何も対策していません。すぐに回答すべきですか？
回答自体は早いほうがよいですが、取得済みかどうかを答える必要はありません。現状の対策状況と、いつまでに何を実施するかの計画を示す暫定回答で足ります。無回答や回答の先延ばしが最も心証を悪くします。
★3をまだ取得していないと取引を切られますか？
運用開始前の現時点で即座に取引が止まる例は多くありません。多くの発注側は移行期間を設けています。ただし取得の意思と計画を示せない場合、次回の取引条件見直しで不利になる可能性があります。
取引先には何を確認すればよいですか？
求められている★のレベル、回答の期限、取得の期限、対象範囲（全社か特定の事業所・製品ラインか）、そして自己評価と第三者評価のどちらを求めているかの5点です。これが曖昧なまま動くと、過剰な対応か不足のどちらかになります。
暫定回答には何を書けばよいですか？
現在実施している対策、未対応の項目、対応予定時期、社内の責任者の4点です。できていないことを書いても問題ありません。把握できていること自体が管理されている証拠になります。
社内の合意はどう取り付ければよいですか？
「セキュリティのため」ではなく「取引継続の条件」として説明します。要請元の企業名、要求水準、期限、未対応の場合に想定される取引への影響を1枚にまとめると、経営判断の材料になります。
まとめ
取引先から★3を求められたときの初動は、対策を始めることではなく、要求内容を確定させて暫定回答を出すことです。求められる★レベル、回答期限、取得期限、対象範囲、評価形式の5点を確認し、現状と計画を1枚にまとめて返します。
未取得であることは不利になりません。不利になるのは、自社の状況を項目単位で説明できないことです。まず26要求事項に自社を照らして3段階で粗く棚卸しし、2週間以内に回答するところまでを目標にしてください。
自社の現在地を項目単位で確認したい場合は、SCS★3 セルフチェック（無料・登録不要） ↗で26要求事項・81評価基準への適合率を測れます。