SCS評価制度★3のセルフチェックとは？セキュリティ企業が診断コンテンツでリードを獲得する方法と事例

SCS評価制度★3のセルフチェックは、取引先から★3を求められた企業が「どこまでできているか」を確かめる診断です。

SCS評価制度は、企業のセキュリティ対策の水準を★の数で示す国の制度で、★3・★4の登録申請は2027年3月に受付が始まる予定です。準備を始める企業が増えるなか、セキュリティ企業はこのセルフチェックを無料で公開し、困っている企業と出会う入口にしています。

▼  11の評価基準の見方と、提供会社への確認から稟議までの進め方をまとめました。評価基準のチェックリスト付きです

この記事は、セキュリティ製品・SI・MSPのマーケティングや営業企画の担当者に向けたものです。SCS評価制度の要点と、★3セルフチェックを診断コンテンツにしてリードにつなげる方法をまとめました。先に試したい方は、上のデモからどうぞ。設計の考え方は後半で解説します。（2026年10月時点）

SCS評価制度とは？★3・★4の違いと申請の時期

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、取引先（委託先）のセキュリティ対策の水準を★の数で示す制度です。経済産業省と内閣官房国家サイバー統括室の方針のもとで、IPA（情報処理推進機構）が運営します。★3・★4の登録申請は2027年3月に受付開始の予定で、取得は任意です。

制度のねらいは、サプライチェーン全体の底上げ

IPAは、制度の目的を「サプライチェーン全体でのセキュリティ対策水準の向上」としています。委託元が委託先に、取引の内容に合った★の段階を示し、対策の状況を確かめる使い方が想定されています。

取得が義務かどうかについて、IPAのよくある質問は次のように答えています。

★の取得は任意です。 ——IPA「SCS評価制度 よくある質問」Q1-3（2026年10月時点）

★3・★4の登録申請は、2027年3月の受付開始を予定しています。 ——同 Q1-1

制度そのものは任意でも、取引先が契約の条件に★を求めれば、受ける側は対応を迫られます。ここに、準備を手伝うセキュリティ企業の出番があります。

★3と★4は何が違うのか？

★3は、専門家の確認つきの自己評価です。IPAの説明では、SCSセキュリティ専門家が★3の自己評価の結果を確かめます。★4は、評価機関が実地審査と技術検証を行う第三者評価です。★5は、内容・開始時期とも検討中です。なお「★1・★2」は、IPAの別の制度「SECURITY ACTION」（中小企業の自己宣言）の一つ星・二つ星を指します。

出典：IPA「SCS評価制度 よくある質問」（2026年10月時点）、IPA「SCS評価制度 概要説明資料」（2026年10月版）。

要求事項は、7つの大分類（16の中分類）に整理されています。大分類は「ガバナンスの整備」「取引先管理」「リスクの特定」「攻撃等の防御」「攻撃等の検知」「インシデントへの対応」「インシデントからの復旧」です。上の段階は、下の段階の要求事項をすべて含みます。

2026年10月28日に解説書と評価用ガイドが公開された

IPAは2026年10月28日、「要求事項・評価基準」のページに解説書と評価用ガイドを公開しました。申請方法をまとめた「登録申請の手引」は、2026年11月末頃に公表される予定です。日程は変わる可能性があるため、最新の情報はIPAの公式サイトで確かめます。

取引先から★3を求められた企業は、何に困るのか？

★3を求められた企業が最初に困るのは、「自社がどこまでできているか」がわからないことです。要求事項は26件あり、やっていても書類（ルール・一覧・点検の記録）がなければ示せません。この「何から手を付けるか」の迷いが、セキュリティ企業の商材の需要が生まれる場所です。

困りごと① 何から手を付けるかわからない

要求事項は、体制・取引先の管理から、資産の把握、ID・認証、端末・バックアップ、ネットワーク、事故対応・復旧まで広くわたります。情報システムの専任者がいない中小企業ほど、全体を見渡すのが難しくなります。

困りごと② やっていても、書類で示せない

★3は自己評価ですが、専門家の確認を受けます。「実際にはやっている」だけでは足りず、ルールや一覧、点検の記録で示す必要があります。現場では、対策そのものより書類づくりで止まりがちです。

★3は原則として法人単位で取得し、対象はIT基盤（クラウドで運用するものを含む）と、外部とのネットワークの境界です。どの書類で何を示すかは、IPAの「★3・★4 自己評価等ガイド」で確かめます。

困りごと③ 誰に相談すればいいかわからない

制度が新しいため、社内に詳しい人がいません。取引先への回答期限が迫るなかで、相談先を探し始めます。このとき検索で見つけた無料のセルフチェックが、最初の接点になります。

セキュリティ企業は★3セルフチェックをどう使っているか？

2026年10月時点で、少なくとも4社のセキュリティ企業が★3のセルフチェックを無料で公開しています。問数は18〜26問、所要時間は3〜10分ほどで、いずれも「★3を取れるか」は判定せず、準備の状況を示す形です。結果から相談や商材の案内につなげています。

出典：各社のプレスリリース・サービスサイト（2026年10月22日時点）。社名は伏せています。

4社に共通するのは、「判定しない」ことと「無料で、すぐ答えられる」ことです。一方で、問数が多いと途中でやめる人が増え、少ないと26件の要求事項を覆えません。どこで線を引くかが、設計の分かれ目です。

★3セルフチェックを診断コンテンツにするなら、何を設計するか？

★3セルフチェックをリードにつなげる設計の要点は4つです。
①弱い分野ごとに結果とCTAを出し分ける
②「書類で示せるか」で採点を分ける
③温度感を聞く設問を入れる
④情報取得の位置と結果メールの中身を決める

弱い分野ごとに、結果の文と商材の案内を出し分ける

要求事項を分野に分けて採点すれば、「いちばん弱い分野」を結果で示せます。資産の把握が弱い人には資産管理のツールを、事故対応が弱い人には訓練や手順書の支援を案内する、という出し分けができます。全員に同じ資料を出すより、自分ごととして受け取ってもらえます。

「書類で示せるか」で採点を分ける

選択肢を「できており、書類がある」「やっているが、書類はない」「まだできていない」の3つにすると、★3で問われる証跡の有無まで測れます。「書類がない問題の数」を結果で示せば、書類づくりの支援という具体的な相談につながります。

温度感を聞く設問を1問入れる

「取引先から、セキュリティ対策の確認を求められたことはありますか？」のように、点数に関係しない設問を1問入れます。「ある」と答えた人は、期限のある顕在層です。営業が優先して連絡する相手を、回答から選べます。

情報取得の位置と、結果メールの中身を決める

連絡先を結果の前に聞くか、後に聞くかで、集まる件数と質が変わります。結果の前に聞くなら、「回答一覧と分野ごとの次にやることをメールでも届ける」など、入力する理由を示します。社内で共有したい担当者にとって、回答の控えは価値があります。

【CTAブロック②（設計の節の直後）｜資料ダウンロード：サービス資料】 分野別の採点、結果の出し分け、情報取得、結果メールまで、ノーコードで作れます。診断クラウド「ヨミトル」の機能と料金をまとめました → ［資料をダウンロードする］（https://shindancloud.com/document_archive/yomitoru_service）

★3セルフチェックの診断は、どう見える？デモ「SCS評価制度★3 準備度チェック」

株式会社ピクルスは、ここまでの設計を入れたデモとして「SCS評価制度★3 準備度チェック」を作りました。★3の要求事項26件を20問・約4分で確かめ、書類で示せるかまで採点して、6分野の準備度をレーダーで示します。答える側の体験と、結果の出し分けを確かめられます。

▼  SCS評価制度★3 準備度チェックを試す

このデモは、IPAが公開する要求事項をもとに独自に作ったもので、公式の評価ではありません。★3を取得できるかどうかを判定するものでもありません。

セキュリティ業界の診断コンテンツ事例では、どのくらい答えてもらえるか？

セキュリティ分野の診断コンテンツは、BtoBでも最後まで答えてもらえます。ヨミトルで作られた大手通信会社のセキュリティ系診断では、完了率（診断を始めた人のうち最後まで答えた人の割合）が82.3%と65.1%でした。ヨミトル全体の完了率の中央値は73.8%（利用30回以上・n=103）です。

出典：ヨミトル管理画面のデータ（株式会社ピクルス集計・2026年7月時点の累計）。社名は伏せています。

結果がそのまま提案になる診断は、CTAが押される

12のプランから提案する診断は、完了率は65.1%でも、完了した人に対するCTAのクリックが51.9%にのぼりました。結果で示したプランが、そのまま次の行動（詳しく見る・相談する）につながっているためです。セキュリティの診断でも、「結果＝自社の商材の入口」にすると成果が出やすくなります。

完了率が低くても、あきらめなくてよい

診断の形式によって、完了率の相場は変わります。クイズ形式は構造的に完了率が低くなりやすく、ヨミトルの集計では金融・BtoCのクイズ型の中央値は約53%でした。完了率だけでなく、完了した人がどれだけ次の行動に進んだかもあわせて見ます。

診断コンテンツでリードを集める考え方は、>>【リード獲得に診断コンテンツを活用するメリットとは？成功事例4選】でも詳しく解説しています。

よくある質問

Q. SCS評価制度はいつから始まりますか。 ★3・★4の登録申請は、2027年3月に受付が始まる予定です（IPA「よくある質問」・2026年10月時点）。申請方法をまとめた「登録申請の手引」は、2026年11月末頃に公表される予定です。★5は、内容・開始時期とも検討中です。

Q. ★を取らないと、取引できなくなりますか。 取得は任意で、取らないこと自体に罰則はありません（IPA「よくある質問」）。ただ、取引先が契約や選定の条件に★を求めた場合は、対応を求められます。どの★を、いつまでに求められているかを、早めに取引先に確かめます。

Q. ★3と★4の違いは何ですか。 ★3は専門家の確認つきの自己評価で、有効期間は1年です。★4は評価機関による第三者評価で、実地審査と技術検証を伴い、有効期間は3年です。求められる★の段階は、取引の内容に応じて取引先との間で決まります。

Q. ★3のセルフチェックは、自社で作れますか。 作れます。IPAが要求事項・評価基準を公開しているので、それをもとに設問と採点を組み立てます。ポイント型の診断ツールを使えば、分野別の採点や結果の出し分けも、プログラムを書かずに作れます。

Q. 診断の結果で「★3を取得できます」と示してよいですか。 示さないほうが安全です。セルフチェックは公式の評価ではなく、★3の取得は専門家の確認を経て決まります。「準備度」「目安」などの言い方にとどめ、公式の評価ではないことを結果ページに明記します。

Q. 取引先のツールやクラウドサービスの対策は、どう確かめますか。 委託先の対策を確かめるという考え方は、SCS評価制度と共通です。利用するクラウドツールについては、二要素認証やデータの分離など、ベンダーに書面で確かめる項目を>>【SaaSのセキュリティは何を確認する？導入前にベンダーへ聞く11の評価基準と質問例】でまとめています。いま使っているツールで確かめられていない項目は、無料の「クラウドツール危険度チェック」で洗い出せます。

まとめ

SCS評価制度は、取引先のセキュリティ対策を★で示す制度で、★3・★4の登録申請は2027年3月に受付開始の予定です。★3を求められた企業は「どこまでできているか」で迷うため、セキュリティ企業にとって★3セルフチェックは、困っている企業と出会う入口になります。

• ★3は専門家の確認つきの自己評価で、要求事項は26件。取得は任意

• 少なくとも4社のセキュリティ企業が、★3セルフチェックを無料で公開している

• 設計の要点は、分野別の出し分け・書類の有無での採点・温度感の設問・情報取得の位置

まずはデモを試して、答える側の体験と結果の見せ方を確かめてみてください。

▼ BtoBのリード獲得を含む156の診断コンテンツを、11業種・目的別に分析しました。自社の商材に合う診断の型を探せます

診断クラウド「ヨミトル」についての詳細はこちら

関連記事

• SaaSのセキュリティは何を確認する？導入前にベンダーへ聞く11の評価基準と質問例【チェックリスト付き】

• リード獲得に診断コンテンツを活用するメリットとは？成功事例4選

• リード獲得ツールおすすめ10選｜メリットや選ぶポイントも解説！