SCS評価制度は何から始めるべきか？ まずは公開済みの★3・26項目を自社に当ててみよう

ガイドを待たず、まず★3の26項目を自社に当てて現在地を知る

　評価用ガイドの公表は2026年10月頃、評価機関の公表は2026年12月末に予定されている。では、それまで待つしかないのか。江島氏の答えは違った。すでに公表されている★3の26項目を、まず自社に当ててみることを勧める。

　「実際に当ててみて、何が出来ていて何が出来ていないのか把握する。まったく出来ていない、言葉も自社のなかだけでは把握できないというのであれば、まずステップ2（二つ星）に取り組んでいただいて、その後★３に取り組んでいただきたい」（江島氏）

　ここで言うステップとは、IPAが公開する「中小企業の情報セキュリティ対策ガイドライン」の第2部・実践編に置かれた4段階のことだ。同ガイドラインは2026年3月に大幅な見直しを受けている。改訂の柱は、SCS評価制度の内容を取り込んだことと、人材を確保・育成するための手引きを加えたことの二つだった。

　ステップ1はSECURITY ACTIONの一つ星、ステップ2は二つ星に対応する。一つ星は「情報セキュリティ6か条」に取り組むと宣言すればよく、二つ星は25項目の「5分でできる!情報セキュリティ自社診断」を実施したうえで、情報セキュリティ基本方針を策定して外部に公開することが条件になる。そして本格的な対策に入るステップ3の中身が、今回SCS評価制度の要求事項に沿って再整理された。★3・★4を始める前にステップ1・2を踏んでおけば、その下準備になるという。

　一つ星、二つ星は対策の実施前でも申し込める。第三者の確認が入るわけではなく、手続きは簡単だ。手つかずの企業であれば、ここが現実的な出発点になる。

★3の確認役となる専門家を、社内に育てるか社外に確保する

　★3の「専門家確認付き自己評価」は、企業が自らチェックリストを埋め、その内容が適切かをセキュリティ専門家が確認するという二段構えである。

　実際にはやっていないのに「やったことにしたい」という力学は働かないか。この問いには、SECURITY ACTIONとの対比で答えが返ってきた。

　「SECURITY ACTIONの一つ星・二つ星は、自分でやると宣言するだけでした。今度は専門家が確認します。そこに嘘がないか、適切にやられているかを確かめる仕組みを取り込んでいます」（江島氏）

　専門家の要件は二つある。一つは力量の保持・維持で、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISM、CISA、ISO27001主任審査員といった資格保有が想定されている。もう一つは制度側が用意する研修の受講だ。この二つを満たせば、社内の人材でも社外の人材でも専門家として動ける。

　社内に置く場合、雇用主からの圧力が働く可能性はあるか。この点について江島氏は「雇用元からの多少の圧力はあるのかもしれません」と認めつつ、「専門家の倫理としてそこは排除し、独立した立場で確認業務できるよう制度としてアナウンスを行う」という。制度の中立性は、組織の分離ではなく倫理に委ねられている。

　そのうえで江島氏が描くのは、確認だけを切り出す使い方ではない。

　「理想を言えば内部に専門家がいて、普段は『伴走支援』という形で一緒に対策構築をして、準備ができたタイミングで中立な立場から確認して『★3』を取っていただく」（江島氏）

　★4へ進む段階では外部の評価機関による評価が避けられない。そこで内部の専門家は、評価を受ける側を支える立場に回る。情報処理安全確保支援士については「中小・中堅企業でIT部門を任されている方であれば、一つの到達点として取れるところ」と江島氏は見る。

　もっとも、この制度は現場だけで完結しない。評価結果を事務局へ提出する際には、経営層による自己適合宣誓を添える必要がある。江島氏によれば「経営者も目を通して『やっていますよ』と書いていただく」仕組みだという。