私が支援の前にお客様と確認したいのは、求められているのが対策状況の回答なのか、それとも★3の正式な取得なのかという点です。要求の意味をそろえたうえで、必要な準備と、私たちが支援できる作業を分けます。ここが曖昧なままでは、費用と日程も具体化できません。
今回は、自動車部品メーカーなどの中小企業に向けて、★3取得にかかる費用の内訳と、準備期間の考え方、取得までの流れを解説します。お客様が準備範囲を判断できるように、費用と作業の関係をお伝えします。
自動車業界の自己評価と、★3取得は同じではない
SCS評価制度の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。企業のIT基盤に関するセキュリティ対策を、共通の基準で評価・可視化する仕組みです。★3は、一般的なサイバー脅威に対処するための水準として位置づけられています。取得には、要求事項に沿った自己評価を行い、制度の要件を満たすセキュリティ専門家の確認を受ける必要があります。自社でチェックシートを記入するだけでは完了しません。
自動車業界では、日本自動車工業会・日本自動車部品工業会のガイドラインに基づく自己評価が行われています。2026年度の説明資料では、将来的に国の新制度へ一元化する方向が示されていますが、業界として★3・★4の取得を一律に必須とはしていません。
一方、個別の取引条件として取得を求められる場合はあります。業界の方針と、自社の取引先から届いた要求は、分けて確認する必要があります。
| 確認すること | 取引先とそろえておきたい内容 |
| 求められる対応 | 自己評価の提出、改善計画の提出、正式な★3取得のどれか |
| 対象範囲 | どの法人、拠点、IT基盤について確認するのか |
| 期限 | 現状を回答する期限と、取得を求める期限 |
| 提出資料 | チェックシート、改善計画、登録を確認できる資料など |
なお、2026年度の自動車業界の自己評価提出期限は12月31日ですが、これはSCSの★3取得期限ではありません。すでに提出した業界の自己評価資料も、SCSの要求事項と照合して使います。提出済みであることが、そのまま★3取得を意味するわけではありません。
登録料と、対策を整える費用を分ける
IPAが2026年9月18日に公表した★3の登録料は、次のとおりです。料金の適用時期は申請日を基準とします。| 申請日 | ★3の登録料 |
| 2028年3月31日まで | 1年分 10,000円 |
| 2028年4月1日以降 | 1年分 20,000円 |
いずれも消費税・地方消費税を含みます。ただし、これは制度への登録料です。専門家による確認や、不足する対策の整備にかかる費用まで含めた金額ではありません。
予算を考える際は、次の費用を分けて確認します。
| 費用の区分 | 確認する内容 |
| 登録料 | IPAが公表する料金と適用時期 |
| 専門家による確認費用 | 自己評価の確認、助言、修正後の再確認など |
| 対策の整備費用 | 設定変更、機器更新、規程・手順の整備など |
| 社内の対応工数 | 資料収集、部署への確認、教育、承認など |
| 継続的な運用費用 | 定期点検、更新、記録の管理、外部支援など |
例えば、端末やアカウントの管理がすでにできている会社と、管理対象の一覧から作る会社では、必要な作業が異なります。外部へ依頼する場合も、現状調査だけなのか、設定変更や手順の整備まで含むのかで見積額は変わります。
私たちが支援範囲をご説明する際も、対象拠点や端末数、設定変更、修正対応を具体的にします。お客様がほかの支援内容と比較する場合も、「取得支援一式」という総額だけでなく、専門家確認と対策の整備がそれぞれどこまで含まれるかを確認すると、費用の違いを判断しやすくなります。
登録料、初期の整備費用、継続費用を分けておけば、初年度に必要な予算と、その後にかかる費用も把握しやすくなります。
準備期間は、現状の確認と変更作業から見積もる
IPAの料金資料では、登録を希望する組織の受け付けは2027年3月以降に開始する予定とされています。2026年10月27日時点では、正式な受け付け開始前であり、申請から登録までの日数を、取得実績に基づいて示すことはできません。一方、社内で準備に必要な作業を調べることはできます。準備期間と、正式な申請後の処理期間を分けて考えます。
資産台帳や規程がそろい、設定状況も確認できる会社であれば、要求事項との差分を調べるところから進められます。管理担当が分からないサーバーや、用途不明のアカウントがあれば、その調査も必要です。
自動車関連企業では、業務を止めずに変更できるかも日程に影響します。受発注システムの認証を変更するなら、取引先とのデータ連携に影響しないかを確認します。設計資料の共有権限を整理するなら、設計部門に共有継続の必要性を判断してもらいます。
設定操作が短時間で終わっても、事前確認や試験まで同じ時間で済むわけではありません。
準備期間は、資料の不足、設定変更の範囲、社内承認、専門家による確認の日程によって変わります。必要な工程を洗い出し、私たちが担当する設定・運用の見直し、お客様の社内承認、制度の要件を満たす専門家による確認を分け、それぞれの担当者と実施時期を調整します。
機器更新や委託契約の変更が必要な項目は、設定変更だけで対応できる項目とは分けて管理します。取引先の期限までに完了できない可能性がある場合は、対応済みの項目と残る作業、今後の予定を整理して相談する必要があります。
★3取得までの基本的な流れ
IPAが示す★3の評価方法は、専門家確認付き自己評価です。社内の準備を含めると、次の流れで進めます。1．取引先の要求と評価対象を確認する
正式な取得が必要か、どの組織・IT基盤を対象とするかを確認します。取引先が確認したい範囲と、申請する範囲にずれがないかも確かめます。
2．要求事項と現在の対策を照合する
IPAが公開する正式な要求事項・評価基準を使い、資産台帳、規程、設定資料、既存の業界自己評価結果などと照らし合わせます。
回答できない項目があっても、すぐに未実施と決めつけず、設定が分からないのか、担当が決まっていないのか、確認資料が足りないのかを調べます。
3．不足する対策を整え、自己評価を作成する
設定変更や手順の整備を行い、自己評価に反映します。実施した対策について、どの資料で確認できるかも整理しておきます。
4．セキュリティ専門家の確認を受ける
制度の要件を満たす専門家が自己評価の内容を確認し、必要に応じて修正を含む助言を行います。普段の運用を委託している事業者が、制度上の専門家確認も担当できるとは限らないため、依頼先の役割を確認します。
5．評価結果を提出し、登録を受ける
専門家の署名と経営層による自己適合宣誓を含む評価結果を、事務局へ提出します。申請内容に問題が認められなければ、台帳に登録・公開されます。具体的な提出方法や必要書類は、申請時点の正式な案内に従ってください。
工場のある企業は、ITと生産設備の範囲を確認する
自動車部品メーカーでは、事務所のPCやクラウドサービスだけでなく、受発注システム、設計資料の保存先、設備メーカーの遠隔保守なども業務に関わります。ただし、SCSは企業等のIT基盤を対象とする制度です。一般にIT基盤に該当しない製造制御などのOTシステムや、納入する製品そのものは直接の評価対象ではありません。★3を取得しても、それだけで工場全体や車載製品の安全性を証明することにはなりません。
準備では、IT基盤と生産設備の管理範囲を確認し、その間にどのような接続があるかも把握します。事務所側のネットワークや認証の変更が生産側に影響する場合は、工場や設備の担当者、保守会社との調整も日程に含めます。
対象範囲を先に確認するのは、費用を見積もるためだけではありません。業務への影響を確認せずに設定を変えないためでもあります。
取引先の要求と、現在の対策をそろえるところから
★3取得の費用と期間を具体化するには、まず取引先の要求文書、対象となるIT環境の一覧、既存の自己評価資料をそろえます。そのうえで、現在の対策で対応できる項目と、新たな作業が必要な項目を分けます。Microsoft 365を利用している場合も、上位プランへの変更を先に決める必要はありません。契約中の機能と実際の設定・運用を確認してから、不足を判断します。組織体制や取引先管理など、Microsoft 365の設定だけでは対応できない事項も別に整えます。
Advangeでは、Microsoft 365のセキュリティに関わる設定・運用の見直しを支援します。取引先の要求文書や現在の運用資料をもとに、私たちが支援できる作業、お客様の社内で判断・整備いただく事項、制度上の専門家へ確認を依頼する事項を分けます。準備に必要な作業を明らかにし、お客様と費用・日程を具体化するところから支援します。
参考資料
IPA「SCS評価制度の詳細情報」
日本自動車工業会・日本自動車部品工業会「2026年度 経営層＋担当者説明会資料」
IPA「SCS評価制度 料金設定のお知らせ」2026年9月18日
IPA「要求事項・評価基準」
「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」2026年3月
制度の対象範囲、評価方法、登録の考え方。
参照日：2026年11月13日。制度・料金・申請手続きは、実施時点の最新の公表内容をご確認ください。
