第１ SCS評価制度を契約実務で確認する理由
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）は，取引先との間でセキュリティ対策の水準を確認するための制度である。
IPAは，令和９年３月に★３・★４の申請受付を開始する予定として，令和８年１０月に要求事項・評価基準を更新し，評価に関するガイド及び解説書を公開した。
本記事は，令和８年１０月３０日時点の公表資料に基づき，発注者，受託者及び顧問弁護士が契約で確認する事項を整理する。
★の取得自体は任意であり，取引要件に採用するかは契約当事者が決める。
IPAのFAQも，取得を制度が義務付けるものではなく，要求事項を満たさないことだけを理由に直ちに取引停止を求める制度ではないと説明する。
したがって，「国の制度だから全取引先に取得義務がある」と説明することはできない。
以下の契約上の確認事項や条項例は，公式資料を踏まえた実務上の提案であり，IPAの指定書式又は全事業者に共通する法定条項ではない。
根拠：IPA「よくある質問」（SCS評価制度。以下「FAQ」という。）Q１－１～Q１－５。
公式FAQ
第２ 取得単位・適用範囲・有効期間を確かめる
１ 契約先と評価対象が一致するか
解説書は，法人又は個人事業主を原則的な取得単位とする一方，妥当性を確認した事業部や企業グループ等の単位も認めている。
適用範囲は取得単位に対応するIT基盤が基本であり，クラウドも含めて整理する。
事業者が便宜的に対象を狭めればよいものではなく，★３の確認責任者又は★４の評価機関による妥当性の確認が必要となる。
発注者は，契約相手の法人名だけでなく，実際に受託業務を行う部門，システム及び接続先が評価範囲に入るかを確認するとよい。
範囲外の再委託先やサービスがあれば，登録の表示だけで管理を終えず，別途の確認方法を決める必要がある。
この確認は，委託先の評価を全社・全サービスの安全性保証と受け取らないために行うものである。
２ 除外対象と境界を図面で確認する
OTなどの除外には条件があり，接続関係や境界防護によっては適用範囲に含まれる。
また，業務に使う私物端末や在宅勤務用端末は，原則として適用範囲に含まれる。
通話・SMS・多要素認証だけに用いる個人機器等の除外もあるため，用途を区別する。
「工場設備だから」「私物だから」という呼び方だけで対象外と決めず，除外理由と接続関係を記録することが重要である。
３ 取得時点だけでなく有効期間を管理する
登録の有効期間は，★３が１年，★４が３年とされている。
取引期間中に評価の維持を求めるなら，契約期間との対応，更新の確認時期，失効・取消し・適用範囲変更を知った場合の連絡方法を決めておくとよい。
★の取得によって，他の法制度の要件を満たすことまで保証されるものではない。
根拠：SCS－６２０「★３・★４ 要求事項・評価基準 解説書」（以下「解説書」という。）４頁・６頁・７頁～１１頁，FAQ Q１－５。
解説書（公式PDF）
第３ 「１４日以内」の二つの場面を区別する
１ 通常運用では更新プログラムのリリースが起算点となる
評価基準No.４－４－４－２は，利用する機能・設定に関係する修正について，ベンダーが重大又は高リスクと説明する場合，CVSS基本値が７．０以上の場合，又はベンダーが深刻度の詳細を示さない場合を対象として，更新プログラムのリリースから１４日以内の適用を扱っている。
対象として挙げられるのは，会社PCのOS・ブラウザ・Office，サーバーのOS・ミドルウェア，会社のスマートデバイスのOS・アプリ及び境界ネットワーク機器のOS・ファームウェアである。
全ての脆弱性について，発見又は担当者の認識から一律１４日とする説明は正確でない。
やむを得ず間に合わない場合の扱いも，期限だけを切り離さずに確認する必要がある。
SCS－４１０「★３・★４ 自己評価等ガイド」は，対応計画の作成に加え，攻撃が観測されている場合には機能の無効化，ベンダーの回避策，ネットワーク分離又は不正通信を遮断する機器・ソフトウェアを導入している場合の監視・設定の一時的な強化といったリスク低減策を示す。
攻撃が観測されていない場合には，計画を完了まで管理して記録する扱いを示している。
単に「後で更新する予定」と記すだけで十分という意味ではない。
解説書は，悪用情報等を踏まえた優先付けも説明している。
その際も，CVSS基本値７．０以上で，情報公開時点で攻撃の観測又は高い蓋然性を理由に解説書が例示する公的情報源へ掲載された脆弱性は，露出状況にかかわらず１４日以内の適用を求めている。
一方，その掲載が更新プログラムのリリースから１４日経過後となった場合には，必ず１４日以内の対応対象に含めるとは限らず，対応計画の期限短縮等を検討することが望ましいとされている。
個別案件の適合性は，該当する要求事項，適合基準及び解説を一体として確認する。
２ ★４の技術検証後は診断結果の受領日が起算点となる
SCS－４３０「★４ 技術検証ガイド」は，CVSS基本値７．０以上の脆弱性を検出した場合について，診断結果を受領した日から１４日以内の対応を定めている。
原則は更新プログラムの適用による解消であり，更新プログラムが公開されておらず解消できない場合に限って，定められたリスク低減策による扱いが示される。
通常運用における例外を，そのままこの場面へ持ち込むべきではない。
また，同ガイドの登録希望組織向けの説明にある，初回の合否結果を受領してから１か月以内に再診断等を依頼できる期間と，１４日以内の対応期限は別である。
技術検証事業者向けの説明では「通知した時点から」とされているため，実務では通知日時と受領日時をともに記録し，依頼期限の扱いを確認するとよい。
契約では，どちらの手続に関する期限かを明記し，診断報告の受領日時，修正内容及び確認結果を対応付けて保存するとよい。
CVSS基本値が７．０未満であれば対応不要であるという意味でもない。
根拠：SCS－４１０「★３・★４ 自己評価等ガイド」９０頁～９２頁，SCS－６２０解説書９２頁～９４頁，SCS－４３０「★４ 技術検証ガイド」１４頁～１５頁・２４頁。
★３・★４ 自己評価等ガイド（公式PDF）
★４ 技術検証ガイド（公式PDF）
第４ 委託契約で具体化する事項
１ 何の基準をどこまで求めるか
契約では，要求する★の水準，参照する資料の版，取得単位及び対象システムを特定する。
制度文書の改訂が直ちに追加作業や追加費用を生むのか，協議と見積りを経て変更するのかも整理する。
契約の存続中に登録の有効期間が満了する場合は，更新確認と連絡の担当を決める。
２ 脆弱性情報の受領から修正確認までを割り当てる
受託者の報告だけでなく，発注者から提供する情報，クラウド事業者への依頼及び再委託先の作業も含めて，誰が何を行うかを整理する。
通知期限，調査の期限，暫定措置の判断時期，修正期限及び修正後の確認期限を区別すると，第一報をしただけで対応済みになることを防げる。
制度上の期限より早い契約上の連絡期限を設ける場合も，技術担当者が実行できる体制とセットで検討する。
３ 期限に間に合わない場合の手続を決める
延期理由，影響する機器・機能，攻撃の観測状況，暫定措置，実施責任者，完了予定日及び再評価日を共有する仕組みを作る。
例外を承認する者と，危険が増した場合に停止又は隔離を判断する者も定めるとよい。
契約当事者が延期に合意したことと，制度上の適合基準を満たすことは別に判断する必要がある。
４ 費用，協力及び契約上の効果を分ける
通常の保守料金に含まれる作業，緊急対応，再診断及び追加調査の費用を区分する。
登録の失効又は期限徒過が起きた場合も，直ちに契約解除又は無制限の損害負担とするのか，改善要求，移行期間，接続制限などを経るのかを，業務の重要性に応じて検討する。
個別の解除や損害賠償の可否は，契約内容と事実関係を踏まえた検討を要する。
第５ 診断を実施するときの合意と記録
「★４ 技術検証ガイド」は，外部からのポートスキャン等について，登録を希望する組織の明示的な許可と契約等による合意を求める。
停止や性能低下の可能性，業務への影響が生じた場合の責任範囲及び秘密情報の取扱いも，事前の説明・合意の対象となる。
外部サービス事業者が提供する機器を診断対象に含める場合は，その提供者の方針や申請・通知の要否も確認する。
実務では，対象のIPアドレス・ドメイン・アカウント，実施時間，実施できる操作，禁止する操作，緊急停止条件及び連絡先を具体化することが考えられる。
AIを使う場合も，診断の許可がAI事業者への秘密情報の送信まで含むかを別途確認し，入力情報，保持条件，人による確認及び再委託関係を整理する。
これは公式資料に基づく合意事項を，個別の診断契約へ具体化するための提案である。
発見事項には管理番号を付け，対象，判断根拠，担当者，期限，暫定措置，修正及び再確認の結果を一つにつなげて記録するとよい。
脆弱性を見付けることと，安全に修正して完了を確認することは，別の作業として担当を割り当てる。
根拠：SCS－４３０「★４ 技術検証ガイド」８頁～９頁・１１頁・２３頁。
★４ 技術検証ガイド（公式PDF）
第６ 契約条項を検討するためのたたき台
次の例は，契約内容を検討するためのたたき台であり，そのまま完成条項として使用することを想定したものではない。
対象業務，権限，技術要件及び費用について，当事者間で具体化する必要がある。
①対象と基準：本業務に関する評価水準，参照文書とその版，取得単位及び適用範囲を別紙で特定し，変更時の協議方法を定める。
②通知と対応：評価の失効，対象範囲の変更又は本業務へ影響する重大な脆弱性を把握した場合の通知事項と期限を別紙で定め，必要な調査，暫定措置，修正及び確認を担当者間で調整する。
③延期の取扱い：予定した対応が困難となった場合は，理由，リスク，暫定措置，担当者及び完了予定日を報告し，見直しの時期を定める。
この協議は，制度上の適合性を保証するものではない。
④診断と費用：診断の対象・権限・停止条件・秘密情報の取扱いを事前に合意し，通常保守，緊急対応及び再診断の費用区分を定める。
第７ 出典及び今後の確認事項
本記事の制度上の説明は，IPAのFAQ，要求事項・評価基準の掲載ページ，SCS－４１０，SCS－４３０及びSCS－６２０に基づく。
SCS－４１０は令和８年１０月２９日に軽微な編集上の修正が行われ，版番号の変更はないと案内されているため，資料名だけでなく取得日も管理するとよい。
登録申請の手引については，FAQで令和８年１１月末頃の公開予定が示されている。
実際の申請・更新手続や受付開始時期は，利用する時点で最新の案内を確認する必要がある。
関連する企業の平時対応は，情報漏洩が相次ぐ今，企業の信頼を守る法務の備えで，防御用AIを使う際の承諾等は，高性能AIをサイバー防御に使うための防御者向け利用制度で扱っている。