RESOURCE

SCS第3階層・第4階層とは？★3・★4との関係を正しく整理｜ハチマルヤ合同会社（808）

2026.07.22

「うちは第4階層にあたるから、★4を取らないといけないんですよね？」

SCS評価制度の対応を検討し始めた担当者の方から、こうした質問をいただくことがあります。

結論からお伝えすると、これは誤解です。サプライチェーンの「階層」と、評価レベルの「★」は別の概念で、階層によって取得すべき★が自動的に決まるわけではありません。数字が似ているため混同しやすいのですが、この2つを混ぜて考えると、必要のない対応に工数をかけたり、逆に取引先の要請とずれた計画を立てたりするリスクがあります。

この記事では、ハチマルヤ合同会社（808）のコンサルタントが、「階層」と「★」それぞれの意味と関係、そして自社が目指す評価レベルの決め方を整理します。[※1]

SCS評価制度の「階層」とは：サプライチェーン上の位置

まず「階層（レイヤー）」は、サプライチェーンの取引構造上、自社がどの位置にいるかを表す概念です。

政府調達に関わるICTサプライチェーンは、発注元の政府機関を頂点に、直接受注する大手SIer・ICTメーカー、その下で開発・運用を担う再委託先・下請け企業、部品・コンポーネントを提供する企業……という多層構造になっています。「第3階層」「第4階層」は、この構造の中での位置を指す言葉です。

【要確認：階層の正式な定義・区分はIPAの最新公式資料で確認すること】

重要なのは、階層はあくまで「自社の商流上の位置」を表すだけだということです。階層そのものが、セキュリティ対策の水準や取得すべき評価レベルを決めるわけではありません。

「★」とは：企業が選ぶ評価レベル

一方の「★」は、企業のセキュリティ対策の水準を示す評価レベルです。SCS評価制度では★1〜★5の5段階が設定されています。[※1]

レベル	位置づけ	評価方式
★1・★2	SECURITY ACTION（中小企業の自己宣言制度）	自己宣言
★3	一般的なサイバー脅威への対処	要求事項26件・専門家確認付き自己評価
★4	被害拡大防止・サプライチェーン強靭化	要求事項43件・第三者評価＋技術検証
★5	高度なサイバー攻撃への対応	国際規格ベース

★3と★4の主な違いは次の通りです。

階層と★は1対1で対応しない

ここが本記事の最重要ポイントです。

「第3階層だから★3」「第4階層だから★4」という対応関係はありません。

★は、サプライチェーン上の位置にかかわらず、自社の役割・扱う情報のリスク・取引先からの要請に応じて選ぶものです。たとえば、商流上は下層にいる企業でも、重要な情報資産を扱っていれば高いレベルの取得を求められることがありますし、逆に上層にいても事業内容によっては★3で十分なケースがあります。

「第3階層＝★3」という説明を見かけたら、それは誤りです（数字が同じため混同されやすい表現です）。本記事でも以前の構成ではこの点が不正確だったため、整理し直しています。

自社が目指す★レベルの決め方：3つの基準

では、自社は★3と★4のどちらを目指せばよいのか。判断基準は次の3つです。

基準①：取引先・発注元から何を求められているか

最も確実な判断軸です。発注元や取引先が調達条件・取引条件として「★3以上」「★4」を明示しているなら、それに従います。まだ要件が明示されていない場合は、主要取引先に直接確認することが最短ルートです。

基準②：自社の役割と扱う情報のリスク

自社が提供する製品・サービスがサプライチェーンの中でどんな役割を担い、どの程度機密性の高い情報を扱っているかで判断します。

★4を検討すべきケースの例

重要インフラ（電力・通信・金融等）向けのシステム・コンポーネントを提供している
政府の重要システムに関わる開発・運用を担っている
機密性の高い情報や大量の個人情報を扱うシステムを担当している

★3が現実的なスタートになるケースの例

一般的な業務システムの開発・運用が中心
扱う情報が汎用的な業務データ中心
取引先からまだ具体的な要請が来ていない

基準③：対応コストと期間のバランス

★4は要求事項が43件に増え、第三者評価と技術検証が加わるため、準備工数・審査期間・費用のすべてが★3より大きくなります。自社のリソースと取引上の必要性を天秤にかけ、「いつまでに・どのレベルが必要か」を決めます。

迷ったら「まず★3」が実務上のセオリー

判断がつかないケースでは、「まず★3を取得し、必要に応じて★4へ進む」という段階的アプローチをおすすめします。理由は3つあります。

理由①：★3は全レベルの土台になる。 ★3の要求事項26件で整備するポリシー・体制・技術対策は、★4を目指す場合もそのまま土台として使えます。先に★3で基盤を固めることは無駄になりません。

理由②：取引先の要請はこれから具体化する。 制度の運用開始前の現時点では、発注側も要件を確定できていないケースが多くあります。★3で対応を進めながら取引先の動向を確認し、★4が必要になった時点で追加対応するほうが、手戻りがありません。

理由③：組織の習熟度が段階的に上がる。 いきなり第三者評価（★4）に挑むより、専門家確認付き自己評価（★3）で証跡整備や審査対応の経験を積むほうが、結果的にスムーズに進むケースが多いです。

ただし、取引先から期限付きで★4を明示されている場合は、最初から★4を視野に入れた計画が必要です。

まとめ

階層＝サプライチェーン上の位置、★＝評価レベル。この2つは別の概念
「第3階層だから★3、第4階層だから★4」という1対1の対応はない
★は★1〜★5の5段階。★3は要求事項26件・専門家確認付き自己評価、★4は43件・第三者評価＋技術検証
目指す★は「取引先の要請・自社の役割とリスク・コストと期間」の3基準で決める
迷ったら「まず★3、必要に応じて★4」の段階的アプローチが実務上のセオリー

よくある質問（FAQ）

Q1：★3を取得した後に★4が必要になった場合、ゼロからやり直しになりますか？

なりません。★3で整備した体制・文書・技術対策は★4の土台としてそのまま活用できます。★4で追加になる要求事項と、第三者評価・技術検証への対応を積み上げる形になります。

Q2：中小企業でも★4を求められることがありますか？

あります。★のレベルは企業規模やサプライチェーン上の位置ではなく、「自社の役割・扱う情報のリスク・取引先の要請」で決まるためです。重要インフラ向けのコンポーネントを提供している中小企業が★4を求められるケースは十分に考えられます。逆に、大企業でも事業内容によっては★3で十分な場合があります。

Q3：★3と★4では審査にかかる時間・費用はどのくらい違いますか？

★3は専門家確認付きの自己評価で、審査に要する期間は申請から1〜2ヶ月程度が目安です。★4は要求事項が43件に増え、第三者評価機関による審査と技術検証が加わるため、審査期間は数ヶ月単位になり、費用も外部審査費用分だけ高くなります。[※1]【要確認：審査期間・費用の最新情報はIPAの公式発表で確認】

Q4：自社がどの★を目指すべきか判断できない場合はどうすればいいですか？

まず主要取引先・発注元に「どのレベルの評価を求める予定か」を直接確認することが最初のステップです。要請がまだ具体化していない場合は、★3を目標に対応を進めるのが実務上のセオリーです。判断に迷う場合は、SCS評価制度に詳しい専門家への相談も有効です。ハチマルヤ合同会社（808）でもレベル選定からの相談をお受けしています。

ハチマルヤ合同会社（808）では、SCS評価制度への対応を専門チームがサポートしています。「★3と★4のどちらを目指すべきか判断できない」「何から始めればいいかわからない」という段階からご相談を受け付けています。まずはお気軽に無料相談をご利用ください。