第3回は、SCS評価制度の核心である★（スター）の段階を整理します。自社がどこを目指すべきかが見えてくる回です。本シリーズの主役である「★3」がどんなレベルなのかも、ここでしっかり押さえましょう。
■ ★は5段階。下位2つと上位3つで性格が違う
SCS評価制度の評価レベルは★1〜★5の5段階です。大きく分けると、★1・★2と、★3以上で性格が異なります。
- ★1・★2：自己宣言（SECURITY ACTIONに相当）
情報セキュリティの基本方針を定めて取り組みを宣言する、自己申告のレベルです。第三者のチェックはありません。まず最初の一歩として位置づけられます。 - ★3〜★5：評価を伴うレベル
自己評価だけで終わらず、専門家や評価機関の確認・審査が入る、より信頼性の高いレベルです。SCS評価制度として本格的に対象となるのは、この★3以上です。
■ ★3・★4・★5の中身
| レベル | 位置づけ | 評価のしかた | 有効期間（目安） |
|---|---|---|---|
| ★3（Basic） | 基本 | 専門家確認付きの自己評価 | 1年（毎年更新） |
| ★4（Standard） | 標準 | 外部評価機関による第三者評価（書類＋実地審査＋技術検証） | 3年（期間中も毎年自己評価） |
| ★5（Advanced） | 高度 | 最上位。詳細な要件・審査方法は現時点で未確定 | － |
ポイントは★3と★4の違いです。★3は、自社でチェックシートを記入し、セキュリティの専門家（※）に確認してもらったうえで申請する「専門家確認付き自己評価」です。一方★4は、外部の評価機関が実地審査や脆弱性検査まで行う「第三者評価」で、求められる対策の数も大きく増えます。
※専門家は、情報処理安全確保支援士・CISSP・CISM・CISA・公認情報セキュリティ監査人・ISO27001主任審査員などの資格を持ち、制度指定の研修を受けた人が想定されています。
■ なぜ中小企業はまず「★3」なのか
★4・★5は対策項目が多く、外部審査や技術検証も必要で、相応の体制とコストがかかります。これに対し★3は、専門家の確認は入るものの、基本は自己評価で取得できるため、中小企業が現実的にまず目指せる到達点です。
多くの取引で当面求められる水準も★3が中心になると見られています。だからこそ本シリーズは、「まず★3を取る」ことを目標に進めていきます。
次回（第4回）は、制度がいつ始まるのか――運用開始のスケジュールと、取引先から求められる前に始めておきたい準備についてお話しします。
★3取得に向けた現状チェックも、ヨドックがお手伝いできます。