2027年3月ごろから始まる予定のSCS評価制度では、多くの中小企業にとって星3個が重要な水準になります。
では、星3個を取得しようと決めたら、すぐに取得できるのでしょうか。
実際には、現在の対策状況を確認し、不足している部分を改善し、社内規定などを文書化したうえで、専門家による確認を受ける必要があります。
そのため、必要な期間は企業によって大きく異なります。
すでに一定の対策をしている企業と、ほとんど対策していない企業では、準備に必要な時間が違うからです。
重要なのは、何カ月という数字だけを見るのではなく、認定までにどのような作業が必要なのかを理解しておくことです。
最初に現在地を確認する
星3個取得への最初の作業は、自社の現在のセキュリティー対策を確認することです。
SCS評価制度の星3個では、7分類26項目が設定され、さらに細分化すると81件の基準をすべて満たす必要があります。
そこで、それぞれについて現在どこまで対応できているのかを調べます。
すでに満たしているもの。
一部だけ対応しているもの。
まったく対応していないもの。
このように分類します。
最初に現在地を把握しなければ、必要な期間も費用も分かりません。
不足項目を洗い出す
現状を確認したら、次に星3個の基準との差を整理します。
たとえば技術的な対策はできていても、社内規定が不足している会社があります。
反対に、規定は存在していても、実際のシステム設定が基準を満たしていない場合も考えられます。
社員教育が不足している。
バックアップの方法を見直す必要がある。
アカウント管理を改善する必要がある。
古い機器を更新する必要がある。
企業によって不足部分は異なります。
ここで必要な作業を具体的にすることが重要です。
すぐ改善できるものから対応する
不足項目のすべてに同じ時間がかかるわけではありません。
設定変更だけで改善できるものもあります。
社内ルールを明確にすれば対応できるものもあります。
一方、新しい機器やソフトウエアを導入する場合には、製品選定や予算確保が必要になります。
場合によっては社内システムそのものを見直す必要もあります。
そこで、不足項目を改善に必要な時間や費用によって分類すると、全体の計画を立てやすくなります。
ハードウエア更新には時間がかかる場合がある
特に注意したいのが機器の更新です。
古いパソコンやネットワーク機器などを利用している場合、新しいものへの交換が必要になる可能性があります。
しかし、会社の機器を一斉に交換するのは簡単ではありません。
予算を確保する。
機器を選定する。
購入する。
設定する。
既存データを移行する。
社員が新しい環境で業務できるか確認する。
こうした作業が必要になります。
星3個への対応を考えるなら、機器更新の必要性は早い段階で確認した方がよいでしょう。
社内規定を文書化する
SCS評価制度では、実際に対策しているだけでは十分ではありません。
対策状況を自己評価し、その内容を文書として示す必要があります。
誰がセキュリティーを管理するのか。
パスワードやアカウントをどのように管理するのか。
事故が発生したら誰へ報告するのか。
データをどのように保存するのか。
社員が守るべきルールは何か。
これまで暗黙の了解で運用してきた会社では、こうした内容を正式な文書にする作業が必要になります。
規定と実態を一致させる
文書を作れば終わりではありません。
書いてあることと実際の運用が一致している必要があります。
たとえば規定に定期的にバックアップすると書いていても、実際には実施していなければ意味がありません。
退職者のアカウントを速やかに停止すると定めているなら、実際にその手続きが行われる仕組みが必要です。
そのため、規定を作った後には社員への周知や運用確認も必要になります。
文書作成と実際の対策はセットで進めなければなりません。
自己評価をまとめる
必要な改善が終わったら、企業自身が対策状況を評価します。
どの基準についてどのような対策をしているのかを整理します。
その際には、対策を実施していることを説明できる資料も重要になります。
社内規定。
設定内容。
教育の記録。
管理手順。
こうした資料を整理しておけば、確認を受ける際にも説明しやすくなります。
日頃から記録を残しておくことが、認定準備の負担を減らします。
最後に専門家の確認を受ける
星3個では、会社が自分で大丈夫だと判断するだけでは取得できません。
記事によると、企業が対策を実施して自己評価を文書にまとめた後、一定の資格を持つ社内外の専門家が文書を確認します。
そして必要な項目をすべて満たしていることが求められます。
確認の段階で不足が見つかれば、修正して再び確認する作業が必要になる可能性があります。
そのため、制度開始直前になって初めて専門家へ相談するより、準備段階から助言を受ける方が効率的な場合もあります。
何カ月必要かは企業ごとに違う
星3個取得まで何カ月必要なのかについて、すべての企業に共通する期間を示すことはできません。
すでに十分な対策を行っている企業なら、文書の整理や不足項目の改善が中心になるでしょう。
一方、ほとんど対策していない企業では、機器の更新、ソフトウエア導入、規定整備、社員教育などを一から進めなければなりません。
記事でも、ゼロから星3個の要求事項を網羅する場合には年間数百万円、場合によってはそれ以上の費用が必要になるとの見方が紹介されています。
費用が大きい企業ほど、予算確保を含めて準備期間も長くなる可能性があります。
取引先に求められる前に動く
中小企業にとって最も避けたいのは、大企業や自治体から星3個を求められて初めて準備を始めることです。
SCS評価制度が取引先選定や入札条件として使われるようになれば、取得期限を指定される可能性もあります。
その時点で多数の不足項目が見つかれば、短期間で対応するのは難しくなります。
制度開始前から現在地を確認しておけば、必要な対策を少しずつ進めることができます。
大きな設備投資が必要なら、予算計画にも組み込めます。
結論
中小企業が星3個を取得するまでに必要な期間は、現在のサイバーセキュリティー対策によって大きく異なります。
重要なのは、星3個取得を1回の申請手続きと考えないことです。
現状把握。
不足項目の洗い出し。
対策の改善。
社内規定の整備。
社員への周知。
自己評価の文書化。
専門家による確認。
こうした作業を順番に進める必要があります。
すでに対策が進んでいる企業なら準備負担は比較的小さくなりますが、ゼロから始める企業では機器更新や予算確保まで必要になる可能性があります。
だからこそ、取引先から星3個を求められてから動くのではなく、早い段階で自社と基準との差を確認することが重要です。
星3個取得への第一歩は、高額なセキュリティー製品を購入することではありません。
まず自社が今どこにいるのかを知ることなのです。
参考
日本経済新聞 2026年9月17日 朝刊 サイバー対策、試される中小