取引先の情報システム担当から、「SCS評価制度の★3を取りたいので、専門家として見てもらえませんか」とチャットが届きました。手元には情報処理安全確保支援士の登録証があります。ただ、これだけで署名のある書類に名前を載せてよいのか、フリーランスのセキュリティエンジニアとして手が止まります。この記事の答えは、資格に研修と登録を重ねてから、署名する役に就きます、の一言です。

1. フリーランスのセキュリティエンジニアがSCS評価制度を確かめる理由

制度の根拠と運営の体制

IPAによると、SCS評価制度は2026年3月に経済産業省と内閣官房国家サイバー統括室が公表した制度構築方針に基づきます¹。運営するのはIPAで、経済産業省と内閣官房国家サイバー統括室の監督のもとに置かれています¹。取引先とのやり取りに出てくる「セキュリティ専門家」は、この枠組みの中で名前のついた役です。

詳細化が続いている部分

ただし、制度のより具体的な実施内容は、2026年度に検討と詳細化が行われ、IPAのサイトで公開されます¹。そのため、資料に書かれていることと、これから決まることが今は混ざっています。

この記事は、IPAの「SCS評価制度の詳細情報」に書かれている範囲だけを扱います。書かれていない点は、書かれていないものとして残します。相談を受けた日に、どの部分が確定した資料で、どの部分が詳細化の途中なのかを切り分けておくと、取引先への返事を組み立てやすくなります。次は、段階の違いからです。

2. SCS評価制度の★3と★4

★3と★4が規定する水準

IPAによると、★3は一般的なサイバー脅威に対処しうることを水準として規定しています¹。

一方、★4は初期侵入の防御にとどまらず、被害拡大防止などによって、取引先のデータやシステム保護に寄与する点などを水準としています¹。守る範囲が自組織の入口から、取引先の側まで伸びている点が★3との違いです。

出典：IPA「SCS評価制度の詳細情報」（2026年5月）をもとに作成

★3を経由せずに★4へ進めるか

IPAによると、上位の段階はそれ以下の段階で求められる事項を包括するため、★3を事前に取得していなければ★4を取得できないという関係にはなりません¹。段階が階段のように見えるため、順番に上る前提で考えがちですが、資料はそう書いていません。

とはいえ、★3と★4では、見る側の顔ぶれも流れも変わります。セキュリティ専門家が署名する場面は★3で、評価機関の側が見る場面は★4です。それぞれの流れは、このあとの節で順に追います。

Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です²。制度の動きを追いながら、自分の経験に合うリモート案件の条件も並べて見られる選択肢があります。

3. セキュリティ専門家が担う役割

資料に書かれた2つの場面

IPAによると、セキュリティ専門家は★3における自己評価結果の確認と助言を行い、評価機関においては評価責任者を担います¹。ひとつは取得希望組織の自己評価を横から見る立場で、もうひとつは評価機関の中で責任を持つ立場です。

取引先から届く相談は、前者にあたります。自己評価を書くのは取得希望組織で、専門家は書かれた内容を確かめて助言する側です。評価責任者としての仕事は、評価機関に関わる場面の話になります。

役割ごとの記載を並べる

資料に出てくる主体のうち、相談の場面で関わる4つを並べました。セキュリティ専門家は、★3の自己評価では確認と助言を受け持ち、評価機関の側では評価責任者を担います。取得希望組織は自己評価を行い、研修事業者は専門家とその候補者に研修を提供します。誰が書き、誰が確かめ、誰が学びの場を用意するのかを区別しておくと、取引先に何を頼まれているのかを読み違えにくくなります。

役割	資料の記載
セキュリティ専門家（★3）	自己評価結果の確認・助言を行います1
セキュリティ専門家（評価機関）	評価責任者を担います1
取得希望組織（★3）	専門家の確認を経た自己評価を求められます1
研修事業者	セキュリティ専門家（候補者含む）に、本制度に係る研修を提供します1

研修事業者との関係

研修事業者の位置づけは、表の最後の行にあるとおりです。研修を受ける相手は、すでに専門家になった人だけでなく、候補者も含まれます¹。手持ちの資格だけで署名する役に就くのではなく、研修を挟む設計になっていることが、ここから読み取れます。

では、★3の中で専門家が確認と助言を行う流れは、どのような順に進むのでしょうか。

4. ★3の専門家確認付き自己評価の流れ

記入から署名まで

IPAによると、★3はセキュリティ専門家による確認を経た、取得希望組織による自己評価を求めます。この形を専門家確認付き自己評価と呼びます¹。評価の記入は組織が行い、専門家は記入された内容を見る側です。

専門家は社内外を問わず、取得希望組織の記入内容を確認し、必要に応じて修正を含む助言を行います。そのうえで、提出内容を了承した場合に署名します¹。了承できなければ、署名の前に助言の段階が入る、という順番です。

出典：IPA「SCS評価制度の詳細情報」（2026年5月）をもとに作成

署名のあとに組織が行うこと

署名が済んだあと、取得希望組織は経営層による自己適合宣誓を含めて、事務局に評価結果を提出します¹。宣誓するのは経営層で、専門家が署名するのは確認した内容の了承です。両者は別々の行為として資料に書かれています。

この流れでは、専門家の署名が組織の提出より前に置かれます。そのため、相談を受ける側が先に確かめたいのは、記入の中身を確認して助言できる立場に自分がいるかどうかです。次の節では、★4の側で誰が何を見るのかを確かめます。

5. ★4を見る評価機関と技術検証事業者

★4で確かめる主体

IPAによると、★4では評価機関および技術検証事業者が、文書確認に加えて、実地審査および技術検証を行います¹。★3では取得希望組織の自己評価に専門家の確認が添えられていました。★4では、評価機関と技術検証事業者という別の主体が登場します。

資料が挙げる確認の手段は3つです。文書確認、実地審査、技術検証で、書類を読むだけの確認に、実地審査と技術検証が加わっています。

出典：IPA「SCS評価制度の詳細情報」（2026年5月）をもとに作成

専門家の役との位置関係

セキュリティ専門家について資料が書いているのは、★3での確認と助言、そして評価機関での評価責任者です¹。★4の確認を行う主体として名前が挙がっているのは、評価機関と技術検証事業者です¹。

そのため、★4の相談を受けたときは、★3と同じように署名を求められているのかどうかを、まず取引先に尋ねたほうが読み違えにくくなります。どの主体の話をしているのかが分かれば、自分が引き受ける役もはっきりします。次は、その役に就くための要件です。

6. セキュリティ専門家になる要件

保持している必要がある6つの資格

IPAによると、セキュリティ専門家になるには、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001主任審査員のいずれかを保持している必要があります¹。冒頭の相談で手元にあった登録証が支援士のものなら、この6つのうちのひとつにあたります。

ただし、資格はあくまで入口です。資料はこの6つに加えて、別の要件も並べています。

資格のほかに求められる要件

資格以外の要件は、力量の保持・維持、研修の受講、事務局への登録です¹。資料では、力量の保持・維持と研修受講の要件を満たしたうえで、SCS評価制度の事務局に登録する必要がある、という並びで書かれています。表では、資格、力量、研修、登録に、研修の提供元の公表時期を加えて、要件ごとの中身を一覧にしました。上から順に、手持ちの資格が当てはまるか、研修を受けられる環境が整っているか、登録の手続きが残っているかを照らし合わせられます。

要件	中身
保持する資格	情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001主任審査員のいずれかです1
力量	力量の保持・維持の要件を満たします1
研修	研修受講の要件を満たします1
登録	SCS評価制度の事務局に登録します1
研修の提供元	研修事業者は2026年12月末頃より公表予定です1

研修事業者の公表時期

IPAによると、セキュリティ専門家に対して研修を実施する研修事業者は、2026年12月末頃より公表予定です¹。研修事業者は、専門家の候補者にも本制度に係る研修を提供します¹。

研修の受講が要件に入っている以上、事業者の公表は、手持ちの資格がある人にとっても無関係ではありません。この資料に書かれているのは事業者の公表予定で、研修の開始時期までは書かれていません。いつから受けられるのかは、公表後の資料で確かめます。

では、これらの要件を、実際の相談の場面でどの順に確かめればよいのでしょうか。

7. 相談を受けたときの確認の順番

確かめる5つの項目

相談を受けたときに確かめたい項目は5つあります。手持ちの資格が6つのいずれかか、研修事業者の公表を待つ必要があるか、事務局への登録が済んでいるか、★3の自己評価は組織が記入するものだと伝えたか、詳細化が続く部分を最新の資料で確かめたか、の順です。表では、それぞれの項目に、資料のどの記載が対応するのかを並べました。取引先とのやり取りの前に、この表の上から順に自分の状況を当てはめると、返事に何を添えればよいかが見えてきます。

順番	確かめること	資料の記載
1	手持ちの資格が6つのいずれかか	支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001主任審査員のいずれかが必要です1
2	研修事業者の公表を待つ必要があるか	研修事業者は2026年12月末頃より公表予定です1
3	事務局への登録が済んでいるか	力量と研修の要件を満たしたうえで、事務局に登録する必要があります1
4	★3の自己評価は組織が記入するものだと伝えたか	専門家確認付き自己評価で、専門家は記入内容を確認し、助言します1
5	詳細化が続く部分を最新の資料で確かめたか	具体的な実施内容は2026年度に検討・詳細化され、IPAのサイトで公開されます1

順に確かめる理由

この順にしているのは、手前の項目が崩れると、あとの項目に進めないからです。資格が6つのいずれにも当たらなければ、研修や登録を調べる前に話が止まります。逆に、資格が当てはまっても、研修と登録が残っていれば、署名する立場にはまだ就いていません。

出典：IPA「SCS評価制度の詳細情報」（2026年5月）をもとに作成

冒頭のチャットへの返事

冒頭のチャットに戻ります。手元の情報処理安全確保支援士の登録証は、6つの資格のひとつにあたります¹。ただし、資格に研修と登録を重ねてから、署名する役に就きます¹。返事には、この点と、★3の自己評価を記入するのは取得希望組織だという点¹を添えられます。

研修事業者の公表は2026年12月末頃より予定されており¹、実施内容の詳細化も続きます¹。次の一歩は、取引先への返事を急ぐことではなく、IPAの最新の資料を開いて、5つの項目に自分の状況を当てはめることです。Remogu（株式会社LASSIC運営）に登録して、自分の経験に合うリモート案件の条件を確かめておくのも、制度の動きを待つあいだの手になります。

8. よくある質問

情報処理安全確保支援士があればセキュリティ専門家になれますか

支援士は、セキュリティ専門家になるために保持している必要がある6つの資格のひとつです¹。ただし、資格だけでは満たしません。力量の保持・維持と研修受講の要件を満たしたうえで、SCS評価制度の事務局に登録する必要があります¹。

★3を取らないと★4は取れませんか

IPAによると、上位の段階はそれ以下の段階で求められる事項を包括します。そのため、★3を事前に取得していなければ★4を取得できないという関係にはなりません¹。

★4の審査もセキュリティ専門家が行いますか

資料で★4の確認を行う主体として挙げられているのは、評価機関と技術検証事業者で、文書確認に加えて実地審査と技術検証を行います¹。セキュリティ専門家は、★3での自己評価結果の確認・助言と、評価機関での評価責任者を担うと書かれています¹。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 情報処理推進機構「SCS評価制度の詳細情報」（2026年5月・2026年10月確認）
＊2 Remogu（株式会社LASSIC運営）公開情報：扱う案件の90%以上がフルリモート可能