SCS評価制度の専門家研修｜演習は必須ではなく、試験は70%で修了

連載「SCS★3を覚える」の番外編です。6回かけて、★3の評価基準81件を読みました。今回は、その自己評価を確かめる側が受ける研修の仕様を読みます。

根拠にするのは、研修実施基準（SCS-330B）です。2026年9月11日に施行され、IPAのサイトで公開されています。研修事業者の公表は2026年12月末頃の予定です。2026年10月22日時点で、研修が始まったという案内は見当たりません。

読んでいて筆者が気になったのは、演習の扱いでした。附属書Bには、自己評価結果のレビュー演習と、ヒアリング・評価結果説明演習が並んでいます。ところが本文では、演習は推奨で、必須要件ではないとされていました。

この連載の模擬ケースは、その演習の型を借りて作ってきました。記事の後半では、研修が扱う適用範囲・助言・署名の3つの場面を、架空のG社で練習します。

---

研修を受けるのは、署名する人と、その下で作業する人

研修の対象は、確認・評価の業務に就く前の人です。研修実施基準の2.1は、こう書いています。

「本研修は、SCSセキュリティ専門家、★3確認従事者、★4評価従事者が確認・評価業務に従事する前に受講する研修である。」

★3の側で関わるのは2つの立場です。基本規程（SCS-100）と制度構築方針の書き方を並べました。

立場	★3でやること（筆者の要約）	資格の要件
SCSセキュリティ専門家（★3確認責任者として）	自己評価結果の妥当性を確認し、必要なら修正を含む助言をする。確認と助言をしたことを署名で示す（基本規程2.1.11①）	6つの資格のいずれか＋研修＋制度運営機関への登録
★3確認従事者	★3確認責任者の指導と監督の下で、確認を行う（基本規程1.3.8）	制度構築方針の図では、作業従事者の力量の保持・維持は「(不要)」、研修の受講は必要（20ページ）。規程は要件を「別途定める」

署名するのは責任者だけで、従事者は作業を担う形です。附属書Aは、専門家の技能に「★3確認従事者、★4評価従事者の誤りを指摘できる」を挙げていました。研修事業者は、専門家と従事者のすべてに研修を提供できるよう、シラバスを作る決まりです（2.2）。指摘する側と指摘される側が、同じ研修実施基準に沿った研修を受けます。ただ、コースを分けるときはコースごとにシラバスを作るので、中身まで同じとは限りません。

なお、★4評価従事者も研修の対象です。★4の評価機関の話はこの連載の範囲の外なので、ここでは触れません。資格の読み方と、専門家になるまでの登録の流れは、支援士とSCS評価制度の記事にまとめました。この記事は、その先の研修から読みます。

研修の科目：知識180分・技能120分・まとめ15分は「例」

研修の科目は、附属書Bに並んでいます。ただし附属書Bの題は「研修の科目及び履修内容（例）」です。時間も含めて、例として示されています。

区分	No.	科目（原文）	中身（筆者の要約）
知識（180分）	1-1	業務の理解	業務の前の準備、計画の立て方、相手の会社とのやりとり、確認・評価のプロセス
	1-2	★3・★4 要求事項・評価基準の理解	要求事項・評価基準の読み解き、自己評価結果の見方
	1-3	確認・評価の対象と実施ポイント	適用範囲の妥当性確認、システム・情報の分類、確認項目の抽出
	1-4	評価判断と評価結果の取りまとめ	判断根拠の整理、グレーゾーン事案の考え方、結果の書き方、改善推奨事項の説明
技能（120分）	2-1	【ケーススタディ①】自己評価結果のレビュー演習	読解、妥当性の判断、不足情報の抽出、追加確認事項の整理、講師講評
	2-2	【ケーススタディ②】ヒアリング・評価結果説明演習	グレーゾーンの判断、判断根拠の説明、報告書の作成、フィードバック、講師講評
まとめ（15分）	3-1	確認・評価業務における注意事項	機微な情報を扱うことの再認識、倫理観

出典：SCS評価制度 制度運営機関「研修実施基準（SCS-330B）」附属書B。科目名は短く切って載せています。足すと315分です。

研修の中身を縛っているのは、附属書Aのほうです。2.2と2.3は、附属書Aの人物像を育てるのに要る知識と技能を習得できる研修にせよ、と書いています。研修事業者はそれに沿ってシラバスを作り、コースごとに制度運営機関へ出します。附属書Bは、そのときの見本という位置づけだと筆者は読みました。

形式も1つに決まっていません。基準の文面には、オンライン、集合、オンデマンドの3つが出てきます（2.4、4.1）。

受講中の様子も見られます（2.5）。質問の的確さ、討議への貢献、成果物の妥当性といった研修中の活動と、離席・遅刻・早退などの取り組み姿勢です。姿勢に問題があり、促しても改まらない受講者は、講師の判断で修了試験を受けられないことがあります。

演習は推奨で、必須要件ではない

筆者が気になったのは、ここでした。2.3は、附属書Bの演習について次のように書いています。

「附属書B『研修の科目及び履修内容（例）』に記載する演習は、受講者の理解の深化及び実践的な技能の習得のため、実施を推奨する。ただし、当該演習は必須要件とはせず、研修事業者は研修の目的及び実施形態等を踏まえ、その実施の有無及び実施方法を定めることができる。」

演習をやるか、どうやるかは研修事業者が決めます。受ける側から見ると、コースによって演習の有無が違い得る、ということです。

一方で、附属書Aの技能は「できる」で書かれています。不足する情報を特定し、情報提供を求めることができる。自己評価結果に疑義があれば、ヒアリング等で確かめることができる。2つのケーススタディは、ちょうどこうした技能を手で動かす科目です。

もう1つ、修了試験の側にもつながりがあります。試験で参照してよいものに「演習で使用した課題及びその解答例」が入っています（2.6①）。演習を実施しないコースで、これに当たる参照資料がどう扱われるのかは、基準の文面だけでは分かりません。

試験問題を作るのは、どのコースでも制度運営機関です（2.6）。試験が測るのは附属書Aの知識と技能なので、演習の有無にかかわらず、測られる中身は同じだと読めます。

修了試験：資料は見てよい、試験中のAIサービスは不正

修了試験と、その後の更新の決まりを並べます（2.6〜3.4）。

項目	原文の要点	条
問題を作る	制度運営機関。研修事業者は機密情報として管理する	2.6
参照してよいもの	研修で使ったテキスト、演習の課題と解答例、SCS評価制度の各種資料（インターネット上の公開資料を含む）	2.6①
使ってはならないもの	検索、要約、翻訳又は解答作成を補助する生成AIその他のAIサービス。不正行為として扱う	2.6①
受け方	原則として録音・録画は禁止、カメラとマイクを有効にする。第三者の解答支援は受けない。本人であることを誓約する	2.6②
問題の扱い	受験者は、問題を第三者に公表してはならない	2.6④
合格	正答率70%以上で修了	2.7
有効期間	受講証明書は、合格した日から3年	2.8
再試験	不合格の日から1か月は受けられない。原則として同じ研修事業者で。不合格後の受験は通算5回まで、6回目は研修の受け直し	2.9.1
更新	有効期間が満了する半年前から満了日までに、フォローアップ研修を受ける。要求事項・評価基準の見直しのときも受ける	3.4

参照してよい資料は広く認められています。特に注意したいのは、検索・要約・翻訳・解答作成を補助するAIサービスの利用と、第三者による解答支援です。資料を開いて調べながら解く試験で、調べる手伝いをAIにさせてはいけない、という作りです。

問題を公表してはならない決まり（2.6④）は、この連載の書き方にも関わります。模擬ケースは、どれも筆者が作った演習です。研修や試験の問題を予想したものではありません。

研修事業者の側にも線があります。研修事業者指定基準（SCS-330A）の2.2⑥です。研修の場では、自社が行う研修以外の事業（製品、コンサルティング、監査等）を紹介・提供してはなりません。受講者の所属や取引関係を理由に、研修や修了判定に不合理な差を付けることも禁じています（2.6）。交付した後に不正受験などが分かれば、受講証明書は無効になります（4.5.3）。

助言の線引き：研修の演習例は「設計・実装の代行・指示」を外す

専門家は、確認のなかで助言もします。基本規程2.1.11①は「必要に応じて評価結果の修正を含む助言」と書いていました。会社の側から見ても、自己評価のときに社内外の★3確認責任者から支援を受けられます（基本規程3.1.1①）。

その助言の幅に、研修は線を引いています。附属書Bのケーススタディ②（ヒアリング・評価結果説明演習）の達成目標は、こう書いています。

「確認・評価結果を整理し、登録希望組織に対して分かりやすく説明するとともに、改善に向けた助言を行うことができる。ただし、登録希望組織の具体的なセキュリティ対策の設計・実装を代行又は指示してはならない。」

この文が置かれているのは、研修の科目の例（附属書B）の達成目標です。基本規程や研修事業者指定基準に、専門家の助言をこう区切る条文は見当たりませんでした。制度全体の禁止規定とまでは言えず、研修が目指す確認者の姿として読んでいます。

筆者の読みでは、助言で伝える中身は、たとえば次の3つです。どの基準に届いていないか。何が足りないのか。見せてほしい資料は何か。どう直すかを決めるのは、相手の会社です。この連載の模擬ケースも、毎回「求めること」「追加で聞くこと」で止めてきました。

ただ、「支援」と「指示」の境目は、原文だけでは引き切れません。基準を説明するのは支援で、製品を1つに決めて渡すのは指示、というあたりまでが筆者の読みです。

筆者の立場から：経験ではなく、文書で読んでいる

筆者は、情報処理安全確保支援士の登録を申請しています。2027年4月1日に登録される予定です。SCS評価制度の研修を受けるかどうかは、要件と費用が公表されてから決めます。経緯は、支援士とSCS評価制度の記事の追記に書きました。

もう1つ、書いておくことがあります。筆者には、監査を受けた経験も、監査をした経験もありません。確かめる側の仕事は、この連載でも規程と基準の文面から読んできました。

前述の通り、附属書Aの技能の多くは「できる」で終わっています。文面を覚えることと、相手を前にしてそれができることは、別の力だと筆者は考えています。2.3が演習の目的に「実践的な技能の習得」を挙げているのは、その間をつなぐためだと読みました。

学び方の話もしておきます。筆者は★3の評価基準を、生成AIの手を借りて作った一問一答のドリルで覚えてきました。修了試験では、そのAIが使えません。

研修実施基準が線を引いているのは、試験の最中です。学ぶ段階でAIを使うことは、この基準のどこにも制限されていません。試験で頼れるのは、参照できる資料と、自分の頭に入っている中身です。

模擬ケース：G社の確認で出てくる3つの場面

架空の会社の確認を、確かめる側の目で練習します。前述の通り、筆者が作った演習です。

★3の確認は書類の確認で、実地審査はありません（制度構築方針23ページ）。それでも附属書Aは、疑義があればヒアリング等で確かめる技能を挙げていました。書類を読み、足りないところを聞き、判断を伝える。今回は、相手とやりとりする3つの場面を置きました。ケーススタディ②（ヒアリング・評価結果説明演習）に近い型です。

G社の状況（架空）

• 電子部品の組立業。従業員35名。本社事務所と工場は同じ敷地にある
• 事務所では受発注・経理・メールを扱い、社内にファイルサーバがある
• 工場には、組立装置を動かす制御用の端末と、生産管理用のパソコン5台がある。生産管理用のパソコンは事務所と同じ社内LANにつながり、取引先から届いた図面を開く
• 取引先の電機メーカーから、★3の登録を求められている
• 自己評価の適用範囲は「本社事務所」。工場は「製造現場のため対象外」と書いている

場面1：工場を「対象外」にしている（保留して聞く）

研修の科目1-3は、適用範囲の妥当性確認を挙げていました。制度構築方針（9ページ）には、適用範囲の考え方が示されています。

• 事実：適用範囲を本社事務所とし、工場を「製造現場のため対象外」としている
• 基準：方針は、含めないものの例に「製造環境等の制御(OT)システム」を挙げる。例は「一方向セキュリティゲートウェイで外部ネットワークと区切られた製造拠点の制御システム」。一方で、パソコンなどのエンドポイント機器は含むもの。含めない判断をしたものが範囲内とつながるなら、ネットワーク機器等で範囲内外の通信を必要最小限にする
• 判断：「製造現場だから」だけでは決められない。保留する
• 根拠：方針が外せる例として挙げるのは制御システムで、「工場」という場所ではない。G社の工場には、事務所と同じLANにつながるパソコンがある
• 追加で聞くこと：工場の機器の内訳（制御用の端末か、生産管理や図面を扱うパソコンか）。外す機器と事務所のネットワークのつながり方。範囲内外の通信をどう絞っているか

自己評価等ガイドは未公開です。適用範囲の判断の細目は、ガイドが出てから変わり得ます。

場面2：「何を買えばいいか決めてほしい」と言われる

G社は、5-1-1-1を「未実施」としていました。社長からは、こう頼まれます。「何を買えばいいのか、決めてもらえませんか。」

• 事実：5-1-1-1は未実施。製品の選定を頼まれた
• 基準：5-1-1-1は、境界又は端末で、外から入る通信と社内から不正なサーバへの通信の双方を、リアルタイムに検知・遮断する仕組みを求める。製品の種類は書いていない（第6回）
• 判断：製品を選んで渡すことはしない（筆者の読み）
• 根拠：研修の演習例（ケーススタディ②）の達成目標は、具体的な対策の設計・実装を代行又は指示してはならないとしている。製品を1つに決めて渡すのは、指示に当たると読んだ
• 伝えること：基準が求めるのは、場所（境界又は端末）、向き（双方）、働き（リアルタイムの検知・遮断）の3つ。どの手段を選んでも、確かめるのはこの3つになる。選んだら、その働きが有効になっていると分かる資料を見せてほしい

場面3：「署名だけ先にほしい」と頼まれる

場面1と2の確認が残っている段階で、社長からもう1つ頼まれます。「取引先の期限があるので、署名だけ先にもらえませんか。中身は後で直します。」

• 事実：確認が終わる前に、署名を求められた
• 基準：附属書Aは、最終的にすべての評価基準について自己評価結果の内容が妥当だと判断した場合に、署名を行うことができるとしている。基本規程5.9は、すべての要求事項・評価基準を満たしていることを確認したうえで、確認結果に虚偽等が含まれない点に最大限の注意を払う責務を置く
• 判断：署名しない
• 根拠：署名は、確認と助言を行ったことを示すもの（基本規程2.1.11①）。確認の前に署名すると、署名が示す中身と事実が食い違う
• 伝えること：署名までに残っている確認（工場の扱い、5-1-1-1）。期限に間に合わせるには、どの資料をいつまでに出してもらえばよいか

確認を省いた署名は、後で双方を困らせます。登録した会社に虚偽申請などが確認されれば、登録は取り消され得ます（基本規程3.1.3）。確認した専門家の側も、不正が疑われれば調査の対象です。改善が見られなければ、専門家の登録の取消しまであり得ます（6.3.1）。

3つの場面に共通していたこと

判断の材料は、基準と制度の文書だけでした。手段と段取りを決めるのは、G社です。確かめる側は、足りないものと見せてほしいものを伝え、署名は最後に置きます。

ISMSの審査員研修と比べると：実技の扱いが違う

ISMS審査員の入口の区分（審査員補）にも、研修の修了が要件に入っています。ISMS連載の番外編で読んだISMS審査員の登録要件と並べると、違いは演習の扱いに出ます。

項目	ISMS審査員補（JRCA）	SCSの研修（SCS-330B）
修了の条件	全課程への参加、受講中の評価、実技評価、JRCA筆記試験のすべてに合格	修了試験の正答率70%以上
演習・実技	実技評価が修了の条件に入る	演習は推奨。必須要件ではない
研修の時期・有効期間	申請日から過去5年以内に、承認された研修コースを修了していること	受講証明書の有効期間は合格日から3年。フォローアップ研修で更新

出典：JRCA「AJ140 MS審査員資格基準の共通付属書」3.7、「AI140 ISMS審査員の資格基準」4.2（ISMS審査員の記事で確認した版）。SCS-330B 2.3、2.7、2.8、3.4。

ISMSの研修は、修了の条件に実技の評価を組み込んでいます。SCSは、演習を研修事業者の判断に任せ、修了を試験で決める形です。

両者の接点もあります。研修事業者の要件には、ISMS審査員やプライバシーマーク審査員の研修を提供した実績が、選択肢の1つとして入っています（SCS-330A 2.2②）。研修実施基準の作成では、プライバシーマーク審査員研修基準（JIP-PMK320）を参考にしたと附則に書かれていました。参考にした基準の中身は、この記事では読んでいません。

注意点

費用・時間・形式は、まだ決まっていない

研修事業者は2026年12月末頃から、専門家は2027年1月頃から公表される予定です（IPA、2026年10月22日確認）。受講料は、研修実施基準に書かれていません。再試験の受験料は研修事業者が定めて請求できる、とあるだけです（2.9.2）。附属書Bの時間も例なので、実際のコースの長さは事業者ごとに違い得ます。

模擬ケースの判断は、筆者の読み

解説書と自己評価等ガイドは、2026年10月22日時点で未公開です。適用範囲の線、助言の幅、署名の前に何を確かめるかは、ガイドが出ると変わる可能性があります。公開されたら、この記事も突き合わせて直します。

まとめ

• 研修を受けるのは、署名する専門家と、その指導・監督の下で作業する従事者
• 附属書Bの例は、知識180分・技能120分・まとめ15分。研修の中身を縛るのは附属書Aの人物像と技能
• 演習は推奨で、必須要件ではない。演習をやるかは研修事業者が決める
• 修了試験は資料を参照できるが、検索・要約・翻訳・解答作成を補助するAIサービスの利用は不正。問題の公表は禁止。70%で修了、有効期間は3年で、フォローアップ研修で更新
• 助言は改善に向けて行う。研修の演習例（附属書B）の達成目標は、対策の設計・実装の代行と指示を外している。制度全体の禁止規定としては書かれていない
• G社の場面：「製造現場だから」だけでは決められず、機器の内訳とつながりを聞く。製品は選ばず、基準が求める働きを伝える（筆者の読み）。署名は確認の最後

★3を読む連載は、この番外編でひと区切りです。

• 第1回 全体像：26項目の一覧、ISMSとの違い
• 第2回 統治：ガバナンス・取引先管理（12件）
• 第3回 識別：リスクの特定（11件）
• 第4回 防御①：ID・認証・アクセス権（27件）
• 第5回 防御②：教育・バックアップ・パッチ・境界（21件）
• 第6回 検知・対応・復旧（10件）
• 付録 SCS評価制度★3ドリル：評価基準81件の一問一答

解説書と自己評価等ガイドが公開されたら、各回の「筆者の読み」を突き合わせて直します。

引っかかった点

• 演習が必須要件でないこと。修了試験で参照してよいものに「演習で使用した課題及びその解答例」が入っていますが、演習を実施しないコースでこれに当たる資料がどう扱われるのかは、基準の文面だけでは分かりませんでした
• 「検索…を補助する生成AIその他のAIサービス」の範囲。インターネット上の公開資料は参照してよい一方、検索の結果にAIの要約が付く場合の扱いは、原文からは決められませんでした
• 自己評価を支援した★3確認責任者が、同じ会社の確認と署名もできるか。基本規程3.1.1①は支援を認めていますが、兼ねてよいかどうかを書いた文は見当たりませんでした。基本規程5.9は、★4の責務に利益相反の回避を書き、★3の責務の文には書いていません。研修の側では、まとめの科目の達成目標が公平性と客観性を挙げています。★4については、第三者評価とコンサルティング・製品の提供を同じ法人が行うことは「必ずしも否定されるものではない」とし、中立性の要件は今後詳細化するとしています（制度構築方針21ページ）
• ★3確認従事者の要件は、基本規程では「別途定める」のままです。制度構築方針の図（20ページ）では、資格の要件は不要で研修の受講だけでした

参考にした一次資料

• IPA「SCS評価制度 制度規程・委員会」（研修実施基準 SCS-330B〈2026年9月11日施行、9月18日誤記修正〉、研修事業者指定基準 SCS-330A〈2026年10月15日誤記修正〉、基本規程 SCS-100〈2026年8月28日〉）
• IPA「SCS評価制度の詳細情報」（制度構築方針 2026年3月27日。9ページの適用範囲の考え方、20ページの専門家と作業従事者の要件、23ページの★3の確認。研修事業者の公表予定）
• IPA「SCSセキュリティ専門家・評価機関」（専門家の公表予定。2026年10月22日確認）
• JRCA「MS審査員資格基準」（AI140 改定7版、AJ140 改定1版）

この記事の内容は2026年10月22日時点で確認したものです。研修事業者・研修の費用・自己評価等ガイドは未公表で、今後の公表で変わる可能性があります。判断の前に、必ず一次資料で最新の状態を確認してください。