支援士試験に合格したまま、登録していません。もう何年もそのままです。
そこへSCS評価制度の話が流れてきました。「登録セキスペの価値が上がる」「大逆転」という見出しが並びます。正直なところ、最初は聞き流していました。この手の話は何度も見てきたからです。
ただ、今回は少し様子が違いました。国の制度の中に、支援士の名前が要件として書き込まれている。しかも、企業がその制度に対応するには、支援士を確保しないと先へ進めない構造になっています。
そこで一次資料を読みにいきました。読んでみると、引っかかる点が出てきます。IPAの文面は「情報処理安全確保支援士を保持」と書いています。保持。合格ではなく、保持です。
この一語で、筆者のような未登録の合格者は対象から外れる可能性があります。ところが解説記事を見比べると、書き方がサイトごとに割れていました。
さらに調べていくと、制度の基本規程が公開されていました。専門家の定義もここに載っています。読んだ結果、筆者の見立ては変わりませんでした。むしろ根拠が1つ増えています。
この記事では、SCS評価制度で支援士に何が回ってくるのか、そして合格しただけの人が専門家になれるのかを、一次資料の文面に沿って整理します。
- SCS評価制度で情報処理安全確保支援士に回ってくる役割は何か
- 専門家になるには、資格のほかに何が必要か
- 試験に合格しただけの人が対象になるのかどうか
- 専門家になるまでに登録が2回あるという構造
- 専門家の要件がいつ公表される予定なのか
- 制度が公表していない部分と、引き受ける側に残るリスク
- 未登録の現役SEが、今どう判断したか
試験に合格しただけでは、SCS評価制度の専門家になれない可能性が高い
先に結論を書きます。合格だけでは足りない、と筆者は読みました。
根拠はIPAの記述です。SCS評価制度の詳細ページに、専門家の要件がこう書かれています。
セキュリティ専門家になるには、力量の保持/維持（情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001 主任審査員のいずれかを保持）と研修受講の要件を満たしたうえで、SCS評価制度の事務局に登録する必要があります。
出典：IPA「SCS評価制度の詳細情報」（2026年9月4日確認）
問題は「保持」という語です。情報処理安全確保支援士は、登録して初めて名乗れる名称独占の資格になります。試験に受かった段階では、まだその名前を使えません。筆者自身がその状態です。
名乗れないものを「保持」しているとは、なかなか言いにくい。そう読むのが素直でしょう。
もうひとつ、あとから出てきた資料があります。制度の基本規程です。専門家は、ここでこう定義されていました。
本制度において SCS セキュリティ専門家とは、セキュリティに係る力量を一定以上有しており、それを継続的に維持していると認められる資格を有する者であって、研修事業者が提供する研修を受講し、制度運営機関に登録している者である。その要件については別途定める。
出典：IPA「SCS評価制度 制度規程・委員会」 基本規程（SCS-100／2026年8月28日）（2026年9月8日確認）
「保持」から「継続的に維持していると認められる資格」へ、言い方が一段細かくなりました。維持を求めるということは、更新の仕組みが動いている状態を指すと読めます。
ただし、これも筆者の読みです。規程は資格の細目を「別途定める」としており、その別途がまだ出ていません。断定はしません。この引っかかりについては、記事の終わりでもう一度触れます。
SCS評価制度は、取引先のセキュリティ水準を★で示す仕組み
制度そのものを簡単に押さえておきます。ここは各社の解説が出そろっているため、要点だけにとどめます。
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。根拠になる文書は「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」になります。経済産業省と内閣官房国家サイバー統括室が2026年3月27日に公表しました。運営はIPAが担います。
その後、2026年8月28日付で基本規程をはじめとする規程7本が制定され、9月2日にIPAのサイトへ掲載されました。制度は方針を示す段階から、運営の細目を決める段階へ進んでいます。
狙いは、委託元と委託先の間にある食い違いの解消です。委託元は取引先の対策状況が見えない。委託先は取引先ごとにばらばらの要求を突きつけられて疲弊する。この両方を、共通のものさしで置き換えようという発想になります。
対策の水準は★の数で表します。
| 段階 | 評価の方法 | 有効期間 |
|---|---|---|
| ★1・★2 | IPAの「SECURITY ACTION」を参照する形 | — |
| ★3 | 専門家確認付き自己評価。自社で評価したものをセキュリティ専門家が確認・助言する | 1年 |
| ★4 | 第三者評価。評価機関による審査と技術検証を受ける | 3年 |
| ★5 | より高度な攻撃への対応を想定。詳細は検討段階 | — |
制度の開始は2026年度末頃の予定です。経済産業省、IPA、東京都の解説、研修事業者の記事のいずれもこの時期で一致していました。
ここで注目したいのが★3です。自己評価なのに、専門家の確認が付く。この一点が、有資格者にとっての入口になります。
情報処理安全確保支援士に回ってくる役割は、確認と評価責任者の2つ
では専門家は何をするのか。IPAの記述では、役割が2つに分かれています。
ひとつが★3における自己評価結果の確認と助言です。企業が自分で書いた評価に対し、エビデンスを見て、足りないところを指摘する。最後に確認した旨を示す、という流れになります。
もうひとつが★4における評価責任者です。こちらは第三者評価の側に立ちます。評価機関に所属して審査を担う立場になるため、個人が単独で動く形とは違ってくるでしょう。
規程を見ると、研修を受ける対象はもう少し広く取られています。★3確認責任者と★4評価責任者のほかに、★3確認従事者、★4評価従事者という区分が置かれていました。署名して確認結果に責任を負う立場と、その下で作業に加わる立場が分けられている形です。専門家として登録した人が担えるのは、前者の2つになります。
副業として現実味があるのは前者だと考えています。★3は中小企業が目指す水準として設計されており、社内に専門家がいない会社が大半になるはずです。そこに外部から入る余地があります。
ただし楽な仕事ではありません。有効期間が1年ということは、確認作業が毎年発生するという意味です。継続的な関係を前提にした仕事になります。
専門家になるまでに、登録が2回ある
ここが制度の分かりにくいところです。専門家として動き出すまでに、性質の違う登録を2回くぐる必要があります。
| 順番 | やること | 相手 | 現時点の状況 |
|---|---|---|---|
| 1 | 情報処理安全確保支援士として登録する | IPA（支援士制度） | 登録日は年2回（4月1日・10月1日）。受付期限は2月15日と8月15日 |
| 2 | 制度が定める研修を受講する | 研修事業者 | 内容・費用とも未公表。研修事業者は2026年12月末頃より公表予定 |
| 3 | セキュリティ専門家として登録する | 制度運営機関（IPA） | 受付の開始時期は未公表。専門家に関する情報は2027年1月頃より公表予定 |
1つ目は支援士そのものの登録です。既存の制度なので、今日から書類の準備に入れます。ただし登録される日は年2回しかありません。4月1日と10月1日です。
2つ目の研修は、SCS評価制度が独自に定めるものになります。資格を持っているだけでは要件を満たしません。
3つ目が制度側への登録です。規程には「SCSセキュリティ専門家登録台帳」という名簿が用意されていて、ここに載って初めて専門家として動ける形になります。
なお、IPAの解説では「事務局」、規程では「制度運営機関」と書かれています。指している相手は同じです。
日程の見通しも立ってきました。研修事業者の公表が2026年12月末頃。専門家に関する情報は2027年1月頃からとされています（IPA「SCSセキュリティ専門家・評価機関」／2026年9月8日確認）。逆に言えば、それまでは要件の全体像が出てきません。
つまり資格は入場券のひとつに過ぎません。「支援士を持っていれば専門家になれる」という要約を見かけたら、そこは正確ではないと考えたほうがよいでしょう。
まもる「保持」という言葉を、どう読んだか
冒頭で触れた論点に戻ります。各サイトの書き方を並べてみると、割れ方がはっきりしてきました。
| 出どころ | 資格の書き方 |
|---|---|
| IPA（制度の運営主体） | 「情報処理安全確保支援士」を保持 |
| あるセキュリティ企業の解説記事 | 試験の合格と、IPAへの登録の両方が必要 |
| ある研修事業者の解説記事 | 「情報処理安全確保支援士試験」（国家資格） |
読み手からすると、まるで別のことを言っているように見えるでしょう。試験でよいのか、登録が要るのか。合格者にとっては、ここで支払う費用そのものが変わってきます。
筆者の読みは登録が必要、です。理由は3つあります。
ひとつは前述の通り、支援士が名称独占資格だからです。登録して初めて名乗れる資格を「保持」と表現するなら、登録済みの状態を指すと読むのが自然でしょう。
ふたつめは、並記されている他の資格との釣り合いです。CISSPもCISAもCISMも、更新を続けている人だけが有効な資格として持てます。ISO27001主任審査員に至っては、審査実績を積んで登録を維持する必要があります。試験に一度受かっただけの状態を同じ列に置くのは、制度の設計として不自然に見えました。
みっつめが、制度が求めている「力量の維持」という表現です。基本規程はさらに踏み込んで「継続的に維持していると認められる資格」と書いています。維持を求めるということは、更新の仕組みがある状態を前提にしていると読めます。支援士でそれに当たるのは講習であり、講習は登録者にしか課されません。
とはいえ、これは推論です。その基本規程も、資格の細目は「別途定める」で止めています。制度構築方針の本体も読み切れていません。細則で「試験合格者を含む」と定義される可能性は、まだ残っています。
ここが落とし穴
制度を追いかけるうえで、注意しておきたい点を挙げます。
研修の中身も費用も、まだ公表されていない
専門家になるには研修が必須です。ところが、その研修を誰が実施し、いくらかかり、何時間なのかが公表されていません。規程にも「要件については別途定める」とあるだけで、中身は研修実施基準という別の文書に委ねられています。
支援士の実践講習は80,000円です（IPA「情報処理安全確保支援士制度」／2026年8月確認）。同じ規模になるのか、もっと軽いのか、現時点では見当がつきません。ここが読めない以上、総額の試算はできない状態です。
「認定専門家」を名乗れる人は、今のところ1人もいない
事務局への登録が始まっていないため、専門家として認定された人はまだ存在しません。
そうであるにもかかわらず、「SCS評価制度に対応します」と掲げるサービスの案内はすでに出ています。制度対応の支援と、制度が定める専門家であることは別の話です。依頼する側になったときは、この2つを分けて確認したほうがよいでしょう。
★3の有効期間は1年しかない
ISMS認証やPマークと比べると、かなり短い設定です。取得する企業から見れば、毎年の作業が続くという意味になります。
規程では、更新のときも確認責任者の確認・助言を受けたうえで自己評価の更新版を出すことが求められています。登録内容が変わっていなくても、です。1年ごとに専門家を確保し直す前提になっていると読めます。
専門家の側から見れば継続的な仕事ですが、企業側から見れば継続的な負担です。制度が広く使われるかどうかは、この負担感の受け止められ方に左右されると考えています。
支援士の登録は、年2回しか行われない
ここは筆者も見落としていました。申請すればいつでも登録される制度ではありません。
登録日は4月1日と10月1日の年2回です。受付期限はそれぞれ2月15日と8月15日で、当日消印有効になります（IPA「登録するには」／2026年9月8日確認）。この記事を書いている2026年9月の時点では、8月15日の締切をすでに過ぎています。
つまり、いま申し込んでも登録されるのは2027年4月1日です。IPAのページにも、次回の申請締切は2027年2月15日と出ています。
急いで申し込んでも、半年後まで待っても、登録日は同じ2027年4月1日になる。先に動くことで得られる時間の差が、ほとんどありません。
書類の準備には時間を見ておいたほうがよさそうです。IPAも期日に余裕を持つよう書いていて、合格証書を紛失していると証明書の交付手続きから始めることになります。筆者は10年近く前の合格なので、まずその封筒を探すところからでしょう。
引き受ける側にも、責任と取消しがある
ここは規程を読むまで見えていませんでした。専門家の側にも、はっきりした責務が置かれています。
★3の確認をするときは、すべての要求事項を満たしていることを確認したうえで、確認結果に虚偽が含まれない点に最大限の注意を払う責務がある。規程にはそう書かれています。★4に関わる場合は、利益相反を避けて誠実に業務を進めることも求められます。
そして不正行為が疑われた場合の手続きも定められています。調査があり、弁明の機会が与えられ、必要に応じて改善の指示が出る。改善の効果が認められなければ、登録を取り消すことができるとされています。取消しの対象は登録組織だけではありません。専門家も同じ条文の中に並んでいます。
秘密保持の義務も同様です。制度に関わる中で知った情報は目的の範囲でしか使えず、この義務は関与が終わった後も続くと明記されています。
副業として引き受けるなら、ここは押さえておきたいところです。書類を見て署名する仕事は、署名した内容に責任が付いてくる仕事でもあります。相手企業の情報を預かる立場にもなります。報酬の相場が見えない段階でも、負う責任の側は規程からもう読み取れる状態です。
しろ登録した後、3年で14万円が発生する
支援士は登録すれば終わりではありません。新規登録時に登録免許税9,000円と登録手数料10,700円がかかります。
その後は講習が続きます。オンライン講習が年1回で20,000円、実践講習が3年に1回で80,000円。3年サイクルの合計は14万円になります。2026年4月に始まった実務経験者向けの制度で実践講習が免除されれば、6万3,500円まで下がります。金額はいずれもIPA「情報処理安全確保支援士制度」で2026年8月に確認したものです。
SCS評価制度の研修費は、これとは別にかかることになります。
費用の内訳と、2026年4月に新設された免除制度の条件は、情報処理安全確保支援士 講習不要の条件で詳しく整理しました。未登録のまま置いておくという選択肢についても、そちらで書いています。
筆者の立場からの考察
ここからは、現役の自治体システムエンジニアとして感じていることを書きます。
発注側の現場にいても、調達の条件は見えない
SCS評価制度の解説には「★が入札要件に入る可能性」という話がよく出てきます。発注側の組織に常駐している人間として、これに答えられるかというと、答えられません。
筆者は派遣です。仕様書がどう作られ、条件がどこで決まるのかという過程に、関わる立場にありません。運用の現場から見えるのは、決まったものが降りてきた後の姿だけになります。
正直に書くと、これは記事にしづらい話です。「現場を知っている人が語る」という形にならないからです。
ただ、この見えなさ自体が制度の論点だと考えています。
★の数が調達の条件に入るとしたら、その決定は委託先の見えないところで進みます。委託先の企業が知るのは、公告や仕様書が出た後です。★3を取るには、自己評価をして、専門家を探して、確認を受けて、という工程が要ります。しかも有効期間は1年しかなく、取得済みの状態を維持し続ける話にもなるでしょう。
つまり、公告を見てから動いたのでは間に合わない可能性があります。準備を始める判断を、条件が確定する前に下さなければならない。判断材料が見えない状態で先行投資を求められる構造は、規模の小さい会社ほど重くのしかかるはずです。
制度の設計として、この時間差をどう埋めるのかは気になっています。
調達との関係でいうと、支援士の必置化がどこまで来ているのかを情報処理安全確保支援士の必置化は本当に来るのかで調べたことがあります。法令上の義務は、今のところありません。SCS評価制度が違うのは、義務化とは別の経路から資格に仕事を結び付けようとしている点です。
6つの資格のうち、自分にとって最短の道はどれか
専門家の要件には6つの資格が並びます。手持ちのものから逆算して、どれが現実的かを比べてみました。
| 資格 | 筆者の現在地 | 専門家要件を満たすまでの距離 |
|---|---|---|
| 情報処理安全確保支援士 | 試験に合格済み・未登録 | 登録の手続きのみ。書類と費用で完結する |
| ISO27001主任審査員 | 未着手。登録要件は調査済み | 研修コース、筆記試験、審査員補としての登録を経て、実際の審査実績が必要。年単位 |
| 公認情報セキュリティ監査人 | 未着手 | 研修と試験。実務経験の要件あり |
| CISSP・CISA・CISM | 未着手 | 試験に加えて実務経験の証明が必要。維持に年会費とCPDが続く |
比べるまでもありませんでした。支援士ルートが圧倒的に短い。合格という一番重い部分を、すでに10年近く前に済ませているからです。
以前、ISMS審査員の登録要件を調べたことがあります。そのとき分かったのは、審査員補になるには研修と筆記試験が要り、そこから審査員、主任審査員へ上がるには実際の審査実績が必要だということでした。認証機関に所属するか契約しなければ、その実績を積む機会自体がありません。定年後の進路としては考えられますが、SCS評価制度の開始時期には間に合わない道になります。
そのときのメモに、こう書き残していました。登録費用を払う判断は、審査員要件ではなく、SCS評価制度など別の理由で決めるべきだ、と。
その別の理由が、今まさに目の前に現れたことになります。
あなたはどの位置にいるか
読者の状況によって、この制度の意味は変わります。
| 今の状態 | SCS評価制度で変わること | 次に取る行動 |
|---|---|---|
| 登録済みの支援士 | 研修と事務局登録を経れば、専門家として動ける可能性がある | 研修の要件が公表されるのを待つ。会社が費用を出すか先に確認する |
| 合格済み・未登録 | 現状のままでは対象外になる可能性がある | 2027年2月15日の申請締切から逆算する。いま申し込んでも登録は2027年4月1日 |
| これから受験する人 | 合格後の登録に、実務上の意味が付く見込み | 試験に集中する。制度は変わるので今の情報で決め込まない |
| 委託先として★を求められる側 | 専門家の確保が★3取得の条件になる | 社内の有資格者を洗い出す。外注前提なら費用を見込んでおく |
| 資格を持たない情報システム担当 | 直接の変化はないが、対応の実務は回ってくる | 自社がどの★を求められる立場かを整理しておく |
判断の分かれ道：今すぐ登録するか、詳細を待つか
未登録の合格者にとっての選択は、この2つになります。両方の言い分を書きます。
先に動く側の理屈はこうです。登録には手続きの時間がかかります。制度が始まってから慌てても、研修の枠が埋まっているかもしれません。支援士の登録は制度と無関係に価値があり、名刺に書けるようになる効果もあります。早く動いた人が先行者になる、という考え方です。
待つ側の理屈はこうです。研修の費用も要件も未公表で、総額が読めません。専門家の登録がいつ受け付けられるのかも分かりません。専門家に関する情報の公表が2027年1月頃とされている以上、待つ期間もそこまでで見通せます。
ここで日程を並べると、両者の差が思ったより小さいことが見えてきます。専門家に関する情報の公表が2027年1月頃。支援士の登録申請の締切が2027年2月15日。登録される日が2027年4月1日。つまり公表を見てから申請しても、いま申し込むのと同じ日に登録される計算になります。
ただし公表は「1月頃」であって、確定した日付ではありません。ずれ込めば2月15日に間に合わない可能性は残ります。書類を揃える時間も要ります。それでも、先に動く側の利点が「半年ぶん早く登録できること」ではなくなる点は、押さえておきたいところです。★3の需要がどれだけ生まれるかは、制度が始まってみないと分からない。3年で14万円を先に払って、仕事が来なければ持ち出しになります。
| 今すぐ登録するのが向いている人 | 詳細を待つのが向いている人 |
|---|---|
| 会社が登録費用と講習費を負担してくれる | 全額が自己負担になる |
| すでにセキュリティの相談を受ける立場にある | 運用の実務が中心で、相談を受ける機会が少ない |
| 名刺や提案書に肩書を書く必要がある | 社内業務が中心で、対外的な肩書を使う場面がない |
| 実務経験者向けの講習免除に該当しそう | 免除の条件を満たすか判断がついていない |
筆者は待つほうを選びました。
理由は費用の見通しが立たないからです。支援士の維持費は、前述の通り3年で14万円と分かっています（IPA「情報処理安全確保支援士制度」）。しかしSCS評価制度の研修費が上乗せされたとき、総額がいくらになるのかが読めません。全額が自己負担になる立場で、金額の分からない支出を先に決めるのは、どうしても踏み切れませんでした。
もうひとつは、制度がまだ動いていないことです。専門家として登録できる窓口が開いていない以上、今登録しても待機期間が延びるだけになります。★3を取りたい企業が実際にどれだけ現れるかも、始まってみないと分かりません。
そして3つ目が、前述の登録日です。いま申し込んでも2027年4月1日。要件を見てから申し込んでも、間に合えば同じ2027年4月1日。急ぐ理由が日程の側から消えました。
とはいえ、これは「やらない」ではなく「今は決めない」です。研修の要件と費用が公表された時点で、もう一度この判断をやり直します。
その時期も、いまは見当がつくようになりました。研修事業者が2026年12月末頃、専門家に関する情報が2027年1月頃です。ここが判断のやり直し地点になります。
りん公表から2027年2月15日の締切までは、うまくいって2週間から1か月ほど。動くと決めたら、その短い間に書類を揃えることになります。そこだけは今から準備しておくつもりです。
まとめ
- SCS評価制度は、サプライチェーンのセキュリティ対策水準を★で示す制度。開始は2026年度末頃の予定
- ★3は専門家確認付き自己評価、★4は第三者評価。有効期間はそれぞれ1年と3年
- 支援士に回ってくる役割は、★3の確認・助言と、★4の評価責任者の2つ
- 専門家になるには資格だけでは足りない。制度が定める研修の受講と、事務局への登録が要る
- IPAは「情報処理安全確保支援士を保持」と書き、基本規程は「継続的に維持していると認められる資格」と定めている。試験に合格しただけでは対象にならない可能性が高いと筆者は読んだ。ただし規程は資格の細目を「別途定める」としており、断定はできない
- 研修の内容・費用は未公表。研修事業者は2026年12月末頃、専門家に関する情報は2027年1月頃から公表される予定
- 専門家の側にも責務がある。確認結果に虚偽が含まれない点への注意、利益相反の回避、関与が終わった後も続く秘密保持。不正行為があれば登録の取消しもあり得る
- 専門家として認定された人はまだ存在しない。「制度に対応します」という案内とは分けて考える
- 支援士の維持費は3年で14万円。免除が通れば6万3,500円。研修費はこれとは別
- 支援士の登録日は年2回（4月1日・10月1日）。受付期限は2月15日と8月15日。2026年9月の時点で次の登録日は2027年4月1日で、いま申し込んでも要件を見てから申し込んでも同じ日になる
- 筆者は登録を見送り、研修の要件と費用が出た時点で判断し直すことにした
引っかかった点
いちばん時間を取られたのが「保持」の一語でした。
制度の解説を書いている各社が、この部分をそれぞれ違う言葉に置き換えています。試験と書くところ、登録が必須と書くところ、資格名だけを並べるところ。読み比べるほど、どれが正しいのか分からなくなりました。
結局はIPAの原文に戻り、名称独占資格であることと並記された他資格の性質から推し量る形になります。
そこへ基本規程が出てきて、「継続的に維持していると認められる資格」という言い方に変わっていました。一歩進んだ実感はあります。ただ、その直後に「その要件については別途定める」と続きます。結局、確定した答えには届きませんでした。この気持ち悪さは、細目が出るまで残りそうです。
もうひとつ引っかかったのが、要求事項の件数です。IPAのページには★3が26件、★4が43件という数字がありました。一方、東京都の解説は7分類とだけ書いて件数に触れていません。公表の時期が違うためだと思われますが、確証が持てなかったため、この記事では件数を本文の主張に使いませんでした。
参考にした一次資料
- IPA「SCS評価制度」
- IPA「SCS評価制度の詳細情報」
- IPA「SCS評価制度 制度規程・委員会」（基本規程 SCS-100 ほか。2026年8月28日制定）
- IPA「SCSセキュリティ専門家・評価機関」
- IPA「情報処理安全確保支援士（登録セキスペ）に登録するには」（登録日と受付期限）
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」を公表しました
- 東京都サイバーセキュリティポータル「SCS評価制度とは」
この記事の内容は2026年9月8日時点で確認したものです。制度は検討が進行中で、要件や時期が変わる可能性があります。判断の前に必ず一次資料で最新の状態を確認してください。