現状の確認とアクションプラン
Readiness Review
- 事前アンケート（約20問、日本語・英語）
- 専門家による45分のヒアリング
- 非侵入型リアルタイムスキャン（外部からの確認）と、申告内容と観測結果の比較表
- 優先度付きのアクションプラン（稟議に添付できるサマリー付き）
- Review実施後60日以内に★3 Readyをご契約の場合、Reviewの料金を全額充当
SCS準備支援サービス
★3への準備、
どこから始めるかが分かる。
Readiness Reviewで現状を確認し、優先度付きのアクションプランを作成します。★3 Ready・★4 Readyで、評価に向けた準備まで伴走します。
SCS評価制度は、IPAによる正式な運用開始前です（★3・★4の登録申請受付は2027年3月に開始予定）。本ページの制度情報はIPAの公表資料にもとづいており、更新があり次第反映します。
3つのサービス
料金は、対象の範囲に応じて個別にご案内します。
★3の自己評価・確認まで伴走
★3 Ready
Readiness Reviewのすべてに加えて
- ギャップへの対応の伴走（文書の整備、ルールの策定）
- ★3確認責任者のご紹介（確認は、準備に関わらない独立した責任者が行います）
- アセスメントシート（SCS-410AP準拠）の準備支援
★4の評価に向けた準備
★4 Ready
★3 Readyのすべてに加えて
- ★4の追加要件（17要件・72基準）への対応の伴走
- 技術検証（SCS-430）に向けた準備支援（★4 Pre-Check）
- 第三者評価機関のご案内
外部からの確認｜Non-intrusive Real-time Scan
非侵入型リアルタイムスキャン
お客様の主要ドメインと、発見されたサブドメインを対象に、インターネットに公開されている資産の状態を確認します。公開情報の収集と、システムに影響を与えない非侵入型の確認を組み合わせたハイブリッド方式で、いまの状態をリアルタイムに近い形で把握します。攻撃や侵入を伴わず、事前にご同意いただいた範囲だけを確認します。
確認する側
PIPELINE送信元IPアドレスを事前にお知らせ
確認する範囲（同意いただいた対象のみ）
- 公開情報（DNS、証明書の公開ログ、公開されている脆弱性情報など）
- インターネットに公開されているサーバ・サービス（Web、VPN、メールなど）
- ポート・サービスの検出、バージョンの識別、TLS接続の確認
確認しない範囲
- ログイン試行、脆弱性の悪用、設定・データの変更
- 認証が必要な領域、社内ネットワーク、端末
- 産業用制御システム（書面でのご承認がない場合）
確認する内容と、確認しない内容
確認する内容
- 公開サービスとバージョン、CVSS 7.0以上の脆弱性
- 境界機器の設定（リモートアクセス、管理画面の公開有無）
- 漏えいアカウントの件数（ドメイン単位）
- TLS・DNSの設定状況（参考情報）
確認しない内容
- ログイン試行、脆弱性の悪用、設定やデータの変更
- 認証が必要な領域、内部ネットワーク・エンドポイント
- 多要素認証（MFA）の設定、バックアップ
- 産業用制御システム（OT/ICS）※書面でのご承認がある場合を除く
確認の方法：非侵入型の確認は、ポート・サービスの検出、バージョンの識別、TLS接続の確認、公開されているWebコンテンツの取得など、通常の通信と同等の範囲に限ります。実施前に同意書をいただき、実施日時と送信元IPアドレスを事前にお知らせします。
非侵入型リアルタイムスキャンは、SCSの評価や★4の技術検証（SCS-430）の代わりになるものではありません。外部から確認できる範囲で★3の関連基準を補完し、大部分の基準はヒアリングと文書の確認で整理します。
安心してご依頼いただくために
攻撃・侵入を伴いません
ログイン試行、脆弱性の悪用、設定やデータの変更、認証が必要な領域へのアクセスは行いません。
同意いただいた範囲だけ
対象のドメインと、対象から外すホストを書面で合意します。クラウドや委託先が運用する基盤は、お客様に確認いただいたものに限ります。
日時と送信元を事前にお知らせ
実施日時と送信元IPアドレスを事前にお伝えします。社内のSOC・CSIRTや運用委託先への共有にお使いください。
いつでも止められます
実施中は緊急停止の連絡先を設けます。業務への影響が心配な場合は、すぐに中断します。
制御システムは対象外
産業用制御システム（OT/ICS）向けの確認は、書面でのご承認がない限り行いません。
結果は機密として管理
診断結果は機密情報として扱います。漏えいアカウントは件数のみを報告書に記載し、パスワードは取得しません。
低負荷・非破壊の確認を前提としていますが、すべてのシステムで影響がないことを保証するものではありません。セキュリティ機器のログに記録されたり、アラートが発生したりする場合があるため、事前の共有をお願いしています。
Readiness Reviewの流れ
ご契約からアクションプランのお届けまで、通常2週間ほどです。
事前アンケート
ご契約後、3営業日以内にお送りします。オンラインでご回答いただけます。
受け取るもの回答内容
非侵入型リアルタイムスキャン
同意書をいただいたうえで、外部から確認します。所要は1〜2営業日です。
受け取るもの観測結果
ヒアリング（45分）
アンケートのご回答後、専門家がオンラインで状況を伺います。
受け取るもの申告と観測の比較
アクションプラン
ヒアリングから2営業日以内にお届けします。★3 Readyへの移行も選べます。
受け取るもの優先度付きのプラン
よくあるご質問
SCS評価制度とは何ですか？
IPAが運営する「サプライチェーン強化に向けたセキュリティ対策評価制度」です。概要は SCS評価制度への対応支援（/scs/）のページと、IPAの公式情報をご確認ください。
PIPELINEが★を認定するのですか？
いいえ。当社は評価機関・認証機関ではありません。RiskSensorと専門家の支援で、★の取得に向けた準備と、取得後の継続的な管理を支援します。★の取得を保証するものではありません。
★3確認責任者とは何ですか？
所定のセキュリティ資格と研修の受講をもとにSCSセキュリティ専門家として登録され、準備に関わっていない独立した方です。準備を担当した者と確認者は同一人物になれないため、PIPELINEは準備支援と確認を分けて運用しています。確認責任者はご紹介できます。
非侵入型リアルタイムスキャンは、SCSの評価の代わりになりますか？
なりません。外部から確認できる範囲で★3の一部の基準を補完するもので、大部分の基準はヒアリングと文書の確認で整理します。★4の技術検証（SCS-430）の代わりにもなりません。
システムや業務に影響はありませんか？
公開情報の収集と、ポート・サービスの検出やバージョンの識別など、通常の通信と同等の非侵入型の確認に限ります。ログイン試行や脆弱性の悪用は行いません。実施前に同意書をいただき、実施日時と送信元IPアドレスを事前にお知らせします。実施中は緊急停止の連絡先を設け、ご要望があればすぐに中断します。
同意なしにスキャンされることはありますか？
ありません。PIPELINEは、対象の企業から書面で同意をいただいた範囲だけを確認します。バイヤープログラムで取引先を確認する場合も、取引先ご本人の同意が前提です。不正アクセス禁止法をはじめとする日本の法令を遵守して実施します。
ISO/IEC 27001などの認証をすでに取得しています。
重なる対策は多くあります。Readiness Reviewで既存の認証との対応関係を確認し、SCSに固有の要件（14日以内のパッチ適用、★3確認責任者による確認など）を整理します。
PIPELINEは評価機関・認証機関ではありません。RiskSensorと専門家の支援で、★の取得に向けた準備と、取得後の継続的な管理を支援します。★の取得を保証するものではありません。
Readiness Reviewから始めませんか。
現在の対策状況と、取引先から求められている★を伺い、進め方をご提案します。