取引先から求められる「脆弱性の管理体制」を、公開Webサイトから定額で。
SCS評価制度（★3・★4）の評価基準 3-2-1・4-4-4-2 の運用を、月次の診断と証跡レポートで支えます。対象は公開Webサイトの範囲に限ります。できること・できないことは、下の対応表でそのまま示します。
★の取得・評価結果を保証するものではありません（注記）。
公開Webサイトの診断で見つかった脆弱性ごとに、当社がエッジでの遮断（仮想パッチ）を適用し、その対応記録を毎月の証跡レポートにまとめるところまでを、1つの定額プランで提供しています。この組み合わせを提供する国内サービスは、当社の調べではサイトドックだけです。
※当社調べ（2026年10月29日時点。国内で提供されているWebサイト向けの脆弱性診断・WAF・脆弱性管理サービス11件について、各社の公式サイト等の公開情報に基づき、1つの定額プランで「定期的な診断」「診断で見つかった脆弱性ごとのエッジでの遮断」「その対応記録の毎月の報告」をすべて提供しているかを確認したもの）。仮想パッチの対象は、エッジで対処できる種類の脆弱性に限ります。
WHAT WE DO
診断・遮断・記録を、1つの定額プランで
見つかった脆弱性ごとに、当社がエッジで遮断
診断で見つかった脆弱性のうちエッジで対処できるものに、当社が仮想パッチを適用します。汎用のルールを当てるだけではありません。
所見ごとの対応記録を、毎月の証跡レポートに
所見ごとの新規・継続・解消と、当社が行った変更の記録を、毎月の証跡レポート（PDF）にまとめます。
遮断するエッジも当社が用意
お客様が別途 WAF を契約する必要はありません。導入は DNS の切り替えで、サーバーやアプリケーションは改修しません。
ABOUT SCS
SCS評価制度の要点
- SCS評価制度は「サプライチェーン強化に向けたセキュリティ対策評価制度」の略称です。サプライチェーンを構成する企業のセキュリティ対策の水準を、★の段階で示すための制度で、要求事項・評価基準は IPA（独立行政法人情報処理推進機構）が公表しています。
- ★3・★4 の要求事項・評価基準は 2026年4月21日 に公開され、評価用ガイドと解説書は 2026年10月28日 に公開されています。運用の開始時期などは、IPA の制度ページでご確認ください。
- 要求事項は規程・人・PC・ネットワーク機器など組織全体に及びます。このページで扱うのは、そのうち公開Webサイトにかかわる脆弱性の扱いです。
CRITERIA
該当する評価基準（原文）
見出しでは「継続的な脆弱性管理」と呼んでいますが、制度の公式の項目名は No.3-2-1「脆弱性の管理体制」です。3-2-1 の3項目は IPA 公表資料からの引用、4-4-4-2 は要旨です。［出典］
3-2-1-2（★4）
脆弱性情報/脅威情報を収集する情報源、ツール及び頻度を定めること。
3-2-1-4（★4）
管理対象の情報機器における脆弱性の残存状況を把握するための仕組みを整備すること。
3-2-1-5（★4）
収集した脆弱性情報/脅威情報に対する対応履歴を記録し、対応漏れがないかどうかについて月次で点検すること。
解説書（SCS-620）では、運用を委託している場合は「月次報告などにより結果を確認すること」、管理対象機器が多い場合は「市販の脆弱性管理ツールを利用することも有効」と説明されています。
4-4-4-2（★3）・要旨
深刻度が Critical／High（または CVSS 7.0 以上）の脆弱性を修正するアップデートを、リリースから 14 日以内に適用する。やむを得ず適用できない場合は、適用までの間、脆弱性悪用のリスクを低減する対策を行う。
対象には「サーバの OS 及びミドルウェア」が含まれます。自己評価等ガイド（SCS-410）では、リスクを低減する対策の選択肢の一つとして、当該脆弱性を悪用する不正な通信を遮断する仕組みの設定を一時的に強化することが挙げられています（要旨）。
COVERAGE
評価基準 × サイトドック 対応表
サイトドックが出せるものと、お客様側に残ることを並べました。対象外の項目も隠さず載せています。範囲は契約した公開Webサイトに限ります。
| 評価基準 | 求めていること | サイトドックが出せるもの（公開Webサイトの範囲） | お客様側に残ること |
|---|---|---|---|
| 3-2-1-2 | 情報源・ツール・頻度を定める | ○月次の定期診断（使用する診断ツールとシグネチャの更新頻度を文書で提示） | 規程類（脆弱性情報対応マニュアル等）への記載 |
| 3-2-1-4 | 残存状況を把握する仕組み | ○サイトの所見一覧（新規／継続／解消）を顧客ポータルで常時閲覧 | Webサイト以外の機器の把握 |
| 3-2-1-5 | 対応履歴の記録＋月次点検 | ○毎月の証跡レポート（PDF）＋「当社が行った変更」の記録 | 点検の実施・承認（レポートを材料に社内で点検） |
| 4-4-4-2 | 14日以内の適用／間に合わない間のリスク低減 | △自動修復（仮想パッチ）でエッジ側の遮断を強化し、その記録を証跡に残す（当社の検出から14日以内の適用を SLA の目標として定めています） | 本体のアップデート適用と、更新プログラム公開日からの14日の期限管理 |
| 4-4-4-3 | 境界ネットワーク機器（VPN・ルータ・FW） | ✕対象外（サイトドックは技術検証事業者ではありません） | 技術検証事業者による技術検証 |
| 3-2-1-1・3-2-1-3 | 役割・責任／対応要否の判断基準 | ✕対象外（社内で定める事項です） | 規程の策定 |
○＝運用の材料を提供／△＝一部を支援／✕＝対象外。評価基準の文言は要約です。正式な文言は出典の一次資料をご確認ください。
診断で検出した脆弱性のうちエッジで対処できるものは、検出から14日以内のエッジでの遮断（仮想パッチ）の適用をサービスレベルの目標として定めています（SLA）。
SCS の14日は更新プログラムの公開日から数えます。当社の14日は当社が検出した時点から数えるため、本体の更新適用の期限管理はお客様側で行ってください。当社の遮断は、本体の更新が間に合わない間のリスク低減策（4-4-4-2 ④）の材料として使えます。
MONTHLY CYCLE
毎月の流れ
診断から記録までは当社が回し、最後の点検をお客様が行います。3-2-1-5 の「月次で点検」に、毎月の証跡レポートをそのまま材料として使えます。
- 定期診断
公開Webサイトを月次で診断します。
- 所見一覧の更新
新規・継続・解消を所見ごとに記録します。
- 仮想パッチ
エッジで対処できる脆弱性に、エッジでの遮断を適用します。
- 証跡レポート
対応の記録を、毎月の PDF にまとめます。
- お客様が点検
レポートを材料に、社内で月次の点検と承認を行います。
なぜ、私たちがそれを言えるのか
取引先に示せる記録まで毎月そろえられるのは、長年にわたり“守る現場”そのものを運用してきたからです。
クラウドの運用
防御運用
セキュリティを支援
運用ノウハウ
※実績数値は2026年7月時点。
- Suricata 等の NIDS（ネットワーク型 不正侵入検知）で、不正な通信を見つけて対処してきた実運用の知見。
- 止めてはいけない公共サービスを守る前提＝「過剰に止めない」運用を現場で積み上げてきました。
- 診断・防御のロジックは JIISセキュリティラボ監修。日本情報基盤サービス株式会社が運営します。
PRICING
料金
SCS 向けの別料金はありません。既存のプランのままご利用いただけます。
プロ
Webアプリ・APIサーバ向け
- スタンダードの全機能
- ログイン後の画面・APIまで診断
- リアルタイム改ざん検知（常駐エージェント）
- サーバの全ポートを外部非公開・API保護・自社アプリ通信の保護
※ 料金はサイト数・構成により異なります。最終の料金はお見積りにてご提示します。
FAQ
よくある質問
サイトドックを使えば、SCS評価制度の★3・★4を取れますか？
VPN装置やルータ、社内のPCも診断できますか？
評価のときに、何を見せればよいですか？
★3の専門家確認で使えますか？
4-4-4-2の「14日以内」はどう扱えばよいですか？
診断に使うツールと頻度は、規程に書けるように示してもらえますか？
CONTACT
SCS評価制度への備えのご相談
「取引先から求められたが、Webサイトについて何を用意すればよいか分からない」——その段階からで構いません。対象サイトと取得予定の段階を伺い、サイトドックで支援できる範囲をご案内します。お見積もりの提示まで無料です。
先に資料で検討したい方は サービス資料のダウンロード へ。
- 会社名・お名前・メールアドレス
- 対象サイトのURL（任意）
- 取得予定の段階・取引先からの要請・希望時期（任意）
ご相談はお問い合わせフォームで承ります（ご用件「SCS評価制度への備えについて相談したい」）。担当より2営業日以内にご連絡します。ご入力いただいた情報は、ご連絡および関連するご案内のために利用します（プライバシーポリシー）。
ご注意
- SCS 評価制度の★取得・評価結果を保証するものではありません。評価は制度所定の手続き（自己評価・専門家確認・第三者評価）で行われます。
- 対象は契約した公開Webサイトです。PC・スマートデバイス・社内サーバ・境界のネットワーク機器（VPN・ルータ等）は対象外です。
- 当社は SCS 評価制度の評価機関・技術検証事業者ではありません。
- 制度の要求事項は IPA 公表の 2026年10月28日版に基づきます（改訂時は更新します）。
- IPA・経済産業省とは無関係で、制度ロゴは使用していません。