21/06/2026
---
おはようございます。前回の続き、「★3って具体的に何から始めればいいの？」編です。
前回、「自社のアドバンテージになるので使わない手はない」とお伝えしました。
じゃあ最初の一歩は何か。結論から言うと——
**いきなり対策を買い始めないこと。まず「棚卸し」からです。**
★3は要求事項が26項目。数だけ聞くと身構えますが、そのうち17項目はドキュメント整備や運用設計に関わる内容で、新しい機械やソフトを買わなくても進められる部分がかなりあります。
最初にやることはこの3つだけ。
**① まずは「うちに何があるか」を書き出す**
PC・サーバー・クラウド・スマホ等を一覧に。何を守るかが分からないと対策のしようがないので、ここが土台です。
**② 今あるルールを見てみる**
社内のセキュリティルールやマニュアルが「あるか・ないか」を確認するだけ。立派でなくてOK。なければ「ここが足りない」と分かります。
**③ ★3の項目と見比べて仕分け**
いわゆるギャップ分析。「対応済み／未対応／一部対応」で分類して可視化する作業です。
この3つで「うちはどこまでできていて、何が足りないか」がハッキリします。
ここまで来て初めて、足りない部分にいくら必要かを判断できるわけです。
ここで一つ。
前回お話しした「今のうちに手を打ちましょう」の高額な勧誘。あれに焦って飛びつくのがなぜもったいないか——
**現状を把握する前に、お金の話から入ってしまっているから**です。棚卸しが済んでいれば、「その提案、うちに本当に必要？」を自分で判断できます。
技術寄りで着手しやすいものとしては、サポート側の人からも「IT資産台帳の整備」「MFAの有効化」「バックアップの確認」の3点を最優先にと挙げられています。①の棚卸しと合わせて、この辺りから動き出すのが現実的です。
そもそも★3は自社で評価し、専門家の確認・助言を経て確定させる「専門家確認付き自己評価」。第三者に丸投げして高額審査を受けるものではありません。まず自分たちで現状を把握する、そこがスタートラインです。
制度開始は2026年度末ごろの予定。
「まだ先」ではなく、**今から棚卸しに手をつけておくと、いざという時あわてない**。それが今回いちばんお伝えしたかったことです。
次回は、★3で実は大きなウェイトを占める「社員教育」について、何をどこまでやればいいの？というお話を。
↓制度の最新情報・公式資料はこちら（経済産業省）
経済産業省及び内閣官房国家サイバー統括室は、「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）」（SCS（Supply Chain Security）評価制度の構築方針（案））に対して実施した意見募集の...
