2026年10月21日 — PHP に認証なしRCE 2件（CVSS 9.2）の修正版が公開されました
修正版は出ましたが、未適用のサーバーは今がいちばん危険です。御社のサーバーが該当するか、30分で実測します。
SCS ★ 3 は、取引先から信頼される会社であることを示す共通の基準です。IPA の「5分でできる情報セキュリティ自社診断」25項目をベースに、貴社の回答からスコアを算出し、SCS ★ 3 の要求事項とのギャップを特定します。
yamadori の名前について — ヤマドリは日本の固有種です。人里離れた森の奥に暮らし、必要なときだけ姿を見せる。外部から狙われない位置に立ち、いざという時に効く。そういう診断でありたいという意味を込めています。
診断はブラウザ内で完結し、回答は送信されません。メールアドレスの入力なしでスコアが出ます。
SCS 評価制度は、経済産業省と内閣官房国家サイバー統括室が2026年3月に公表した方針に基づき、IPA（独立行政法人情報処理推進機構）が運営する制度です。正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」といいます。
| 段階 | 評価のしかた | 何を求めるか |
|---|---|---|
| ★3 | 自己評価 ＋ セキュリティ専門家の確認 |
広く認知された脆弱性を悪用する一般的なサイバー攻撃に対処できる水準。全てのサプライチェーン企業が最低限実装すべき対策として位置づけられています。 |
| ★4 | 第三者評価機関による評価 （＋技術検証） |
初期侵入の防御にとどまらず、被害の拡大防止や目的遂行のリスク低減まで含めた、より広い範囲の対策。 |
| ★5 | 今後検討 | 未知の攻撃も含めた高度なサイバー攻撃への対応。制度設計は2026年度以降に検討されます。 |
※ 上位の段階は下位の段階を包括します。★3 を取得していなければ ★4 を取得できないという関係ではありません。
ハッカー集団は毎年入れ替わります。2026年に観測されたグループは146にのぼり、前年まで活動していた団体の多くはすでに見られなくなっています。特定のグループ名を追いかけても、対策にはなりません。
| よくある対策 | それだけでは足りない理由 |
|---|---|
| 話題になった攻撃グループの名前で対策する | その団体は来年には別の名前に入れ替わります。対策が古くなります。 |
| ウイルス対策ソフトを入れる | 認証情報を盗まれて正規の手順でログインされると、ソフトでは防げません。 |
| VPN を導入する | VPN機器そのものが狙われます。警察庁の報告でも、侵入経路の約5割が VPN機器等の脆弱性・認証情報の悪用です。 |
| 必要な製品を買い足していく | 製品ごとに守る範囲が違うため、抜けが残ります。何をどこまでやればよいかの基準がありません。 |
SCS ★3 の要求事項は、特定の攻撃グループではなく手口（TTP）に対応する形で作られています。だから、新しいグループが現れても、要求事項そのものが古くなることはありません。
※ 出典: 経済産業省・内閣官房国家サイバー統括室「SCS評価制度 制度構築方針」、警察庁のサイバー犯罪に関する報告、および公開されている脅威動向の調査（2026年）。数値はいずれも公表資料に基づきます。
IPA の25項目に回答いただくと、100点満点のスコアと、SCS ★3 の要求事項とのギャップを1枚のレポートにまとめます。以下は製造業・従業員50名の例です。
| # | 診断項目 | 回答 | 対応する SCS ★3 要求事項 |
|---|---|---|---|
| 1-5 | 重要データをバックアップしている | 一部 | 4-3-4 バックアップ |
| 1-6 | 無線LANを適切に設定している | 未実施 | 4-5-1-9 ネットワーク分離 |
| 2-6 | 持出しPC・記録媒体の管理をしている | 未実施 | 4-4-3 ログ管理 |
| 2-11 | クラウドサービスの利用ルールを定めている | 未実施 | 4-5-1-4 未認証インバウンドの遮断 |
| 3-3 | インシデント対応の手順を定めている | 未実施 | 5-1-1-1 不正アクセスの検知・遮断 |
| 3-7 | 情報セキュリティの点検・監査を実施している | 未実施 | 4-4-3-3 認証ログの定期監視 |
※ 上記はサンプルです。実際の診断では25項目すべてを個別に評価します。
IPA 公式の「5分でできる情報セキュリティ自社診断」25項目に答えると、100点満点のスコアと、SCS ★3 の要求事項とのギャップが出ます。登録不要・無料・回答は送信されません。
診断ツールはブラウザ内で動作し、回答内容はどこにも送信されません。
「会社まるごと」で見るもの、「PC1台ずつ」見るもの、「毎月続く」もの。この3つを分けています。だから、PCの台数が増えても、何をご依頼いただいたかが明確です。
| 単位 | 価格（税別） | 何を診るか |
|---|---|---|
| 会社に1回 1社あたり |
¥29,800 | SCS ★3 ギャップ診断 IPA 自社診断 25項目のスコア ／ SCS ★3 要求事項とのギャップ分析 ／ 経営者向けレポート（1部）／ 再診断による改善確認。 体制・規程・運用など、会社としての在り方を診ます。台数に関係なく1社に1回です。 |
| PC 1台ずつ 台数分 |
¥9,800／台 | 端末診断（NW・VPN 棚卸 ＋ 休眠データ棚卸 ＋ メール経由の侵入対策） 外部公開ポートの実測 ／ ファイアウォール規則の棚卸 ／ 添付・マクロ・危険拡張子の実行ブロック設定 ／ 攻撃面の縮小（ASR）の状態確認と設定 ／ 個人情報・古いバックアップの検出 ／ 1台ごとのレポート。 PC の中を1台ずつ実測するため、台数分の費用がかかります。まとめてご依頼いただくほど1台あたりが下がります（5台以上 ¥8,800／台 ／ 10台以上 ¥8,000／台 ／ 30台以上 ¥7,500／台）。 |
| 毎月続く 月額 |
¥49,800／月 | 月額サポート 年4回の点検（四半期ごと）＋再診断 ／ ログ監視レポート（月次）／ 規程レビュー ／ 是正のご助言・メール相談 ／ ★3の要求事項を満たし続ける運用。 SCS ★3 は取得して終わりではありません。点検・監査・教育・ログ監視は毎月続きます。いつでも変更・解約いただけます。 |
診断そのものは機械が数十秒で終わります。お時間をいただくのは、結果の確認とご説明です。
| やること | 所要時間 | どちらが行うか |
|---|---|---|
| 診断ツールの実行 | 数十秒 | 自動です。PC の前で1回クリックしていただくだけです。 |
| IPA 自社診断 25項目へのご回答 | 15〜30分 | お客様です。社内の状況をうかがう質問に答えていただきます。 |
| 結果の確認とご説明 | 30〜60分 | 当方です。検出された項目を1つずつ精査し、レポートとご説明の資料を作ります。 |
| 穴を塞ぐ作業 | 5〜15分 | 当方の手順に沿って、お客様の PC で1回クリックしていただきます。変更はすべて元に戻せる形で記録します。 |
| 端末1台あたりの合計 | 約 45分〜1時間 | うち、お客様にお願いするのは15〜30分だけです。残りは当方が進めます。 |
※ 台数が増えても、手順は共通のため1台あたりの時間は短くなります。10台を超えるあたりから、まとめてご依頼いただくほうが効率的です。
たとえば、従業員30名・PC 30台の会社で SCS ★3 を目指す場合。
| 組み合わせ | 合計（税別） | 中身 |
|---|---|---|
| まず現状を知る | ¥29,800 | 会社としての診断（1社）のみ。PC 1台でも現状は分かります。 |
| 診断 ＋ PC を全部見る | ¥254,800 | 診断 ¥29,800 ＋ 端末診断 30台 × ¥7,500 ＝ ¥225,000 |
| 診断から毎月の運用まで | ¥29,800 ＋ ¥49,800／月 |
まず診断し、その結果をもとに月額サポートへ。点検・監視・規程レビューが毎月続きます。 |
まず会社の診断（¥29,800）だけをお取りください。端末を何台見る必要があるかは、診断の結果で分かります。
診断の中で「この PC は見たほうがよい」とご提案し、台数と金額を確定してから次のご依頼をいただく形です。勝手に台数を増やすことはしません。
※ すべて税別です。訪問・出張の費用は別途お見積もりします。端末診断は台数に応じて1台あたりの単価が下がります（1〜4台 ¥9,800／台 ／ 5〜9台 ¥8,800／台 ／ 10〜29台 ¥8,000／台 ／ 30台以上 ¥7,500／台）。月額プランはいつでも変更・解約いただけます。
PC側だけで完結するのは「開く時」と「リンクを踏んだ後」の2段階です。1段階目（届く前）の送信元偽装や迷惑メールの判定は、ご契約中のメールサービスの設定領域になります。
1台のPCを実測した例では、Defender のリアルタイム保護は有効でしたが、攻撃面の縮小（ASR）は未設定、危険な拡張子（.js .vbs .hta .lnk .iso）はすべて実行可能な状態でした。診断では現状を確認し、PC側で完結しない項目を「対応済み」とは報告しません。
IPA 公式の「5分でできる情報セキュリティ自社診断」25項目をベースに、100点満点のスコアを算出し、SCS ★3 の要求事項とのギャップを1対1で対応付けます。
加えて、NW・VPN 棚卸、委託先・外部サービス評価、休眠データ・個人情報 棚卸、メール経由の侵入対策を、単発メニューとして個別にご依頼いただけます。
単位は3つです。会社に1回＝SCS ★3 ギャップ診断 ¥29,800。PC 1台ずつ＝端末診断 ¥9,800（5台以上 ¥8,800／10台以上 ¥8,000／30台以上 ¥7,500）。毎月続く＝月額サポート ¥49,800。すべて税別です。
診断ツールの実行は数十秒です。お客様にお願いするのは IPA の25項目へのご回答（15〜30分）と、PC の前で1回クリックしていただく操作のみです。
検出項目の精査とレポート作成（30〜60分）は当方が行います。端末1台あたりの合計は約45分〜1時間で、うちお客様の時間は15〜30分です。
SCS ★3 は自己評価であり、取得支援に認可・契約・評価機関の登録はいずれも不要です。第三者評価機関が評価するのは ★4 です。
当方の診断は IPA の公式素材（商用利用可・出典明示のみ）を使用しています。
診断は読み取りのみです。対策を実施する場合も、削除は行わず無効化のみとし、変更前の状態を記録して、いつでも元に戻せる形で納品します。お客様の同意なく台数を増やすこともありません。
診断の範囲を正確にお伝えします。できもしないことを「できます」と言わないためのページです。
2026 年 10 月 15 日に JPCERT/CC が公表した連続不正アクセス事案では、攻撃者がアプリを解析して API の弱点を探し、実行段階で大量アクセスを仕掛けたことが確認されています。これは PC の設定の問題ではなく、アプリとサーバーの設計の問題です。
当方の診断は PC と端末の守りです。PC を踏み台にされる経路、端末から情報が漏れる経路、委託先経由で波及する経路を塞ぐのが役割です。API や Web アプリの守りは、別の手段（コードの監査・サーバー側の権限設計・レート制限の実装）が必要になります。
「全部守れます」と言う業者は、実際にはどこも守っていないことが多いです。当方は、守れる範囲を実測し、守れない範囲は明記します。