取引先から届くセキュリティチェックシートの内容が企業ごとに異なり、回答や確認に時間がかかる。――このような悩みを抱えている発注企業、受注企業は少なくありません。サプライチェーンを通じたサイバー攻撃が相次ぐ一方で、取引先の対策状況を客観的に判断する共通の物差しは、これまで十分に整っていませんでした。こうした課題に対応するために構築されたのが、「サプライチェーン強化に向けたセキュリティ対策評価制度」、通称SCS評価制度です。★3と★4については、2027年3月頃の運用開始が予定されています。
本記事では、SCS評価制度とはどのような制度なのか、対象企業や義務の有無、★3・★4の違いを整理したうえで、制度開始に向けて企業が今から進めておきたいセキュリティ対策を解説します。
サプライチェーン強化に向けたセキュリティ対策評価制度（以降、記事内「SCS評価制度」と表記）は、サプライチェーンに関わる組織のセキュリティ対策を共通基準で可視化する制度です。★3は専門家確認付き自己評価、★4は第三者評価と技術検証によって確認され、2027年3月頃の運用開始が予定されています。
※本記事の情報は2026年9月3日時点でIPA、経済産業省およびBBSecが公表している資料に基づいています。今後公表・更新される情報については、最新の公式資料をご確認ください。
contents
SCS評価制度とは
SCS評価制度とは、組織が定めた適用範囲におけるIT基盤などのセキュリティ対策状況を共通の基準で評価し、段階別のマークによって可視化する制度です。2026年3月に公表された制度構築方針を基礎に設計され、経済産業省と内閣官房国家サイバー統括室の監督のもと、独立行政法人情報処理推進機構（IPA）が運営します。*1
この制度で想定されているのは、企業間の取引契約などにおいて、委託元が委託先に適切な段階（★）を提示し、その水準に応じた対策の実施状況を確認する使い方です。委託元は取引先のセキュリティ対策を共通基準で確認しやすくなり、委託先は複数の取引先から届く異なるチェックリストへ個別に回答する負担を軽減できると期待されています。
つまり、SCS評価制度の本質は企業を単純に格付けすることではなく、発注側と受注側がセキュリティ対策について共通の言葉で確認できるようにすることにあります。 ここでいうサプライチェーンは、製造業の部品供給網だけを指すものではありません。業務委託やITサービスの利用関係を含む「ビジネス・ITサービスサプライチェーン」を念頭に置いた制度です。委託先への攻撃による事業・サービスの停止、機密情報の漏えいや改ざん、取引先を踏み台とした不正侵入などのリスクを減らし、サプライチェーン全体のセキュリティ水準を高めることが制度の目的です。
なぜSCS評価制度が創設されたのか
企業の事業活動は、自社だけで完結するものではありません。クラウドサービスや外部のシステム運用、ソフトウェア開発、物流、決済など、さまざまな取引先とのつながりによって成り立っています。そのため、自社が対策を強化していても、委託先のシステムやアカウントを起点として被害が波及するおそれがあります。攻撃経路が取引先へ広がる一方で、対策確認のコストは発注側と受注側の双方に積み上がってきました。SCS評価制度は、この二つの問題を同じ共通基準で扱い、サプライチェーン上の立場やリスクに応じた対策を選びやすくするための仕組みです。
SCS評価制度はいつから始まるのか
IPAのFAQによると、SCS評価制度の★3・★4は、2027年3月頃の運用開始が予定されています。2026年4月には★3・★4の要求事項・評価基準が公開*2され、同年9月2日には、制度の基本規程や評価機関、技術検証事業者などに関する規則が公開・更新されました。*3
今後は、要求事項・評価基準の解説書、取得ガイド、申請方法が2026年10月頃に公開される予定です。★4の第三者評価を担当する評価機関は2026年12月末頃、★3の自己評価結果を確認するSCSセキュリティ専門家は2027年1月以降に公表される予定となっています。申請・登録にかかる費用は、2026年9月3日時点では公表されていません。
制度の詳細は今後も更新されるため、対応を検討する企業はIPAの公式サイトで最新情報を確認する必要があります。ただし、要求事項・評価基準はすでに公開されています。制度開始まで待つのではなく、現状とのギャップを把握し、時間のかかる対策から着手できる段階に入っています。
SCS評価制度の対象企業と義務の有無
SCS評価制度は、特定の業種や企業規模だけに限定されたものではありません。ビジネス・ITサービスサプライチェーンに関わる幅広い組織での活用が想定されています。ただし、すべての企業にマーク取得を法律で義務付ける制度ではなく、SCS評価制度自体は任意制度です。ここは「制度が任意であること」と「取引上求められる可能性があること」を分けて考える必要があります。
同制度では、二社間の取引契約などにおいて、委託元が委託先に適切な段階を提示する利用方法が想定されています。そのため、法令上の一律の義務ではなくても、取引条件や調達要件として特定の段階への対応を求められる可能性はあります。受注側の企業にとっては、取引先から問い合わせを受けてから準備を始めるのではなく、自社の対策状況を説明できる状態にしておくことが重要です。
SCS評価制度の★3・★4・★5の違い
SCS評価制度では、企業に求めるセキュリティ対策を段階別に示します。先行して運用されるのが★3と★4で、より高度なサイバー攻撃への対応を想定する★5は、要求事項や評価方法、開始時期を含めて検討中です。IPAの公表資料に基づいて両段階を整理すると、次のようになります。
| 比較項目 | ★3 | ★4 |
| 想定する水準 | 一般的なサイバー脅威に対処し得る水準 | 初期侵入の防御に加え、被害拡大や攻撃目的の達成を抑え、取引先のデータやシステムの保護に寄与する水準 |
| 要求事項 | 26項目 | 43項目（★3の要求事項を包含） |
| 評価方法 | SCSセキュリティ専門家の確認を受けた自己評価 | 評価機関による第三者評価と技術検証 |
| 主な確認内容 | 自己評価書類の確認と助言 | 文書確認、実地審査、技術検証 |
| 有効期間 | 登録完了の通知日から1年間 | 登録完了の通知日から3年間。ただし、1年ごとに自己評価を実施 |
★3：専門家確認付きの自己評価
公表資料では、★3は「一般的なサイバー脅威に対処し得る水準」と位置づけられ、26の要求事項が設定されています。取得希望組織が行った自己評価を、制度に登録されたSCSセキュリティ専門家が確認・助言し、経営層による自己適合宣言などを添えてIPAへ申請します。単なる自己申告ではなく、すべての要求事項・評価基準を満たす必要があり、有効期間は1年間です。
★3で求められる26の要求事項・81の評価基準や、自己評価から登録までの流れについては、「SCS評価制度の★3とは？26の要求事項・81の評価基準と自己評価を解説」で解説しています。
★4：第三者評価と技術検証によって確認
★4は★3の要求事項を包含し、合計43の要求事項が設定されています。初期侵入を防ぐだけでなく、侵入後の被害拡大防止や、取引先のデータ・システムを守る対策までが求められます。評価機関による文書確認・実地審査に加え、評価機関または評価機関から委託された技術検証事業者による技術検証が行われます。有効期間は3年間ですが、有効期間中も1年ごとの自己評価が必要です。
★4で求められる43の要求事項や、第三者評価・技術検証の内容については、「SCS評価制度の★4とは？43の要求事項・第三者評価・技術検証と取得準備を解説」で解説しています。
★3を取得せずに★4を目指すことも可能
★4は★3の内容を包含していますが、★3を先に取得しなければ申請できない制度ではありません。自社のサプライチェーン上の役割や取引先から求められる水準を踏まえ、当初から★4を目指すこともできます。 ただし、★4では43の要求事項に加えて第三者評価と技術検証が行われます。準備負担や必要な期間を把握しないまま目標を決めるのではなく、まず自社の現状と不足事項を確認することが重要です。
自社は★3と★4のどちらを目指すべきか
目指す段階は、会社の規模だけで一律に決めるものではありません。SCS評価制度は、委託元が取引上のリスクに応じて委託先へ適切な段階を提示する使い方を想定しています。まず確認すべきなのは、主要な取引先や業界でどのような水準が求められそうか、自社の事業停止や情報漏えいが取引先へどの程度の影響を及ぼすかという点です。
取引先の機密情報や重要なシステムを扱う企業、障害が発生した際に取引先の事業継続へ大きな影響を与える企業では、より高い水準を求められる可能性があります。一方で、自社だけで段階を断定するのではなく、公開済みの要求事項を確認し、取引先との協議や専門家の助言を踏まえて判断するのが現実的です。
SECURITY ACTIONやISMSとの違い
SCS評価制度と混同されやすい仕組みに、IPAの「SECURITY ACTION」があります。SECURITY ACTIONは、中小企業が情報セキュリティ対策へ取り組むことを自ら宣言する制度です。IPAも、SCS評価制度の★3・★4を目指す準備段階としてSECURITY ACTIONを案内しています。一方、SCS評価制度では公開された要求事項への適合が必要となり、★3では専門家確認、★4では第三者評価と技術検証が加わります。
ISMSは、JIS Q 27001（ISO/IEC 27001）を基準として、組織が情報セキュリティマネジメントシステムを確立し、実施、維持、継続的改善しているかを第三者の認証機関が評価する仕組みです。これに対しSCS評価制度は、サプライチェーン上の取引で必要となる対策水準を段階別に可視化することを目的としています。
既存の制度に取り組んでいる企業は、これまで整備した規程やリスク管理の仕組みをSCS評価制度への準備に活用できる可能性があります。ただし、SCS評価制度で登録を受けるには、対象となる段階で定められたすべての要求事項・評価基準を満たす必要があります。ISMS認証やSECURITY ACTIONの宣言だけで、SCS評価制度の登録へ自動的に移行するものではありません。
SCS評価制度に向けて企業が今から進める対策
評価の適用範囲とIT資産を整理する
最初に行いたいのは、どの組織、拠点、システムを評価の適用範囲とするかを整理することです。SCS評価制度は、登録を希望する組織が定めた適用範囲内のIT基盤などを対象にします。サーバ、ネットワーク機器、端末、クラウドサービスなどのIT資産が把握できていなければ、要求事項への適合状況も正確に判断できません。
要求事項と現在の対策との差を確認する
次に、公開済みの要求事項・評価基準と、自社の規程、システム設定、実際の運用を照合します。すでに実施している対策、証跡が残っていない対策、未対応の項目に分けると、課題が見えやすくなります。規程を作るだけでなく、決めたルールどおりに運用され、その実施記録を示せるかまで確認しておきたいところです。
優先順位を付けてロードマップを策定する
不足している対策を一度に整備しようとすると、現場の負担が大きくなります。規程の改定で対応できる課題と、ツール導入、システム変更、教育、訓練が必要な課題を分け、担当者、期限、予算を含むロードマップへ落とし込みます。特に★4を目指す場合は、対策を日常業務へ組み込み、実施記録や証跡を継続的に残せる状態が欠かせません。
適用範囲の設定からギャップ分析、是正計画、証跡の整備まで、具体的な準備の進め方については、「SCS評価制度への対応は何から始める？ギャップ分析から是正・運用定着まで」で解説しています。
制度開始前の準備には専門的な支援も有効
SCS評価制度への対応では、要求事項を読むだけでなく、評価範囲の設定、現状分析、規程と実運用の確認、是正計画の策定を並行して進める必要があります。社内だけでは判断が難しい場合、制度開始前に外部の専門家を活用し、自社の現在地を客観的に把握する方法があります。
BBSecでは、SCS評価制度の運用開始に備えた事前対策支援サービスを提供しています。公開済みの★3・★4要求事項に沿って行った事前点検の結果をコンサルタントが分析し、評価サマリーと対策ロードマップを提供する「★3/★4自己評価対応支援（プレリミナリーサーベイ）」のほか、★4の要求事項と既存対策との差を文書確認やインタビューで整理する取得準備支援、策定したロードマップに沿って対策の実行を支援する「★3/★4準拠に向けた対策実行支援（BBSec Prime for Supply Chain Security Measures）」を用意しています。
これらは、SCS評価制度の正式な登録やマーク付与そのものではなく、評価取得に向けた現状把握、準備、是正・実装を支援するサービスです。★3の申請には、SCS評価制度へ登録されたセキュリティ専門家の確認が必要です。★4には、制度運営機関から指定を受けた評価機関による第三者評価と、評価機関または技術検証事業者による技術検証が必要です。その前段階で要求事項とのギャップを明らかにし、対応の手戻りを抑えるための選択肢となります。 ★3・★4の要求事項と自社の現状との差を把握したい、対応ロードマップを整理したい、社内の人員だけでは是正が進まないといった課題がある場合は、制度開始を待たずにご相談ください。
SCS評価制度に関するよくある質問
▼ SCS評価制度はいつから始まりますかまとめ
SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策を共通基準で評価し、取引先へ説明しやすくする制度です。★3はSCSセキュリティ専門家の確認を受ける自己評価、★4は評価機関による第三者評価と技術検証という違いがあり、2027年3月頃の運用開始が予定されています。制度自体は任意ですが、取引先との契約や調達で活用されることが想定されています。公開済みの要求事項を確認し、適用範囲とIT資産の整理、現状とのギャップ分析、対策ロードマップの策定から準備を始めることが重要です。制度の開始時期を待つのではなく、自社が現在どこまで対応できているのかを把握することが、最初の一歩になります。
【参考情報】
- 独立行政法人情報処理推進機構（IPA）「よくある質問」（https://www.ipa.go.jp/security/scs/faq.html）
- 独立行政法人情報処理推進機構（IPA）「関連制度・施策」（https://www.ipa.go.jp/security/scs/related-regulations-policies.html）
- 独立行政法人情報処理推進機構（IPA）「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） 基本規程」（https://www.ipa.go.jp/security/scs/rcu1hd0000007af3-att/SCS-100_kihonkitei.pdf）
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」（https://www.meti.go.jp/policy/netsecurity/scs.html）
- 情報マネジメントシステム認定センター「ISMS（情報セキュリティマネジメントシステム）とは」（https://isms.jp/isms/）
編集責任：木下
BBSecの脆弱性診断・セキュリティ対策支援サービス
BBSec（ブロードバンドセキュリティ）では、Webアプリケーション診断、プラットフォーム診断、クラウド環境診断、脆弱性管理支援など、企業のセキュリティリスクを可視化する各種サービスを提供しています。外部サービスや委託先を含めたセキュリティ体制の見直し、情報漏えいリスクへの備え、インシデント発生前の予防対策を検討している企業は、ぜひご相談ください。
サイバーインシデント緊急対応
ウェビナー開催のお知らせ
最新情報はこちら
