SCS評価制度とは、サプライチェーンを構成する企業のセキュリティ対策を共通の基準で評価し、見える化する制度です。正式名は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、経済産業省と内閣官房国家サイバー統括室が2026年3月27日に構築方針を公表しました。運営はIPAが担います。
今日やることは2つです。1つ目は、取引先からセキュリティのチェックシートや要請が届いていないか、営業と総務に聞くことです。2つ目は、IPAのSCS評価制度のページにある★3の要求事項を印刷し、自社で答えられない項目に印を付けることです。
SCS評価制度は取らないといけない？
取得は任意です。IPAのFAQは、基準を満たしていないことを理由に直ちに取引停止等が求められるものではないとしています。
ただ、任意だから関係がないとも言い切れません。制度は、2社間の取引で委託元が委託先に適切な★を示し、対策を促して実施状況を確かめる使い方を想定しています。取引の要件にするかは当事者どうしで決めるので、影響は取引先の方針で変わります。
★の取得だけでなく、要求事項を共通のチェックリストとして使って対策状況を確かめる形も想定されています。つまり、★を取らなくても、同じ項目で聞かれる場面はありえます。
また、経済産業省の説明のとおり、対策レベルを競わせる格付け制度ではありません。★3より★4が会社として優れている、という見方はしません。
星3と星4は何が違う？
想定する攻撃と、確かめる人が違います。数字はIPAの概要説明資料（2026年10月）によります。
|
★3 |
★4 |
| 想定する攻撃 |
広く知られた脆弱性などを悪用する一般的な攻撃 |
供給停止で影響が大きい企業や機密情報を狙う攻撃 |
| 要求事項 |
26件 |
43件 |
| 確かめる人 |
自己評価＋SCSセキュリティ専門家の確認 |
評価機関の第三者評価 |
| 有効期間 |
1年 |
3年（毎年の自己評価あり） |
| 登録料 |
1万円／年（2028年4月以降2万円） |
6万円／3年 |
想定する攻撃はIPAのFAQ、登録料はIPAの料金のお知らせから取りました。料金表に出ているのはIPAへの登録料で、専門家や評価機関に頼む費用は載っていません。
★4では、文書の確認に加えて実地審査と技術検証（脆弱性検査）があります。概要説明資料で想定する所要期間は、文書確認、実地審査、技術検証がそれぞれ1〜2日程度です。実地審査と技術検証の日数には、事前準備と報告書の作成を含みません。
★3も★4も、原則としてすべての評価基準への適合が必要です。不適合が見つかっても、是正して了承を得られれば取得できます。また、★3を先に取らなければ★4を取れない関係ではありません。★5の中身と時期は検討中です。
要求事項には何が書いてある？
要求事項は7つの大分類です。★3の26件で一番多いのは「アイデンティティ管理、認証、アクセス制御」の7件で、次が資産管理の4件です。ガバナンス、取引先管理、検知、インシデント対応、復旧にも項目があります。
求められるのは製品の有無より、決めて、やって、記録があることです。たとえば2026年10月の要求事項の変更点には、CVSS基本値7.0以上で攻撃が観測されている脆弱性について、14日以内の対応を続けると書かれています。すぐ更新できない場合は、代替策と対応計画でリスクを下げる運用も認められます。
自社なら誰が情報を見て、誰が更新を判断し、どこに記録を残すか。こうした問いに答えられるかが、点検の中身になります。
工場の設備も対象になる？
直接の対象はIT基盤です。製造環境等の制御（OT）システムと、発注元等に提供する製品は対象外で、他の制度やガイドラインで対策する想定です。
適用範囲に入るのは、概要説明資料によると、インターネットとやり取りするサーバ、端末、ネットワーク機器などです。クラウドサービスや、BYODを含むスマートデバイスも図に含まれています。
製造業では、ここが最初の判断の山です。たとえば、工場内で図面を受け取るパソコンがあり、事務系のネットワークにもつながっている場合を考えます。この端末は「工場にあるからOT」とは言えず、条件によっては適用範囲に入ります。線引きは、解説書（SCS-620）の考え方を見ながら、確認する専門家と決めます。
取得の単位は原則として法人ですが、確認を受けることを前提に、事業部や事業所を単位にもできます。設備側は、IPAの制御システムのセキュリティリスク分析ガイド第2版のような資料を別に使います。自動車関連なら、自工会・部工会のガイドラインに2026年4月策定の工場領域版があります。
求められる前に、中小企業は何を準備する？
取引先から求められたときに、短い期間で答えられる状態を作ります。★を今すぐ取るかどうかは、その後で決めれば足ります。
準備は5つ
- 主要な取引先に、今後の方針と求める段階を聞く
- 適用範囲の案を作る（拠点、端末、サーバ、クラウド、接続機器）
- ★3の26件で自己点検し、できていない項目を書き出す
- 担当者、経営層の承認者、確認を頼む専門家の探し方を決める
- 見積もりと作業時間を記録し、価格交渉の材料にする
取引先に聞く
聞くのは「★3か★4か」だけでなく、「いつまでに」「★の取得か、同じ項目の回答で足りるか」です。IPAの調査では、要請を受けた経験のある企業の42.1%が、対策が取引につながった大きな要因だと答えています。聞くこと自体が、方針を確かめる営業の機会にもなります。
複数の取引先を持つ会社は、バラバラのチェックシートへの回答を★に寄せられないかも聞いてみます。委託先の負担を減らすことは、制度の目的の一つです。
自己点検する
中小企業の情報セキュリティ対策ガイドライン第4.0版は、この制度の考え方に沿って改訂され、規程のサンプルや資産管理台帳も見直されました。規程をゼロから書く前に、これらを自社の言葉に直すと早く進みます。
基本対策がまだなら、同じガイドラインの情報セキュリティ6か条と25項目の自社診断から始めます。項目を表で管理するだけなら表計算でもできます。取引先ごとの回答まで一元化したい場合は、チェックシート管理ツールの比較が参考になります。
頼む先を考える
★3の確認は、社内に要件を満たす人がいなければ社外の人でも可能です。確認を担うSCSセキュリティ専門家は、情報処理安全確保支援士やISO27001主任審査員などの資格と研修が要件です。依頼先の探し方はセキュリティコンサルティングの比較でも見られます。
国の支援策として、サイバーセキュリティお助け隊サービス（新類型）の実証事業が2026年9月に始まりました。★3・★4の取得を目指す中小企業に、現状診断から対策までを支援する枠組みです。参加条件や費用はページで確認してください。
費用は価格の話にする
取引先の要請で対策費が増えるなら、価格交渉の材料になります。経済産業省と公正取引委員会の想定事例（2025年12月）は、★4相当の対策を要請された企業が、国の支援策を使い、コストについて価格交渉をして合意し、書面に残す流れを描いています。
ISMSを持っていれば不要？
不要とは言えません。IPAのFAQは、★3・★4は効果の高い管理策を抽出するベースラインアプローチであり、ISMSとは相互補完的な制度と位置づけています。取得済みの会社は、ISMSの記録を点検に使えないか確かめてください。判断はISMS認証が必要な会社と自己点検で足りる会社の違いで扱いました。
受付の時期は2027年3月の予定で、SCS評価制度の公表済みの予定と準備の期間に月ごとの準備を書いています。制度が必要になる背景はサプライチェーン攻撃と取引への影響で、関連する話題はサプライチェーンのセキュリティ対策の一覧で読めます。
外部から対策状況を評価するサービスの比較は、自己点検を補う材料として使えますが、制度の★とは別のものです。
