SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の対象は、業種や企業規模を問わず幅広い事業者で、自社に★が求められるかは、委託元との取引の形と契約によって変わります。
今日やることは、売上の大きい取引先を5社書き出し、その横に3つの印を付けることです。機密情報を預かっているか、相手のシステムとつながっているか、自社が止まると相手の生産や事業が止まるか。印が多い取引先から、要請が来たときの備えを考えます。
制度の上では、誰が対象？
制度そのものは特定の業種を指定していません。IPAのよくある質問は、業種や企業規模を問わず幅広い事業者が対象となりうるとし、中小企業だけでなく大企業も評価の対象にできる設計だと説明しています。
★の取得は任意です。同じページは、取引上の要件にするかどうかは契約の当事者間で決められ、制度が義務付けるものではないとしています。概要説明資料は、2社間の取引契約などで委託元が委託先に適切な段階を示す形を想定しています。
このため、「製造業だから対象」「50人未満だから対象外」といった線は引けません。確かめるべきなのは、自社と発注元の間に何が流れているかです。
取引の形をどう確かめる？
見る点は3つです。手がかりは、★3・★4の解説書にある★4の評価基準2-1-3-1です。発注元が★4を目指す場合、次の条件に当たる子会社や取引先の対策状況を、年1回以上把握することになります。
| 取引の形 |
解説書の条件 |
自社に置き換えた確認 |
| 機密情報 |
自社の重要な機密情報を提供・共有する |
図面、仕様、生産計画を預かっているか |
| 供給の影響 |
自社の事業継続にとって重要な位置づけを持つ |
自社の代わりがすぐ見つかるか |
| システムの接続 |
取引先の環境から発注者の内部システムへアクセスできる |
VPN、専用線、リモートアクセスで相手につながるか |
どれかに当たれば、発注元から状況を聞かれる可能性があると考えて準備します。ただし、これは発注元が★4を取る場合の基準の一つで、当たれば必ず★を求められるという意味ではありません。解説書は把握の方法の例として、★の取得状況の確認のほかに、訪問での点検やチェックシートの回答も挙げています。
要請の形は★だけではない
- ★の取得を契約の条件にする
- 要求事項を共通のチェックリストとして使い、状況を確かめる
- 訪問の点検や、独自の調査票で確かめる
2つ目の使い方は、IPAのよくある質問でも想定されています。★を持っていなくても、項目に沿って答えられるかが問われる場面があります。
製造業に当てはめるとどうなる？
たとえば、自動車部品の2次下請けとして金属部品を加工する工場の場合を考えます。元請から図面をメールで受け取り、受発注は相手の専用の画面に入力し、特定の部品は自社だけが作っている、という形です。
この場合、3つの点すべてに当てはまる可能性があります。一方で、規格品を複数の商社に卸す工場で、図面を預からず、相手のシステムにもつながっていないなら、同じ規模でも要請の理由は弱くなります。同じ業種、同じ人数でも、取引の形で結論が変わる例です。
業界ごとの動きも見ておきます。概要説明資料は、各業界のガイドラインで要求基準の活用や★取得の確認の推奨を進めるとし、「SECURITY ACTION」や自工会・部工会ガイドラインとの整合の確保、評価結果の活用などの連携も検討するとしています。業界団体の案内も確かめてください。
下請けの下請けにも関係する？
関係する可能性はありますが、要請は直接の発注元から届くのが基本です。概要説明資料によると、再委託先は委託元から見た直接の管理対象にはならず、直接の委託先を通じて必要に応じて管理する想定です。
つまり、自社が2次なら、最初の話は1次の取引先から来ることが多いと考えられます。同時に、自社にも仕事を出している外注先があるなら、自社が要請する側に回ることもあります。★3にも、機密情報を共有する取引先との取り決めや、インシデント時の役割の項目があります（解説書）。
公共の仕事がある会社は、別の入口もあります。IPAのよくある質問は、入札要件になるかどうかは調達を行う機関の判断によるとしています。概要説明資料には、政府調達での参照や重要インフラ事業者等での活用推奨について検討するとあります。2026年11月時点では検討の段階なので、決まったものとして受け止めないでください。
★3と★4のどちらが求められる？
段階は、発注元と話して決まります。概要説明資料の整理では、次のように想定する脅威が違います。
| 段階 |
想定する脅威 |
確認の形 |
| ★3 |
広く認知された脆弱性等を悪用する一般的な攻撃 |
専門家の確認つき自己評価 |
| ★4 |
供給停止で大きな影響をもたらす企業や、機密情報等の資産への攻撃 |
評価機関の第三者評価 |
★3は全てのサプライチェーン企業が最低限実装すべき対策、★4は標準的に目指すべき対策と位置づけられています。★3を持っていなくても★4の申請はできます。★3・★4の受付は2027年3月の予定で、★5は検討中です。
★の中身を見ると、工場の設備は別に考える部分があります。解説書は、製造環境等の制御（OT）システムや発注元に販売する製品を直接の対象とはしていません。ただし、対象のIT基盤とつながっていて、境界の防護の要件がそろっていなければ、適用範囲に含める必要があります。取得の単位は、原則として法人または個人事業主ですが、確認を受ければ事業所などを単位にできる場合もあります。
要請が来たら、誰に何を聞く？
断る前に、次の4つを確かめます。
- 求めているのは★の取得か、チェックリストでの確認か
- 段階は★3か★4か、期限はいつか
- 対象の範囲は全社か、その取引に関わる部門か
- 費用の負担について、価格の協議に応じてもらえるか
IPAのよくある質問によると、全ての要求事項を満たしていないことを理由に、直ちに取引停止等が求められるものではありません。扱いは当事者間で決まるので、今の状況と準備の時期を伝えて話し合う余地があります。費用については、公正取引委員会と経済産業省の文書（令和4年）が、コスト上昇分を協議せず価格を据え置く行為を問題となるおそれのある例に挙げています。
調査票がすでに複数届いている会社は、チェックシート回答ツールの比較で、回答の管理の方法を確かめられます。発注元に説明する前に外部から見た状態を確かめたいならセキュリティ評価サービスの比較、準備そのものを相談するならセキュリティコンサルティングの比較が材料になります。
要請がなくても、自主的に取得することも考えられる制度です。自社に当てはまりそうなら、費用と人手はSCS評価制度の負担を見立てる方法で計算できます。ISMSも求められている場合はISMSの認証機関の選び方を、取引先の要請の全体像はサプライチェーンのセキュリティ対策の一覧を見てください。
