SCS評価制度（セキュリティ対策評価制度）とは？2026年度末に開始予定の新制度をわかりやすく解説

• セキュリティ対策
• サイバー攻撃
• サプライチェーン

2026.7.31

この記事のポイント

• SCS評価制度は、サプライチェーン全体をサイバー攻撃から守るために国が新設する評価制度
• 対策水準は「★」の段階で可視化され、自社が目指すべきは取引上の立ち位置に応じて★3もしくは★4の取得を目指す
• 要求事項は多岐にわたり、制度開始前から準備を進めることが取引先からの信頼と競争力につながる

近年、サプライチェーンを狙ったサイバー攻撃が増えています。なかでもセキュリティ対策が手薄になりがちな取引先を経由して侵入し、被害が連鎖的に広がる事例は、後を絶ちません。

そのような状況の中、これまでは統一された評価基準がなく、発注企業ごとに求める対策がばらばらで、取引先の対策状況を把握しづらいという課題がありました。

こうした状況を受け、経済産業省は「SCS評価制度（セキュリティ対策評価制度）」の構築を進めています。企業のセキュリティ対策状況を共通の基準で客観的に評価・可視化し、サプライチェーン全体のセキュリティ水準を底上げすることを目的とした制度のことで、2026年度末頃の運用開始が予定されています。

受注企業は目指すべき水準が明確になり、発注企業は取引先の対策状況を共通基準で把握できるようになることで、被害の連鎖を防ぎ、社会全体のサイバーレジリエンス（攻撃や障害から迅速に回復する力）の強化につなげる狙いがあります。

ところが、制度名は知っていても、「自社にどう関わるのか」「何を準備すればよいのか」が分からない、という声は少なくありません。本記事では、制度の背景・目的から評価段階、自社が目指すべき水準の考え方、求められる対策、開始に向けた準備までを、情報システム担当者の視点でわかりやすく解説します。

SCS評価制度（正式名称：サプライチェーン強化に向けたセキュリティ対策評価制度）とは、サプライチェーンを構成する各企業の立ち位置に応じて必要なセキュリティ対策を示し、その実施状況を客観的に可視化するための制度です。

経済産業省と内閣官房国家サイバー統括室が制度を策定・監督し、実際の運営を担うのはIPA（独立行政法人 情報処理推進機構）です。2026年度末頃の運用開始が予定されており、今後の企業間取引においては重要な指標になっていくと見込まれています。

近年は、対策が強固な大企業を直接狙うのではなく、対策が手薄になりがちな取引先や関連会社を経由して侵入する「サプライチェーン攻撃」が増加しています。ひとたび侵入を許せば、被害は最初の一社にとどまらず、取引先やグループ企業へ連鎖的に拡大する恐れもあります。

背景には、これまで統一されたセキュリティ評価基準がなく、発注企業ごとに求める対策がばらばらだったため、複数の取引先を持つ企業の負担が大きいという課題がありました。そこで、国が共通の基準を設け、対策水準を「星の数」で可視化する仕組みとして、本制度の検討が進められてきたのです。

制度の最大の目的は、サプライチェーン全体のセキュリティ水準の底上げにあります。受注企業にとっては目指すべき水準が標準化され、取引先ごとの個別対応やコストの負担を軽減できる一方、発注企業にとっては取引先の対策状況を共通基準で把握でき、脆弱な部分を早期に発見して被害の連鎖を防げるというメリットがあります。こうした取り組みが広がることで、社会全体のサイバーレジリエンス（※）の強化にもつながると期待されています。

※サイバーリソースを含むシステムに対する悪条件・ストレス・攻撃、または侵害を予測し、それに耐え、そこから回復・適応する能力

対象となるのは、発注元・受注先・再委託先など立場を問わず、サプライチェーンを構成するすべての企業です。ただし星の取得範囲は「企業グループ全体」「自社単体」「特定部門のみ」など、実態に応じて柔軟に設定できます。

評価の対象となるのは、公開サーバーや認証基盤、PC・スマートフォンなどのエンドポイント、ネットワーク機器を含むIT基盤（オンプレミス・クラウドの双方）です。一方、製造設備などの制御系（OT）システムは性質が異なるため、原則として対象外として整理されています。

「自社は無関係」と考えがちな中小企業も、実際には取引先から対応を求められる立場になり得る点は押さえておきたいポイントです。

SCS評価制度は、サプライチェーン全体のセキュリティ強化を目的とした任意の制度です。評価を取得していないことのみを理由に商取引が制限されるものではありません。一方で、取引先や顧客からセキュリティ対策状況の確認や評価取得を求められるケースが今後増える可能性もあります。

星の取得は、自社のセキュリティ水準を共通の基準で客観的に示す手段となり、取引先に対する説明や信頼獲得に役立ちます。

さらに制度開始後は、星の取得を取引条件とする発注企業が増えることが見込まれ、早期取得が競合に対する優位性につながる可能性もあります。自社のセキュリティ向上そのものに加え、「認定企業」としての信頼性向上という副次的なメリットも期待できます。

ISMS・Pマークがいずれも自社内部の管理体制の整備に軸足を置くのに対し、SCS評価制度は外部からの攻撃への技術的対応力を評価する点が異なります。目的とカバー範囲が異なるため、ISMSやPマークを取得済みの企業であっても、SCS評価制度への対応は別途検討が必要です。なお、経済産業省の資料では、SCS評価制度とISMSは相互補完的に発展していくと整理されています。

SCS評価制度は、対策の水準を「★（星）」の数で表します。このうち★1・★2は既存の「SECURITY ACTION」にあたり、★3〜★5が今回新たに設けられる段階で、両者は連続した体系として位置づけられています。なお、2026年度末頃の運用開始が予定されているのは★3・★4で、★5は引き続き検討中となります。

SECURITY ACTIONとは、中小企業がセキュリティ対策に取り組むことを自己宣言する、IPA運営の既存制度のことです。

このうち★1（一つ星）は「OSやソフトを最新に保つ」「ウイルス対策ソフトを導入する」など「情報セキュリティ6か条」に取り組むことを宣言するもの、★2（二つ星）は「情報セキュリティ自社診断」を実施した上で「情報セキュリティ基本方針」を策定・公開し、その取り組みを宣言するものです。

いずれも自己宣言が基本であり、SCS評価制度の★3以降は、この延長線上に新設される位置づけとなります。各種補助金の申請要件となっている場合もあるため、未宣言の企業はまずここから着手するとよいでしょう。

出典元：IPA（独立行政法人 情報処理推進機構）「SECURITY ACTION セキュリティ対策自己宣言」

https://www.ipa.go.jp/security/security-action/

一方、★3〜★5は、自己宣言にとどまらず、第三者の確認・評価が関わる点でSECURITY ACTIONと大きく異なります。

まず★3（三つ星）は「全てのサプライチェーン企業が最低限実装すべき対策」で、取得希望組織が作成した自己評価の結果を社内、もしくは社外の専門家が確認・評価する「専門家確認付き自己評価」にあたります。有効期限は1年です。

これに対し★4（四つ星）は「標準的に目指すべき対策」で、「専門家確認付き自己評価」に加え、対策が実際にできているかをヒアリングや資料を見て評価する「実地審査」や、リスクの高いインターネット公開機器（VPN機器等）についての脆弱性検査を行う「技術検証」を含む「評価機関による第三者評価」となります。有効期限は3年です。

上記で述べた「専門家」とは、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISM、CISA（※）又はISO27001主任審査員等の資格保持者のうち、本制度における所定の研修を受講した者を指します。

最後に★5（五つ星）は「到達点として目指すべき対策」で、2026年度以降に評価基準・スキームを具体化する方針とされ、2026年7月時点では検討中です。なお、★3〜★5は上位互換の関係にあるため、★3を経ずに直接★4を受けることも可能です。

※CISSP、CISM、CISAは、情報セキュリティ分野の代表的な国際資格。CISSPは実務で必要なセキュリティ全般、CISMはセキュリティマネジメント、CISAは監査・評価に特化しており、それぞれ異なる専門性を持っています。

ここまで、SCS評価制度の評価基準である、★1〜★5について解説しました。

新設される★3・★4のうち、自社がどちらを目指すべきかは、取引上の立ち位置によって変わります。最終的にどの星を求めるかは発注元企業が判断する想定ですが、自社であらかじめ見当をつけておくことで、準備に着手しやすくなります。

目指す段階は、「事業継続リスク」と「情報管理リスク」という2つの観点から考えるとよいでしょう。

事業継続リスクとは、取引先の業務が止まったときに、自社の重要業務に許容できない遅延や停止が生じるかどうか、という点です。対して、情報管理リスクとは、取引先がサイバー攻撃を受けたときに、自社の機密情報に重大な影響が及ぶ恐れがあるかどうか、という点です。

このいずれかに当てはまる重要な取引先に対しては、★4の取得が求められるケースが想定されています。

　

SCS評価制度では、求められる対策が分類ごとに整理されています。全体像をつかめば、自社に何が求められるのかの見当がつくはずです。ここでは分類の枠組みと、★3・★4の違いを洗い出していきます。

評価の土台となるのは、NIST（米国立標準技術研究所）が策定したサイバーセキュリティフレームワーク「NIST CSF」です。

NIST CSFの6つの機能（統治・識別・防御・検知・対応・復旧）に対応する6分類に、サプライチェーン特有の「取引先管理」を加えた、合計7つの分類で評価が行われます。

具体的には「ガバナンスの整備」「取引先管理」「リスクの特定」「攻撃等の防御」「攻撃等の検知」「インシデントへの対応」「インシデントからの復旧」の7分類です。この枠組みによって、組織体制から技術的対策、復旧までを網羅的に評価する設計になっています。

各分類には、★3・★4それぞれで達成すべき要求事項と評価基準が定められています。

★3は26件の要求事項（81項目の評価基準）で構成され、「企業として最低限実装すべき基本的な対策・体制の整備」が中心。担当者の明確化、基本方針の策定、IT資産の把握、基礎的な防御・検知・復旧などが求められます。

★4は43件の要求事項（72項目の評価基準）で構成され、★3を踏まえたうえで、継続的な改善の仕組み、取引先の管理、多層防御、迅速な異常検知など、より包括的・高度な対策が求められます。

星の取得には定められた評価基準をすべて満たす必要があり、1項目でも抜け漏れがあると取得できません。要求事項は多岐にわたるため、自社だけで過不足なく対応するのは容易ではないでしょう。ctcであれば要求事項の整理から対策の検討まで包括的にサポートできますので、お気軽にご相談ください。

出典元：経済産業省｜サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）

https://www.meti.go.jp/policy/netsecurity/scs.html

制度の運用開始は2026年度末頃に予定されています。評価を受けるには数カ月〜半年程度かかることも想定されるため、開始前からの準備をおすすめします。ここでは今後のスケジュールと、いまから着手すべき準備を整理します。

★3・★4は、2026年度に制度の詳細化と運用開始準備が進められ、評価用ガイド等の公表を経て、2026年度末頃の運用開始が想定されています。運用開始以降は、取得企業の公表も予定されています。

一方、★5に関しては、2026年度以降に要求事項・評価基準や評価スキームを検討する方針で、開始時期は未定です。

なお★3・★4の要求事項・評価基準を満たす具体的な実装例などをまとめた評価用ガイド等は2026年秋以降に公開予定とされており、今後さらに具体化が進む見込みです。

制度の運用開始に向け、制度の内容を正しく理解することが準備の第一歩です。評価基準・評価対象・審査方法を把握し、自社に求められる水準を明確にしましょう。

そのうえで、自社の現状のセキュリティ対策を棚卸しして、求められる水準とのギャップを洗い出し。ギャップが見えたら、不足する対策を運用開始までにどう補うか、スケジュールを立てていきます。費用や時間を要する対策ほど、早めの優先順位づけが鍵となるでしょう。

なお、SCS評価制度はツール導入だけで完結するものではなく、社内ルールの策定・周知や従業員教育といった組織的対策も評価対象。経営層を含めた全社的な体制づくりが求められます。

2026年度末頃の運用開始が予定されている、SCS評価制度。サプライチェーン全体のセキュリティ水準を底上げする、新たな仕組みとして注目度が高まる一方です。

サプライチェーンを構成する企業にとっては避けて通れないテーマであり、制度が本格始動する前に対策に取り組むことが重要です。早期に対応すれば、自社のセキュリティ向上はもちろん、「認定企業」として取引先からの信頼性向上や競争力の確保にもつながります。

とはいえ、要求される項目は多岐にわたり複雑なため、企業が単独で対応を進めるのは難しい場合もあるでしょう。「何から始めればよいか分からない」「自社だけでは対応が難しい」と感じるときは、外部の支援を活用するのも有効な手段です。

ctcでは、経済産業省の要求事項に対応した包括的な支援が可能です。現状把握から必要な対策の検討まで、幅広くサポート。SCS評価制度への対応を検討している企業は、まずはお気軽にご相談ください。