SCS評価制度とは？制度の概要や対象企業、★3・★4の要求事項、開始時期を解説

SCS評価制度とは

SCS※評価制度は、正式名称「サプライチェーン強化に向けたセキュリティ対策評価制度」といい、サプライチェーンを構成する企業のセキュリティ対策状況を共通基準で評価・可視化する制度です。発注企業側が受注企業の対策水準を把握しやすくするとともに、受注企業側の個別対応の負担を軽減し、サプライチェーン全体のセキュリティ水準向上を図ります。経済産業省などが制度を整備し、2027年3月頃に★3・★4の申請受付開始を予定しています。

※ SCS：「Supply Chain Security」の略称

制度が創設された背景

この制度が創設された背景には、2つの課題がありました。第一は、受注企業を足掛かりとして被害を広げるサイバー攻撃が深刻化し、発注企業単独の対策ではサプライチェーン全体を守れなくなっていることです。第二は、発注企業から見て受注企業のセキュリティ対策状況を客観的に把握しにくいことです。従来は企業ごとに独自の確認項目やチェックシートを用いることが多く、発注企業側には評価の難しさがある一方で、受注企業側には発注企業ごとに異なる要求へ対応する負担がありました。そこで、共通の基準で対策状況を評価・可視化し、発注企業・受注企業間で確認しやすくする仕組みとしてSCS評価制度が検討・整備されました。

制度の目的と運営体制

サプライチェーン全体のセキュリティ水準を底上げし、発注企業と受注企業が共通基準で対策状況を確認できるようにする、それがSCS評価制度の目的です。本制度は、経済産業省と内閣官房国家サイバー統括室が制度の検討・策定を進め、その監督のもと、独立行政法人情報処理推進機構（IPA）が運営します。IPAは事務局の役割も担い、★3・★4の登録や制度の普及促進などを幅広く行います。これにより、発注企業が受注企業ごとに確認する負担や、受注企業が発注企業ごとに対応する負担を軽減しつつ、サプライチェーンを通じた被害の連鎖を防ぎ、社会全体のサイバーレジリエンス向上につなげることを狙いとしています。

SCS評価制度の評価段階｜★1〜★5の違い

SCS評価制度は、セキュリティ対策の水準を★1〜★5で示します。★1・★2は既存の「SECURITY ACTION」と接続し、★3・★4を新たに設けます。★5は到達点として目指す高度な対策水準として、今後具体化される予定です。

表1　SCS評価制度の評価段階

★1・★2｜既存の「SECURITY ACTION」と接続

SCS評価制度の★1および★2は、新設の評価段階ではなく、IPAが中小企業向けに運営する自己宣言制度「SECURITY ACTION」と接続する形で位置づけられます。★1は基本的な情報セキュリティ対策への取り組みを、★2は自社診断や情報セキュリティ基本方針の策定・公開を踏まえた取り組みを自ら宣言する仕組みです。この既存制度を土台に★3以降の評価段階を加え、企業が段階的に対策水準を高められる体系としています。

★3｜専門家確認付き自己評価

★3は、すべてのサプライチェーン企業が最低限実装すべき基礎的なセキュリティ対策を対象とする段階です。評価は企業による自己評価を基本としますが、それだけで完結せず、この段階ではセキュリティ専門家による確認を受ける「専門家確認付き自己評価」が採用されます。一般的なサイバー攻撃や広く認知された脆弱性への備えなどが確認対象となり、★4のような第三者評価より取り組みやすい一方、専門家の確認によって自己評価の妥当性を補強する仕組みです。評価の有効期間は1年で、継続して登録を維持するには年次で評価を更新する必要があります。

★4｜第三者評価と技術検証

★4は、サプライチェーンへの影響が大きい企業などを想定し、★3より高い水準の対策を求める段階です。評価は自己評価ではなく、評価機関による第三者評価で行われ、書類確認や実地審査に加え、システムの設定状況や脆弱性対策を確かめる技術検証も含まれます。組織ガバナンスや取引先管理、システム防御・検知、インシデント対応など、包括的な対策が確認されます。評価の有効期間は3年ですが、その間も年次の自己評価が必要です。取得後も継続的に対策状況を点検・改善し、一定のセキュリティ水準を維持していくことが求められます。

★5｜要求事項・評価基準は順次検討

★5は、高度なサイバー攻撃も想定した、サプライチェーン企業等が到達点として目指す対策水準です。要求事項や評価基準、評価方法等の詳細は現時点で確定しておらず、2026年度以降に具体的な検討が進められる予定です。今後は、国際規格や既存ガイドラインとの整合も踏まえ、制度設計の具体化が進められる見込みです。

SCS評価制度の対象となる企業と範囲

SCS評価制度の対象となる企業は、発注企業・受注企業・再委託企業など、サプライチェーンを構成する企業です。評価の対象となるのは、企業のIT資産すべてではなく、主にIT基盤と外部ネットワークとの境界です。

図1　SCS評価制度の評価対象範囲

業種・企業規模による制限はない

SCS評価制度は、特定の業種や企業規模に限定されるものではなく、サプライチェーンを構成する幅広い企業を対象とします。2社間の取引では、セキュリティ対策状況を評価される受注企業側が主な対象です。一方、発注企業側も、受注企業の対策水準を確認したり、必要な対策を求めたりする立場として制度に関わります。中小企業を含め、取引関係で自社のセキュリティ水準を客観的に示す必要があるすべての企業に関係する制度といえます。

評価の対象になるシステムの範囲

この制度では、企業のIT資産すべてを一律に評価するのではなく、主に業務に共通するIT基盤と外部ネットワークとの境界を対象とします。IT基盤には、インターネット公開サーバー、従業員用のPCやスマートデバイス、クラウドサービス、グループ共有ネットワークなどが含まれます。外部ネットワークとの接続点にあるファイアウォール、ルーター、VPN装置なども対象です。

評価の対象にならないもの

SCS評価制度で評価の対象にならないシステムもあります。対象外となるのは、製造環境等の制御（OT）システムや発注企業などに販売する製品など、★の取得を希望する組織の管理・運用下にない機器などです。ただし、これらも事業継続上不可欠な設備であるため、制度の対象外であっても、別途適切なセキュリティ対策が必要です。

SCS評価制度は義務なのか

結論からいえば義務ではありません。すべての企業に★の取得を法律で義務づける制度ではなく、企業が必要に応じて利用する任意の制度です。経済産業省も、事業者間で求めるセキュリティ水準をわかりやすく示し、サプライチェーン全体の対策水準を高めるための仕組みであり、制度そのものが事業者に規制を課すものではないと説明しています。そのため、★を取得していないことだけを理由に、制度上ただちに商取引が禁止されたり、取引停止が義務づけられたりするものではありません。どの段階の★を取得するか、また取得自体を求めるかは、原則として各企業の判断や取引当事者間の合意に委ねられます。制度への対応を検討する際は、「法律上の義務」と「個別の取引で求められる条件」とを分けて理解し、制度上の位置づけを正確に把握することが重要です。

制度上は任意だが、取引条件になる可能性がある

ただし、制度上は任意であっても、実務上は取引条件となる可能性があります。経済産業省は、2社間の取引で発注企業が受注企業に必要な★を提示し、その対策状況を確認する活用を想定しています。そのため、発注企業が★3以上といった取得水準を契約条件に設定すれば、受注企業側には実質的な対応が求められることがあります。また、政府機関などでも活用が検討されています。つまり、任意ではあっても、将来は取引継続や新規受注、公共調達への参加を左右する要素となる可能性があるため、発注企業の方針や制度の最新動向を確認しながら準備を進めることをおすすめします。

SCS評価制度の要求事項・評価基準

この制度では、企業のセキュリティ対策を共通基準で評価するため、要求事項と評価基準が整理されています。NIST CSF 2.0が示す６機能「統治・識別・防御・検知・対応・復旧」に、「取引先管理」を加えた7分類で構成され、★3と★4それぞれに達成すべき項目が設定されています。具体的には、組織面と技術面を幅広く確認します。

NIST CSFの6機能＋取引先管理の7分類

SCS評価制度の要求事項は、NIST（米国立標準技術研究所）のサイバーセキュリティフレームワーク「NIST CSF 2.0」を土台に整理されています。NIST CSF 2.0が示す6機能「統治・識別・防御・検知・対応・復旧」に、サプライチェーン特有の「取引先管理」を加えた7分類で評価する設計です。制度上は、統治に対応する「ガバナンスの整備」、識別に当たる「リスクの特定」、防御に該当する「攻撃等の防御」、検知に当たる「攻撃等の検知」、対応に相当する「インシデントへの対応」、復旧と紐づけられる「インシデントからの復旧」に「取引先管理」を加えます。これにより、経営・組織体制から技術的対策、取引先との関係、事故発生後の復旧までを一連の枠組みで確認できます。

図2　SCS評価制度の要求事項「7分類」

★3の要求事項26件・評価基準81項目

★3は、すべてのサプライチェーン企業が最低限実装すべき対策水準で、26件の要求事項と81項目の評価基準から構成されます。要求事項は、NIST CSF 2.0の6機能に「取引先管理」を加えた7分類に沿って整理され、担当者の明確化、基本方針の策定、IT資産の把握、基礎的な防御・検知、インシデント対応や復旧などを確認します。26件の要求事項は、企業として整備すべき対策や体制の大枠を示し、81項目の評価基準は、各要求事項を満たしているかを判断する確認項目です。★3を取得するには、定められた評価基準をすべて満たす必要があり、セキュリティ製品の導入だけでなく、ルール整備や運用体制を含めた取り組みが求められます。

★4の要求事項43件・評価基準153項目

★4は、★3の基礎的な対策を包含しつつ、より高度で継続的な管理を求める段階で、要求事項は43件、評価基準は153項目に及びます。★3の26件・81項目に比べ、組織的・技術的な対策が拡充される点が特徴です。追加される要件の例として、法令や発注企業の要求を踏まえた社内ルールの策定と年1回以上の点検、経営層が参加する情報セキュリティ委員会等の設置、サイバー攻撃やその予兆を監視・分析する体制の整備などがあります。さらに、取引先管理や多層防御、脆弱性への継続的な対応も重視されます。単に対策を導入するだけでなく、経営層を含む組織全体で継続的に運用・改善し、実施状況を客観的に示せる体制づくりが求められます。

★3と★4で求められる水準の違い

★3は、すべてのサプライチェーン企業が最低限実装すべき水準で、7分類合計26件の要求事項から構成されます。これに対し★4は、★3の内容を包含しながら、継続的な改善や取引先管理、多層防御、迅速な異常検知などを加えた43件の要求事項を設定しています。分類別に見ると、特に「攻撃等の防御」は★3の13件から★4の21件へ増え、「ガバナンスの整備」「取引先管理」「リスクの特定」「攻撃等の検知」でも要求が拡充されます。一方、「インシデントへの対応」と「インシデントからの復旧」は要求事項数に差がありません。なお、★4は★3を包含する上位段階ですが、★3を事前に取得していなくても直接★4を申請できます。

表2　SCS評価制度 7分類別の★3・★4要求事項数比較

自社が目指すべきは★3か★4か

目指すべき評価段階は、すべての企業で一律ではありません。★3は、サプライチェーン企業が最低限実装すべき基礎的な対策水準であり、まず自社の現状を把握する際の出発点になります。一方、★4は★3を包含し、より高い水準の管理体制や技術的対策、第三者評価まで求められる段階です。そのため、現在のセキュリティ対策の成熟度や、取得・維持にかけられる人員・費用、今後の事業展開を踏まえて選ぶ必要があります。将来的に★4を求められる可能性が高い場合は、初めから★4を視野に入れて準備するというのも一つの方法です。

発注企業からの要請で判断する

★3と★4のどちらを目指すかは、発注企業から求められる水準を基準に判断できます。発注企業が★3以上を取引要件として示す場合は、その水準への対応が優先されます。将来的に★4を求められる可能性がある企業は、早い段階で要請内容や調達方針を確認し、必要な準備を進めていくべきです。まず★3の要求事項で自社の現状を確認し、発注企業の要望や事業上の必要性に応じて★4を検討していくとよいでしょう。

扱うデータの重要度で判断する

目指す評価段階は、取り扱うデータの重要度からも判断できます。発注企業から預かる機密情報がサイバー攻撃で漏えい・改ざんされた場合、相手先の事業や情報管理に重大な影響を及ぼしてしまうというなら、より高い水準の対策が求められます。こうした情報管理リスクが高い取引関係では、★4の取得は検討材料となるでしょう。扱う情報の重要性と、事故発生時に発注企業へ及ぶ影響を踏まえて、目指す段階を決定してください。

SCS評価制度対応のセルフチェックリスト

SCS評価制度への対応を進める際は、7つの評価領域に沿って自社の現状を確認するセルフチェックが有効です。ガバナンス、リスクの特定、防御、検知、対応、復旧、取引先管理の各観点から、ルール整備やIT資産管理、ログ監視、インシデント対応などの実施状況を洗い出し、着手できていない項目や改善が必要な領域を把握します。

7分類別のチェック項目（★3・★4対応）

表3　SCS評価制度 7分類別セルフチェック（★3・★4対応）

チェック結果から着手順を決める

セルフチェックで不足項目が見つかったら、すべてを同時に改善するのではなく、現状とのギャップを整理して着手順を決めます。まず、社内ルールやネットワーク構成、利用中のシステム・SaaS、アカウント管理方法などを評価基準と照合し、できていなかったり、不十分な項目を洗い出します。そのうえで、影響の大きさや対応の緊急度、必要な工数・費用を踏まえて優先順位を付け、段階的に改善します。場当たり的にツールを導入するのではなく、ルール整備、体制構築、技術対策、運用証跡の確保までを計画的に進めることが、スムーズな制度対応につながります。

ISMS・Pマークとの違いと使い分け

SCS評価制度は、ISMSやPマークを置き換える制度ではありません。ISMSは情報資産全般を対象にしたマネジメント体制、Pマークは個人情報の適切な取扱いを評価するのに対し、SCS評価制度はサプライチェーン上の企業に求められるサイバー攻撃対策と、その実装状況の可視化に重点を置きます。CTCも、3制度は目的とカバー範囲が異なり、ISMSやPマーク取得済み企業でもSCSへの対応は別途検討が必要と整理しています。

表4　SCS評価制度・ISMS・Pマーク比較表

SCS評価制度に取り組むメリット

SCS評価制度への対応は、自社のセキュリティ対策を基準に沿って見直し、課題を把握する機会になります。評価取得は、対策水準の向上に加え、説明力や信頼性の向上、サプライチェーン全体の強化にもつながります。

受注企業側のメリット

受注企業側にとっての大きなメリットは、自社のセキュリティ対策状況を共通基準に基づいて客観的に示せることです。従来は、発注企業ごとに異なるチェックシートへの回答や説明資料の提出を求められることがあり、そのたびに確認・回答の工数が発生していました。SCS評価制度で一定の評価を取得すれば、自社の対策水準を共通の指標で示せるため、こうした個別対応の負担軽減が期待できます。また、対策状況を外部に説明しやすくなることで、既存発注企業との信頼関係の強化や、新規取引の際の安心材料として活用できる可能性もあります。制度対応を通じて、自社の課題を把握し、継続的な改善につなげられる点もメリットです。

発注企業側のメリット

発注企業側にとっては、受注企業のセキュリティ対策状況を、共通基準を通じて外部から把握しやすくなる点が大きなメリットです。従来は、独自の質問票やヒアリングで確認することが多く、回答内容の比較や妥当性の判断に手間がかかっていました。SCS評価制度を活用すれば、受注企業の対策水準を共通の物差しで確認でき、受注企業選定やリスク評価、改善要請を行いやすくなります。さらに、複数の受注企業を同じ基準で比較できるため、サプライチェーン全体のリスクを把握しやすくなり、重要度に応じた管理や優先順位付けにも役立ちます。結果として、調達先管理の効率化とサプライチェーン全体の強靱化につながります。

SCS評価制度の開始スケジュール

SCS評価制度は、2025年4月の「中間取りまとめ」、同年12月の制度構築方針案とパブリックコメントを経て、2026年3月27日に制度構築方針が公表されました。その後、IPAが運用体制や評価機関等の整備を進め、2026年秋には★3・★4の要求事項・評価基準の解説書と取得ガイドを公開予定です。評価機関は同年12月末頃、SCSセキュリティ専門家は2027年1月頃から公表され、★3・★4は2027年3月頃の運用開始が予定されています。ここでいう「開始」は申請受付の開始を意味するため、開始時点ですでに★取得企業が存在するわけではありません。申請後、評価・登録を経て取得企業が順次公表されていく流れです。なお、スケジュールは制度運営基盤の状況などにより変更となる可能性があるため、経済産業省やIPAの最新情報を確認しましょう。

図3　SCS評価制度の開始スケジュール
出典：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度 制度構築方針」

制度開始に向けて今から取り組むべき5つの準備

SCS評価制度への対応は、運用開始を待たずに進められます。現状把握、目標設定、データ管理、体制・ルール整備、SECURITY ACTIONの自己宣言という5ステップで、計画的に活動し始めましょう。

図4　SCS評価制度対応のための5つのステップ

1. 自社のセキュリティ対策状況を棚卸しする

まずは自社のセキュリティ対策の棚卸しから始めます。制度の目的や★3・★4で求められる基準を確認したうえで、PCやサーバー、ネットワーク機器などのIT資産、アクセス権限や更新管理などの運用ルール、インシデント発生時の対応手順を洗い出します。さらに、関連会社を含めた管理状況も確認し、どこに脆弱性や管理上の抜けがあるかを整理します。こうして現状を見える化することで、制度要求とのギャップや優先的に改善すべきリスクを判断しやすくなり、次の対策計画につなげられます。

2. 目標とする段階を決め、現状との差分を整理する

次に、目指す評価段階を定め、現在の対策状況とのギャップを整理します。目標は、事業内容や発注企業との関係、将来求められる水準を踏まえて設定します。そのうえで、★3・★4の要求事項や評価基準と、棚卸しで把握した自社の現状を照合し、できていなかったり、不十分な項目を洗い出します。差分が明確になったら、リスクの大きさ、対策の難易度、必要な工数や費用を踏まえて優先順位を付けます。優先度の高い項目から改善計画に落とし込み、期限や担当者を決めて段階的に対応することで、制度開始後の申請に向けた準備を効率よく進められます。

3. 発注企業とやり取りするデータの管理状況を確認する

「取引先管理」への対応では、まず発注企業とどのような業務・システム上の関係があるかを整理し、やり取りするデータや利用するクラウド、接続経路、アクセス権限などを洗い出します。そのうえで、発注企業ごとに必要なセキュリティ水準や情報の取扱ルール、事故発生時の連絡・対応方法を確認し、自社側の管理方法と食い違いがないかを点検します。重要な発注企業については、相手先の対策状況を継続的に確認できる仕組みも整えましょう。このように情報共有と役割分担を明確にすることが、サプライチェーンを通じたリスクの低減につながります。

4. 継続的に運用できる体制と社内ルールを整える

セキュリティ対策を現場任せにせず、経営層を含む意思決定体制を整えることを目指しましょう。責任者や権限、承認・報告の流れを明確にし、経営層と情報システム部門、各事業部門が定期的に情報を共有・協議できる仕組みを設けます。さらに、情報セキュリティ方針や社内ルールを文書化し、運用状況を継続的に点検・見直すことも必要です。対策の実施記録やログ、会議記録などを整理・保管し、審査時に客観的な証拠として提示できる状態を維持します。こうした体制を平時から運用し、制度対応を一過性にせず、継続的な改善へと発展させていきます。

5. SECURITY ACTIONの自己宣言から着手する

SCS評価制度の★1・★2は、IPAが運営する自己宣言制度「SECURITY ACTION」と接続しています。未宣言の企業は、SECURITY ACTIONから着手するのが現実的です。★1では「情報セキュリティ6か条」への取り組みを宣言し、★2では自社診断後に基本方針を策定・公開します。いずれも自己宣言が基本で、★3以降に進む前の基礎固めとして、対策状況を見直し、段階的に水準を着実に高められます。

SCS評価制度に関するよくある質問

SCS評価制度には、開始時期や対応義務の有無、対象企業、★3・★4の選び方など、実際に取り組もうとすると確認したくなる点がいくつかあります。ここでは、よく寄せられる質問を取り上げ、要点を簡潔に整理します。

SCS評価制度はいつから申請できますか

SCS評価制度の★3・★4は、2027年3月頃の運用開始が予定されています。ここでいう運用開始は申請受付の開始を指し、企業は受付開始後に申請し、評価や登録の手続きを経て★を取得します。開始時期は今後変更される可能性があるため、経済産業省やIPAの最新情報を随時確認するようにしましょう。

中小企業も対象になりますか

SCS評価制度は企業規模による制限がなく、中小企業も対象です。中小企業向けには、★3・★4の取得を支援する「サイバーセキュリティお助け隊サービス（新類型）」の実証が進められています。これは、診断やITツールの導入、教育・コンサルティングなどを組み合わせ、制度対応に必要な対策を進めやすくする仕組みです。

★3を取ってからでないと★4は取得できませんか

★3を事前に取得していなくても、★4を申請・取得できます。SCS評価制度では、上位の評価段階が下位段階で求められる要求事項を包含する設計です。そのため、発注企業から★4を求められている場合や、自社の対策水準が十分なら、★3を経由せず直接★4を目指せます。ただし、★4では第三者評価が必要です。

セキュリティを考慮したデータ連携基盤づくりに「ACMS Cloud」

SCS評価制度への対応を考えるうえでは、社内のセキュリティ体制だけでなく、取引先や外部サービスとのデータ連携についても改めて見直すことが重要です。
「ACMS Cloud」は、企業間EDIやファイル連携、API連携など、企業内外のさまざまなデータ連携をワンプラットフォームで実現するクラウド型データ連携プラットフォームです。データの暗号化に加え、通信の暗号化にも対応し、安全なデータ連携を支援します。データ連携基盤のクラウド化や運用の効率化を検討されている方は、ぜひご覧ください。

セキュリティを考慮したデータ連携基盤なら「ACMS Cloud」がおすすめ

3分で確認！
ACMS Cloudの概要と活用イメージがわかる資料をダウンロード

まとめ

SCS評価制度は、サプライチェーン全体のセキュリティ水準を高め、企業の対策状況を共通基準で可視化する制度です。2027年3月頃の★3・★4の運用開始を見据え、自社の現状を棚卸しし、目標水準との差分や取引先管理、社内体制、データ連携環境などを見直していきましょう。制度に対応することで、自社の防御力向上だけでなく、発注企業からの信頼獲得や競争力の強化にもつながります。最新情報を確認しながら、計画的に準備を進めていってはいかがでしょうか。