SCS評価制度とは｜★3・★4の違いと対象になる企業

1. SCS評価制度とは：制度の全体像

SCS評価制度の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。SCSはSupply Chain Security（サプライチェーン・セキュリティ）の略で、経済産業省と内閣官房国家サイバー統括室が所管し、IPA（独立行政法人情報処理推進機構）が運営にあたります。

1-1. なぜ取引先のセキュリティが問われるようになったのか

近年、攻撃者が企業のシステムに入り込む経路が変わってきました。セキュリティ対策に予算を割いている大企業を正面から狙うのではなく、そこにつながっている取引先や委託先を経由して侵入する形が目立つようになっています。

この変化の影響を受けるのは、攻撃を受けた企業だけではありません。取引の一員である以上、企業規模にかかわらず「御社のセキュリティ対策はどうなっていますか」と説明を求められる場面が増えました。「自社は狙われるほど大きくない」という前提は、成立しにくくなっています。

1-2. 制度の目的は「共通のものさし」をつくること

発注する側から見ても事情は同じです。取引先が何十社、何百社とあるなかで、それぞれのセキュリティ水準を個別に確認していくのは現実的ではありません。求める側にも求められる側にも、共通のものさしが必要になってきたことが、この制度が生まれた背景にあります。

ここで押さえておきたいのは、この制度が「認証を取ること」自体を目的としたものではないという点です。目的は、取引の前提として自社のセキュリティ水準を示せるようにすることにあります。企業のセキュリティ対策の状況を共通の基準で確認し、評価を受けた組織を台帳に登録・公開する仕組みになっています。

発注する側は、取引先ごとに個別の質問票を送って回答を待つ代わりに、台帳を見れば水準を確認できます。受注する側は、取引先が変わるたびに似たような説明を繰り返す必要が減ります。制度の設計思想はこの「共通化」にあり、後述する要求事項の中身も、この目的から逆算すると理解しやすくなります。

2. ★1から★5までの評価レベル

評価は★の数で表されます。★1・★2は既存の自己宣言制度、★3・★4が今回新しく整備される段階、★5は今後検討される段階という構成です。

2-1. ★1・★2は既存のSECURITY ACTION

★1・★2にあたるのは、IPAが以前から実施しているSECURITY ACTIONです。中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度で、★1は5項目、★2は25項目の取り組みが対象になっています。

IPAは、SECURITY ACTIONを★3・★4の取得を検討する企業にとっての準備段階として活用することを案内しています。すでに宣言を済ませている企業にとっては、まったくの別物が始まるわけではなく、地続きで考えられる部分があるということです。

2-2. ★3と★4を分けるのは「誰が評価するか」

★3と★4の違いを、要求事項の数の差だと捉えている方が少なくありません。もちろん数も違うのですが、実務の負担を大きく左右するのは評価の方法のほうです。

★3は、取得を希望する組織が自己評価を記入し、社内外のセキュリティ専門家が内容を確認・助言したうえで事務局に提出する流れです。評価の起点は自社にあります。

★4は、指定委員会が指定した評価機関に検証・評価を依頼します。評価機関は文書の確認に加えて実地審査や技術検証を実施し、その結果をまとめた評価報告書が発行されます。取得希望組織はそれをもとに登録を申請します。

つまり★4では、社外の第三者が実際に現場を見て判断することになります。ここで効いてくるのが、対策を実施していることを書類やログで示せるかどうかです。対策そのものは行っていても、いつ誰が何をしたのかという記録が残っていなければ、第三者には確認のしようがありません。

日常の運用のなかで自然に記録が残る形になっているか。SCS対応では、この点が想像以上に重くのしかかってきます。

この点については、次の記事で詳しく解説しています。
「大変なのは取得より運用｜SCS対応でつまずく6つのこと」

2-3. 要求事項の件数と★5の扱い

IPAが公開している情報では、要求事項は★3が26件、★4が43件とされています。★4は★3の要求事項を満たしたうえで、継続的な改善、脆弱性に関する最新状況の把握と反映、多層防御による侵入リスクの低減といった、より踏み込んだ内容が加わる構成です。

ただし、要求事項を満たす具体的な実装例などをまとめた評価ガイド等は、これから公表される段階にあります。細部は今後さらに具体化されていくと考えておくのが現実的です。

★5については、今後検討することが想定されている段階であり、現時点で要求事項や評価の方法が示されているわけではありません。

3. 要求事項は何を求めているのか

要求事項はNIST CSF（サイバーセキュリティフレームワーク）をベースに構成されています。技術的な対策だけでなく、経営層の関与や委託先の管理まで含めて問われる点が特徴です。

3-1. NIST CSFの6分類に「取引先管理」を加えた7分類

要求事項は、「統治」「識別」「防御」「検知」「対応」「復旧」の6分類に「取引先管理」を加えた7つの分類で構成され、それぞれに基本的な対策が取られている状態が問われます。

この分類を見ると、技術的な対策だけの話ではないことが分かります。「統治」は経営層がセキュリティにどう関与しているかという領域ですし、「取引先管理」は自社が委託している先をどう管理しているかという領域です。いずれも情報システム部門の権限だけでは完結しません。

誰がこの対応を担うのかという話は、対応を始めてから最初につまずきやすいところでもあります。

3-2. 特定の製品を導入すれば満たせるものではない

もう一点、誤解が生まれやすいのがここです。評価基準を満たすにあたって、特定のセキュリティ対策製品の導入が必須とされているわけではありません。

要求事項・評価基準を満たす実装例をまとめた評価ガイド等が公表される予定ですが、現時点でも、すでに利用しているMicrosoft 365などの機能でカバーできる範囲は少なくありません。製品の検討から入るより、いま持っているもので何ができているのかを確認するほうが、結果的に近道になることが多いと考えています。

4. 自社は対象になるのか

「うちは対象になるのだろうか」という疑問が、おそらく最も気になるところだと思います。判断の手がかりをいくつか挙げます。

4-1. いつから始まるのか

2026年8月に制度の基本規程が施行され、制度としての枠組みが整ってきました。★3・★4の運用開始は2026年度末が予定されており、要求事項を満たす実装例をまとめた評価ガイド等は2026年度下期に公表される予定とされています。

ただし、申請受付の具体的な時期については、解説記事によって記載に幅があります。制度の整備状況によって変更となる可能性も示されていますので、具体的な日程を前提に社内計画を立てる場合は、必ず経済産業省およびIPAの公式サイトで最新情報をご確認ください。

4-2. ★4が想定されている企業

★4は、供給が停止した場合にサプライチェーンへ大きな影響をもたらす企業が想定されています。具体的には、ITベンダーや重要インフラに関わる企業など、発注者にとって特に重要な役割を担う組織です。

顧客のシステムを受託開発したり運用保守を請け負ったりしている企業は、扱う情報の性質上、該当しやすい領域といえます。

ただし注意したいのは、最終的には取引先からどう求められるかで決まるという点です。自社の判断だけで「★3でよい」と確定できるものではありません。主要な取引先との関係のなかで、どの水準を求められそうかを見通しておく必要があります。

4-3. 自工会・部工会ガイドラインとの対応関係

自動車業界と取引のある企業には、押さえておきたい点があります。★3・★4は、自工会・部工会ガイドラインのレベル1・レベル2に対応する形で整理されており、同ガイドラインの自己評価結果を活用できるよう連携が進められています。

すでに自工会・部工会ガイドラインへの対応を進めている企業であれば、ゼロからの作業にはならない可能性があります。これまでの取り組みがどこまで使えるのかを、早い段階で確認しておく価値があります。

なお、英国のCyber Essentialsとの将来的な相互認証の可能性についても調査や意見交換が進められていますが、こちらは検討段階であり、現時点で決まった話ではありません。

5. まとめ：まず何から手をつけるか

制度の全体像が見えてくると、「では何を買えばいいのか」「どの対策から入れるべきか」と考えたくなります。ただ、そこから始めると手戻りが生じやすく、結果的に余計なコストがかかることが少なくありません。

最初にやるべきは、要求事項と自社の現状の差分を把握することです。具体的には、次の3つから着手することをおすすめします。

• 1. 自社が★3・★4のどちらを求められる立場かを、主要な取引先との関係から整理する
• 2. 現在の対策状況を棚卸しする（精緻でなくて構いません。何ができていて何ができていないのかを粗く把握します）
• 3. 社内で誰が推進するかを決める（情報システム部門だけでは完結しない領域を含みます）

対策を導入することではなく、現状を見える化すること。ここがスタート地点になります。

サン・エム・システムの「SCS対応支援サービス」では、SCS評価制度の要求事項と自社の現状の差分を確認できる無料のセルフ診断をご用意しています。Web上で完結し、回答後すぐに結果が表示されます。何から始めるべきかを整理する材料として、まずはご利用ください。
診断のあとは、詳細なヒアリングや準拠アセスメント、規程整備から運用の定着まで、企業ごとに必要な範囲に絞ってご支援します。制度の解釈だけでなく、システム会社として実装まで見られる点が当社の特徴です。
まずは以下より、無料セルフ診断をお試しください。

※本診断は当社独自の簡易診断であり、制度上の評価・登録を保証するものではありません。

よくある質問（FAQ）

Q. 準備はいつから始めればよいか？

A. 運用開始は2026年度末が予定されていますが、現状把握と体制づくりには時間がかかります。特に規程の整備や、日常の運用のなかで記録が残る仕組みづくりは、短期間で仕上げられるものではありません。申請の時期が確定するのを待つのではなく、要求事項と自社の現状の差分を把握するところから先に着手しておくと、制度が動き出したときに慌てずに済みます。

Q. ★3と★4のどちらを目指すべきか？

A. 自社の判断だけで決められるものではなく、取引先からどの水準を求められるかによって変わります。ただし、★4は★3の要求事項を満たしたうえで、より踏み込んだ内容が加わる構成になっています。将来的に★4を求められる可能性がある場合でも、まずは★3の要求事項に対する現状把握から始めることになります。主要な取引先の動向を確認しながら進めるのが現実的です。

Q. 社内に専門知識を持つ人がいなくても対応できるか？

A. 要求事項は「統治」や「取引先管理」の比重が大きく、高度なセキュリティの専門知識よりも、要求事項を自社の業務に当てはめて整理する力や、実施していることを記録として残す力が求められます。そのうえで、要求事項の解釈や技術的な実装については外部の支援を活用する選択肢があります。ただし自社業務の実態把握や現場ルールの運用は外部に任せきりにできないため、社内の推進担当を決めることは必要です。

SCS評価制度は現在も詳細が具体化されている段階ですが、要求事項と自社の現状の差分を把握する作業は、制度の確定を待たずに進められます。むしろ、規程の整備や記録が残る運用づくりには時間がかかるため、早い段階で着手しておくほど選択肢が広がります。
サン・エム・システムでは、制度への対応を検討されている企業向けに、無料のセルフ診断から規程整備、運用の定着までを一貫してご支援しています。支援の範囲は企業ごとに調整しますので、必要な部分だけのご相談も承ります。サービスの内容や支援の進め方は、下記のページでご確認いただけます。

参考・出典

• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
• 経済産業省「『サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針』（SCS評価制度の構築方針）を公表しました」
• IPA「SCS評価制度の詳細情報」

【この記事を書いた人】
サン・エム・システムコラム編集部