SCS評価制度とは？基本をわかりやすく解説｜仕組み・★の段階・★3の取り方
SCS評価制度の対策をする必要があるとわかっていても、「何から手を付ければいいのかわからない」「やれと言われたものの、どうすればよいかわからず悩んでいる」という方も多いのではないでしょうか。サプライチェーンを狙ったサイバー攻撃が急増する中、2026年度末の運用開始に向け、この新制度への関心は急速に高まっています。
取引先から「御社はSCS評価制度の★3を取得していますか？」と問われる場面も、今後は増えていくと考えられます。この記事では、経済産業省などが公表した公開情報をもとに、SCS評価制度の全体像と、多くの企業が最初の目標とする「★3」取得までの道筋を、わかりやすく整理します。
この記事のポイント
- SCS評価制度の全体像と、SECURITY ACTION（★1・★2）とのつながりが分かる
- ★3取得の手順と、つまずきやすいポイントが分かる
SCS評価制度とは？
SCS評価制度とは、正式名称を「サプライチェーン強化に向けたセキュリティ対策評価制度」といいます。企業のセキュリティ対策の水準を、国が定めた基準で評価・可視化するための制度です。経済産業省と内閣官房国家サイバー統括室が主導し、IPA（独立行政法人 情報処理推進機構）が運営主体となって整備が進められています。
2026年3月27日に「制度構築方針」が公表され、2026年度末（2027年3月）頃の運用開始を目指して準備が進んでいます。背景にあるのは、サプライチェーンを狙ったサイバー攻撃の増加です。大企業本体だけでなく、取引先である中小企業がセキュリティの弱点となり、侵入経路にされる被害が相次いでいます。そのため、サプライチェーン全体で対策の底上げを図ることが、この制度の狙いです。
SCS評価制度の全体像は次のとおりです。SCS評価制度が定めているのは、★3から★5までの3段階です。
SCS評価制度では、★3は「全てのサプライチェーン企業が最低限実装すべきセキュリティ対策」と位置づけられています。今後は、取引先から★3以上の取得を求められる場面が増えると考えられます。
| 段階 | 位置づけ | 評価方法 |
|---|---|---|
| ★3 | 全てのサプライチェーン企業が最低限実装すべきセキュリティ対策 | 専門家確認付き自己評価 |
| ★4 | サプライチェーン企業等が標準的に目指すべきセキュリティ対策 | 第三者評価＋技術検証 |
| ★5 | サプライチェーン企業等が到達点として目指すべき対策 | 今後具体化 |
※ 経済産業省・内閣官房国家サイバー統括室・IPAの公表資料をもとに作成（2026年10月時点）。SCS評価制度の要求事項・評価方法は今後更新される可能性があります。
★1・★2（SECURITY ACTION）との違いは？
「では★1・★2はどうやって取るの？」と疑問に思われるかもしれません。実は、★1・★2はSCS評価制度の中の段階ではなく、IPAが以前から運営している「SECURITY ACTION」という別の制度で宣言するものです。SECURITY ACTIONの全体像は次の通りです。
| 段階 | 位置づけ | 評価方法 |
|---|---|---|
| ★1 | 「中小企業の情報セキュリティ対策ガイドライン」の「情報セキュリティ6か条」に取組むことを宣言 | 自己宣言 |
| ★2 | 「5分でできる！情報セキュリティ自社診断」で自社の状況を把握したうえで、「情報セキュリティ基本方針」を定め、外部に公開することを宣言 | 自己宣言 |
※ IPA「SECURITY ACTION」公表資料をもとに作成（2026年10月時点）。
SECURITY ACTIONとSCS評価制度の最大の違いは「誰が評価するか」です。★1・★2は企業自身による自己宣言であり、第三者のチェックは入りません。一方、★3以上はSCS評価制度で新設された段階で、セキュリティの専門家や評価機関による確認・評価が入ります。つまり、自己申告の「宣言」から、客観的な確認を伴う「評価」へと質が大きく変わるのが、★2と★3の境目です。
★を取得するメリットとは？
★を取得するメリットは、取引の現場で特に大きくなります。従来、発注側の企業はセキュリティ状況を確認するために、取引先ごとに独自のチェックシートを送って回答を求めることが一般的でした。受注側は、取引先の数だけ異なる様式に個別対応しなければならず、双方にとって大きな負担になっていました。SCS評価制度の★を共通の基準とすることで、以下のような効果が期待できます。
| 受注側（対策状況を示す立場） | 発注側（取引先を選ぶ立場） |
|---|---|
| 対策状況を示すことで信頼を得やすくなる | 対策状況が可視化された状態で取引先を選定できる |
| 取引先ごとのチェックシートの対応を一本化できる | 取引先の状況を共通の基準で比較でき、精査を効率化できる |
つまり★は、単なる「認定バッジ」ではなく、サプライチェーンの中で取引を続けるための共通言語になり得るものです。自社のセキュリティ対策状況を可視化し、商談や契約更新の場面で自社の対策を客観的に示せることが、取得のメリットになります。
制度が普及すれば、発注側の企業が取引条件として「★3以上の取得」を求める動きが広がる可能性があります。
★3では、要求事項に沿った自己評価と専門家による確認が必要になるため、「取引先から要求されてから慌てて着手する」のではなく、運用開始前の今から準備を始めておくことで、余裕をもって対応できます。
★3を取得する手順は？
★3の取得は、「専門家確認付き自己評価」という方法で行います。自社で対策状況を評価したうえで、SCSセキュリティ専門家の確認・署名を受けて申請する、という流れです。
★3で求められるのは、26件の要求事項です。この要求事項は、実際に満たしているかを判断するための81項目の評価基準に細分化されています。「パスワードの適切な管理」「退職者のアカウントを速やかに削除する」といった、既存の社内ルールや運用を整えれば対応できるものも多く含まれます。
制度の公開情報を踏まえ、★3取得までの進め方の一例をご紹介します。
STEP 1：現状把握
- 規程類、機器やアカウントの設定、運用記録などを集め、自社が現在どのような対策をしているかを棚卸しする
- 規程が整っているかだけでなく、規程どおりに運用されているかもあわせて確認する
- ★3では確認責任者が自己評価の内容を確認するため、取り組み状況を説明できる記録を残しておく
STEP 2：ギャップ分析
- STEP 1で集めた情報を★3の要求事項26件と照らし合わせ、満たせていない項目を洗い出す
- 不足している項目ごとに、必要な対応の内容と優先順位を整理する
STEP 3：対策の実装
- 不足している対策について、規程の整備や設定の見直し、体制づくりを進める
- 実施した内容を、自己評価の際に説明できるよう記録しておく
STEP 4：自己評価と専門家確認
- 要求事項・評価基準に沿って自己評価を記入する
- ★3確認責任者（所定の資格を持つセキュリティ専門家）の確認・署名を受け、経営層による自己適合宣誓とあわせてIPAに申請する
- ★3の有効期間は1年。継続するには、毎年、確認責任者の確認を受けた自己評価を提出する必要がある
つまずきやすいポイントは？
手順だけを見ると単純に思えますが、実際に取り組んだ担当者がつまずきやすいと考えられるポイントは、★3の要求事項26件を正しく読み解くこと自体に、ITやセキュリティの知識・経験が必要だという点です。
要求事項の「解釈」が難しい
評価基準には「アクセス権限を適切に管理する」「通信を暗号化する」といった専門的な記述が並びます。自社の環境で具体的に何をどこまでやれば『満たしている』と言えるのかの判断には、専門的な知識が欠かせません。解釈を誤れば、対応したつもりでも要件を満たせていない、という事態になりかねません。
実装状況の「客観判断」が難しい
★3は自己評価が土台ですが、最終的には専門家の確認が入ります。「できているつもり」と客観的な事実の間にはズレが生じやすく、規程はあっても運用が伴っていない、設定が一部の端末に反映されていない、といった抜け漏れは自社だけでは気づきにくいものです。
要求事項の読み解きからギャップの洗い出し、対策の実施までを、兼務の担当者だけで進めるのは大きな負担です。自社の現状を客観的に把握し、どこから手をつけるかを整理する段階から外部パートナーの支援を受けることで、取得までの道のりを効率よく進められます。
鈴与システムテクノロジーが★3取得まで伴走支援します
「要求事項26件を自社だけで読み解けるか不安」「何から始めればいいか分からない」——こうしたお悩みに対して、鈴与システムテクノロジー株式会社（以下、SST）は「SCS評価制度 伴走支援サービス」をご用意しています。自社の現在地を可視化する「セキュリティ診断」を起点に、★3の取得までを一貫してサポートするサービスです。
まずは「セキュリティ診断」で自社の現在地を可視化
最初のステップは、フォームに回答するだけで受けられる現状分析です。★3の要求事項を基準に、自社のセキュリティ対策がどこまで要求事項を満たしているかを客観的に確認します。その結果を「規定類」「ツール／管理」「様式・台帳・記録」の3分野に分けて整理し、差分をもとに優先順位を付けて、次に何から着手すべきかを明確にします。
まとめ
最後に、この記事でお伝えしたポイントをまとめます。
- SCS評価制度は、企業のセキュリティ対策を国の基準で評価する制度で、★3〜★5を定めている。★1・★2はSECURITY ACTIONが受け持ち、★の数は通しでつながっている（2026年度末頃 運用開始予定）
- ★1・★2は「自己宣言」（SECURITY ACTION）、★3以上は外部の確認・評価が入る新設段階
- ★3はサプライチェーンの共通基準線であり、取引先の信頼を可視化する第一歩になる
- ★3は要求事項26件で構成され（評価基準は81項目）、読み解きにはIT・セキュリティの知識が必要
- SSTの「セキュリティ診断」を起点に、★3取得までを専門家が一貫して伴走支援できる
つまり、SCS評価制度への対応で最初にやるべきことは、いきなり対策ツールを導入することではなく、自社が★3の要求事項26件に対して今どこまで満たせているのかを客観的に把握することです。現在地が分かれば、★3までに埋めるべき差も、着手すべき優先順位も見えてきます。
「何から手をつければいいか分からない」
「要求事項26件を自社だけで読み解ける自信がない」
そんな方は、まずSSTの「セキュリティ診断」で自社のセキュリティ対策の現在地を把握することから始めてみてはいかがでしょうか。★3取得というゴールまでの距離が見えれば、次の一歩は自然と定まります。
参考文献
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（SCS評価制度の構築方針）」（2026年3月27日公表）
- 独立行政法人 情報処理推進機構（IPA）「SCS評価制度の詳細情報」（2026年9月参照）
- 独立行政法人 情報処理推進機構（IPA）「SECURITY ACTIONとは？」（2026年9月参照）
- 独立行政法人 情報処理推進機構（IPA）「SECURITY ACTION セキュリティ対策自己宣言」（2026年9月参照）