SECURITY ACTIONとSCS評価制度の違いとは？｜対策のつながりと相違点を解説
デジタル化・AI導入補助金（旧：IT導入補助金）の申請をきっかけに、SECURITY ACTIONを宣言した会社もあると思います。そうしたなか、最近は「SCS評価制度」という言葉を目にする機会が増えてきました。「うちはもう★2だけど、それとは別のもの？」「また一から準備が必要？」と戸惑っている担当者の方もいるのではないでしょうか。
結論から言うと、2つは別の制度ですが、★の段階は通しでつながっています。SECURITY ACTIONが★1・★2を、SCS評価制度が★3から上を受け持っています。★2までに取り組んできたことは、★3の準備でも土台になります。
一方で、★3では、対策ができているかを確かめる方法が、自己宣言から専門家の確認に変わります。この記事では、2つの制度の違いを比較表で整理し、★2から★3へ進むときに何が加わるのかを、具体例とあわせてご紹介します。
この記事のポイント
- SECURITY ACTION（★1・★2）とSCS評価制度（★3〜）は、ひと続きの段階になっている
- ★2は自己宣言で取得でき、有効期間はなし。★3は専門家確認付き自己評価が必要で、有効期間は1年
- ★2で取り組んだことは★3の土台になる。★3で加わるのは、ルールを決めて文書にし、実施した記録を残し、定期的に見直す部分
★3の要求事項（26件）に対する自社の現状は、SCS評価制度伴走支援サービスの「セキュリティ診断」で確認できます。
SECURITY ACTIONとSCS評価制度は、ひと続きの「★」
SECURITY ACTION（セキュリティ対策自己宣言）は、中小企業自らが情報セキュリティ対策に取り組むことを自己宣言する制度で、IPA（独立行政法人 情報処理推進機構）が運営しています。中小企業や個人事業者、同規模の団体を主な対象としていますが、企業規模の制限はありません。
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、サプライチェーンを構成する企業のセキュリティ対策の状況を、共通の基準で評価・可視化する制度です。経済産業省と内閣官房国家サイバー統括室の監督のもと、IPAが運営します。
SCS評価制度が定めているのは、★3・★4・★5です。経済産業省の制度構築方針では、★1・★2についてはSECURITY ACTIONを参照するよう示されています。★の数は通しになっていますが、★1・★2はSECURITY ACTIONで「宣言」するもの、★3からはSCS評価制度で「評価を受けて登録」するもの、という違いがあります。
SECURITY ACTIONの先に、SCS評価制度の★3があります
★の数が増えるほど求められる対策が増え、確かめ方も自己宣言、専門家の確認、第三者評価へと変わります。
| 段階 | 制度名 | 内容 | 確かめ方 |
|---|---|---|---|
| ★1 | SECURITY ACTION | 「情報セキュリティ6か条」に取り組むことを宣言 | 自己宣言 |
| ★2 | SECURITY ACTION | 自社診断（25項目）で現状を把握し、基本方針を定めて公開 | 自己宣言 |
| ★3 | SCS評価制度 | 全てのサプライチェーン企業が最低限実装すべき対策 | 専門家確認付き自己評価 |
| ★4 | SCS評価制度 | サプライチェーン企業等が標準的に目指すべき対策 | 第三者評価・技術検証 |
| ★5（検討中） | SCS評価制度 | さらに目指すべき高度な対策（内容は今後検討） | 第三者評価 |
※ 出典：IPA「SECURITY ACTIONとは？」「SCS評価制度の詳細情報」、経済産業省「SCS評価制度の構築方針」（2026年3月27日公表）
比較表で見る、SECURITY ACTIONと★3の違い
SECURITY ACTIONの★1・★2と、SCS評価制度で「全てのサプライチェーン企業が最低限実装すべきセキュリティ対策」とされている★3を並べました。
| 項目 | ★1 SECURITY ACTION 一つ星 | ★2 SECURITY ACTION 二つ星 | ★3 SCS評価制度 |
|---|---|---|---|
| 運営 | IPA | IPA | IPA（経済産業省・内閣官房国家サイバー統括室が監督） |
| 対象 | 中小企業・個人事業者・団体など（企業規模の制限はなし） | サプライチェーンを構成する企業等のIT基盤（社内のパソコンやサーバー、ネットワーク機器など。クラウド環境で運用するものを含む） | |
| やること | 「情報セキュリティ6か条」に取り組む | 「5分でできる！情報セキュリティ自社診断」（25項目）で現状を把握し、情報セキュリティ基本方針を定めて外部に公開する | 要求事項26項目（評価基準81項目）の対策を実施し、自己評価を記入する |
| 確かめ方 | 自己宣言 | 自己宣言 | 専門家確認付き自己評価（自社で評価し、セキュリティ専門家が確認・署名する） |
| 有効期間 | なし | なし | 1年（更新には、毎年専門家の確認を受けた自己評価を提出） |
| 費用 | ロゴマークは無料で使用できる | 登録料1万円／1年分（税込、2028年3月末までの申請）。社外の専門家に確認を頼む場合は、その費用 | |
| 取引先への示し方 | ロゴマークを使って取り組みを示せる。宣言した事業者はIPAのサイトで公表される | 台帳に登録され、事務局のWebページなどで検索・開示される予定 | |
| 取り組みやすさ（目安） | 始めやすい。対策を始める前でも申し込める | 自社だけで進めやすい | ルールの文書化や記録の整備が必要で、準備に時間がかかる |
※「取り組みやすさ」は、必要な作業（★1：宣言のみ／★2：自社診断と基本方針の公開／★3：規定・記録の整備と専門家の確認）をもとにした鈴与システムテクノロジーの目安です。
※ ★一つ星は、以前は「情報セキュリティ5か条」でした。現在は「バックアップを取ろう！」を加えた6か条です。
※ SECURITY ACTIONの申し込みには、GビズID（行政サービスの手続きに使う共通アカウント）が必要です。
※ ★3の登録料は、IPA「料金設定のお知らせ」（2026年9月18日）によるものです。2028年4月以降の申請は2万円となります。
SECURITY ACTIONと★3で、いちばん違うのはどこ？
SECURITY ACTIONは、自社で「取り組みます」「取り組んでいます」と宣言する制度です。宣言したあとに、実施状況の報告を求められることもありません。★1は「これから取り組む」ことの宣言なので、対策を始める前でも申し込めます。
★3では、要求事項26件について自社で評価を記入し、社内または社外のセキュリティ専門家による確認・助言と署名を受ける必要があります。自社の判断だけで完結せず、専門家の確認と署名を経る点が、★2との大きな違いです。
有効期間と、取引先への示し方
SECURITY ACTIONの宣言には有効期間がありません。★3の有効期間は1年です。
取引先への示し方も異なります。SECURITY ACTIONでは、ロゴマークで取り組みを伝えられるほか、宣言した事業者の名前などがIPAのサイトで公表されます。★3は、取得すると企業名や所在地、適用範囲などが台帳に登録され、事務局のWebページなどで検索できる仕組みが作られる予定です。SCS評価制度は、発注する側が取引先に必要な★を示し、対策の状況を確かめる使い方を想定した任意の制度です。
★2で取り組んだことは、★3でどう生きるか
★2の自社診断25項目と、★3の要求事項26件には、同じテーマを扱うものがあります。3つ例を挙げます。
| テーマ | ★2の自社診断（25項目より） | ★3の評価基準（要約） |
|---|---|---|
| バックアップ | 重要情報の消失に備えて、定期的にバックアップを取得しているか | 取得対象・頻度・保管期間を決めて取得する／重要な機密情報は遠隔地にもバックアップする／バックアップ対象ごとに復元（リストア）手順書を整備する |
| 取引先との情報のやり取り | 重要情報の授受を伴う取引先との契約書に、秘密保持条項を規定しているか | 機密情報を共有する取引先と、業務開始前に取扱いを取り決める（機密情報の定義、利用の制限・保管方法・複製や第三者提供の可否、返還・廃棄） |
| 社内のルールと体制 | 情報セキュリティ対策をルール化し、従業員に明示しているか | セキュリティ対応方針を定めて周知する／推進を担う役員・部署の役割と責任、連絡先リストを定め、年1回以上点検する |
※ ★2はIPA「5分でできる！情報セキュリティ自社診断」（Version 6.0）、★3はIPA「★3・★4 要求事項・評価基準」をもとに、鈴与システムテクノロジーが要約・抜粋したものです。
どのテーマも、★2で取り組んでいれば★3の出発点になります。そのうえで★3では、「何を・いつ・どうするか」をルールとして決め、実施した記録を残し、定期的に見直すところまで確かめられます。
★3で整えるのは「規定類・ツール・記録類」
鈴与システムテクノロジーでは、★3の評価基準を満たすために整えるものを、次の3つに分けて整理しています。
- 01 規定類：社内で守るルールを文書にしたものです。例：バックアップの対象・頻度・保管期間、取引先と機密情報をやり取りするときの決まり
- 02 セキュリティツール：決めたルールを守れるようにする、技術的な仕組みです。例：マルウェア対策ソフト、バックアップの仕組み
- 03 記録類（様式・台帳・記録）：ルールどおりに運用していることを示すものです。例：年1回の点検の記録、取引先との取り決めを交わした書面
★2までの取り組みで対策そのものは進んでいても、ルールの文書や実施の記録まではそろっていない、ということもあります。★2で取り組んだ項目が★3の評価基準をどこまで満たしているかは、要求事項26件ごとに確かめる必要があります。
反対に、★2に取り組んできた会社は、何もないところから始めるわけではありません。今ある取り組みを生かしながら、足りない部分を一つずつ埋めていくことになります。
★3の準備は現状分析から
★3の準備は、一度にすべてをそろえる必要はありません。最初にやることは、26件の要求事項それぞれについて「できている」「一部できている」「未対応」を確かめ、手を付ける順番を決めることです。
あわせて、専門家の確認を誰に頼むかも考えておきましょう。社内に要件を満たす人がいない場合は、社外の専門家に確認を依頼することになります。
まとめ
SECURITY ACTIONとSCS評価制度は、★の段階でつながっています。★2まで取り組んできたことは★3の土台になり、そのうえで加わるのは、ルールを決めて文書にし、記録を残し、定期的に見直す部分です。自社がいまどこまでできているのか、まずは現在地を確かめるところから始めてみてください。
参考文献
- IPA「SECURITY ACTIONとは？」
- IPA「「二つ星」を宣言する」
- IPA「SECURITY ACTION よくある質問」
- IPA「デジタル化・AI導入補助金（旧：IT導入補助金）」
- IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版 付録3「5分でできる！情報セキュリティ自社診断」
- IPA「SCS評価制度の詳細情報」
- IPA「要求事項・評価基準」（2026年4月21日公開）
- IPA「サプライチェーン強化に向けたセキュリティ対策評価制度 料金設定のお知らせ」（2026年9月18日）
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日公表）
いずれも2026年9月29日参照。