更新日：2026年8月18日現在
「SCS評価制度とは何か？」
「中小企業にも関係するのか？」
「★3や★4を取得するには、何を準備すればいいのか？」
2027年3月頃の★3・★4の運用開始に向けて、企業の間で注目が高まっているのがSCS評価制度です。
SCS評価制度は、取引先を含むサプライチェーン全体のセキュリティ対策状況を、共通の基準によって評価・可視化するための制度です。
正式名称は、
「サプライチェーン強化に向けたセキュリティ対策評価制度」
です。
SCSはSupply Chain Security（サプライチェーン・セキュリティ）を意味します。
2026年3月に経済産業省と内閣官房国家サイバー統括室が制度構築方針を公表し、経済産業省・内閣官房国家サイバー統括室の監督のもと、独立行政法人情報処理推進機構（IPA）が制度を運営します。
★3・★4は2027年3月頃の運用開始が予定されています。
この記事では、SCS評価制度について、中小企業の経営者・管理担当者の方にもわかりやすく解説します。
SCS評価制度とは？
簡単にいうと「取引先のセキュリティ対策を見える化する制度」
これまで企業間取引では、取引先のセキュリティ対策を確認するために、発注企業ごとに独自のアンケートやチェックシートを使用するケースがありました。
しかし、発注企業ごとに確認項目が異なると、委託先・受注企業には大きな回答負担が発生します。
一方、発注企業にとっても、次のような課題があります。
- 取引先のセキュリティ対策が十分なのかわからない
- 独自のチェック項目が適切なのかわからない
- 多数の取引先を同じ基準で比較・確認しにくい
SCS評価制度では、サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化することで、こうした負担を減らしながら、サプライチェーン全体のセキュリティ水準を高めることを目指しています。
SCS評価制度はいつから始まる？
IPAでは、★3・★4について2027年3月頃の運用開始を予定しています。
2026年度中に制度の詳細や申請方法などが順次具体化される予定です。
そのため、
「制度が始まってから対策すればいい」
と考えるのではなく、今のうちに自社のセキュリティ環境を確認しておくことが重要です。
特に既存のネットワーク構成、端末管理、バックアップ、アクセス権限、ログ管理などは、短期間では整備できないケースもあります。
SCS評価制度は中小企業も対象？
SCS評価制度は、中小企業だけを対象にした制度ではありません。
業種や企業規模を問わず、サプライチェーンを構成する幅広い企業が対象となり得ます。
特にBtoB取引では、発注企業が取引先に対して必要なセキュリティ水準を提示し、対策状況を確認するといった活用が想定されています。
そのため、
- 大企業と取引している
- メーカーのサプライチェーンに参加している
- 顧客情報や機密情報を取り扱っている
- 他社から業務を受託している
- クラウドサービスやITシステムを業務で利用している
といった企業では、今後取引先からセキュリティ対策について確認される可能性を考えておく必要があります。
なお、SCS評価制度そのものは任意制度であり、★3・★4を取得していなければ一律に取引ができなくなるという制度ではありません。
どの段階を取引条件として求めるかは、取引当事者間で決められることが想定されています。
SCS評価制度の★1・★2・★3・★4・★5とは？
ここは混同しやすいため注意が必要です。
★1・★2は「SECURITY ACTION」
IPAには、中小企業が情報セキュリティ対策への取り組みを自己宣言する「SECURITY ACTION」という制度があります。
SECURITY ACTIONには、
- ★一つ星
- ★★二つ星
があります。
これはSCS評価制度の★3・★4そのものではありません。
IPAではSECURITY ACTIONを、SCS評価制度の★3・★4取得を検討する企業にとっての「準備段階」として活用することを案内しています。
まだ情報セキュリティ対策を体系的に進めていない中小企業は、まずSECURITY ACTIONから始めるのも一つの方法です。
★3｜一般的なサイバー脅威への対策
SCS評価制度の★3は、一般的なサイバー脅威に対処できる水準として設定されています。
★3では、企業自身が要求事項・評価基準に基づいて自己評価を行い、その結果についてSCS評価制度に登録されたセキュリティ専門家による確認・助言を受けます。
その後、経営層による自己適合宣誓などを含めて事務局へ提出し、問題がなければ登録される仕組みです。
多くの中小企業にとっては、まず★3で求められる対策を確認することが、SCS対応を考えるうえで現実的な第一歩になります。
★4｜第三者評価＋技術検証
★4では★3よりも高い水準のセキュリティ対策が求められます。
初期侵入を防ぐだけではなく、
- 侵入後の被害拡大防止
- 取引先データ・システムの保護
- サプライチェーン上の役割に応じた対策
なども含まれます。
また★4では、指定された評価機関による第三者評価に加え、技術検証も実施されます。
★5｜より高度なサイバー攻撃への対応
★5は、より高度なサイバー攻撃への対応を想定した段階です。
ただし2026年8月現在、要求事項・評価基準や評価方法、開始時期などは具体化の検討中です。
★3と★4の違い
★3と★4の大きな違いは、評価方法と求められるセキュリティ水準です。
| 項目 | ★3 | ★4 |
|---|---|---|
| 想定水準 | 一般的なサイバー脅威への対策 | より広範な攻撃・被害拡大への対策 |
| 評価 | 専門家確認付き自己評価 | 第三者評価 |
| 技術検証 | ― | 実施 |
| 実地審査 | 原則書類確認 | 実施 |
| 有効期間 | 1年 | 3年 |
★4では、有効期間内も毎年自己評価を実施することが想定されています。
また、★4を取得するために★3を先に取得しなければならないという仕組みではありません。
★3・★4を取得するために必要な対策
IPAでは、★3・★4の要求事項・評価基準を公開しています。
また★3・★4を取得するためには、それぞれに設定されたすべての要求事項・評価基準を満たす必要があるとされています。
具体的な対策は企業の環境によって異なりますが、例えば次のような視点から現状を確認していく必要があります。
- 情報資産や利用しているIT機器の把握
- ID・アカウント・アクセス権限の管理
- パスワードや認証方法の管理
- ソフトウェア・OSの更新
- マルウェア対策
- ネットワーク境界の防御
- ログの取得・確認
- データのバックアップ
- インシデント発生時の対応体制
- 従業員へのセキュリティ教育
- 委託先・クラウドサービス等の管理
単にセキュリティ製品を導入するだけではなく、
「誰が、どのように運用し、問題が起きた場合にどう対応するか」
まで含めて考えることが重要です。
SCS評価制度にUTMは必須？
「SCS評価制度を取得するにはUTMが必要なのか？」
という疑問を持つ企業もあるでしょう。
結論からいうと、SCS評価制度ではUTMなど特定のセキュリティ製品の導入を必須としているわけではありません。
企業規模やシステム構成によって必要な対応は異なるため、特定製品を導入すればSCS評価制度に対応できる、というものではありません。
ただし、外部ネットワークとの境界を適切に管理し、不審な通信や攻撃から社内ネットワークを守る仕組みは重要です。
その手段の一つとして、
- ファイアウォール
- UTM
- EDR
- 各種監視サービス
などを組み合わせる方法があります。
重要なのは「UTMを入れているか」ではなく、自社の環境に対して必要なセキュリティ対策が適切に実施・運用されているかです。
なぜログ管理が重要なのか
セキュリティ対策では、攻撃を防ぐことだけでなく、
「何が起きたのかを後から確認できる状態」
を作ることも重要です。
例えば、
- 誰がシステムへアクセスしたのか
- どの端末から接続したのか
- 不審な通信が発生していないか
- 設定変更が行われていないか
などを確認できるよう、必要なログを取得・管理しておく必要があります。
例えば、
- ログは取得しているものの誰も確認していない
- 保存期間が短く、問題発覚時には消えている
- 複数の機器に分散していて確認できない
といった状態になっていないか、一度確認しておきましょう。
SCS評価制度の費用はいくら？
2026年8月現在、★3・★4の申請・登録にかかる費用はまだ公表されていません。
申請・登録費用については、今後IPAなどから公開される予定です。
また、★3ではセキュリティ専門家による確認、★4では評価機関による第三者評価や技術検証が必要になるため、制度上の申請費用だけでなく、評価や事前対策にかかる費用についても考えておく必要があります。
中小企業が今から始めたい5つの準備
制度開始直前になってからすべてを整備するのではなく、まず現在の状態を確認することをおすすめします。
1．自社の情報資産を洗い出す
まず、
- パソコン
- サーバー
- ネットワーク機器
- クラウドサービス
- 業務システム
- 顧客情報
- 社内データ
など、自社が保有・利用している情報資産を整理します。
2．ネットワーク構成を確認する
インターネットと社内ネットワークがどのようにつながっているのか確認します。
ルーター、ファイアウォール、UTM、Wi-Fi、VPNなどの構成も整理しておきましょう。
3．アカウント・端末管理を確認する
退職者のアカウントが残っていないか、共有アカウントを多用していないか、OSやソフトウェアが更新されているかなどを確認します。
4．ログ・バックアップを確認する
「ログを取得しているか」だけではなく、
どのログを、どれだけの期間保存し、誰が確認するのか
まで整理します。
バックアップについても、取得しているだけでなく、実際に復旧できる状態になっているか確認することが重要です。
5．要求事項とのギャップを確認する
最後に、IPAが公開している★3・★4の要求事項・評価基準と現在の環境を比較します。
いきなり製品を購入するのではなく、
現状把握 → 不足項目の特定 → 優先順位付け → 対策
の順番で進めることが重要です。
SCS評価制度についてよくある質問
SCSとは何の略ですか？
SCSは「Supply Chain Security」の略です。
制度の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。
SCS評価制度はいつから始まりますか？
★3・★4について、2027年3月頃の運用開始が予定されています。
SCS評価制度は中小企業も対象ですか？
中小企業に限定された制度ではありませんが、業種や企業規模を問わず、サプライチェーンを構成する幅広い企業が対象となり得ます。
SCS評価制度の★1とは何ですか？
SCS評価制度で制度開始時に運用されるのは★3・★4で、★5については今後具体化される予定です。
★一つ星・★★二つ星はIPAの「SECURITY ACTION」という別の自己宣言制度です。
SCS評価制度の★3・★4へ取り組む前の準備として活用できます。
★3を取得するには第三者審査が必要ですか？
★3は第三者評価ではなく、企業自身による自己評価に対して、登録されたセキュリティ専門家が確認・助言を行う「専門家確認付き自己評価」です。
第三者評価や技術検証が行われるのは★4です。
UTMを導入すれば★3を取得できますか？
UTMを導入しただけで★3を取得できるわけではありません。
また、SCS評価制度ではUTMを含む特定の製品導入を必須とはしていません。
自社のIT環境に応じて、要求事項・評価基準を満たすための対策を総合的に実施する必要があります。
SCS評価制度の取得費用はいくらですか？
2026年8月現在、★3・★4の申請・登録費用はまだ公表されていません。
今後公開される最新情報を確認する必要があります。
まとめ｜SCS評価制度への対応は「自社の現状把握」から
SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化し、サプライチェーン全体のセキュリティ水準を高めるための制度です。
★3・★4は2027年3月頃の運用開始が予定されています。
特に取引先からセキュリティ対策を求められる可能性がある企業では、制度が始まってから慌てるのではなく、
「現在どこまで対策できているのか」
を確認しておくことが重要です。
株式会社情報機器では、ネットワーク環境やセキュリティ機器、ログ管理など、企業のIT環境に関するご相談を承っています。
SCS評価制度に向けて、自社のセキュリティ環境を確認しませんか？
次のようなお悩みはありませんか？
- 現在のネットワーク構成で問題ないかわからない
- UTMやセキュリティ機器を導入しているが、十分なのかわからない
- ログを取得・管理できているかわからない
- SCS評価制度に向けて何から確認すればいいかわからない
- ★3を目指すために不足している対策を確認したい
SCS評価制度への対応で重要なのは、いきなり新しい機器を導入することではなく、まず現在のIT・セキュリティ環境を整理することです。
SCS評価制度に向けたセキュリティ対策について、お気軽に株式会社情報機器へご相談ください。
※本記事は2026年8月時点で公表されている情報をもとに作成しています。SCS評価制度は制度詳細の具体化が進められているため、最新情報は経済産業省およびIPAの公式情報をご確認ください。
参考情報
経済産業省｜サプライチェーン強化に向けたセキュリティ対策評価制度
IPA｜サプライチェーン強化に向けたセキュリティ対策評価制度
