SCS評価制度とは？2027年3月開始予定の★3・★4と中小企業が今から進める準備
Murata Kazuya【2026年8月18日時点の情報です】
本記事は、2026年8月18日時点の経済産業省、内閣官房国家サイバー統括室及び独立行政法人情報処理推進機構（IPA）の公表情報に基づいて作成しています。SCS評価制度は、★3・★4について2027年3月頃の運用開始が予定されていますが、申請方法、提出様式、評価機関、セキュリティ専門家、申請・登録費用等については、現在も具体化が進められています。
今後、制度開始までに内容が変更又は追加される可能性があります。実際に制度の利用を検討する際は、必ず最新の公式情報をご確認ください。
取引先から、
「情報セキュリティに関するチェックシートを提出してください」
「御社では、どのようなサイバーセキュリティ対策を行っていますか」
と確認された経験はないでしょうか。
近年は、自社だけでなく、取引先、業務委託先、ITベンダーなどを経由したサイバー攻撃も問題となっています。
一方、委託を受ける企業側から見ると、複数の取引先からそれぞれ異なるセキュリティチェックや対策を求められることは、特に中小企業にとって大きな負担になります。
このような課題に対応するため、経済産業省と内閣官房国家サイバー統括室が制度構築を進めているのが、
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
です。
SCS評価制度では、サプライチェーンにおける企業等の立場やリスクを踏まえ、必要となるセキュリティ対策を共通の要求事項・評価基準として示し、その対策状況を「★」によって可視化します。
2026年8月18日時点では、★3・★4について2027年3月頃の運用開始が予定されています。
本記事では、
- SCS評価制度とはどのような制度か
- ★3・★4は何が違うのか
- どのような企業に関係するのか
- 何が評価対象になるのか
- SECURITY ACTION、ISMS、JC-STARとの違い
- 再委託先にはどのような影響があるのか
- 制度開始前の今から何を準備できるのか
- 行政書士を含む外部専門家をどのように活用するか
について整理します。
SCS評価制度とは
SCSは「Supply Chain Security」の略称です。
SCS評価制度は、経済産業省及び内閣官房国家サイバー統括室の監督の下、独立行政法人情報処理推進機構（IPA）が運営する制度です。
★3・★4については、2027年3月頃の運用開始が予定されています。
制度が対象としている大きな課題は、サプライチェーン全体のサイバーセキュリティリスクです。
例えば、自社では一定のセキュリティ対策を行っていたとしても、
- 重要な情報を共有している委託先がサイバー攻撃を受ける
- 委託先等を経由して自社のシステムへ侵入される
- 利用しているクラウドサービス等に障害が発生する
- 重要な製品やサービスを供給する取引先がサイバー攻撃を受け、事業継続に影響する
といったリスクがあります。
SCS評価制度の制度構築方針では、機密情報の漏えいや改ざんだけではなく、製品・サービスの提供途絶や、取引先等を踏み台とした不正侵入なども、サプライチェーンにおいて想定すべきリスクとして整理されています。
そのため、SCS評価制度は単なる「情報漏えい対策のチェック制度」ではありません。
事業継続や取引先管理まで含め、企業のサイバーセキュリティ対策を一定の共通基準によって確認・可視化する制度と捉えると分かりやすいでしょう。
なぜSCS評価制度がつくられるのか
制度構築の背景には、発注側と受注側の双方が抱える課題があります。
委託元企業側の課題
発注者側からすると、
「委託先がどの程度のセキュリティ対策を行っているのか」
を外部から判断することは容易ではありません。
また、自社独自のチェックシートを作成しても、その要求水準が適切なのかを判断することが難しい場合があります。
委託先企業側の課題
一方、委託先側では、複数の取引先からそれぞれ異なるチェックシートやセキュリティ対策を求められることがあります。
取引先ごとに異なる質問や要求事項へ個別に対応しなければならず、特に中小企業にとって大きな負担になる場合があります。
SCS評価制度では、必要となるセキュリティ対策を一定程度共通化し、★の取得状況によって対策状況を確認しやすくすることで、
委託元と委託先の双方にとって、必要なセキュリティ対策を判断しやすくすること
が目指されています。
SCS評価制度は義務なのか
2026年8月18日時点では、SCS評価制度は任意の制度です。
すべての企業に対して、法律上★3又は★4の取得を一律に義務付ける制度ではありません。
経済産業省も、
- 評価を取得していないと商取引が規制される
- 今すぐ取得しないと入札から除外される
といったSCS評価制度を利用した不適切な勧誘について注意を呼び掛けています。
ただし、
「制度上は任意であること」と「個別の取引において取引先から一定のセキュリティ水準を求められること」は別の問題
です。
SCS評価制度では、企業間の取引契約等において、委託元が委託先に対して適切な★の段階を示し、必要な対策の実施を促すとともに、その状況を確認する利用方法が想定されています。
そのため、例えば、
- 重要な機密情報を取引先から預かっている
- 取引先のシステムやネットワークへアクセスする
- 事業継続上重要な業務を受託している
- ITシステムの構築・保守・運用を受託している
- 大企業を含む企業のサプライチェーンに参加している
といった企業では、今後、取引先との関係でSCS評価制度への対応を検討する場面が生じる可能性があります。
なお、政府機関等や重要インフラ事業者等の調達におけるSCS評価制度の活用については、制度構築方針において今後の導入促進策等として検討される事項を含みます。
したがって、2026年8月18日時点で、
「公共調達へ参加するためにはSCS評価の取得が必須である」
と説明することは適切ではありません。
SCSは「格付け制度」ではない
★3、★4という名称を見ると、企業のセキュリティ能力をランキングする制度のように感じるかもしれません。
しかし、SCS評価制度は、事業者間のセキュリティ水準を競わせることを目的とした、いわゆる格付け制度ではありません。
また、★を取得したからといって、
「この企業ではサイバー攻撃が発生しない」
「情報漏えい等が発生しないことが保証されている」
という意味でもありません。
★の取得又は更新時点において、その段階について定められた要求事項・評価基準を満たしていることを確認・可視化するための制度です。
★3・★4・★5の違い
2026年8月18日時点で、具体的な要求事項・評価基準が公表されているのは★3と★4です。
| 区分 | 基本的な水準 | 要求事項数 | 評価方法 | 有効期間 |
|---|---|---|---|---|
| ★3 | 一般的なサイバー脅威に対処し得る水準 | 26件 | 専門家確認付き自己評価 | 1年 |
| ★4 | 被害拡大防止、事業継続、取引先管理等まで含む水準 | 43件 | 第三者評価・技術検証 | 3年 |
| ★5 | より高度なサイバー攻撃への対応 | 今後検討 | 今後検討 | 今後検討 |
★3では、一般的なサイバー脅威への対処を念頭に、基礎的な組織的対策やシステム防御策を中心とした要求事項が設定されています。
一方、★4では、
- 初期侵入への防御
- 内外への被害拡大防止
- 攻撃者による目的遂行リスクの低減
- 取引先のデータやシステムの保護
- 事業継続
- 重要な取引先のセキュリティ対策状況の把握
など、より包括的な対策が求められます。
また、
★3を先に取得しなければ★4を取得できないという制度ではありません。
自社の事業内容、サプライチェーン上の位置付け、取り扱う情報、取引先から求められる水準等を踏まえて、どの段階を検討するかを判断することになります。
★3は「専門家確認付き自己評価」
★3では、取得を希望する組織自身が、★3の要求事項・評価基準に基づいて自己評価を行います。
ただし、自社だけでチェックを付けて申告すれば取得できる制度ではありません。
自己評価結果について、SCS評価制度に登録されたセキュリティ専門家による確認・助言を受けます。
2026年8月18日時点で想定されている流れは、おおむね次のとおりです。
- 取得希望組織が★3の要求事項・評価基準に基づいて自己評価を行う
- セキュリティ専門家が自己評価の内容を確認する
- 必要に応じて評価結果の修正等について助言する
- 事務局へ提出する内容について専門家が了承した場合に署名する
- 取得希望組織が経営層による自己適合宣誓を含む評価結果を事務局へ提出する
- 事務局が申請内容を確認し、問題が認められなければ台帳へ登録・公開する
という仕組みが予定されています。
SCS制度上の「セキュリティ専門家」とは
制度上のセキュリティ専門家になるためには、一定の資格要件を満たし、所定の研修を受講した上で、SCS評価制度の事務局へ登録する必要があります。
資格要件としては、次のいずれかの資格保有が示されています。
- 情報処理安全確保支援士
- 公認情報セキュリティ監査人
- CISSP
- CISA
- CISM
- ISO27001主任審査員
したがって、
「ITに詳しい」
「社内の情報システム担当者である」
ということだけで、制度上のセキュリティ専門家として★3の確認を行えるわけではありません。
セキュリティ専門家については、2027年1月以降の公表が予定されています。
★4では第三者評価と技術検証が行われる
★4では、★3よりも評価方法が厳格になります。
取得希望組織が自己評価を行った上で、指定を受けた評価機関へ第三者評価を依頼します。
★4では、
- 文書確認
- 実地審査
- 技術検証
が予定されています。
評価機関から評価報告書を受けた後、取得希望組織がIPAの事務局へ★4の登録申請を行う仕組みが想定されています。
技術検証については、制度構築方針において、VPN装置やルーター等、脆弱性が悪用された場合に組織内部へ侵入されるリスクの高いインターネット公開機器等への脆弱性検査が例として示されています。
ただし、具体的な技術検証の方法については、2026年8月18日時点では今後さらに具体化される事項を含みます。
実際の取得を検討する場合には、今後公表される制度規程、取得ガイド等を確認する必要があります。
★4は3年間有効だが、毎年確認が必要
★4の有効期間は3年間です。
しかし、一度★4を取得すれば、3年間何もしなくてよいわけではありません。
制度構築方針では、有効期間内も1年ごとに自己評価を実施し、その結果を評価機関へ提出することが想定されています。
また、
- IT基盤を構成する端末やサーバー等の大規模な入替え
- クラウド基盤への大規模な移行
- ネットワーク構成の大きな変更
- 関係する規程や手順書等の大幅な変更
など、要求事項への適合状況に重大な影響を与える変更がある場合には、有効期間内であっても改めて評価機関による評価が必要となる場合があります。
SCS評価制度では何が対象になるのか
SCS評価制度を理解する上で重要なのが、評価の適用範囲です。
制度構築方針では、SCS評価制度は、サプライチェーンを構成する企業等のIT基盤を対象とすることを基本としています。
クラウド環境で運用されるIT基盤も含まれます。
例えば、
- メールサーバー
- Webサーバー等のインターネット公開サーバー
- 認証基盤
- PC等の端末
- ネットワーク
- クラウド環境
- ファイアウォール、ルーター、VPN装置等の外部ネットワークとの境界
などが関係します。
一方で、SCSは、
「IT機器の設定や性能だけを評価する制度」ではありません。
要求事項には、
- 組織のガバナンス
- 取引先管理
- リスクの特定
- 自社IT基盤への防御
- 攻撃等の検知
- インシデントへの対応
- 復旧
など、企業の組織的なセキュリティ対策も含まれています。
そのためSCS評価制度は、
「IT基盤を中心として、企業体としてのセキュリティ対策を確認・可視化する制度」
と理解するのが適切でしょう。
自社のどこまでが評価対象になるのか
制度開始前に確認しておきたいのが、
「本社だけなのか」
「営業所やテレワーク環境も含むのか」
といった具体的な適用範囲です。
2026年8月18日時点では、在宅勤務者や社外常駐者の業務環境を含め、詳細な評価対象範囲については制度開始までに具体化される予定とされています。
そのため、現段階で、
「テレワーク環境は必ず評価対象となる」
などと一律に判断することは適切ではありません。
一方、制度開始後に適用範囲を検討できるよう、現時点から、
- 本社
- 営業所
- 工場
- テレワーク等の社外利用環境
- クラウド環境
などについて、どのようなIT基盤やサービスを利用しているのかを把握しておくことには意味があります。
まずは、自社のIT利用環境を整理し、制度の詳細公表後に適用範囲を判断できる状態をつくっておくことが重要です。
OTシステムや自社が販売するIoT製品は別に考える
一般的にIT基盤に該当しない製造環境等の制御システム、いわゆるOTシステムや、委託元等へ提供する製品そのものについては、SCS評価制度の直接の対象とはせず、他の制度・ガイドライン等に基づく対策が想定されています。
例えば、IoT製品そのもののセキュリティについては、対象となる製品や条件に応じてJC-STARなど別の制度を確認する必要があります。
SCS評価制度とJC-STARの違い
大まかに整理すると、
SCS評価制度
→企業・組織のIT基盤を中心としたセキュリティ対策を確認・可視化する制度
JC-STAR
→IoT製品について、所定のセキュリティ要件への適合状況を評価・可視化する制度
という違いがあります。
両制度とも「★」を使用するため混同しやすいですが、制度の目的も評価対象も異なります。
【関連記事】JC-STAR制度（IoTセキュリティ評価制度）
SCS評価制度で確認される主な分野
★3・★4の要求事項は、主に次のような分野に関係します。
1．ガバナンス
セキュリティを推進する責任者、担当部署、役割、権限、社内ルール等を整理します。
2．取引先管理
委託先や取引先との情報管理、インシデント発生時の役割等を整理します。
★4では、一定の重要な取引先について、そのセキュリティ対策状況を把握することも求められます。
3．リスクの特定
ハードウェア、ソフトウェア、ネットワーク、クラウドサービス等を把握し、管理します。
4．攻撃等への防御
アカウント管理、アクセス制御、認証、ソフトウェア更新、マルウェア対策、ネットワーク防御等を行います。
5．攻撃等の検知
ネットワークやシステム等の状態を監視し、不審な動きや異常を把握できる仕組みを整えます。
6．インシデントへの対応
事故発生時の責任者、対応手順、社内外への連絡・報告等を整理します。
7．インシデントからの復旧
バックアップや復旧方法など、サイバー攻撃等を受けた場合の事業継続に備えます。
つまり、SCS評価制度への対応では、
「技術」「組織」「文書」「実際の運用」
を一体として考える必要があります。
再委託先にもSCS評価制度は関係するのか
サプライチェーンでは、
発注者 → 委託先 → 再委託先
という構造になることも少なくありません。
制度構築方針では、再委託先について、元の発注者が再委託先へ直接SCS評価の取得を求めることを基本とするのではなく、直接取引を行う委託先が再委託先に求める対応を判断する考え方が示されています。
一方、★4では「重要な取引先におけるセキュリティ対策状況の把握」が要求事項に含まれています。
例えば、
- 自社の重要な機密情報を提供・共有している
- 自社の事業継続にとって重要な取引先である
- その取引先から自社の内部システムへアクセスできる
といった取引先については、そのセキュリティ対策状況を把握することが求められる場合があります。
そのため、SCS評価制度は、直接★を取得する企業だけではなく、その企業の重要な再委託先等にも間接的に影響していく可能性があります。
特定のEDRやUTMを導入すれば取得できる制度ではない
SCS評価制度への対応というと、
「EDRを導入しなければならないのではないか」
「UTMを購入すれば★3を取得できるのではないか」
と考えるかもしれません。
しかし、SCS評価制度では、評価基準を満たすために特定のセキュリティ対策製品を一律に導入することが必須とされているわけではありません。
企業の規模、IT基盤、ネットワーク構成、事業内容等によって、適切な対応方法は異なります。
重要なのは、
要求事項・評価基準に対して、自社がどのような方法で対策し、その運用状況をどのように説明できるか
という点です。
セキュリティ製品を導入する場合も、それだけでSCS評価制度への対応が完了するわけではありません。
SECURITY ACTIONとの関係
IPAでは、中小企業向けの情報セキュリティ制度として「SECURITY ACTION」を運営しています。
SECURITY ACTIONは、中小企業自らが情報セキュリティ対策に取り組むことを自己宣言する制度です。
SCS評価制度の制度構築方針では、
★1・★2についてはSECURITY ACTIONを参照する
という整理が示されています。
また、IPAでは、★3・★4の取得を検討する企業に対して、準備段階としてSECURITY ACTIONから取り組むことも案内しています。
ただし、
SECURITY ACTIONの一つ星・二つ星を宣言すれば、そのままSCS評価制度上の★1・★2を正式に取得したことになる
という意味ではありません。
SCS評価制度への準備を始める前段階として、自社の基礎的な情報セキュリティ対策を確認するために活用できる制度と考えるのがよいでしょう。
【関連記事】SECURITY ACTION自己宣言
ISMSとの違い
ISMS適合性評価制度とSCS評価制度では、評価の考え方が異なります。
SCSの★3・★4では、代表的なサイバー脅威等を踏まえ、多くの企業に共通して必要となる対策を要求事項として設定する、いわゆるベースライン型の考え方が採用されています。
これに対してISMSでは、組織が自ら情報セキュリティリスクを評価し、そのリスクに応じた情報セキュリティマネジメントシステムを構築・運用します。
制度構築方針では、SCSとISMS等について、相互補完的な制度として発展していくことが想定されています。
つまり、
「SCSを取得すればISMSは不要になる」
「ISMSを取得していればSCSも自動的に取得できる」
という関係ではありません。
DX認定制度とは直接連動していないが、共通する論点がある
SCS評価制度とDX認定制度は、制度上直接連動しているものではありません。
ただし、DXを進める企業にとって、サイバーセキュリティは切り離して考えにくいテーマです。
クラウドサービス、生成AI、業務システム等の利用を拡大すると、
- 管理するアカウント
- 保存するデータ
- 外部サービス
- システム間の接続
なども増加していきます。
DX認定制度でも、DX戦略だけではなく、サイバーセキュリティに関する取組が確認事項の一つとなっています。
そのため、
DX戦略と、それを支えるサイバーセキュリティ体制を一体として整理する
という視点は重要です。
【関連記事】DX認定制度とは？申請要件・メリットと行政書士による申請支援
【関連記事】DX・AI導入を制度活用から進める方法
制度開始前の今から準備できること
★3・★4は2027年3月頃の運用開始が予定されていますが、企業側の準備は今から始めることができます。
1．自社のIT環境を一覧化する
まず、
- PC
- サーバー
- ネットワーク機器
- OS・ソフトウェア
- クラウドサービス
- SaaS
- 業務システム
- 外部接続先
などを整理します。
自社がどのようなIT資産やサービスを利用しているのか把握できていなければ、適切なリスク管理も難しくなります。
2．自社のIT利用環境と適用範囲の候補を整理する
自社の、
- 本社
- 営業所
- 工場
- テレワーク等の社外利用環境
- クラウド環境
などについて、どのようなIT基盤を利用しているかを整理します。
例えば、
- 公開サーバー
- 社内ネットワーク
- PC等の端末
- 認証基盤
- クラウドサービス
- 外部ネットワークとの接続環境
などです。
なお、在宅勤務者や社外常駐者等を含めた詳細な評価対象範囲については、2026年8月18日時点では今後さらに具体化される予定です。
現段階では、自社のIT利用環境を把握し、制度の詳細が公表された後に適用範囲を検討できる状態にしておくことが重要です。
3．要求事項・評価基準とのギャップを確認する
IPAでは、既に★3・★4の要求事項・評価基準を公表しています。
そのため、
- 既に対応できていること
- 運用しているが文書化していないこと
- 規程は存在するが運用が十分でないこと
- まだ対応していないこと
を整理することができます。
ただし、要求事項・評価基準の解説書や、自ら適合・不適合を判断するための取得ガイドについては、2026年10月頃の公表予定です。
そのため現段階では、
「★3・★4に適合している」と最終判断するというより、制度開始に向けた準備としてギャップを整理する
という位置付けが適切でしょう。
4．規程・台帳・記録を確認する
例えば、
- 情報セキュリティ方針
- IT資産管理台帳
- アカウント管理ルール
- アクセス権限管理
- クラウドサービス管理
- 取引先管理
- インシデント対応手順
- バックアップ・復旧手順
- 従業員教育・訓練記録
などについて確認します。
重要なのは、文書を増やすこと自体ではありません。
「ルール」「実際の運用」「その運用を示す記録」
が一致していることが重要です。
5．技術面について専門家へ確認する
ネットワーク構成、認証、アクセス制御、ログ監視、脆弱性、EDRその他の技術面については、情報処理安全確保支援士、セキュリティ事業者、IT事業者等による専門的な確認が必要となる場合があります。
SCS評価制度への対応を一つの専門職だけで完結させるのではなく、
- 経営者
- 情報システム担当者
- セキュリティ専門家
- IT事業者
- 制度・文書整理を担当する専門家
が役割分担して進めることが重要です。
中小企業向け「サイバーセキュリティお助け隊サービス（新類型）」も検討中
SCS評価制度への対応を中小企業が進めやすくするため、**「サイバーセキュリティお助け隊サービス（新類型）」**の検討・実証も進められています。
SCS評価制度に基づく対策を中小企業が実施しやすくするための支援策として、新類型の創設が検討されています。
ただし、2026年8月18日時点では、この新類型はまだ正式に運用開始された制度ではありません。
既存の「サイバーセキュリティお助け隊サービス」と、SCS評価制度への対応を念頭に検討・実証されている新類型を混同しないよう注意が必要です。
セキュリティ対策に利用できる補助制度も確認する
セキュリティサービス等を導入する場合、国の補助制度を利用できる場合があります。
例えば、2026年度の「デジタル化・AI導入補助金」には、一定のサイバーセキュリティサービスの導入を対象とするセキュリティ対策推進枠があります。
ただし、
「SCS評価制度への対応に必要な費用であれば、自動的に補助対象になる」
という制度ではありません。
補助対象となるサービス、対象経費、申請要件、公募期間等を個別に確認する必要があります。
【関連記事】【2026年最新版】デジタル化・AI導入補助金
SCS評価制度対応で行政書士が支援できること
SCS評価制度への対応では、技術的なセキュリティ対策だけではなく、
- 制度資料の確認
- 要求事項の整理
- 自社の事実関係や体制の整理
- 必要資料の洗い出し
- 規程、台帳、手順書等の整理
- 外部専門家との役割分担
- 今後公表される制度情報の継続確認
といった作業も必要になります。
行政書士が関与する場合には、他の法令により制限される業務を除き、行政制度の調査、事実関係や必要資料の整理、制度対応に必要となる文書の作成等の面から支援することが考えられます。
一方、
★3で制度上求められるセキュリティ専門家による確認・助言・署名
や、
★4における第三者評価・技術検証
は、SCS評価制度上の要件を満たす専門家・評価機関等が行うものです。
行政書士資格のみをもって、これらを代替することはできません。
また、2026年8月18日時点では、★3・★4の具体的な申請方法や提出様式等もまだ公表されていません。
そのため現段階では、
- SCS評価制度対応準備支援
- 要求事項と現状のギャップ整理
- 制度対応文書の整理
- 必要資料の洗い出し
- セキュリティ専門家やIT事業者との連携支援
- 制度の最新情報の調査
といった形での支援を想定しております。
アイアンバード行政書士事務所のSCS評価制度対応支援
アイアンバード行政書士事務所では、法令・行政制度の調査と、DX・情報セキュリティ関連制度への対応を組み合わせた企業支援を行っています。
SCS評価制度についても、単に、
「★を取得すること」
だけを目的とするのではなく、
自社の現在の体制を整理し、必要となる対策を把握し、取引先に説明できる状態へ近づけること
を重視します。
例えば、
- SCS評価制度が自社の取引にどの程度関係し得るか
- ★3・★4のどちらを検討するか
- 現在の体制と要求事項・評価基準とのギャップ
- 既存の規程・台帳・運用資料の整理
- 不足する制度対応文書の洗い出し
- SECURITY ACTION、DX認定、JC-STAR等の周辺制度との関係整理
- IT・セキュリティ専門家との役割分担
- 今後公表される制度規程・ガイド等の継続的な情報収集
などについて、事業者ごとの状況に応じて対応を検討します。
SCS評価制度は、2026年8月現在も詳細化が続いています。
そのため現段階では、
「自社の現状を把握する」
「要求事項とのギャップを整理する」
「必要な社内体制・文書・技術対策を洗い出す」
「今後の制度公表に合わせて準備内容を更新する」
という進め方が現実的です。
DXやAI導入を含めて制度活用全体から検討したい場合は、次の記事もご参照ください。
【関連記事】DX・AI導入を制度活用から進める方法
また、SCS評価制度に限らず、法令改正や行政制度の動向を継続的に確認する必要がある企業については、制度調査・情報収集に関する伴走支援にも対応しています。
【関連サービス】制度調査・情報収集顧問｜法令改正・行政制度・政策動向を事業に活かす
まとめ
SCS評価制度は、単なるセキュリティ製品の認証制度ではありません。
サプライチェーン上のリスクを踏まえ、企業等のIT基盤を中心として、
- ガバナンス
- 取引先管理
- リスクの特定
- 防御
- 検知
- インシデント対応
- 復旧
などのセキュリティ対策を確認・可視化する制度です。
★3・★4については、2027年3月頃の運用開始が予定されています。
制度そのものは任意ですが、今後、企業間取引において、取引先のセキュリティ対策状況を確認するための共通の仕組みとして利用されていくことが想定されています。
一方、
- 具体的な申請方法
- 提出様式
- 要求事項・評価基準の詳細な解説
- 評価機関
- セキュリティ専門家
- 申請・登録費用
など、2026年8月18日時点では今後公表予定の事項も残っています。
そのため、制度開始前の今は、
「取得できるかどうかを断定する」段階ではなく、「取得を検討できる状態へ自社の体制を整理していく」段階
と捉えるのがよいでしょう。
特に、
- 取引先からセキュリティチェックを求められている
- 重要な機密情報を取り扱っている
- 取引先のシステムへアクセスする業務がある
- IT・システム関連業務を受託している
- サプライチェーン上で重要な役割を担っている
- 自社の情報セキュリティ体制を一度整理したい
という企業は、制度開始を待たず、現在の体制を確認するところから始めることが考えられます。
アイアンバード行政書士事務所では、行政制度、DX、情報セキュリティ関連制度を横断的に確認し、必要に応じてIT・セキュリティ分野の専門家とも連携しながら、企業の制度対応を支援します。
主な参考資料
- 経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日）
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
- IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
- IPA「SCS評価制度の詳細情報」
- IPA「★3・★4 要求事項・評価基準」
- IPA「SCS評価制度 よくある質問」
※本記事の内容は2026年8月18日時点の公表情報に基づいています。SCS評価制度は現在も制度詳細の具体化が進められているため、制度利用に当たっては経済産業省及びIPAの最新情報をご確認ください。
