「SCS評価制度という言葉を聞いたものの、どのような制度なのか分からない」「★3・★4にはどのような違いがあり、自社も対応が必要なのか」と気になっていないでしょうか。SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を共通基準で評価・可視化する制度です。★3・★4については、2027年3月頃の運用開始が予定されています。
制度自体は任意ですが、企業間の取引契約などで一定の評価取得を求められるケースは想定されています。この記事では、SCS評価制度の仕組みや★3・★4・★5の違い、要求事項、ISMSとの関係、企業が準備しておきたい内容を解説します。制度開始に向けて自社の対応を検討している担当者は、ぜひ参考にしてください。

おすすめサービスはこちら

SCS評価制度とは

SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価し、可視化するための制度です。SCSは「Supply Chain Security」の略で、経済産業省と内閣官房国家サイバー統括室が制度構築方針を示し、IPAが制度を運営します。制度が作られた背景や対象範囲、開始時期から見ていきましょう。

制度創設の背景と目的

近年は、取引先や委託先へのサイバー攻撃をきっかけとして、別の企業の事業停止や情報漏えいにつながるリスクが問題になっています。発注側にとっては、取引先が十分な対策を行っているか判断しにくいことも課題です。
一方、受注側では、複数の取引先からそれぞれ異なるセキュリティチェックへの対応を求められ、確認作業が負担になるケースがあります。SCS評価制度では、企業間で利用できる共通基準を設けることで、必要な対策を示しながらサプライチェーン全体のセキュリティ水準を高めることを目指しています。
なお、SCS評価制度は企業を順位付けする格付け制度ではありません。取引上の立ち位置などに応じて、必要なセキュリティ対策の実施状況を示すための仕組みです。

対象企業と評価対象の範囲

SCS評価制度は中小企業だけを対象とした制度ではなく、サプライチェーンを構成する幅広い企業が対象になり得ます。特に、取引先から情報やシステムを預かる企業、事業停止が取引先へ影響を及ぼす企業などは、自社に求められる水準を確認しておきたいところです。
評価対象は、PCやサーバー、ネットワーク機器、クラウドサービスなど、事業で利用するIT基盤を中心としています。評価取得の申請主体は原則として法人単位ですが、設定した適用範囲についてセキュリティ専門家（★3）または評価機関（★4）による妥当性の確認を経れば、事業部単位やグループ単位で申請することもできます。一方、一般的にIT基盤に当たらない工場などの制御（OT）システムや、取引先に提供する製品等は直接の評価対象とはされていません。

2027年3月頃の運用開始予定

IPAは、★3・★4について2027年3月頃の運用開始を予定しています。2026年3月27日に制度構築方針と★3・★4の要求事項・評価基準が公表された後、2026年8月以降には基本規程をはじめとする制度規程類も順次公開されています。
一方、制度開始までに公表される予定の資料や手続きも残っています。申請を検討する企業は、過去の記事や民間事業者の説明だけで判断せず、IPAや経済産業省が公開する最新情報も確認しながら準備を進めることが重要です。

ISMSとの違いと補完関係

SCS評価制度の★3・★4では、代表的なサイバー脅威を踏まえて、企業が共通して取り組むべき対策をあらかじめ定めています。一方、ISMSでは、自社の情報資産や事業上のリスクを分析し、その結果に応じた管理策を選んで運用します。
そのため、ISMS認証を取得していればSCS評価も自動的に取得できるわけではありません。ただし、経済産業省はSCS評価制度とISMSを相互補完的なものとして位置付けています。ISMSで整備している体制や規程を活用できる部分もあるため、SCSの要求事項と現在の運用を照らし合わせることが大切です。

SCS評価制度の★3・★4・★5の違い

SCS評価制度では、求めるセキュリティ対策の水準を★3・★4・★5で示します。数字が大きくなるほど想定する脅威や対策の範囲も広がりますが、すべての企業が★3から順番に取得する仕組みではありません。まずは各段階がどのような位置付けなのかを押さえておきましょう。

SECURITY ACTIONとの関係

「SECURITY ACTION」は、中小企業が情報セキュリティ対策へ取り組むことを自己宣言する制度です。一つ星・二つ星が設けられており、IPAはSCS評価制度の★3・★4を目指す際の準備段階として活用する考え方を示しています。
ただし、SECURITY ACTIONの宣言だけでSCS評価制度の★3・★4を取得できるわけではありません。SCS評価制度では、別途定められた要求事項・評価基準に沿って申請や評価を受ける必要があります。

★3の位置付けと対象水準

★3は、広く知られた脆弱性などを悪用する一般的なサイバー攻撃に対し、基礎的な対策を実施する水準です。すべてのサプライチェーン企業が最低限実装すべき対策として、組織的な体制整備と基本的なシステム防御を中心に要求事項が設定されています。
また、★4を取得する前に★3を取得しておく必要はありません。取引上求められる水準や自社のリスクに応じて、最初から★4の取得を目指すこともできます。

★4の位置付けと対象水準

★4は、サプライチェーン企業が標準的に目指す水準として位置付けられています。システムへの侵入を防ぐ対策だけでなく、ガバナンスや取引先管理、攻撃の検知、インシデント発生後の対応・復旧まで、より幅広い対策が対象です。
★3よりも求められる範囲が広く、評価方法にも違いがあります。具体的な取得方法については、後述する「SCS評価制度の要求事項と評価方法」で解説します。

★5の位置付けと対象水準

★5は、未知の攻撃を含む高度なサイバー攻撃への対応を想定した段階として検討されています。★3・★4よりも高度な対策を扱う位置付けですが、2026年10月時点では要求事項・評価基準や評価方法の詳細は確定していません。
そのため、現段階で★5を前提に具体的な取得準備を進めるのではなく、今後公表されるIPAなどの情報を確認する必要があります。

SCS評価制度の要求事項と評価方法

SCS評価制度の★3・★4には、それぞれ要求事項と評価基準が設けられています。対象はシステム上の防御だけではなく、組織体制や取引先管理、インシデント対応などにも及びます。また、★3と★4では評価の進め方も異なるため、両者を分けて理解しておきましょう。

要求事項を構成する7つの分類

SCS評価制度の要求事項は、NIST Cybersecurity Frameworkの考え方をもとにした6つの領域に、「取引先管理」を加えた7つの大分類で構成されています。

SCS評価制度では、技術的な対策だけを整えればよいわけではありません。経営や取引先管理を含め、組織としてセキュリティに取り組める状態を作ることが求められます。

★3の専門家確認付き自己評価

★3は、取得を希望する企業自身が要求事項・評価基準に沿って対策状況を評価し、SCS評価制度へ登録されたセキュリティ専門家による確認・助言と署名を受けたうえで、経営層による自己適合宣言を含む評価結果を事務局へ提出する仕組みです。自己評価だけで完結する制度ではありません。
専門家による確認では、自己評価の内容や関連する資料などをもとに、要求事項への対応状況が確認されます。制度開始に向けて、専門家の登録や申請に関する情報も順次公開される予定です。

★4の第三者評価と技術検証

★4では、取得を希望する企業自身による自己評価に加え、評価機関による第三者評価（文書確認・実地審査）と技術検証が行われます。★3よりも客観的な確認の範囲が広く、自社の判断だけで評価結果を決めることはできません。
第三者評価では、要求事項への対応状況を評価機関が確認します。さらに技術検証も含まれるため、規程やルールを用意するだけではなく、システムや運用へ対策を反映しておくことが重要です。

評価時に必要な証跡

★3では、自己評価の内容や関連資料をもとにセキュリティ専門家が対応状況を確認します。★4では文書確認に加え、ヒアリングや文書・記録、機器の操作画面の確認などによる実地審査と技術検証が行われるため、規程や手順に加え、対策を実際に運用していることを確認できる状態にしておく必要があります。
運用記録やシステム設定など、確認に使う資料は要求事項によって異なります。申請時になって過去の対応を探すのではなく、日常の運用と記録を対応付けておくことが大切です。

SCS評価制度による企業への影響と注意点

SCS評価制度は任意制度ですが、企業間取引においてセキュリティ対策の水準を示す共通の材料として使われることが想定されています。一方で、制度開始前からSCS評価制度を利用した不適切な勧誘も確認されています。制度上の位置付けと、実際の取引に与える影響を分けて考えることが大切です。

発注側・受注側への影響

発注側では、取引先に求める段階を示し、その企業が必要なセキュリティ対策を実施しているか確認する使い方が想定されています。個別の質問票だけに頼らず、共通基準を利用して取引先の状況を見るための材料になります。
受注側にとっては、取得した評価を自社の対策状況を説明する共通の材料として利用できます。どの評価段階を取引条件にするかは制度が一律に決めるものではなく、取引する企業同士の契約などによって定められます。

任意制度と取引条件の関係

SCS評価制度は任意であり、国がすべての企業に評価取得を義務付ける制度ではありません。そのため、SCS評価制度が始まったからといって、すべての企業が★3や★4を取得しなければならないわけではありません。
ただし、2社間の取引契約などで、発注側が受注側へ一定の段階の取得や維持を求めることは想定されています。その場合も、★の取得を契約上どのような要件として扱うかは当事者同士で合意すべきものとされており、経済産業省は独占禁止法や取適法（中小受託取引適正化法）に照らして適切に制度を活用するよう求めています。自社の主要な取引先や業界でどのような対応が求められるかを確認したうえで、取得の必要性や時期を判断しましょう。

SCS評価制度を利用した不適切な勧誘への注意

経済産業省と内閣官房国家サイバー統括室は、SCS評価制度に関する不適切な勧誘について注意喚起しています。「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」など、不安をあおる説明を受けた場合は、その内容をそのまま受け入れないことが大切です。
また、SCS評価制度では特定のセキュリティ製品を導入することが一律に求められているわけではありません。営業提案を受けた際は、IPAや経済産業省が公表している情報と照らし合わせて判断しましょう。

SCS評価制度に向けた企業の準備

SCS評価制度への対応では、製品の導入から始めるのではなく、自社に必要な評価水準を定め、要求事項と現在の対策との差を把握することが出発点です。そのうえで、不足する対策と社内体制を順番に整えていきます。

1. ➀★3・★4の評価レベルを選ぶ
2. ➁要求事項と現状との差を確認する
3. ➂不足する対策に優先順位を付ける
4. ➃責任体制と運用ルールを整える
5. ➄必要に応じて外部支援を活用する

制度開始直前に対応が集中するのを避けるためにも、現在の対策状況から着手できる準備を進めましょう。

★3・★4の評価レベル選定

まず、自社が★3と★4のどちらを目指すのかを考えます。判断材料になるのは、主要取引先から求められる水準のほか、自社の事業が停止した場合の影響、取り扱う情報の重要度、サプライチェーン内での役割などです。
単純に数字が大きい方を選ぶのではなく、自社に必要な水準から判断することが重要です。主要取引先から今後どのような対応を求められる可能性があるかも、早めに確認しておきましょう。

要求事項と現状のギャップ分析

目指す評価レベルを決めたら、公開されている要求事項・評価基準と現在の対策を照らし合わせます。IPAは、要求事項・評価基準の解説書と、適合・不適合を自社で判断するための取得ガイドを2026年10月頃に公表する予定としているため、公開後はこれらも参照しましょう。「対応済み」「一部対応」「未対応」などに分ければ、今後取り組むべき項目が見えてきます。
確認する際は、社内規程が存在するかだけで判断しないことも大切です。実際の業務で運用されているか、必要な記録を残しているかまで見ていきます。★3・★4を取得するには、それぞれで定められた要求事項・評価基準をすべて満たす必要があります。

不足するセキュリティ対策の優先順位

未対応の項目が複数ある場合は、すべてを同時に進めるのではなく、対応に時間がかかるものや複数部署との調整が必要なものから着手します。責任体制の整備、IT資産の把握、アクセス管理、インシデント対応などは、社内ルールを決めるだけではなく運用へ定着させる時間も必要です。
公開されている要求事項・評価基準を起点に、未対応項目の重要度や対応期間を見ながら順番を決めましょう。取引先から対応時期を示されている場合は、その期限も計画へ反映します。

社内の責任体制と運用ルール整備

SCS評価制度への対応には、システム上の対策だけでなく、ガバナンスや取引先管理、インシデント発生時の対応なども含まれます。情報システム部門だけに任せず、経営層や総務、法務、調達など、要求事項に関係する部署の役割を明確にすることが重要です。
また、評価取得だけを目的として一時的なルールを作るのではなく、日常業務で続けられる運用に落とし込みましょう。担当者、実施時期、記録方法まで決めることで、取得後も継続しやすい体制につながります。

外部コンサルティングの活用

要求事項の読み解きや自社の現状確認を社内だけで進めることが難しい場合は、情報セキュリティの専門家へ相談する方法があります。外部支援を選ぶ際は、製品の導入だけではなく、リスクの分析や規程、社内体制、運用方法まで相談できるかを見ることが大切です。
情報セキュリティコンサルティング コーチマモル（Coach MAMORU）では、リスクアセスメントや規程・ポリシーの設計、情報セキュリティ体制の見直しを支援しています。
また、SCS評価制度の概要や★3・★4の違い、企業に求められる対応については、セミナーや個別相談でも情報提供を行っています。制度への対応を検討している方は、以下のページもご覧ください。

SCS評価制度のセミナー・個別相談はこちら

SCS評価制度に関するよくある質問

SCS評価制度は2027年3月頃の運用開始が予定されており、申請手続きや費用など、制度開始に向けて追加される情報もあります。検討段階で疑問になりやすい申請費用、評価を担う専門家・機関、★5の今後について、2026年10月時点の公開情報をもとに回答します。

SCS評価制度の登録料はいくらですか？

IPAは2026年9月18日に料金設定を公表しており、★3・★4の登録を希望する組織の登録料（税込）は、2028年3月31日までの申請分が★3で10,000円（1年分）、★4で60,000円（3年分）、2028年4月1日以降の申請分が★3で20,000円（1年分）、★4で60,000円（3年分）です。なお、★4の第三者評価・技術検証を評価機関に依頼する費用や、★3の確認をSCSセキュリティ専門家に依頼する費用は、この料金設定には記載されていません。
なお、現状分析や外部コンサルティング、必要な対策の実施などを別途依頼する場合は、それぞれのサービス費用が発生します。IPAに支払う登録料と、評価や準備に必要な費用は分けて考えましょう。

セキュリティ専門家や評価機関はどこで確認できますか？

IPAによると、★4の評価を担う評価機関は2026年12月末頃、★3の確認などを担うSCSセキュリティ専門家は2027年1月以降に、公式サイトの「セキュリティ専門家・評価機関」ページで公開される予定です。
★3ではSCS評価制度の事務局に登録された専門家による確認が必要になります。依頼先を探す際は、制度開始前の民間事業者による表現だけで判断せず、IPAが公開する登録情報を確認しましょう。

★5の開始時期は決まっていますか？

2026年10月時点では、★5の開始時期は決まっていません。要求事項・評価基準や評価の仕組みについても検討が続いています。
★5は高度なサイバー攻撃への対応を想定した段階ですが、具体的な内容が確定していないため、開始時期を前提とした準備はできません。現時点では、すでに要求事項・評価基準が公開されている★3・★4について、自社との関係を確認しておくことが現実的です。

まとめ：SCS評価制度に向けて早めに準備を進めよう

SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を共通基準で評価・可視化する制度です。★3・★4は2027年3月頃の運用開始が予定されており、制度自体は任意ですが、企業間の取引条件として一定の評価を求められることは想定されています。
対応を検討する際は、まず自社に必要な評価水準を考え、公開されている要求事項・評価基準と現在の対策との差を確認しましょう。そのうえで、不足する対策に優先順位を付け、社内の責任体制や日常の運用へ反映することが重要です。
コーチマモルでは、情報セキュリティ体制の見直しに加え、SCS評価制度に関するセミナーや個別相談も実施しています。制度の考え方や準備の進め方について詳しく知りたい場合は、私たちにご相談ください。

SCS評価制度のセミナー・個別相談はこちら