SCS評価制度とは？★3取得に向けて今からできる5ステップを解説

なぜ今SCS評価制度への対応が必要なのか？

サプライチェーンに影響を及ぼすサイバー攻撃が増加している

近年のサイバー攻撃は、大企業を直接狙った攻撃だけでなく、セキュリティ対策が不十分な委託先・取引先を経由して本命企業へ侵入するという手法を利用することがあります。攻撃者にとっては、防御が堅固な企業へ直接侵入するよりも、サプライチェーン上の弱点を突く方が効率的なためです。

経済産業省からも、「大企業から中小企業までを含むサプライチェーン上の弱点を狙ったサイバー攻撃が顕在化・高度化している」と注意を呼びかけています。「IPA情報セキュリティ10大脅威 2026」のランキングでは、2025年に引き続いて「サプライチェーンや委託先を狙った攻撃」は2位となっています。取引先や発注元企業へ被害が波及する、いわゆる「サイバードミノ」を防ぐためにも、自社だけでなくサプライチェーン全体でセキュリティ水準を高めることが重要です。

取引先のセキュリティ対策状況を把握しにくい

サプライチェーン全体のセキュリティを高めるためには、取引先や委託先にも一定のセキュリティ水準を満たしていることが重要です。一方で、自己申告によるチェックリストの提出や断片的な対応にとどまるケースも多く、実際にどの程度セキュリティ対策が実施されているのかを客観的に把握することは難しい状況があります。

SCS評価制度の基本的な考え方

こうした課題を解決するために、検討が進められているのがSCS評価制度です。技術的対策と組織的対策の両面から対策を進めていくものとなります。

1. 技術で守る（技術的対策）

ネットワークや端末、クラウド、IDなど、さまざまな領域を組み合わせて包括的に保護します。攻撃の予防から検知、対応までを見据えた対策を継続的に実施することが重要です。

• 外部からの侵入を防ぐ
• PCやサーバーを守る
• アクセスや操作を適切に管理・監視する
• 取引先との接続環境やアクセス経路の安全性を確認する

2. 人・組織で守る（組織的対策）

セキュリティポリシーや運用ルールの整備、社員への教育・訓練、インシデント発生時の対応体制の構築など、継続的に運用・改善できる体制を整えることが重要です。

• 社員への教育・訓練を実施する
• セキュリティルールを整備・徹底する
• 問題が起きたときの対応体制を決めておく
• 委託先・取引先を含めたセキュリティ管理体制を整備する

SCS評価制度の対象範囲

SCS評価制度では、クラウドサービスを含む企業のIT基盤と外部ネットワークとの接続部分が評価対象となります。一方で、工場制御（OT）システムや顧客に納品する製品そのものは、本制度の評価対象外となります。

評価対象

• 社内IT基盤（サーバー、ネットワーク、ストレージ、データベース、OS、セキュリティシステムといったハードウェア、ソフトウェア・通信技術の総称）
• ネットワーク
• クラウドサービス
• メール
• Webシステム　など

評価対象外

• OTシステム
• 顧客に納品する製品そのもの

制度開始までのスケジュール

SCS評価制度は現在制度設計が進められており、2027年3月ころに運用開始を予定しています。また今後基準を達成した企業名の公表も予定しています。

制度開始後は、早々に取引先から評価取得を求められることも想定されます。★３は「最低限実装すべきセキュリティ対策」と位置付けられていますが、決して簡単に取得できるという意味ではありません。自社の対策状況によっては、取得準備に長期間を要する可能性があるため、早い段階から自社のセキュリティ対策状況を把握し、計画的に準備を進めることが重要です。

• 2025年12月26日：制度構築方針（案）を公表
• 2026年3月27日：制度構築方針を公表
• 2027年3月ころ：★3・★4の制度運用を開始（予定）
• 2027年3月以降：★取得企業の公表（予定）

制度開始までに企業が取り組むべき5ステップ

SCS評価制度への対応は、自社のセキュリティ対策レベルと求められる基準との差を把握し、優先度に応じて段階的に進めることが重要です。また、制度に関する情報は順次公開されていきます。今後の情報も確認しながら、まずは今できることから準備を進めていきましょう。
ここでは、SCS評価制度の開始までに、企業が取り組むべき5つのステップを紹介します。

ステップ1：目標とするセキュリティレベルを設定する

取引先から求められるセキュリティ水準に加え、自社の事業継続リスクや情報管理リスクなども踏まえ、目標とするレベルを設定することが重要です。

主な検討事項

• 発注元や委託先と求める（求められる）セキュリティ水準を確認
• 取引先からの要求レベルだけでなく、自社の事業継続リスクや情報管理リスクを整理
• ★3・★4の目標とする評価レベルを検討
• セキュリティ対策の目的や方針、目標を明確化

ステップ2：現状を把握し、評価基準との差を明確にする

設定した目標に向け、自社のセキュリティ対策状況を可視化します。SCS評価制度では技術的対策だけでなく、規程類やインシデント対応体制といった組織的対策も評価されるため、IT資産から運用ルールまで幅広く棚卸しを行い、到達レベルまでのギャップを抽出します。

主な検討事項

• IT資産の棚卸し
• 評価基準に沿ったリスクアセスメントの実施
• 現在導入しているセキュリティ対策の確認
• 社内規程・ポリシー・運用体制の確認

単にツールやルールが整備されているだけでなく、ルールが形骸化せず「実際に運用・徹底されているか」まで踏み込んで現状を正しく認識することが重要です。

ステップ3：優先順位を付け、対応計画を策定する

現状分析で明確化したギャップに対し、リスクや重要度に応じて優先順位を整理します。その上で、「何を」「誰が」「いつまでに」「どの予算で」進めるのかを落とし込み、★取得に向けた実行ロードマップを完成させます。

主な検討事項

• 不足している対策の整理と優先順位付け
• 実施事項とスケジュールの策定
• 必要な予算の取得
• 担当部門・責任者など推進体制の明確化
• 必要なセキュリティツールやサービスの検討
• 必要に応じた取引先との要求水準の調整

計画段階から、技術的対策だけでなく規程の改定や従業員教育、体制構築などの組織的対策も含めて検討することがポイントです。

ステップ4：必要な対策を実装し、運用する

策定した計画に沿って、不足しているセキュリティ対策を実施します。SCS評価制度への対応には、セキュリティツールの導入などの「技術的対策」と、社内規程や運用体制を整える「組織的対策」の両方が含まれます。

技術的対策の例

• PC端末・サーバー・クラウド環境のセキュリティツール導入、設定変更
• アクセス制御・ID管理の実施
• ネットワークの防御・監視
• バックアップの定期取得・復旧に必要な対策
• インシデントの検知・対応に必要なツールの整備

組織的対策の例

• 社内規程・セキュリティルールの整備
• 責任者や対応体制の明確化
• 従業員への教育・訓練の実施
• インシデント対応手順の整備、初動対応マニュアルの作成
• 委託先・取引先を含めた管理体制の整備

ツールの導入、ルールの整備を行って終わりにせず、適切な運用やルールの順守を日常の業務フローとして定着させ、定期的に点検することが不可欠です。

ステップ5：評価に備え、証跡を整理する

必要な対策を実施したら、目標とする評価レベルの基準を満たしているかをあらためて確認し、★取得に向けた準備を進めます。
★1、★2は自己宣言ですが、★3では専門家確認付きの自己評価、★4では第三者評価が求められるため、対策を実施するだけでなく、各評価基準に対して達成の根拠となる規定やITツールでの対応内容を記録し、証跡として説明できるようにしておくことが重要です。

主な検討事項

• 評価基準への対応状況を再確認、不足項目を是正
• 審査・確認に必要な証跡資料の整理

★3の有効期間は1年、★4は3年となり、さらに★4は登録後も、1年ごとの自己評価が求められます。SCS評価制度はサプライチェーン全体のセキュリティレベル向上が目的の制度のため、取得後もセキュリティ対策を継続的に運用・改善し、必要な水準を維持していくことが重要です。

まずは、自社が★3にどの程度対応できているか確認しましょう

SCS評価制度への対応を進めるには、まず自社の現在のセキュリティ対策状況を把握し、★3で求められる対策との差を確認することが重要です。「何から手を付ければよいかわからない」「自社はどこまで対応できているのか知りたい」という方は、まず「SCS評価制度 ★3取得かんたん診断」で、現在の対応状況を確認してみましょう。

【約10分・無料でセキュリティレベルをチェック】
▶【ソフトバンクのセキュリティ専門家が監修】SCS評価制度の診断ツールはこちら

資料ダウンロード

本記事の内容をまとめたホワイトペーパーをご用意しています。ぜひご利用ください。

関連コンテンツ

よくある質問