SCS評価制度とは？★3取得に向けて今からできる5ステップを解説
2026年9月18日掲載
近年、企業単体にとどまらず、サプライチェーン全体に影響を及ぼすサイバー攻撃が増えています。IPA（独立行政法人 情報処理推進機構）が実施した2024年度調査では、サイバー攻撃を受けた中小企業の約7割で、取引先にも影響が及んでいることが明らかになりました（※1）。
本記事では、SCS評価制度の概要や創設の背景、制度導入前後の対応の違い、さらには制度開始までに企業が取り組むべき5ステップについて、詳しく解説します。
【約10分・無料でセキュリティレベルをチェック】
▶【ソフトバンクのセキュリティ専門家が監修】SCS評価制度の診断ツールはこちら
SCS評価制度とは
SCS（Supply Chain Security）評価制度とは、経済産業省と内閣官房国家サイバー統括室が制度構築を進め、IPAが運営する、企業のセキュリティ対策状況を共通の基準で評価・可視化する制度です。企業は対策レベルに応じて★（星）を取得でき、発注企業・受注企業の双方が評価結果を活用することで、サプライチェーン全体のセキュリティ水準向上を目的としています。本制度は、2027年3月ころの運用開始が予定されています。
なお、SCS評価制度は企業に一律に★取得を義務付ける規制ではありません。どの評価レベルを求めるかは、発注企業と受注企業の取引関係などに応じて決められます。
制度導入前と導入後の対応の違い
SCS評価制度を用いて企業のセキュリティ対策を共通の評価基準で可視化すると、発注企業・受注企業双方がセキュリティ対策状況を把握しやすくなり、サプライチェーン全体のリスク低減につながることが期待されています。制度導入前と導入後の違いを5つの観点でまとめると、以下のようになります。
制度導入前
制度導入後
評価基準
セキュリティ対策状況の可視化
発注企業の対応
受注企業の対応
セキュリティ対策の改善
取引先ごとの要求に合わせた対策が発生する
目標とする評価レベルとの差を把握し、対策を検討しやすくなる
長期的なセキュリティ対策ロードマップが立てやすい
発注企業と受注企業が共通のものさしを持つことで、取引に必要なセキュリティ水準を決めやすくし、サプライチェーン全体で適切な対策を進めやすくすることが制度の大きなポイントです。
なぜ今SCS評価制度への対応が必要なのか？
サプライチェーンに影響を及ぼすサイバー攻撃が増加している
近年のサイバー攻撃は、大企業を直接狙った攻撃だけでなく、セキュリティ対策が不十分な委託先・取引先を経由して本命企業へ侵入するという手法を利用することがあります。攻撃者にとっては、防御が堅固な企業へ直接侵入するよりも、サプライチェーン上の弱点を突く方が効率的なためです。
経済産業省からも、「大企業から中小企業までを含むサプライチェーン上の弱点を狙ったサイバー攻撃が顕在化・高度化している」と注意を呼びかけています。
「IPA情報セキュリティ10大脅威 2026」のランキングでは、2025年に引き続いて「サプライチェーンや委託先を狙った攻撃」は2位となっています。取引先や発注元企業へ被害が波及する、いわゆる「サイバードミノ」を防ぐためにも、自社だけでなくサプライチェーン全体でセキュリティ水準を高めることが重要です。
取引先のセキュリティ対策状況を把握しにくい
サプライチェーン全体のセキュリティを高めるためには、取引先や委託先にも一定のセキュリティ水準を満たしていることが重要です。一方で、自己申告によるチェックリストの提出や断片的な対応にとどまるケースも多く、実際にどの程度セキュリティ対策が実施されているのかを客観的に把握することは難しい状況があります。
SCS評価制度の基本的な考え方
こうした課題を解決するために、検討が進められているのがSCS評価制度です。技術的対策と組織的対策の両面から対策を進めていくものとなります。
1. 技術で守る（技術的対策）
ネットワークや端末、クラウド、IDなど、さまざまな領域を組み合わせて包括的に保護します。攻撃の予防から検知、対応までを見据えた対策を継続的に実施することが重要です。
- 外部からの侵入を防ぐ
- PCやサーバーを守る
- アクセスや操作を適切に管理・監視する
- 取引先との接続環境やアクセス経路の安全性を確認する
2. 人・組織で守る（組織的対策）
セキュリティポリシーや運用ルールの整備、社員への教育・訓練、インシデント発生時の対応体制の構築など、継続的に運用・改善できる体制を整えることが重要です。
- 社員への教育・訓練を実施する
- セキュリティルールを整備・徹底する
- 問題が起きたときの対応体制を決めておく
- 委託先・取引先を含めたセキュリティ管理体制を整備する
SCS評価制度の評価レベル
★1・★2は、IPAが中小企業向けに運用する「SECURITY ACTION」における自己宣言制度です。SCS評価制度はその次のステップに位置付けられ、★3から★5までの評価が設定されています。★3は「最低限実装すべきセキュリティ対策」、★4は「標準的に目指すべきセキュリティ対策」とされ、評価基準は★3の81項目から153項目と大幅に増加し、第三者による文書確認・実地審査・技術検証が行われます。★5は「さらに目指すべき高度な対策」として、2026年度以降に具体化される予定です。
評価
内容
評価方法
評価基準
難易度
※実地審査および技術検証
第三者評価
※2026年度以降に具体化予定
セキュリティ専門家の要件については、IPA（独立行政法人情報処理機構）のサイトをご確認ください。
SCS評価制度の対象範囲
SCS評価制度では、クラウドサービスを含む企業のIT基盤と外部ネットワークとの接続部分が評価対象となります。一方で、工場制御（OT）システムや顧客に納品する製品そのものは、本制度の評価対象外となります。
評価対象
- 社内IT基盤（サーバー、ネットワーク、ストレージ、データベース、OS、セキュリティシステムといったハードウェア、ソフトウェア・通信技術の総称）
- ネットワーク
- クラウドサービス
- メール
- Webシステム など
評価対象外
- OTシステム
- 顧客に納品する製品そのもの
制度開始までのスケジュール
SCS評価制度は現在制度設計が進められており、2027年3月ころに運用開始を予定しています。また今後基準を達成した企業名の公表も予定しています。
制度開始後は、早々に取引先から評価取得を求められることも想定されます。★３は「最低限実装すべきセキュリティ対策」と位置付けられていますが、決して簡単に取得できるという意味ではありません。自社の対策状況によっては、取得準備に長期間を要する可能性があるため、早い段階から自社のセキュリティ対策状況を把握し、計画的に準備を進めることが重要です。
- 2025年12月26日：制度構築方針（案）を公表
- 2026年3月27日：制度構築方針を公表
- 2027年3月ころ：★3・★4の制度運用を開始（予定）
- 2027年3月以降：★取得企業の公表（予定）
制度開始までに企業が取り組むべき5ステップ
SCS評価制度への対応は、自社のセキュリティ対策レベルと求められる基準との差を把握し、優先度に応じて段階的に進めることが重要です。また、制度に関する情報は順次公開されていきます。今後の情報も確認しながら、まずは今できることから準備を進めていきましょう。
ここでは、SCS評価制度の開始までに、企業が取り組むべき5つのステップを紹介します。
ステップ1：目標とするセキュリティレベルを設定する
取引先から求められるセキュリティ水準に加え、自社の事業継続リスクや情報管理リスクなども踏まえ、目標とするレベルを設定することが重要です。
主な検討事項
- 発注元や委託先と求める（求められる）セキュリティ水準を確認
- 取引先からの要求レベルだけでなく、自社の事業継続リスクや情報管理リスクを整理
- ★3・★4の目標とする評価レベルを検討
- セキュリティ対策の目的や方針、目標を明確化
ステップ2：現状を把握し、評価基準との差を明確にする
設定した目標に向け、自社のセキュリティ対策状況を可視化します。SCS評価制度では技術的対策だけでなく、規程類やインシデント対応体制といった組織的対策も評価されるため、IT資産から運用ルールまで幅広く棚卸しを行い、到達レベルまでのギャップを抽出します。
主な実施事項
- IT資産の棚卸し
- 評価基準に沿ったリスクアセスメントの実施
- 現在導入しているセキュリティ対策の確認
- 社内規程・ポリシー・運用体制の確認
単にツールやルールが整備されているだけでなく、ルールが形骸化せず「実際に運用・徹底されているか」まで踏み込んで現状を正しく認識することが重要です。
ステップ3：優先順位を付け、対応計画を策定する
現状分析で明確化したギャップに対し、リスクや重要度に応じて優先順位を整理します。その上で、「何を」「誰が」「いつまでに」「どの予算で」進めるのかを落とし込み、★取得に向けた実行ロードマップを完成させます。
主な実施事項
- 不足している対策の整理と優先順位付け
- 実施事項とスケジュールの策定
- 必要な予算の取得
- 担当部門・責任者など推進体制の明確化
- 必要なセキュリティツールやサービスの検討
- 必要に応じた取引先との要求水準の調整
計画段階から、技術的対策だけでなく規程の改定や従業員教育、体制構築などの組織的対策も含めて検討することがポイントです。
ステップ4：必要な対策を実装し、運用する
策定した計画に沿って、不足しているセキュリティ対策を実施します。
SCS評価制度への対応には、セキュリティツールの導入などの「技術的対策」と、社内規程や運用体制を整える「組織的対策」の両方が含まれます。
技術的対策の例
- PC端末・サーバー・クラウド環境のセキュリティツール導入、設定変更
- アクセス制御・ID管理の実施
- ネットワークの防御・監視
- バックアップの定期取得・復旧に必要な対策
- インシデントの検知・対応に必要なツールの整備
組織的対策の例
- 社内規程・セキュリティルールの整備
- 責任者や対応体制の明確化
- 従業員への教育・訓練の実施
- インシデント対応手順の整備、初動対応マニュアルの作成
- 委託先・取引先を含めた管理体制の整備
ツールの導入、ルールの整備を行って終わりにせず、適切な運用やルールの順守を日常の業務フローとして定着させ、定期的に点検することが不可欠です。
ステップ5：評価に備え、証跡を整理する
必要な対策を実施したら、目標とする評価レベルの基準を満たしているかをあらためて確認し、★取得に向けた準備を進めます。
★1、★2は自己宣言ですが、★3では専門家確認付きの自己評価、★4では第三者評価が求められるため、対策を実施するだけでなく、各評価基準に対して達成の根拠となる規定やITツールでの対応内容を記録し、証跡として説明できるようにしておくことが重要です。
主な実施事項
- 評価基準への対応状況を再確認、不足項目を是正
- 審査・確認に必要な証跡資料の整理
★3の有効期間は1年、★4は3年となり、さらに★4は登録後も、1年ごとの自己評価が求められます。SCS評価制度はサプライチェーン全体のセキュリティレベル向上が目的の制度のため、取得後もセキュリティ対策を継続的に運用・改善し、必要な水準を維持していくことが重要です。
まずは、自社が★3にどの程度対応できているか確認しましょう
SCS評価制度への対応を進めるには、まず自社の現在のセキュリティ対策状況を把握し、★3で求められる対策との差を確認することが重要です。「何から手を付ければよいかわからない」「自社はどこまで対応できているのか知りたい」という方は、まず「SCS評価制度 ★3取得かんたん診断」で、現在の対応状況を確認してみましょう。
【約10分・無料でセキュリティレベルをチェック】
▶【ソフトバンクのセキュリティ専門家が監修】SCS評価制度の診断ツールはこちら
資料ダウンロード
本記事の内容をまとめたホワイトペーパーをご用意しています。ぜひご利用ください。
よくある質問
★3は「最低限実装すべきセキュリティ対策」を満たすレベルとして位置付けられています。そのため、多くの企業にとって制度対応の第一歩となる目標です。
一方で企業や取引のリスクによっては、より高い水準である★4への対応が求められる場合があります。★4では、第三者による実地監査で自社IT環境の脆弱性への対応、機器の管理方法・管理体制の明確化、そしてそれが実際に運用されているかなど、より高度な対応や厳密な記録が求められます。現時点で★4以上の取得を目指さずとも、★3取得をゴールではなく、継続的なセキュリティ強化の出発点と捉えることが重要です。
制度では★1～★5までの5段階で評価され、レベルによって評価方法が異なります。
★1・★2：自己宣言
★3：専門家確認付き自己評価
★4・：第三者評価
★5：第三者評価 ※2026年度以降に具体化予定
★3評価に関わるセキュリティ専門家とは、IPAの情報処理安全確保支援士（登録セキスペ）や国際的に認められた情報セキュリティ・プロフェッショナル認定資格のCISSPなどの資格を有し、かつ制度が定める研修を受講した方となります。詳細はIPAのサイトでご確認ください。
サプライチェーン攻撃とは、標的となる企業を直接攻撃するのではなく、取引先や委託先、関連会社など、比較的セキュリティ対策が手薄な企業を侵入口として攻撃を行う手法です。
近年では、サプライチェーン全体がデジタルでつながっていることから、たった一社のセキュリティ上の弱点が、取引先を含む複数の企業に影響を及ぼすケースも少なくありません。そのため、自社だけでなく、サプライチェーン全体でセキュリティ対策を強化することが重要とされています。
サイバードミノとは、サプライチェーンを構成する一社で発生したサイバー攻撃の被害が、取引先や委託先などにも次々と波及し、事業停止や情報漏えいなどの影響が連鎖的に広がることを表す考え方です。
企業間のシステムやネットワークが密接につながる現在では、自社のセキュリティ対策だけではリスクを十分に抑えられない場合があります。こうした「被害の連鎖」を防ぐためにも、取引先を含むサプライチェーン全体でセキュリティ水準を高めることが重要です。
SCS評価制度は、特定の製品やサービスの導入を評価する制度ではありません。企業のセキュリティ対策が評価基準を満たしているかを総合的に判断・評価する仕組みです。
そのため、まずは現状をアセスメントし、不足している対策を明確にすることが重要です。ソフトバンクでは、現状把握から対策の検討、必要なセキュリティソリューションの導入まで、お客さまの状況に応じてご支援します。
また、今すぐご利用いただける★3取得向けの簡易診断をご提供しています。ぜひご活用ください。
AIによる記事まとめ
SCS評価制度は、企業のセキュリティ対策状況を共通の基準で評価・可視化し、サプライチェーン全体のセキュリティ水準向上を目指す制度です。2027年3月ころの運用開始が予定されており、取引先から評価取得を求められる可能性もあります。本記事では、制度の概要や導入背景、★3・★4の評価基準をわかりやすく解説。さらに、★3取得に向けて企業が今から取り組むべき5つのステップを紹介しています。
※上記まとめは生成AIで作成したものです。誤りや不正確さが含まれる可能性があります。
ビジネスブログ「Future Stride」では、ビジネスの「今」と「未来」を発信します。
DXや業務改革をはじめとしたみなさまのビジネスに「今」すぐ役立つ最新トレンドを伝えるほか、最先端の技術を用いて「未来」を「今」に引き寄せるさまざまな取り組みにフォーカスを当てることで、すでに到来しつつある新しいビジネスの姿を映し出していきます。