SCS評価制度とは？★3〜★5の評価基準と中小企業が今やるべき準備【2026年度開始】
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。
「取引先からセキュリティ対策の強化を求められたが、何をすればいいかわからない」「取引先ごとに異なるセキュリティチェックシートへの対応で疲弊している」——こうした声は、中小企業のIT担当者からよく聞かれます。
2025年12月26日に制度構築方針（案）が公表され、意見募集を経て、2026年3月27日に「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の制度構築方針が正式に公表されました。
この制度は2027年3月頃（2026年度末）の★3・★4申請受付開始を目指しており、将来的には取引条件や政府調達の要件に組み込まれる見通しです。つまり、中小企業にとって「知らなかった」では済まされない制度になる可能性があります。
この記事では、SCS評価制度の全体像から中小企業が今すぐ着手すべき準備まで、できるだけわかりやすく解説します。
なぜ今、サプライチェーンのセキュリティ制度が必要なのか
サプライチェーン攻撃の急増
近年、サイバー攻撃の手法は大きく変化しています。攻撃者は、セキュリティ対策が堅牢な大企業を直接攻撃するのではなく、その取引先（サプライチェーン）の中で最もセキュリティが手薄な企業を踏み台にして、最終的なターゲットに到達する手法を多用するようになりました。
実際に、2022年の小島プレス工業（トヨタ自動車の取引先）へのランサムウェア攻撃では、トヨタの国内全14工場が稼働停止に追い込まれました。1社のセキュリティ不備が、サプライチェーン全体に甚大な影響を及ぼした象徴的な事例です。
発注側・受注側それぞれの課題
このような状況の中、企業間取引においてセキュリティ対策の確認が求められるケースが増えていますが、現状では以下のような課題が生じています。
発注企業（大企業側）の課題： 取引先のセキュリティ対策状況を客観的に判断する共通の基準（ものさし）がない。各社独自のセキュリティチェックシートで確認しているが、回答内容の信頼性を担保しにくい。
受注企業（中小企業側）の課題： 複数の取引先からそれぞれ異なるフォーマット・基準のセキュリティチェックを求められ、対応に膨大な時間とコストがかかっている。何をどこまでやればよいのか判断が難しい。
SCS評価制度は、こうした双方の課題を解決するために、国が統一基準を定め、セキュリティ対策の実施状況を「見える化」する仕組みとして設計されています。
SCS評価制度の全体像
制度の基本コンセプト
SCS評価制度のポイントを一言でまとめると、**「企業のセキュリティ対策レベルを★（星）で可視化する制度」**です。
ただし重要な注意点があります。経産省は「本制度は、事業者のセキュリティ対策レベルを競わせることを目的とした格付け制度ではない」と明言しています。あくまでも、サプライチェーン上の重要性やリスクに応じて適切な対策が実施されているかを確認・可視化する仕組みです。
★3〜★5の3段階
SCS評価制度では、以下の3段階の評価レベルが設けられます。なお、★1・★2はIPAが運営する既存の「SECURITY ACTION」（自己宣言制度）に該当するため、SCS評価制度では★3以上が対象です。
★3（基礎レベル）：すべてのサプライチェーン企業の最低ライン
位置づけ： サプライチェーンを構成するすべての企業が最低限実装すべき対策
対策の範囲： 基礎的なシステム防御策と体制整備が中心。要求事項26項目／評価基準81件（広く認知された脆弱性を悪用する一般的なサイバー攻撃を想定）
評価方法： 専門家確認付き自己評価（有効期間1年）
- 自社で対策状況を評価シートに記入
- 社内外のセキュリティ専門家が確認・助言
- 経営層が適合宣言を行い、登録機関に提出
想定される企業： ほぼすべてのサプライチェーン構成企業。特に、IT専任者がいない中小企業がまず目指すべきレベル
★4（標準レベル）：サプライチェーン企業が標準的に目指すべき水準
位置づけ： 組織的なガバナンスと包括的な防御体制を備えた段階
対策の範囲： 組織ガバナンス・取引先管理、システム防御・検知、インシデント対応など包括的な対策。要求事項43項目／評価基準153件（★3の26項目をすべて含みます）
評価方法： 第三者評価（実地審査および技術検証を含む。有効期間3年）
- 自己評価に加え、外部の評価機関による客観的な評価を受ける
想定される企業： 重要インフラのサプライチェーンに属する企業、政府調達に関わる企業
★5（高度レベル）：サプライチェーン企業の到達目標
位置づけ： 国際規格等に基づくリスクベースのアプローチで、ベストプラクティスに基づく対策を実施する段階
評価方法： 第三者評価（★4と同様に第三者評価とされていますが、詳細は未確定）
現状： ★5の具体的な要求事項・評価基準・有効期間はいずれも未公表で、2026年度中に基準・評価スキームの検討が進められる予定です（ISO/IEC 27001、自工会・部工会ガイドLv3等が水準の目安として示されています）
セキュリティ要求事項の構成
★3・★4の要求事項は、米国NISTのサイバーセキュリティフレームワーク（NIST CSF）をベースに、「取引先管理」を加えた構成となっています。
具体的には、①ガバナンスの整備（セキュリティ責任者の設置、体制構築、対応方針の策定）、②取引先管理（取引先との関係の把握、機密情報の取扱いの取り決め、取引先の対策状況確認）、③リスクの特定（IT資産・クラウドサービスの把握、機密区分の管理、脆弱性管理）、④攻撃等の防御（多要素認証、パスワード・アクセス権の管理、パッチ適用、マルウェア対策、バックアップ、ネットワーク境界防護）、⑤攻撃等の検知（不正アクセスのリアルタイム検知、ログ・アラートの分析）、⑥インシデントへの対応（対応手順・体制の整備）、⑦インシデントからの復旧（目標復旧レベルの設定と復旧準備）の7領域で構成されています。
なお、上位の段階は下位の段階の要求事項を包含するため、★3を取得していなくても★4から直接取得することが可能です。
制度のスケジュール
SCS評価制度の今後のスケジュールは以下のとおりです。
- 2025年12月： 制度構築方針（案）公表、パブリックコメント開始
- 2026年1月： パブリックコメント締切
- 2026年3月27日： 制度構築方針を正式公表（パブコメを反映し成案化）
- 2026年4月21日： IPAが制度サイトを公開し、**★3・★4の要求事項・評価基準（Excel）**を掲載
- 2026年4月27日： 経産省・NCOが制度をかたる不適切な勧誘への注意喚起を公表
- 2026年6月〜7月： 運営審議委員会の第1回（6月10日）・第2回（7月8日）を開催。「サイバーセキュリティお助け隊サービス」（新類型）実証事業の提供事業者公募（6月26日公示〜7月30日締切）
- 2026年8月頃： 制度規程、セキュリティ専門家・評価機関の登録に関する規則、評価機関・技術検証事業者の要件の詳細を公表予定
- 2026年10月頃： ★3・★4の申請方法、要求事項・評価基準の解説書、取得ガイドを公表予定
- 2026年12月末頃： 評価機関の一覧、制度の研修事業者の一覧を公表予定
- 2027年1月以降： セキュリティ専門家の一覧を公表予定
- 2027年3月頃（2026年度末）： ★3・★4の申請受付開始（制度正式スタート）
- 時期未定： ★5の要求事項・評価基準・評価スキーム・開始時期（検討中）／申請・登録に係る費用
制度構築方針はすでに正式公表され、★3・★4の要求事項・評価基準も公開済みです。申請受付開始まで残り1年を切っています。最新の公表状況はSCS評価制度 最新動向まとめ【2026年8月版】で随時整理しています。
中小企業向けの支援策
「サイバーセキュリティお助け隊サービス」新類型の創設
中小企業にとって最大の関心事は「★を取得するためにどれだけのコストと手間がかかるのか」でしょう。
経産省とIPAは、中小企業が★3・★4を安価かつ簡便に取得できるよう、「サイバーセキュリティお助け隊サービス」の新類型を創設する方針を発表しています。
従来の「お助け隊サービス」は、24時間の異常監視、駆け付け支援、相談窓口、サイバー保険がパッケージになった低コストサービスです。新類型では、これに加えて以下の支援が提供される見込みです。
STEP 1： SCS評価制度の★3または★4の取得・更新時に、中小企業のセキュリティ対策状況を評価
STEP 2： 要求事項のうち未達成の項目について、ITツールの導入や人的支援によって達成を支援
つまり、「評価して終わり」ではなく、不足している対策の実装まで支援してくれるサービスということです。2026年度に実証事業が進められており、サービス提供事業者の公募は2026年6月26日〜7月30日に実施されました。中小企業側の利用条件が固まるのはその先になります。
取引先との関係に関する法的整理
もうひとつ重要な動きがあります。大企業が取引先の中小企業にセキュリティ対策を要請する際、独占禁止法や下請法に抵触しないかという懸念がありました。
この点について、経産省と公正取引委員会は「問題とならない」ケースの想定事例と解説を公表しました。ポイントは以下のとおりです。
- セキュリティ対策の要請自体は合理的な理由があれば問題なし
- ただし、対策費用の転嫁について適切な価格交渉を行うことが前提
- 一方的にコスト負担を押し付ける行為は下請法上の問題になりうる
つまり、「セキュリティ対策を取引条件にすること」は適法だが、「費用を全額中小企業に押し付けること」は問題になる、という整理です。中小企業としては、取引先からセキュリティ対策を求められた際に、対策にかかるコストの価格転嫁について交渉する権利があることを覚えておきましょう。
中小企業が今から始めるべき5つの準備
申請受付開始まで残り1年を切りました。今から計画的に準備を進めることが重要です。
1. 自社のIT資産を棚卸しする
すべての対策の出発点は**「何を守るべきかを把握すること」**です。社内で使用しているPC・サーバー・ネットワーク機器・クラウドサービスの一覧を作成しましょう。シャドーIT（IT部門が把握していないサービスの利用）も可能な限り洗い出すことが重要です。
2. SECURITY ACTIONに取り組む
まだ取り組んでいない企業は、IPAのSECURITY ACTION（★1・★2）から始めましょう。SCS評価制度の★3は、SECURITY ACTIONの上位に位置づけられるため、土台作りとして最適です。★1は「情報セキュリティ5か条」への取り組み宣言、★2は「5分でできる！情報セキュリティ自社診断」の実施と「情報セキュリティポリシー」の策定が要件です。
3. 基本的なセキュリティ対策を実装する
★3で求められる可能性が高い基本対策を先行して実装しましょう。
- OS・ソフトウェアの更新を徹底する： Windows Update、各種アプリケーションのパッチ適用を定期的に実施
- ウイルス対策ソフトを導入・更新する： Microsoft DefenderでもOK。定義ファイルの自動更新を有効に
- パスワードの強化・多要素認証の導入： Microsoft 365やGoogle Workspaceの管理者アカウントには多要素認証（MFA）を必須化
- バックアップを定期的に取得する： ランサムウェア対策として、オフライン or クラウドへの定期バックアップを実施
- アクセス権限を適切に管理する： 退職者アカウントの即時無効化、最小権限の原則を適用
4. セキュリティ体制を整備する
★3では、技術的な対策だけでなく組織的な体制整備も求められます。
- セキュリティ対策の責任者を明確化する（CISOの設置、または経営層が兼任）
- セキュリティインシデント発生時の対応手順を文書化する
- 従業員向けのセキュリティ教育を定期的に実施する（フィッシングメールの見分け方など）
5. 公開情報をウォッチし続ける
制度構築方針と★3・★4の要求事項・評価基準は公表済みですが、制度規程・登録規則は2026年8月頃、申請方法・解説書・取得ガイドは2026年10月頃に公表予定です。以下の情報源を定期的にチェックしましょう。
- IPA SCS評価制度（要求事項・評価基準、専門家・評価機関、FAQ）
- 経産省 SCS評価制度 関連ページ
- IPA サイバーセキュリティお助け隊サービス
- IPA SECURITY ACTION
米国CMMCとの比較
SCS評価制度は、米国の**CMMC（Cybersecurity Maturity Model Certification）**を参考にしていると言われています。CMMCは米国防総省の調達要件として導入された制度で、3段階の認証レベルがあります。
両制度に共通するのは、サプライチェーンのセキュリティを「取引要件」として制度化するという考え方です。日本のSCS評価制度は、まず任意の制度として開始されますが、将来的には政府調達で★4以上を要件とする方向で検討が進んでいるとの報道もあります。
つまり、政府関連の仕事をしている、またはその取引先である中小企業にとっては、★3・★4の取得が事実上の必須要件になる可能性が高いのです。
情シス365にできること
「★3を取得するために何から手をつけたらいいかわからない」という中小企業のIT担当者の方は、ぜひ情シス365にご相談ください。
- IT資産の棚卸し・可視化の支援
- Microsoft 365 / Google Workspaceのセキュリティ設定の最適化
- MFA（多要素認証）導入・パッチ管理の仕組み構築
- セキュリティポリシーの策定・文書化の支援
- SCS評価制度の★3取得に向けたギャップ分析と対策計画の立案
月額12万円〜のサポートプランで、専任のIT担当者がいない企業でも制度対応を進めることができます。
まとめ
SCS評価制度は、中小企業のセキュリティ対策を「やった方がいいこと」から**「取引を続けるために必要なこと」**へと変える転換点になる可能性があります。
申請受付開始は2027年3月頃（2026年度末）。今のうちから基本的なセキュリティ対策に着手し、IT資産の棚卸しや体制整備を進めておけば、制度開始時に慌てることなく対応できます。
「うちは小さいから関係ない」ではなく、「小さいからこそ早めに備える」。サプライチェーンの一員として、今できることから始めましょう。
参考リンク：
- 経産省プレスリリース「SCS評価制度の構築方針を公表しました」（2026年3月27日）
- IPA SCS評価制度 要求事項・評価基準（★3・★4の要求事項・評価基準一覧）
- IPA SCS評価制度 よくある質問
- 経産省プレスリリース「SCS評価制度の構築方針（案）を公表しました」（2025年12月26日）