SCS評価制度の準備ガイド ― 中小企業が2026年度中にやるべきこと
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。
経済産業省が2027年3月頃の申請受付開始を目指している「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」。2026年3月27日に制度構築方針が正式公表され、制度開始まで1年を切りました。前回の記事では制度の概要を解説しましたが、今回は「中小企業が具体的に何を、いつまでに準備すればよいか」に焦点を当てます。
取引先から「SCS評価を取得してほしい」と言われてから慌てるのではなく、今のうちに準備を進めておくことで、スムーズに対応できます。
SCS評価制度のおさらい
SCS評価制度は、企業のサイバーセキュリティ対策を★3〜★5の3段階で評価する制度です。
| レベル | 対象 | 概要 |
|---|---|---|
| ★3 | すべての企業 | 基本的なサイバーセキュリティ対策（自己宣言ベース） |
| ★4 | サプライチェーン上の重要企業 | 第三者による確認を伴う対策 |
| ★5 | 重要インフラ事業者等 | 高度な対策と第三者監査 |
中小企業がまず目指すべきは ★3 です。★3は自己宣言方式であり、第三者監査は不要ですが、宣言内容には一定の裏付けが求められます。
★3取得に求められる対策項目
★3の評価基準は、IPAの「サイバーセキュリティ経営ガイドライン」と「中小企業の情報セキュリティ対策ガイドライン」をベースとしています。主な対策項目は以下のとおりです。
1. 組織体制
- セキュリティ責任者の明確化: 統括役員（CISO等）とセキュリティ担当部署の役割・責任を定め、連絡先リストを整備する。兼任でも可。体制は年1回以上点検する
- セキュリティ対応方針の策定: 基本方針を策定し、常に参照できる状態で周知する
- 守秘義務のルール: 役員・従業員・派遣社員等を対象に守秘義務のルールを定め、入社時・受入時に説明する
- インシデント対応の教育・訓練: 新規受入時および年1回以上、e-ラーニングまたは集合教育で実施し、記録を残す（全社的なセキュリティ意識向上教育そのものは★4の要件です）
2. 技術的対策
- 多要素認証（MFA）の導入: 重要な機密情報を扱うクラウドサービスへのアクセスには常にMFAを適用（多要素認証のパスワードは8文字以上）
- パッチ適用: 重大・高リスクの脆弱性（CVSS基本値7.0以上等）を修正するアップデートはリリースから14日以内に適用する手続きを定める（脆弱性の管理体制の構築そのものは★4の要件です）
- バックアップ: 取得対象・頻度・保管期間を定めて取得し、重要な機密情報は遠隔地バックアップ、対象ごとにリストア手順書を整備
- アクセス制御: ユーザーID・管理者IDの申請承認制、不要IDの速やかな削除・無効化、最小権限の付与
- マルウェア対策: 全PC・サーバーへのマルウェア対策ソフト導入、スキャン範囲・頻度の設定、パターンファイルの更新
- ネットワーク境界防護: ファイアウォール／ルーターの初期パスワード変更、インバウンド通信の遮断ルール整備
3. 運用管理
- 資産管理: IT機器・ソフトウェア・ネットワークの情報を把握する仕組みと年1回以上の点検。機密情報を扱う外部サービス（クラウド）の把握と事業者との取り決め
- 検知とログの確認: 不正アクセスをリアルタイムに検知・遮断する仕組み（UTM等）の導入と、ネットワーク機器のログ・アラートの分析（ログの保管期間が要求事項になるのは★4で、FW／プロキシ／認証サーバの各ログを6か月）
- インシデント対応計画: 緊急時の連絡体制と対応手順を文書化
- 委託先管理: 取引先との接続関係の把握と年1回以上の点検、機密情報の取扱いの取り決め、インシデント時の役割・責任の明確化（取引先の対策状況の年次確認は★4の要件）
準備スケジュール（6か月プラン）
Phase 1：現状把握（1か月目）
まず自社の現状を正確に把握します。
やること：
- IT資産の棚卸し — PC、サーバー、ネットワーク機器、クラウドサービスの一覧を作成する。IT資産の可視化テンプレートが参考になります
- セキュリティ対策の現状チェック — 上記の★3要件に照らし合わせて、できていること・できていないことを洗い出す
- ギャップ分析 — 対応が必要な項目をリストアップし、優先順位をつける
Phase 2：基盤整備（2〜3か月目）
技術的な対策を実装します。
やること：
- MFAの全社展開 — Microsoft 365やGoogle WorkspaceのMFAを全ユーザーに適用する
- バックアップ体制の見直し — 3-2-1ルールに基づいたバックアップ構成を実装する
- 脆弱性管理の仕組み化 — Windows Update管理の運用ルールを策定する
- アクセス権限の棚卸し — 不要なアカウントの削除、過剰な権限の見直し
- ログ管理の整備 — M365監査ログの有効化と保存期間の設定
Phase 3：ポリシー策定（4〜5か月目）
文書化と教育を進めます。
やること：
- 情報セキュリティポリシーの策定 — 基本方針、対策基準、実施手順の3階層で整備する
- インシデント対応計画の策定 — 検知→初動→封じ込め→復旧→報告の各フェーズの手順を文書化
- 従業員教育の実施 — フィッシングメール訓練を含むセキュリティ研修を実施し、受講記録を残す
- 委託先管理ルールの策定 — 委託先へのセキュリティ要件と確認方法を決める
Phase 4：自己評価と宣言（6か月目）
★3の自己宣言を行います。
やること：
- 自己チェックシートの記入 — 各評価項目について対策状況と証跡を記録する
- 経営者による承認 — 自己宣言書に経営者の署名を得る
- 宣言の公表 — IPAまたは経産省が指定する方法で自己宣言を公表する
費用感の目安
★3取得にかかる費用は、企業規模と現状の対策レベルによって大きく異なります。
| 対策項目 | 概算費用 | 備考 |
|---|---|---|
| MFA導入 | 0円〜 | M365/GWS標準機能で対応可能 |
| バックアップ強化 | 月額5,000〜30,000円 | クラウドバックアップサービス |
| EDR導入 | 月額500〜1,500円/台 | Microsoft Defender for Businessなど |
| ログ管理 | 0円〜月額10,000円 | M365 E3以上で標準対応 |
| ポリシー策定支援 | 30〜100万円 | 外部コンサルタント利用時 |
| 従業員教育 | 5〜30万円/回 | eラーニングサービスまたは研修 |
| ★3〜★4取得支援（外部委託総額） | 50〜500万円 | 現状レベルと目標★による |
自社だけで対応が難しい場合は、外部の情シスアウトソーシングサービスを活用するのも選択肢です。
よくある質問
Q. ★3は義務ですか？
義務ではありません。SCS評価制度は任意の制度で、取得しないことを理由に商取引が規制される制度でもありません（経済産業省・内閣官房 国家サイバー統括室の注意喚起、2026年4月27日）。
ただし、発注者が自社の調達基準として★の水準を提示することは制度が想定している使い方です。防衛・自動車・医療などのサプライチェーンでは、取引条件に組み込まれる企業が出てくると見込まれます。★を求められるかどうかは取引先の判断であり、制度が一律に要求するものではない、と切り分けて考えてください。
Q. ISMS認証があればSCS評価は不要ですか？
ISMS認証を取得していれば★3の要件は概ねカバーしていますが、SCS評価制度は別の制度であるため、自己宣言は別途必要です。ただし、ISMSの管理策がそのままSCSの証跡として活用できるため、準備の負担は大幅に軽減されます。
Q. 社員10名以下の小規模企業も対象ですか？
規模に関係なく、サプライチェーンに参加している企業はすべて対象になり得ます。要求事項・評価基準は企業規模で分かれているわけではなく、★3・★4の共通の基準に対して、すべての要求事項・評価基準を満たしていることが求められます。中小企業の負担軽減策としては、簡易版の基準ではなく「サイバーセキュリティお助け隊サービス（新類型）」の創設が進められています（解説記事）。
まとめ
SCS評価制度は2027年3月頃の申請受付開始に向けて準備が進んでおり、2026年3月に制度構築方針が正式公表されました。中小企業がまず目指すべき★3は専門家確認付き自己評価方式であり、基本的なセキュリティ対策の実施と文書化が求められます。
取引先から求められてから慌てるのではなく、今から計画的に準備を進めることで、コストと負担を最小限に抑えられます。まずは現状把握から始め、6か月プランで段階的に対策を進めていきましょう。
SCS評価制度への対応でお困りの方は、情シス365の無料相談をご利用ください。現状アセスメントから★3取得までのロードマップ作成をサポートします。