SCS評価制度
対策ガイド
経済産業省のSCS評価制度（サプライチェーン・セキュリティ対策評価制度）の全体像から、中小企業が★3を取得するための具体的な準備ステップまでを解説します。
SCS評価制度とは
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省と内閣官房国家サイバー統括室が策定した制度です。企業のサイバーセキュリティ対策レベルを★（星）の数で可視化し、サプライチェーン全体のセキュリティ強化を目指します。2026年3月27日に制度構築方針が正式に公表されました。
2027年2〜3月頃の★3・★4申請受付開始を目指しており、将来的には取引条件や政府調達の要件に組み込まれる見通しです。「知らなかった」では済まされない制度になる可能性があるため、中小企業も早めの準備が重要です。
このガイドが役立つ方
- 取引先からSCS評価制度への対応を求められている
- SCS評価制度の★3取得を検討している
- ISMSやPマークとの違いがわからない
- 社内にセキュリティ専門家がおらず、SCS対応の支援が必要
- SCS評価制度の対応を外部に委託したい
★3〜★5の評価レベル
SCS評価制度は★1〜★5の5段階構成ですが、★1・★2はIPAの「SECURITY ACTION」に該当します。SCS評価制度として新設されるのは★3以上です。
基本対策レベル（すべての企業が対象）
専門家確認付き自己評価。26項目の要求事項、有効期間1年。IPAガイドラインベースの基礎的対策。中小企業がまず目指すべきレベル。
標準対策レベル（サプライチェーン上の重要企業）
第三者評価機関による実地審査。56項目の要求事項、有効期間3年。組織ガバナンス・取引先管理・検知・対応まで包括的な対策。
高度対策レベル（重要インフラ事業者等）
高度な第三者監査。★4をすべて包含した上で、より厳格な技術検証と継続的モニタリングが求められます。
★3取得に向けた5つの準備ステップ
中小企業が★3を取得するための具体的な準備手順です。
現状のセキュリティ対策を棚卸し
自社のIT環境・セキュリティ対策の現状を把握。★3の評価基準と照らし合わせてギャップを特定します。
組織体制とポリシーの整備
セキュリティ責任者の設置、情報セキュリティポリシーの策定、インシデント対応手順の文書化を行います。
技術的対策の実装
アクセス制御、ログ管理、エンドポイント保護、バックアップ体制など、評価基準で求められる技術的対策を導入します。
セキュリティ専門家のレビュー
★3の自己宣言には専門家のレビューと署名が必須。社内にいない場合は、外部の専門家に依頼します。
自己宣言の提出と維持運用
評価基準への適合を宣言。★3は有効期間1年のため、毎年の更新と継続的な改善が必要です。
SCS評価制度に関するよくある質問
QSCS評価制度の対応は義務ですか？
現時点では法的義務ではありませんが、将来的に取引条件や政府調達の要件に組み込まれる見通しです。取引先から対応を求められるケースが増えることが予想されるため、早めの準備を推奨します。
QISMSやPマークとの違いは？
ISMSは情報セキュリティマネジメントの国際規格、PマークはJIS Q 15001に基づく個人情報保護の認証です。SCS評価制度はサプライチェーン全体のセキュリティ強化を目的とし、対象範囲と評価基準が異なります。ISMSやPマーク取得済みでも別途SCS対応が必要ですが、既存の体制を活用できます。詳しくはSCS vs ISMS vs Pマーク比較記事をご覧ください。
Q★3取得にはどのくらいの費用がかかりますか？
自社対応の場合は実費のみですが、外部支援を利用する場合は企業規模や現状の対策レベルにより異なります。情シス365ではSCS対応支援の詳細をヒアリング後にお見積りしています。無料相談でお気軽にお問い合わせください。
Q社内にセキュリティ専門家がいない場合は？
★3の自己宣言にはセキュリティ専門家のレビュー・署名が必須ですが、外部の専門家に依頼することも可能です。情シス365では、SCS評価制度に精通した専門家によるレビュー代行サービスを提供しています。詳しくは専門家要件の解説記事をご覧ください。
QSCS評価制度の対応を外部に委託できますか？
はい、対応支援を専門企業に委託できます。情シス365では、現状評価・対策実装・専門家レビューまでワンストップで支援しています。情シスの外注・外部委託と合わせてSCS対応も任せたい企業に最適です。
SCS評価制度の詳細記事
各テーマの詳細はこちらの記事で解説しています。
SCS評価制度とは？★3〜★5の評価基準と中小企業が今やるべき準備
制度の全体像を徹底解説。
★3・★4の評価基準比較｜セルフチェックリスト付き
7領域別に評価基準を比較。
SCS評価制度の準備ガイド ― 中小企業が2026年度中にやるべきこと
具体的なステップと費用感。
「セキュリティ専門家」が必要な理由と確保の方法
専門家要件と外部依頼の方法。
SCS評価制度 vs ISMS vs Pマーク ― 違いと使い分け
3つの制度を徹底比較。
委託先管理の実装ガイド ― NDA・契約書・評価シート
SCS独自要件の取引先管理を実装。
★4の第三者評価フロー徹底解説
書類審査・実地審査・技術検証の流れと費用。
★3 申請プロセスと自己宣言書の書き方
提出先・所要日数・公表される情報まで。
サイバーセキュリティお助け隊サービス 新類型
中小企業向け公的支援策の詳細。
政府調達への組み込みロードマップ
いつ・どの調達区分から要件化されるか。
自治体・公共調達 × SCS評価制度
自治体ベンダーの対応戦略。
自工会・部工会ガイドライン × SCS
自動車サプライヤーの対応関係。
3省2ガイドライン × SCS評価制度
医療業界とそのベンダーの対応。
防衛装備品調達基準 × SCS評価制度
NIST SP 800-171との関係を整理。
重要インフラ × SCS評価制度
14分野の事業者とサプライヤーの対応関係。
★3取得モデルケース3選
製造業・SaaS・IT保守の取り組み事例。
★3 文書化テンプレート集
情報セキュリティ規程・台帳・IRP・委託先管理。
次のステップ
SCS評価制度対応の料金・導入フロー・タイムラインの詳細はこちら
SCS評価制度 対応サービスの詳細を見る →FAQ
よくある質問
Q SCS評価制度とは何ですか？
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省が策定した制度で、企業のサイバーセキュリティ対策レベルを★3〜★5の3段階で評価します。2026年3月に制度構築方針が正式公表され、2027年2〜3月頃の★3・★4申請受付開始を目指しています。将来的に取引条件や政府調達の要件に組み込まれる見通しです。
Q 中小企業はSCS評価制度でどの★を目指すべきですか？
中小企業がまず目指すべきは★3です。★3は専門家確認付き自己評価方式であり、第三者監査は不要です。基本的なサイバーセキュリティ対策が求められ、IPAの「中小企業の情報セキュリティ対策ガイドライン」がベースとなっています。
Q SCS評価制度の★3と★4の違いは？
★3は自己評価＋専門家確認で有効期間1年。評価基準は26項目（83基準）で基礎的な対策が中心です。★4は第三者評価機関による実地審査が必要で有効期間3年。評価基準は56項目（157基準）に拡大し、組織ガバナンスや取引先管理まで含む包括的な対策が求められます。
Q ISMSやPマークを持っていればSCS対応は不要ですか？
いいえ、ISMSやPマークを取得していてもSCS評価制度への別途対応が必要です。ただし、既存の認証で整備した体制はSCS対応にも活用でき、ゼロからの対応より効率的に進められます。
Q SCS評価制度の対応を外部に委託できますか？
はい、SCS評価制度の対応支援を専門企業に委託できます。情シス365では、セキュリティ体制の現状評価、★3取得に必要な対策の実装支援、専門家レビューまでをワンストップで提供しています。社内にセキュリティ専門家がいない中小企業でも、安心してSCS対応を進められます。