SCS評価制度とは？★3・★4の違い、取得の流れと今からできる準備

SCS評価制度は、正式名称を「サプライチェーン強化に向けたセキュリティ対策評価制度」といい、経済産業省と内閣官房国家サイバー統括室の監督のもと、IPA（独立行政法人情報処理推進機構）が運営する評価制度です。2026年3月に制度構築方針が公表され、★3・★4は2027年3月頃の運用開始が予定されています。

「取引先からSCSの話が出た」「ニュースで名前を見たが、自社に関係あるのか分からない」という段階の方に向けて、この記事では制度の全体像を扱います。制度の対象、★3・★4・★5の違い、取得の流れ、公表済みのスケジュール、そして今の段階で準備できることまでを順に見ていきます。

本記事は、2026年7月13日までにIPA・経済産業省が公表した情報をもとに作成しています。制度の詳細は今後も追加・変更される可能性があるため、最新情報はIPAの公式ページをご確認ください。

SCS評価制度は、企業のセキュリティ対策への対応状況を共通の基準で評価・可視化し、取得した★を台帳に登録・公開する制度です。星の数で企業同士を競わせる格付け制度ではなく、サプライチェーンの中で必要な対策を確認しやすくするための共通の物差しとして位置付けられています。制度構築方針は2026年3月27日に経済産業省と内閣官房国家サイバー統括室が公表し、制度の運営（スキームオーナー）はIPAが担います。

これまで、取引先のセキュリティ対策を確認する方法は各社バラバラでした。発注元ごとに異なるセキュリティチェックシートが送られてきて、受け取る側は毎回似たような設問に答え直す。そうした確認作業に共通の基準を持ち込むのが、この制度の役割です。★を取得した企業は台帳に登録・公開されるため、取引先への説明に評価結果を使えるようになります。

重要な前提として、SCS評価制度の取得は法律で義務付けられたものではありません。あくまで任意の制度です。制度上は、2社間の取引契約等において、委託元が委託先に必要な★を提示し、対策の実施状況を両者で確認する利用方法が想定されています。

SCS評価制度は、大企業向けでも中小企業向けでもなく、サプライチェーンを構成するすべての企業等を対象としています。IPAは、リソースの限られる中小企業ほど活用による効果が大きいと説明していますが、中小企業専用の制度ではありません。

評価の対象となるのは、企業のIT基盤です。クラウド環境も対象に含まれます。一方で、一般的なIT基盤に当たらない製造現場のOTシステムや、委託元へ納める製品そのものは、原則として直接の評価対象に含めないとされています。

評価を取得する際は、自社のどの組織とIT基盤を適用範囲に含めるかを定めます。申請主体は原則として法人または個人事業主ですが、法人では、適用範囲の妥当性について専門家または評価機関の確認を受けたうえで、事業部単位やグループ単位などを申請主体にすることも想定されています。

製造業であっても、メール、認証基盤、社内ネットワーク、業務端末などのIT基盤は対象です。一方、製造設備を制御するOTシステムそのものは原則として直接の対象外となります。クラウドサービスについては、自社のIT基盤を構成するものとして対象に含まれます。

背景にあるのは、サプライチェーンや委託先を経由したセキュリティインシデントが繰り返し発生していることです。攻撃者は企業を直接狙うだけでなく、取引先や委託先の環境を足がかりにして、別の企業へ侵入する手口も使います。

IPAの「情報セキュリティ10大脅威 2026」では、「サプライチェーンや委託先を狙った攻撃」が組織向け脅威の2位となり、8年連続で選出されています。

発注側の企業は、この状況に対応するため取引先へのセキュリティ確認を強化してきました。その結果、確認する側にもされる側にも負荷が積み上がっています。同じような内容のチェックシートが取引先の数だけ存在し、回答する側は年に何度も似た作業を繰り返す。確認する側も、回収した回答をどう評価するかの基準が社内で定まらない。

共通の評価制度があれば、こうした個別確認の一部を「★の取得状況を確認する」形に置き換えられる可能性があります。SCS評価制度で委託先管理の実務がどう変わりうるかは、SCS評価制度で委託先管理はどう変わる？委託先管理ツール・チェックシート運用で準備できることで詳しく扱っています。

SCS評価制度で現在具体化が進んでいる申請区分は★3と★4です。★5は検討中の段階にあります。3つの段階の違いは、次のように公表されています。

	★3	★4	★5
想定する脅威	広く認知された脆弱性等を悪用する一般的なサイバー攻撃	供給停止等によりサプライチェーンに大きな影響をもたらす企業への攻撃、機密情報等の漏えいにより大きな影響をもたらす資産への攻撃	未知の攻撃を含めた高度なサイバー攻撃
要求事項数	26件	43件	今後検討
評価スキーム	専門家確認付き自己評価	第三者評価（実地審査・技術検証を含む）	第三者評価を想定（詳細は今後検討）
有効期間	1年	3年	今後検討

上位の段階は、それ以下の段階で求められる事項を包括する関係にあります。このため、★3を先に取得していなければ★4を申請できない、という順序の縛りはありません。自社の位置づけに応じて、最初から★4を目指す選択もできます。

「★3から始まるなら、★1・★2はどこにあるのか」という疑問を持つ方は多いはずです。SCS評価制度で現在具体化されている申請区分は★3と★4で、★5は検討中です。★1・★2に相当する取り組みとしては、IPAが運営する中小企業向けの自己宣言制度「SECURITY ACTION」が参照されています。

ただし、SECURITY ACTIONは自己宣言の制度であり、SCS評価制度の★3・★4とは評価方法も取得手続きも異なります。同じ制度の簡易版として混同しないよう注意が必要です。

★3は、すべてのサプライチェーン企業が最低限実装すべき対策として、基礎的な組織的対策とシステム防御策を中心に評価します。組織内の役割と責任が定義されているか、自社IT基盤への初期侵入や侵入拡大への対策が講じられているか、インシデント発生時に取引先を含む関係各所へ報告・共有する手順が定義されているか、といった水準です。

評価は自己評価が基本ですが、セキュリティ専門家による確認と署名を経る点が、単純なセルフチェックとの違いです。

★4は、初期侵入の防御にとどまらず、内外への被害拡大の防止や、取引先のデータ・システムの保護に寄与する水準を求めます。事業継続への取り組みや、取引先の対策状況の把握など、サプライチェーンにおける自社の役割に応じた対策も評価範囲です。

評価は評価機関による第三者評価で、文書確認に加えて実地審査と技術検証（インターネットに公開している機器への脆弱性検査など）が実施されます。

★5は、国際規格等に基づくマネジメントシステムの確立や、ベストプラクティスに基づく高度な対策を想定した段階です。第三者評価が想定されていますが、具体的な要求事項・評価基準・評価方法・有効期間・開始時期は、現時点では検討中です。

公表されている★3の取得手順は、次の4段階です。

1. 取得を希望する組織が、★3の要求事項・評価基準に基づいて自己評価を記入する（必要に応じて社内外のセキュリティ専門家の支援を受けることも可能）
2. セキュリティ専門家が記入内容を確認し、必要に応じて修正を含む助言を行い、提出内容を了承した場合に署名する
3. 経営層による自己適合宣誓を含め、事務局に評価結果を提出する
4. 事務局が申請内容を確認し、問題がなければ台帳に登録・公開する

★3・★4ともに、原則としてすべての評価基準への適合が求められます。制度構築方針では、不適合が見つかった場合でも、適切に是正し、専門家の了承を得られれば★3を取得できる考え方が示されています。

鍵になるのがセキュリティ専門家の存在です。専門家には資格要件（情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001主任審査員のいずれかの保持）と研修受講、事務局への登録が求められます。自社に該当者がいない場合の対応は、SCS評価制度★3の「専門家確認」とは？自社に専門家がいない場合の対応で扱っています。

★4の評価は、あらかじめ指定委員会から指定された評価機関・技術検証事業者が実施します。取得希望組織が行う手順は次のとおりです。

1. ★4の要求事項・評価基準に基づいて自己評価を記入する
2. 指定された評価機関へ検証・評価を依頼する
3. 評価機関による文書確認・実地審査・技術検証を受ける
4. 評価機関から評価報告書を受け取る
5. 事務局へ★4の登録を申請する
6. 事務局の確認後、台帳に登録・公開される

制度構築方針では、実地審査はリモートでの実施も可能とされ、文書確認・実地審査・技術検証は、それぞれ1〜2日程度が現時点の想定として示されています。ただし、この日数には事前準備や報告書作成の期間は含まれず、具体的な実施方法は今後詳細化される予定です。

不適合が指摘された場合は、一定期間内に是正報告を提出し、評価機関の了承を得られれば★4を取得できる方向性が示されています。制度構築方針では、是正報告の期限として「指摘事項の通知から1か月以内」が例示されていますが、正式な運用ルールは今後公表されます。

評価機関・技術検証事業者になるための要件は、2026年8月頃に公表される予定です。

IPAのFAQでは、★3・★4の運用開始は2027年3月頃と示されています。そこに至るまでの公表予定は次のとおりです。

時期	公表・実施予定
2026年8月頃	セキュリティ専門家・評価機関に関する規則など
2026年10月頃	★3・★4の要求事項・評価基準の解説書、取得ガイド、申請方法
2026年12月末頃	評価機関に関する情報、研修事業者の公表
2027年1月以降	セキュリティ専門家の公表
2027年3月頃	★3・★4の運用開始（予定）
未定	★5の要求事項・評価方法・開始時期

一方で、次の点はまだ公表されていません。

• ★3・★4の申請・登録にかかる費用
• 評価機関・技術検証事業者・研修事業者の具体的な顔ぶれ
• ★5の内容全般
• ISMS適合性評価制度など既存制度との整合性の詳細

この記事の内容も、今後の公表によって更新される前提でお読みください。判断の基準は常にIPA・経済産業省の一次情報に置くことをおすすめします。

運用開始まで時間がある今の段階でできることは、大きく3つあります。

1. 一次情報の確認を習慣にする

制度の詳細が固まりきっていない時期は、不確かな情報や過度に不安を煽る売り込みが出回りやすいタイミングでもあります。実際に、経済産業省と内閣官房国家サイバー統括室は2026年4月、正しい情報はIPAから入手するよう注意喚起を出しています。「SCS対応」を掲げた勧誘を受けた際の確認の仕方は、SCS評価制度対応と言われたら何を確認すべきかにまとめています。

2. 自社の対策状況を説明できる状態にしておく

★3の要求事項・評価基準の解説書は2026年10月頃に公表予定です。それを待つ間にできるのは、自社が今どんな対策を実施していて、それを裏付ける資料（規程、設定記録、対応履歴など）がどこにあるかを確認しておくことです。★3は自己評価が起点になるため、「対策はしているが、証跡がどこにあるか分からない」状態を解消しておくと、公表後の動き出しが速くなります。

3. 取引先への確認業務との関係を考えておく

自社が★を取得する側になるだけでなく、委託先の取得状況を確認する側になる企業もあります。既存のセキュリティチェックシート運用とSCS評価制度がどう関係するかは、発注側・受注側それぞれの立場で変わってきます。

なお、マモリスはSCS評価制度の評価機関やセキュリティ専門家ではなく、★の取得を保証するものでもありません。自己評価や委託先確認を進める際の、回答・根拠資料・確認・差し戻し・履歴の管理に利用できるチェックシート運用のプラットフォームです。証跡を残しながら確認作業を進める場面で支援します。

Q1. SCS評価制度の取得は義務ですか？

いいえ、法律上の義務ではありません。任意の制度です。ただし、制度上は、2社間の取引契約等において、委託元が委託先に必要な★を提示し、対策の実施状況を確認する利用方法が想定されています。自社の取引関係や調達方針に照らして、必要性を確認することになります。

Q2. ★3と★4のどちらを目指すべきですか？

★3を取得していなくても★4を申請できるため、順番に取る必要はありません。自社がサプライチェーンの中でどんな位置にいるか、取引先からどの水準を期待されるかによって判断が分かれます。要求事項数（★3は26件、★4は43件）と評価スキームの違い（自己評価か第三者評価か）を踏まえて、2026年10月頃に公表予定の解説書・取得ガイドを確認してから決めても遅くありません。

Q3. いつから申請できますか？

★3・★4の申請方法は2026年10月頃に公開予定で、運用開始は2027年3月頃が予定されています。現時点で申請の受付は始まっていません。

Q4. ISMS認証を取得していれば、SCS評価制度は不要ですか？

ISMS認証を取得していても、現時点ではSCS評価制度の★3・★4を取得したものとは扱われません。ISMS適合性評価制度との整合性は今後検討される予定ですが、自動的な代替や申請免除は公表されていません。ISMS運用で整備した規程や証跡が★の要求事項への対応に活用できる可能性はありますが、個別に確認する必要があります。

• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）｜IPA
• SCS評価制度の詳細情報｜IPA
• 要求事項・評価基準｜IPA
• SCS評価制度 よくある質問｜IPA
• 情報セキュリティ10大脅威 2026｜IPA
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）｜経済産業省
• 「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」を公表しました｜経済産業省
• SCS評価制度に関する注意喚起｜経済産業省