SCS評価制度とは？★3・★4の違いと、7分類の「やることリスト」

梟〜GLEANINGS〜

2026年8月31日 21:25

「SCS評価制度」という言葉を、取引先から届いた書面や業界紙で見かけたことはありませんか。

2026年度末の制度開始に向けて準備が進んでいる、国が主導するセキュリティ対策の評価制度です。
名前は聞いたことがあっても、「結局うちは何をすればいいのか」が分からないまま止まっている、という方は少なくないと思います。

この記事では、制度の全体像から、実際に運用が始まる★3・★4の違い、そして7つの評価分類ごとの「具体的に何をすればクリアできるのか」まで、一本で読み通せる形にまとめました。

この記事は、IPAの一次資料をもとに、2026年8月時点の内容にしています。

SCS評価制度とは何か

なぜ今、この制度が話題なのか

近年のサイバー攻撃は、自社だけを狙うものではありません。
取引先や協力会社といった「サプライチェーン」全体の、もっとも弱いところを突いてくるケースが急増しています。
取引先の中に対策が手薄な企業が一社でもあると、そこを踏み台にして大企業側まで被害が及ぶ、という構図です。

これまでは、各企業が独自にセキュリティチェックシートを作成し、取引先へ個別に確認を求めるという方法が主流でした。
しかしこれは、確認する側にとっても、確認される中小企業側にとっても大きな負担になっていました。
同じような、しかし少しずつ違うチェックシートが何社からも届く、という状況です。

この課題を解消するために生まれたのが、今回ご紹介する制度です。

制度の正式名称と運営主体

正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」、通称「SCS評価制度」といいます。

2026年3月27日に経済産業省と内閣官房国家サイバー統括室が制度構築方針を公表し、実際の運営は独立行政法人情報処理推進機構（IPA）が担います。
国が主導する統一基準という点が、これまでの企業独自のチェックシートとは大きく異なるポイントです。

制度の全体像：この制度が設けるのは★3〜★5の3段階

SCS評価制度が段階として設けているのは、★3・★4・★5の3段階です。
制度構築方針（概要）には「3段階の水準のうち、★3・★4について、令和8年(2026年)度末頃の制度開始を予定」とあります。
★1・★2はこの制度の段階ではなく、IPAが運営する「SECURITY ACTION」を参照する形です。

★1・★2：この制度が設ける段階ではなく、IPAが従来から実施している「SECURITY ACTION」制度の「一つ星」「二つ星」を参照する形です
★3：一般的なサイバー脅威に対処しうることを水準として規定。要求事項は26件
★4：初期侵入の防御にとどまらず、被害の拡大防止や、サプライチェーンにおける自社の役割に適合した強靭化策まで求められる段階。要求事項は43件
★5：より高度なサイバー攻撃への対応として、自組織のリスクを把握・マネジメントしたうえで、現時点でのベストプラクティスに基づく対策を実行する形を想定。要求事項・評価基準や評価スキームは今後検討

つまり、いきなり全ての段階が動き出すわけではなく、まずは★3・★4から本格運用が始まる、という点を押さえておく必要があります。

何が評価の対象になるのか

意外と見落とされやすいのが、対象範囲です。
この制度が対象としているのは、サプライチェーンを構成する企業等のIT基盤（クラウド環境で運用するものを含む）です。

一般的にIT基盤に該当しないと考えられる、製造環境などの制御（OT）システムや、委託元へ提供する製品そのものは、サプライチェーン全体での共通化が難しいことから直接の対象とはされていません。
これらは、他の制度・ガイドライン等に基づいて対策を行うことが想定されています。

また経済産業省は、本制度が「対応状況を可視化するもの」であり、事業者のセキュリティ対策レベルを競わせる格付け制度ではないと明記しています。

評価の軸となる「7つの分類」

評価の中身は、国際的な標準であるNIST（アメリカ国立標準技術研究所）のサイバーセキュリティフレームワーク（CSF）に対応した6つの分類に、取引先管理に重点を置いた独自の分類を1つ加えた、合計7つの分類で構成されています。

単に自社の防御力だけでなく、「取引先をどう管理しているか」まで評価対象に含まれる点が、この制度らしい特徴といえます。

企業にとっての意味

今後は、この星の段階が企業間取引における条件の一部として提示されることが想定されています。

つまり「うちはセキュリティ対策をしっかりやっています」ということを、口頭や自己申告ではなく、客観的な指標として取引先に示せるようになるわけです。
逆に言えば、対策が不十分な企業は取引の入り口で不利になる可能性がある、ということでもあります。

★3と★4、何が違うのか

★3の評価方法：「専門家確認付き自己評価」

★3は、取得を希望する組織自身による自己評価をベースとした仕組みです。
具体的には、以下のような流れで進みます。

取得希望組織が、★3の要求事項・評価基準に基づいて自己評価を記入する（必要に応じて社内外のセキュリティ専門家の支援を受けることも可能）
社内外のセキュリティ専門家が、記入内容を確認し、必要があれば評価結果の修正を含む助言を行う
専門家が最終的な提出内容に了承した場合に署名を実施する
取得希望組織は、経営層による自己適合宣誓を含め、専門家の署名付きの評価結果を事務局（IPA）へ提出する

つまり★3は「自己評価＋専門家によるチェック」という、比較的取り組みやすい設計になっている点がポイントです。

ここでいう「セキュリティ専門家」は、誰でも名乗れるわけではありません。
情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001主任審査員のいずれかを保持したうえで、制度所定の研修を受け、事務局に登録する必要があります。
社内に有資格者がいるかどうかは、早めに確認しておくとよいポイントです。

★4の評価方法：第三者評価機関による本格評価

一方、★4は自己評価ではなく、認証を受けた評価機関による第三者評価が行われます。

要求事項数は43件（★3の26件に比べて範囲が広がります）。さらに細かい評価基準としては150件前後とする資料もあります
評価内容には、取引先企業の管理、システムへの侵入検知、インシデント対応など、より包括的な対策が含まれます
★3が「書類の確認」までであるのに対し、★4では文書確認に加えて実地審査と技術検証が行われます。評価対象は、自社で決めた適用範囲の中からサンプリングして選ばれることが想定されています

なお、登録の有効期限や更新の周期については、制度の運用規程が順次公表されている段階です。
「3年」とする解説記事もありますが、確定した条件はIPA公式サイトで確認してください。

位置づけとしては、サプライチェーンを構成する企業が標準的に目指すべきセキュリティ対策の水準、と整理されています。

★3・★4・★5の関係：上位互換という考え方

ここで押さえておきたいのが、★3〜★5は上位互換の関係にあるという点です。

つまり、自社が★4を必要としている場合、わざわざ★3の評価を先に受ける必要はなく、直接★4の評価を受けることが可能です。
目指すレベルに応じて、必要な評価を選んで取得できる設計になっています。

なお★5については、要求事項・評価基準や評価スキームがまだ検討段階です。
IPAは、自組織のリスクを適切に把握・マネジメントしたうえで、既存のガイドライン等も踏まえた現時点でのベストプラクティスに基づく対策を実行する形を想定している、としています。
★3・★4の精査も踏まえて、今後さらに具体化される見込みです。

企業が今から準備すべきこと

★4を見据える企業にとって特に負担が大きいのは、要求事項43件という評価範囲の広さと、取引先管理・侵入検知・インシデント対応といった「自社の外側」にまで踏み込んだ対策が求められる点です。

自社のセキュリティ対策の現状を、7つの分類（NIST CSF対応の6分類＋取引先管理の独自分類）に沿って棚卸しすること
取引先の管理体制（委託先のセキュリティ状況の把握など）を見直すこと
インシデント発生時の検知・対応体制を整備すること

これらは一朝一夕に整うものではないため、制度の運用開始を待たず、今のうちから準備を始めておくことが望ましいといえます。

7つの分類、クリアに必要なこと

制度の全体像と★3・★4の違いが分かっても、「結局、何をすればクリアできるのか」は依然として見えにくいところです。
ここからは、各分類ごとに具体的な対応内容まで踏み込んで整理します。

7分類の全体像

SCS評価制度の評価基準は、「NIST CSF」というサイバーセキュリティの枠組みに沿った6つの機能（統治・識別・防御・検知・対応・復旧）に、日本独自の「取引先管理」を加えた合計7分類で構成されています。

ガバナンスの整備
取引先管理
リスクの特定
攻撃等の防御
攻撃等の検知
インシデントへの対応
インシデントからの復旧

1. ガバナンスの整備

情報セキュリティ方針を文書として作成し、経営層が承認した上で社内外に公表していること
CISO等のセキュリティ責任者を明確に任命していること（担当者任せではなく、責任の所在が明確になっていること）
セキュリティ対策のための予算を継続的に確保していること

★4ではさらに、経営層が定期的にリスクをレビューする体制や、自社だけでなくサプライチェーン全体を見据えたリスク管理方針まで求められます。

2. 取引先管理

業務委託契約に、委託先が守るべきセキュリティ要件（データの取り扱い、アクセス制限、インシデント発生時の報告義務など）を明記していること
機密情報を扱う委託先とは、機密保持契約（NDA）を締結していること

★4ではさらに、委託先のセキュリティ対策状況を年1回以上定期的に確認・評価する仕組みや、委託先で事故が起きた際の報告ルールを契約に盛り込むことまで求められます。

3. リスクの特定

パソコン・サーバー・ネットワーク機器などのハードウェア資産を台帳で管理し、定期的に棚卸していること
導入しているソフトウェアやライセンスを把握し、許可されていないソフトの導入を制限していること
ネットワーク構成図を最新の状態に維持していること

★4ではさらに、利用しているクラウドサービス・SaaSの一覧化や、社内で許可されていない機器・サービス利用（いわゆるシャドーIT）を検出・管理する仕組みまで求められます。

4. 攻撃等の防御

退職者・異動者のアカウントを速やかに無効化する運用と、定期的なアカウント棚卸ができていること
各ユーザーに業務上必要な最小限の権限のみを付与できていること（最小権限の原則）
社内システムやクラウドサービスへのアクセスに対して、全ユーザーへ多要素認証（MFA）を適用していること

★4ではさらに、特権ID（管理者アカウント）を集中管理する仕組みや、フィッシングに強い認証方式（FIDO2・パスキーなど）への移行までが求められます。

5. 攻撃等の検知

認証ログ（ログイン成功・失敗の記録）を取得し、一定期間保管していること
ファイアウォールやネットワーク機器のログを取得・保管していること

★4ではさらに、ログの改ざん防止（書き換え不可な形での保管）や、収集したログを継続的に監視してインシデントの予兆を早期に検知する仕組みまで求められます。

6. インシデントへの対応

インシデント発生時の責任者・連絡体制・エスカレーションフローを定めた対応計画を文書化していること
発生時に迷わず動けるよう、初動対応手順（連絡先、証跡の保全方法など）をチェックリスト化していること

★4ではさらに、EDRなどのツールを使ったインシデント検知体制や、感染した端末を素早くネットワークから切り離す隔離手順の整備、JPCERT/CCなど外部機関との連携体制までが求められます。

7. インシデントからの復旧

重要データの定期的なバックアップを取得し、実際に復元できるかをテストしていること

★4ではさらに、ランサムウェア対策として、バックアップの一部をネットワークから切り離した場所（オフライン媒体や書き換え不可のクラウドストレージなど）に保管することが求められます。
いわゆる「3-2-1ルール」（3つのコピー・2種類のメディア・1つは外部保管）の考え方に近い対応です。

要求事項の数について（補足）

要求事項の数は、★3が26件、★4が43件として各所で紹介されています。
一次情報は、経済産業省が制度構築方針とあわせて公表した「別添 ★3・★4要求事項及び評価基準」（Excel形式）です。

一方で、より細かい「評価基準」の件数については、参照する資料によって幅があります（★4の評価基準を150件前後とする資料、153件とする資料などがあります）。
これは、実装例をまとめた評価ガイド等がまだ公表されていないため、各媒体が独自に集計・分類している段階だからと考えられます。

正確な件数を確認したい場合は、経済産業省の公表ページから、この別添Excelを直接ご確認いただくのが確実です。

制度の評価とは別に、実際に被害が出た朝の手順を、別の記事で配っています。
時間帯ごとの動きと、取引先や委員会に出す報告書式6種をまとめています。

2026年8月時点の最新状況

ここからは、2026年に入ってから動いた点をまとめます。

制度開始は「2026年度末頃」

制度開始の時期については、当初「2026年度下期から」という表現で報じられることが多かったのですが、経済産業省・内閣官房国家サイバー統括室の公表資料では、令和8年度（2026年度）末頃の制度開始を予定とされています。

また、要求事項・評価基準を満たす具体的な実装例などをまとめた評価ガイド等は、令和8年秋頃を目途に公表予定です。
つまり、秋にガイドが出て、年度末に制度が動き出す、という順序になります。

基本規程等が公開された（2026年8月28日）

IPAは2026年8月28日、SCS評価制度の基本規程等を公開しました。
あわせて、評価機関・技術検証事業者・研修事業者向けの説明会の開催案内と、第2回指定委員会の配付資料・議事要旨も公開されています。

制度の運用を支える事業者側の枠組みが、この夏から具体的に固まり始めた段階、と捉えておくとよいと思います。

「取らないと取引できない」は誤り──公式の注意喚起

ここは、実務担当者としてぜひ知っておいていただきたい点です。

2026年4月27日、経済産業省商務情報政策局サイバーセキュリティ課と内閣官房国家サイバー統括室制度・監督ユニットは、SCS評価制度に係る不適切な勧誘についての注意喚起を公表しました。

注意喚起によれば、「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」といった営業活動による製品・サービスの勧誘が報告されているとのことです。

これに対する公式見解は明確です。
注意喚起は、SCS評価制度を「任意の制度」と明記したうえで、次の2点をはっきり否定しています。

本制度は、個社間の商取引に関して規制措置を講じるものではない
評価基準を達成するにあたり、特定のセキュリティ対策製品の導入が必須とされているものではない

制度の想定はあくまで、2社間の取引契約の中で発注者が受注者に対策の段階（★）を提示し、受注者に実施を促したうえで、双方でその状況を確認する、というものです。
「取得しないと取引から外される」という話は、制度の趣旨とは異なります。

制度開始前のこの時期は、こうした勧誘がもっとも増えるタイミングです。
情報はIPAの公式サイトから取得する、という原則を社内で共有しておくことをおすすめします。

中小企業向けの支援策も用意されている

「うちのような規模で★3・★4なんて取れるのか」という点についても、支援策が動いています。
制度構築方針では、次の3つが示されています。

「サイバーセキュリティお助け隊サービス」の新類型：中小企業が★3・★4を安価かつ簡便に取得できるようにするための新しいサービス類型。2026年春頃から、制度設計のための実証事業が始まっています
「中小企業の情報セキュリティ対策ガイドライン」の改訂：SCS評価制度の要求事項を踏まえて「第2部実践編」STEP3が整理され、規程類のサンプルやひな型も拡充されました
専門家リストの拡充：IPAが公開する「中小企業向けサイバーセキュリティ対策支援者リスト」に、指導テーマとして「セキュリティアセスメント」が追加されました。★3の「専門家確認」を依頼できる登録セキスペのリストが、今後公開される予定です

自力で全部やろうとせず、まずは規程類のひな型を活用するところから始めるのが現実的だと思います。

今後のスケジュール

現時点で公表されている予定を、時系列で並べておきます。

2026年秋頃：要求事項・評価基準を満たす具体的な実装例をまとめた「評価ガイド等」を公表予定
2026年12月末頃：セキュリティ専門家向けの研修事業者を公表予定
2026年度末頃（2027年3月頃）：★3・★4の制度開始（申請受付の開始）を目指す
★5：2026年度以降、要求事項・評価基準や評価スキームの具体化を検討

なお制度構築方針には、これらは制度運営基盤の整備状況等により変更となる可能性がある、と注記されています。

まとめ

SCS評価制度は、漠然とした制度に見えて、実は7分類それぞれに「最低限やるべきこと」が明確に定義されています。

制度は任意であり、取得しないと取引が規制されるものではない
★3は「専門家確認付き自己評価」、★4は「第三者評価機関による評価」。★3を経ずに★4へ進むことも可能
評価の軸は、NIST CSFの6分類＋日本独自の「取引先管理」の計7分類
評価ガイド等の公表は2026年秋頃、制度開始は2026年度末頃の予定

まずは★3レベルの対応から着手し、段階的に★4を目指すのが現実的な進め方です。

特に「資産台帳の整備」「多要素認証の全社適用」「バックアップの復元テスト」の3つは、制度対応を抜きにしても効果が大きく、今日から着手できる項目だと思います。

皆さんの会社では、SCS評価制度への対応、もう始めていますか。

参考・引用元

IPA（情報処理推進機構）「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
　https://www.ipa.go.jp/security/scs/index.html
IPA「SCS評価制度の詳細情報」
　https://www.ipa.go.jp/security/scs/details.html
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に関する注意喚起」（令和8年4月27日）
　https://www.meti.go.jp/policy/netsecurity/20260427_scs.html
経済産業省「『サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針』（SCS評価制度の構築方針）を公表しました」（令和8年3月27日）
　https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」特設ページ
　https://www.meti.go.jp/policy/netsecurity/scs.html

実務で使う書式について

この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
規程のひな形、対応フロー、チェックシート、報告書式などです。

実務で使う書式・キット
https://note.com/yunta_fukurou/m/mfc25857fab40