セキュリティ対策評価制度（SCS評価制度）とは？ 情シスが進めるべき準備を解説

「自社のセキュリティ対策状況について回答してください」と、取引先からチェックシートやアンケートが届いた経験はないでしょうか。

近年は、取引先や委託先を起点にしたサイバー攻撃が相次ぎ、発注元が委託先のセキュリティ対策状況を確認する動きが広がっています。企業には、自社の対策を客観的に説明することが求められるようになりました。こうした流れを受けて創設されたのが、セキュリティ対策評価制度（以下、SCS評価制度）です。

本記事では、SCS評価制度の全体像から評価段階（★3〜★5）、ISMSとの違い、2026年度末（2027年1〜3月頃）の開始に向けて、いま準備すべきことをわかりやすく解説します。

※本記事は2026年7月時点の情報をもとに作成しています。

近年のサイバー攻撃では、比較的防御が堅い本来の標的を直接狙うのではなく、つながりのある取引先や委託先を「入口」として侵入する手口が目立ちます。

実際に、独立行政法人情報処理推進機構（以下、IPA）が公表する「情報セキュリティ10大脅威 2026」でも、「サプライチェーンや委託先を狙った攻撃」は組織としての脅威で2位にランクインし、8年連続で選出されています。

取引先のセキュリティは、もはや対岸の火事ではありません。委託先として自社の対策を問われる場面も増えました。とくに中小企業にとっては、セキュリティへの取り組みが取引を支える土台になりつつあります。

攻撃者は、防御の弱い一点を突いてサプライチェーン全体へ侵入します。実際に、取引先がランサムウェアに感染して発注元の生産や供給が止まる、委託先を経由して大量の個人情報が漏えいするといった事案が、国内でも相次いでいます。

被害は、攻撃を受けた企業だけにとどまりません。IPAの調査では、2023年度にサイバーインシデントの被害を受けたと回答した企業975件のうち、約7割が「取引先に影響があった」と回答しています。

（参考）2024年度 中小企業における情報セキュリティ対策に関する実態調査（p.186）- IPA

こうした状況を受けて、企業は取引先に自社基準のセキュリティ対策を求めるようになりました。ただし、この動きは新たな負担も生んでいます。

発注側は、委託先の対策状況を外から把握しづらいうえに、自社が示すチェックリストが妥当なのかを確かめる基準もありません。一方、受注側は、取引先ごとに異なる基準を求められ、チェックシートの記入や証跡の提出を取引先の数だけ繰り返す負担を抱えています。

こうした双方の課題を、「共通の物差し」で解消する仕組みとして構想されたのが、SCS評価制度です。

SCS評価制度（正式名称：サプライチェーン強化に向けたセキュリティ対策評価制度）とは、企業のセキュリティ対策の実施状況を共通の基準で評価・可視化する、国主導の仕組みです。

「SCS」はSupply Chain Securityの略です。経済産業省と内閣官房国家サイバー統括室の監督のもと、独立行政法人情報処理推進機構（IPA）が運営を担います。参加は任意で、2社間の取引において、発注元が委託先に必要な5段階の評価（★1〜★5）を示し、その実施状況を確認する使い方が想定されています。

制度の狙いは、発注側の評価負荷と受注側の重複対応の両方を減らし、サプライチェーン全体のセキュリティ水準を底上げすることにあります。前章で挙げた「バラバラな評価」の負担を、共通基準に置き換える発想です。

SCS評価制度で新たに設けられるのは、★3から★5までの3段階です。★1・★2は、すでに運用されている自己宣言制度「SECURITY ACTION」の延長線上に位置づけられています。

各段階の概要は次のとおりです。

なお、上位の★は下位の要求事項を含むため、★3を取得しなくても直接★4を申請できます。ただし、対策が未整備の企業は、まず★3の要件を固めてから★4へ進む方法が現実的です。

評価基準は、米国のセキュリティ枠組み「NIST CSF」に対応した6つの分類に、日本独自の「取引先管理」を加えた7分類で構成されています。

★3・★4では、この分類ごとに達成すべき対策が定められています。★の取得には、原則としてすべての評価基準への適合が求められ、★3の要求事項は26項目とされています（2026年3月公表の要求事項・評価基準にもとづく）。

「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）（2026年3月27日）- 経済産業省（p.16）」をもとにSmartHRで作成

あわせて知っておきたいのが、この制度に便乗した不適切な営業活動です。経済産業省・内閣官房国家サイバー統括室は、「取得しないと取引できなくなる」「今すぐ取得しないと入札から外れる」といった説明とともに製品・サービスの勧誘が報告されているとし、こうした説明は事実ではないと呼びかけています。

（参考）サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に関する注意喚起（2026年4月27日）- 経済産業省

SCS評価制度は任意の制度であり、商取引を規制するものでも、特定のセキュリティ製品の導入を必須とするものでもありません。

なお、中小企業が★3・★4に取り組みやすいよう、経済産業省とIPAが「サイバーセキュリティお助け隊サービス（新類型）」の創設を進めています。詳細は今後IPAから公表される予定です。

ISMS（ISO/IEC 27001）やプライバシーマークを取得していても、それだけでSCS評価制度の要求を満たせるとは限りません。両者は目的も評価の考え方も異なるためです。

「プライバシーマーク制度 - 一般財団法人日本情報経済社会推進協会（JIPDEC）」、「ISO/IEC 27001（情報セキュリティ） - JQA」をもとにSmartHRで作成

ISMS（ISO/IEC 27001）は、企業が自社のリスクにもとづいて対策を選び、運用する仕組みです。一方、SCS評価制度は、取引先に示すための共通の基準で、対策の実施状況を評価・可視化します。前者はリスクベース、後者は共通基準ベースであり、考え方に違いがあります。

プライバシーマーク（JIS Q 15001）も混同されがちですが、こちらは個人情報の保護に特化した認証です。情報資産全般を扱うISMSやIT基盤のセキュリティを評価するSCS評価制度とは、対象とする範囲が異なります。

一方で、SCS評価制度は、ISMSやNIST CSF、自動車業界の自工会・部工会ガイドラインなど、既存の枠組みと整合するよう設計されています。ISMSなどですでにリスクアセスメントを進めている企業は、一定の準備が整っているといえます。

注意したいのは、対象範囲のズレです。ISMSは適用範囲（スコープ）を自社で定めるため、SCS評価制度の要求事項との間にギャップが生じることがあります。両者は代替ではなく補完関係にあります。ISMSの認証範囲に含まれていない領域は、SCSの要求に沿って確認・整備することが求められます。

SCS評価制度の★3・★4は、2026年度末（2027年1～3月頃）の申請受付開始が予定されています。評価ガイドの公表や評価機関の指定はこれからで、現時点では認定を取得できません。

制度は次の流れで具体化が進んでいます。

• 2025年4月：制度構築に向けた「中間取りまとめ」を公表
• 2025年12月26日：「制度構築方針（案）」を公表し、意見募集を実施
• 2026年3月27日：意見を踏まえた「制度構築方針」を公表
• 2026年秋頃：要求事項の具体的な実装例をまとめた「評価ガイド」を公表予定
• 2026年度末頃（2027年1～3月頃）：★3・★4の申請受付開始を予定
• ★5：2026年度以降に要求事項・評価スキームを具体化予定

これらのスケジュールは、制度運営基盤の整備状況によって変更となる可能性があります。最新の情報は経済産業省やIPA公式サイトで確認しましょう。

評価ガイドの公表前・評価機関の指定前である現時点で情シス担当者やセキュリティ担当者ができるのは、認定取得そのものではなく、「現状把握とギャップ整理」までです。

逆にいえば、この段階をいまのうちに進めておくことが、制度開始後にスムーズに動くための最大の準備になります。ここでは、今から着手できる4つのステップを紹介します。

発注元が委託先に求める★は、次の2つの観点で決まると整理されています。自社が取引先にとってどの程度重要な立場かを踏まえ、★3相当か★4相当かの目安を立てましょう。

ISMSなどの既存認証がある場合は、その適用範囲とSCS評価制度の7分類の要求事項を突き合わせます。すでに満たしている項目と、不足している項目を洗い出すことで、優先的に着手すべき課題がみえてきます。

SCS評価制度の評価対象となるIT基盤には、次の領域が原則として含まれます。まずはこの3領域を起点に、資産の棚卸しから始めるのが現実的です。

• 公開サーバー：インターネットに公開している  ウェブサーバー・メールサーバー、認証基盤など
• エンドポイント：業務で使うパソコンやスマートデバイスなど
• 外部ネットワーク境界機器：ファイアウォール・ルーター・VPN装置など

このほか、外部のクラウドサービスも対象です。IT資産台帳の整備、アカウントの棚卸し、多要素認証の有効化、バックアップの確認などが、着手しやすく効果の高い対策として挙げられます。

★1・★2に相当するSECURITY ACTIONは、企業が自らセキュリティ対策への取り組みを宣言する制度で、費用をかけずに始められます。デジタル化・AI導入補助金（旧・IT導入補助金）では、SECURITY ACTION自己宣言が申請の必須要件とされています。★3以降に向けた現実的な第一歩として、まず取り組む価値があります。

IPAのサイトでは、宣言をきっかけに社内の意識向上や取引先との信頼づくりにつなげた中小企業の取組み事例も紹介されています。自社と近い規模・業種の事例は、着手のイメージをつかむ参考になるでしょう。

（参考）SECURITY ACTION宣言事業者の取組み事例 - IPA

自社の現状を大まかにつかめるチェックリストを、ダウンロード資料にまとめています。まずは現状を点検し、ギャップを整理する入口としてご活用ください。

SCS評価制度は、サプライチェーン全体のセキュリティ水準を、共通の基準で可視化する仕組みです。評価ガイドや評価機関など、これから固まる部分も残っていますが、今できる現状把握とギャップ整理から着手することが、開始後にあわてないための近道です。まずは自社のIT資産と取引先との関係を見つめ直すところから、着実に一歩を踏み出しましょう。