SCS評価制度(サプライチェーン強化に向けたセキュリティ対策評価制度)とは。★3と★4の違いと取引先から求められる前に整える準備

取引先へのサイバー攻撃をきっかけに、自社の工場が止まったり、預けていた機密情報が漏れたりする事態は、もはや珍しい話ではありません。発注する側は委託先の対策を外から確かめにくく、受注する側は取引先ごとに違うチェックシートへの回答に追われています。この二つの困りごとを、共通の物差しで解こうとしているのが「サプライチェーン強化に向けたセキュリティ対策評価制度」、略してSCS評価制度です。

この記事は、経営層や情報システム担当、調達や委託先管理の担当者に向けて、IPAが公開している制度の詳細情報と制度構築方針に基づき、★3と★4がそれぞれ何を想定し、どこまでの状態を求めるのかを整理します。そのうえで、ISMS認証との関係、発注側が委託先管理にどう組み込むか、受注側の中小企業が取得を求められたときにどこから手を付けるかを順に説明します。制度の数値や時期は2026年9月13日の執筆時点でIPAの公式ページと公表資料で確認したものです。

SCS評価制度が作られた背景と目的#

IPAの制度ページは、制度が解こうとしている課題を委託元と委託先の両方から書いています。委託元企業にとっては、委託先のセキュリティ対策が見えにくく、自社が配るチェックリストなどの要求事項が適切かどうかも担保しにくいという課題です。委託先企業にとっては、複雑なサプライチェーンの中で、さまざまな委託元からさまざまな要求事項を突きつけられ、負担が過度になっているという課題です。

制度はこの二つを、段階(★)ごとに決まった要求事項と評価基準という共通の物差しで解こうとしています。委託先へのサイバー攻撃を起因とする事業やサービスの提供途絶、機密情報の漏えいや改ざん、委託先を踏み台にした不正侵入といったリスクに対して、適切な対策を促し、サプライチェーン全体の水準を引き上げることが目的です。想定している使い方は、2社間の取引契約などで委託元が委託先に適切な★を示し、対策を促したうえで実施状況を確認するというものです。

IPAは、すべてのサプライチェーン企業が対象になるとしたうえで、とくに中小企業はセキュリティにかけられる資源が限られ、自社のリスクから対策を組み立てるハードルも高いため、活用の効果が大きいと想定しています。自社で一から「何をどこまでやるか」を決めなくても、立ち位置に応じた★を目安にできるという点が、中小企業にとっての実利です。

運営体制は、経済産業省と内閣官房国家サイバー統括室の監督のもとでIPAが運営する形です。IPAの中に運営審議委員会、事務局、指定委員会が置かれ、★4の第三者評価を行う評価機関、★4の技術検証を行う技術検証事業者、★3の自己評価を確認し★4の評価責任者を担うセキュリティ専門家、専門家に研修を提供する研修事業者が、それぞれ役割を分担します。

IPAのSCS評価制度ページは、委託元企業の課題を「委託先におけるセキュリティ対策が可視化しづらく、要求事項(チェックリスト等)の適正性の担保も難しい」、委託先企業の課題を「様々な委託元から様々な要求事項を求められ、過度な負担につながっている」と整理しています。制度の目的を、委託先へのサイバー攻撃等を起因とした提供途絶、機密情報の漏えいや改ざん、委託先等を踏み台とした不正侵入等のリスクに対する適切な対策の実施を促し、サプライチェーン全体の対策水準を向上させることとし、2社間の取引契約等で委託元が委託先に適切な段階(★)を提示し、実施状況を確認することを想定すると説明しています。

制度の対象になる範囲#

制度構築方針は、評価の対象を「サプライチェーンを構成する企業等のIT基盤」と定めています。クラウド環境で運用するものも含み、メールサーバやWebサーバなどの公開サーバや認証基盤もIT基盤に入ります。ISMS認証との比較表では、★3と★4の取得範囲を「インターネットに接続している自社IT基盤」とし、その理由を、IT基盤が外部からの不正侵入やネットワーク内の横展開の足掛かりになりやすいためと説明しています。

一方で、製造現場の制御(OT)システムや、発注元に提供する製品そのものは、求められる対応が基本的に異なるため直接の対象にはせず、他の制度やガイドラインに基づいて対策することが想定されています。ソフトウェア開発やIoT機器のセキュリティを評価する制度とも目的が違うと明記されています。自社製品の脆弱性対応や工場ネットワークの守りは、★を取っただけでは説明できない領域として別に管理する必要があります。

評価を申請する単位は、原則として法人または個人事業主です。ただし法人の場合は、取得希望組織が設定した適用範囲について、★3ならセキュリティ専門家、★4なら評価機関による妥当性の確認を経れば、事業部単位やグループ単位で申請することもできるとされています。

★3と★4の違い#

想定する脅威と到達状態#

制度構築方針は、★3を「一般的なサイバー脅威に対処しうること」を水準として規定し、★4を「初期侵入の防御にとどまらず、内外への被害拡大防止と目的遂行のリスク低減によって取引先のデータやシステム保護に寄与すること、サプライチェーンにおける自社の役割に適合した強靭化策が講じられていること」を水準としています。両者の差を、到達状態のイメージで並べると次のとおりです。

★3は「狙われやすい穴を塞ぎ、起きたら取引先に知らせられる」状態、★4は「入られる前提で広がりを止め、取引先を含めて守りと復旧を回せる」状態と読むと、差がつかみやすくなります。なお★1と★2はIPAのSECURITY ACTIONを参照するよう注記されており、★5は国際規格等に基づくマネジメントシステムの確立を含む高度な段階として、執筆時点では要求事項や評価スキーム、開始時期を検討中です。

上位の段階はそれ以下の段階で求められる事項を含むため、★3を先に取得していなければ★4を取得できないという関係ではありません。取引先から★4を求められている企業は、★3を経ずに★4へ直接進めます。

要求事項の7分類と件数#

要求事項と評価基準は、NIST Cybersecurity Framework(CSF)の機能に対応する6つの分類に、取引先管理に重点を置いた分類を加えた7分類で組み立てられています。IPAが公開しているExcelの要求事項と評価基準を本メディアで分類ごとに数えると、次のようになりました。

要求事項の下には、確認の単位となる評価基準がぶら下がっています。同じExcelで数えると、評価基準は★3に該当するものが81項目、★4で加わるものが72項目で、★4では合計153項目でした。一つの要求事項の中で、前半の評価基準は★3、後半は★4で追加という構成になっているものも多く、たとえば「ネットワーク境界防護」は★3と★4の両方にある要求事項ですが、★4では評価基準が上乗せされます。件数は制度構築方針が示す26件と43件に一致しますが、要求事項と評価基準はサイバーセキュリティの動向を踏まえて定期的に見直すことが想定されているため、準備に使う際はIPAの最新版を取り直してください。

★3の26件を眺めると、ユーザIDと管理者IDの管理手続、認証の強度と実装方法、アカウントロック、パスワードの設定と管理、アクセス権の管理、機器とOSとソフトウェアの把握、ネットワークの把握、外部情報サービス(クラウドサービスなど)の管理、安全な構成、セキュリティパッチの適用手続、マルウェア対策、ネットワーク境界防護、適切なバックアップ、インシデント対応手順、事業継続要件に沿った復旧準備など、基本動作が並んでいます。取引先管理では、取引先とのビジネスやシステム上の関係の整理、機密情報の取扱い、インシデント発生時の役割と責任が★3から求められます。

★4で上乗せされる要求事項#

★4だけにある要求事項は17件です。名称を並べると、★4が「入られた後」と「取引先」に重心を移していることが分かります。

とくに発注側にとって意味が大きいのが、取引先管理の「取引先のセキュリティ対策状況の把握」です。制度構築方針に載っている評価基準の例では、自社の重要な機密情報を提供している、自社の事業継続にとって重要な位置づけにある、その取引先の環境から自社の内部システムにアクセスできる、のいずれかに当てはまる子会社や取引先について、年1回以上、★の取得状況の確認、訪問点検、チェックシートの回収などで対策状況を把握することを求めています。★4を取った企業は、自分の重要な取引先にも目を配る立場になるため、再委託先にも一定の水準が波及していく設計です。

経済産業省の「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」(2026年3月27日)は、段階別評価の概要として、★3の想定脅威を「広く認知された脆弱性等を悪用する一般的なサイバー攻撃」、対策の考え方を「全てのサプライチェーン企業が最低限実装すべきセキュリティ対策として、基礎的な組織的対策とシステム防御策を中心に実施」とし、★4の想定脅威を「供給停止等によりサプライチェーンに大きな影響をもたらす企業への攻撃」「機密情報等、情報漏えいにより大きな影響をもたらす資産への攻撃」としています。要求事項数は★3が26件、★4が43件、評価スキームは★3が専門家確認付き自己評価、★4が第三者評価、有効期間は★3が1年、★4が3年と示されています。

評価の受け方と有効期間#

★3は、専門家確認付き自己評価です。取得希望組織が★3の要求事項と評価基準に沿って自己評価を記入し、社内外のセキュリティ専門家がその内容を確認して、必要に応じて修正を含む助言を行います。専門家は提出内容を了承すると署名し、取得希望組織は経営層による自己適合宣誓を含めて評価結果を事務局に提出します。事務局は申請内容に問題がなければ台帳に登録して公開します。

ここでいうセキュリティ専門家は、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001主任審査員のいずれかを持ち、制度の研修を受けたうえで事務局に登録された人を指します。社内に該当者がいれば社内の専門家でも構いませんが、IPAのよくある質問によれば、IPAの「中小企業向けサイバーセキュリティ対策支援者リスト」に載っている専門家とは要件が異なります。

★4は、評価機関による第三者評価と技術検証を求めます。取得希望組織が★4の要求事項と評価基準に沿って自己評価を記入し、指定委員会から指定を受けた評価機関に検証と評価を依頼します。制度構築方針が示す評価の中身と想定期間は次のとおりです。

合格基準は、★3と★4のどちらも原則としてすべての評価基準への適合です。IPAのよくある質問も、取得にはすべての要求事項と評価基準を満たす必要があると答えています。ただし不適合が見つかっても、★3は是正してセキュリティ専門家の了承を得られれば取得でき、★4は一定期間内(例として指摘から1か月以内)に是正報告を出して了承を得られれば取得できる想定です。評価は、取得希望組織が決めた適用範囲の中から対象をサンプリングして行うことが想定されています。

有効期間は、★3が1年、★4が3年です。★3は毎年、セキュリティ専門家の確認と助言を経た自己評価の更新版を事務局に出して更新します。★4は3年の有効期間中も年1回の自己評価を評価機関に提出し、3年ごとの更新時に第三者評価を受け直します。どちらも、適用範囲や遵守状況に大きく影響する変更、たとえば端末やサーバの大規模なリプレイス、クラウド基盤への大規模な移行、ネットワーク構成の顕著な変更があった場合は、改めて確認や評価を受ける想定です。虚偽報告などの不正が見つかれば、★の一時停止や取消しもあり得ます。

IPAの「SCS評価制度の詳細情報」は、★3について、取得希望組織が自己評価を記入し、社内外のセキュリティ専門家が確認と助言を行って了承した場合に署名し、取得希望組織が経営層による自己適合宣誓を含めて事務局に提出し、事務局が台帳に登録して公開する流れを示しています。★4については、評価機関と技術検証事業者が文書確認に加えて実地審査と技術検証を行うとしています。セキュリティ専門家の要件として、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001主任審査員のいずれかの保持と研修受講を挙げ、上位の段階は下位の段階の事項を含むため★3を事前に取得していなくても★4を取得できると説明しています。

運用開始の見込みと今後公表される文書#

制度構築方針のスケジュールは「令和8年度下期の制度開始を目指す」としていました。その後に更新されたIPAのよくある質問(最終更新日2026年5月29日)は、★3と★4の運用開始を2027年3月頃の予定と答えています。2026年4月27日に経済産業省と国家サイバー統括室が出した注意喚起も「令和8年度末頃の制度開始を予定」と書いており、令和8年度末頃、つまり2027年3月頃が現時点の見込みです。

執筆時点のIPAの公開情報では、今後の公表予定は次のとおりです。IPAの制度ページには2026年8月28日に基本規程等が、9月11日に制度基準と制度手順が追加公開されており、予定は順次更新されています。

ISMS認証との関係#

「すでにISMS認証を持っているので★は不要か」という質問はよく出ます。制度構築方針の比較表を見ると、両者は目的と作り方が異なります。

ISMSは「自社でリスクを評価し、対策を選び、回し続ける仕組み」を証明するもので、どの対策をどこまでやるかは組織が決めます。SCS評価制度の★3と★4は、代表的な脅威を前提に「この対策をこの水準で」と決め打ちしてあるため、何をすればよいか迷いにくい一方、自社固有のリスクに合わせた取捨選択はできません。制度構築方針はこの二つを相互補完的な制度として両輪で発展させるとし、ISMS取得後に★を取る道と、★取得後にISMSへ進む道の両方を図示しています。

実務上の見立てとしては、ISMSを運用している組織は、ガバナンスの整備、資産管理、インシデント対応、教育といった分類で既存の規程や記録を活かしやすいはずです。ただし★の評価基準は「パスワード設定ルール」「アカウントロック制御」「ネットワーク境界防護」のように実装の中身まで具体的に問うため、ISMSの管理策として採用していても、要求される水準に届いているかは評価基準と一件ずつ突き合わせる必要があります。執筆時点で本メディアが確認したIPAの公開ページと制度構築方針には、ISMS認証を持っていれば★を取得したものとみなす扱いは書かれていません。ISMS適合性評価制度との整合は、★5の検討の中で令和8年度以降に配慮していくとされています。

ISMS認証の仕組みやPDCAの回し方は、次の記事で整理しています。

あわせて読みたい

ISMS（ISO/IEC 27001）認証取得の流れと勘所。PDCA・適用宣言書・リスクアセスメント・審査まで

発注側が委託先管理に組み込む手順#

発注側の役割は、取引先に対して望ましい★を示し、取得の有無を確認することです。制度構築方針は、取引先ですぐに★を取るのが難しい場合、発注者が配るチェックリストとして本制度の要求事項と評価基準を使う方法も挙げています。独自のチェックシートを★の要求事項に置き換えるだけでも、受注側は複数の取引先に同じ回答を使い回せるようになり、制度が解こうとしている「要求のばらつき」を発注側から減らせます。

どの取引先にどの★を求めるかについて、制度構築方針は判断の流れの例を示しています。前提は、受発注など事業上重要な業務の多くがIT基盤に依存している取引先であることです。単発の調達や、市販品のように市場で容易に代わりが見つかる調達は、この流れの対象から外すことも考えられるとされています。

判断した結果は、調達と契約の手続に落とし込まないと運用されません。本メディアとしては、次のような置き場所を勧めます。いずれも制度が定める様式ではなく、既存の委託先管理に★を組み込むための整理です。

• 取引先台帳に、重要度の判定結果、求める★、取得状況、有効期限の列を追加し、年1回の見直し時期を決めておく
• 新規の委託や更新の際の選定基準に、求める★または同等の対策状況の確認を入れる
• 契約や覚書に、求める★の維持、有効期限切れや適用範囲の変更があった場合の通知、インシデント発生時の報告の時期と窓口、契約終了時の機密情報の回収と破棄を書く
• 評価結果の詳細を受け取る場合は、秘密保持契約などの情報保護措置を取る。制度構築方針も、評価結果を秘密保持契約の締結等のうえで任意に開示し、リスクコミュニケーションの道具として使うことを想定している
• 再委託先は、元の発注者ではなく直接の委託先が判断して適用する前提で、直接の委託先に再委託先の管理状況を報告してもらう

受注側に対策を求める以上、費用と期間への配慮も欠かせません。経済産業省と公正取引委員会は、SCS評価制度に基づく対策要請を円滑に行い、発注者と相手方がパートナーシップを築いて対策と価格交渉を行い合意に至る想定事例として、独占禁止法と取適法(旧下請法)の上で「問題とならない」事例と解説を作成しているとIPAが紹介しています。一方的な要請で相手に負担を寄せる形は法令上の論点になり得るため、要請の前に想定事例を確認し、猶予期間や支援策とあわせて提示するのが無理のない進め方です。発注者が取引先に安全に使える環境を提供することも、発注者の役割として制度構築方針に挙げられています。

サプライチェーン攻撃の典型的な侵入経路と、C-SCRMの考え方は次の記事で扱っています。

あわせて読みたい

サプライチェーン攻撃の構造と防御の考え方。ソフト・ハード・サービス経由の侵入をどう減らすか

受注側の中小企業が準備を始める順序#

取引先から「★3を取ってほしい」「★4相当の対策状況を教えてほしい」と言われたとき、最初にやるべきことは製品選びではなく現状把握です。評価基準は具体的な対策の実施状況を問うので、自社のIT基盤に何があり、誰がどう管理しているかが分からないと、自己評価の欄を埋められません。

★4を求められている場合は、上記に加えて、実地審査で例示されている脆弱性の管理体制、インシデント対応手順、事業継続要件に沿った復旧準備を、証跡を見せられる形で整えます。技術検証ではVPN装置やルータなどインターネットに公開している機器が脆弱性検査の対象になり得るため、公開機器の一覧、ファームウェアの更新履歴、直近の脆弱性診断の結果をそろえておくと慌てずに済みます。制度構築方針は、直近の脆弱性検査の結果など相当する証跡の提出で技術検証を代替することも検討するとしています。

★の要求事項と、社内のセキュリティポリシーや規程の体系をどうつなぐかは、次の記事が参考になります。

あわせて読みたい

社内セキュリティポリシーの作り方。基本方針・対策基準・実施手順の三層で実効性をつくる

誤解しやすい点#

「★がないと取引できなくなる」は誤りです。制度は任意で、取得の要否は取引先との合意で決まります。ただし取引先が契約条件として★を求めること自体は制度の想定どおりの使い方なので、「任意だから対応しなくてよい」とも言い切れません。求められたら、期限と範囲を協議したうえで準備を進めるのが現実的です。

「特定の製品を入れれば★が取れる」も誤りです。注意喚起が明記しているとおり、評価基準の達成に特定の製品の導入は必須ではありません。★3の要求事項には、ID管理の手続、パスワードの設定ルール、アクセス権の管理ルールのように、手続やルールと設定の状態を問うものが並んでいます。製品の追加を検討する前に、既存の機器やサービスの設定と運用の見直しで対応できないかを確かめる方が、費用を抑えられます。

「★3を取ってから★4」という順番も必須ではありません。★4は★3の事項を含むため、取引先から★4を求められているなら直接★4を目指せます。逆に、事業継続や情報管理のリスクの根拠がないまま★4を求めると、受注側に過度な負担がかかり、要求のばらつきと負担を減らすという制度の狙いと合わなくなるおそれがあります。

まとめ#

SCS評価制度は、委託元が委託先の対策を確かめにくく、委託先が取引先ごとのばらばらな要求に疲弊しているという課題に対して、★3と★4という共通の物差しを用意する任意の制度です。★3は一般的な攻撃を想定した26件の基礎的な対策を専門家確認付き自己評価で、★4は供給停止や重要な情報の漏えいにつながる攻撃を想定した43件の対策を第三者評価で確かめます。IPAのよくある質問では、★3と★4の運用開始は2027年3月頃の予定で、申請方法や解説書は2026年10月頃に公開される予定です。

発注側は、取引先の重要度を事業継続と情報管理の二つの軸で判定し、求める★を取引先台帳と契約に落とし込み、費用と期間への配慮を添えて要請します。受注側は、求められている内容の確認、適用範囲の決定、IT基盤の棚卸し、★3の自己点検、影響の大きい穴からの是正、規程と記録の文書化という順で進めれば、運用開始の時点で慌てずに済みます。ISMS認証を持つ組織も、★の評価基準と一件ずつ突き合わせて差分を埋めておくと、取引先への説明がしやすくなります。

制度の7分類の土台になっているNIST CSFの機能と、組織の対策状況の見える化の方法は、次の記事で解説しています。

あわせて読みたい

NIST CSFで自組織のリスクを棚卸しする。6つの機能で現在地を測る進め方