セキュリティ対策評価制度(SCS評価)とは？概要と求められる事を解説|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年09月09日更新日時: 2026年08月01日

「サプライチェーン強化に向けたセキュリティ対策評価制度」（略称：SCS評価制度）は、企業のセキュリティ水準を共通の基準で評価・可視化し、対策の度合いを３段階（★3〜★5）で示すことで、取引先や発注者が信頼性を判断しやすくする仕組みです。

経済産業省および内閣官房国家サイバー統括室が中心となり整備を進めており、2026年3月27日に「制度構築方針」の正式版が公表されました。これはパブリックコメント（93者・569件の意見）の結果を踏まえて最終確定されたものです。

なお、本制度は企業のセキュリティ対策への対応状況を可視化するものであり、事業者のセキュリティ対策レベルを競わせることを目的とした格付け制度ではないとされています。

登録プロセスや評価基準は明確に定められており、中小企業向けの自主宣言制度である「SECURITY ACTION」とも関連しています。既存の取り組みを土台にステップアップできる点が特徴です。

★3・★4は2026年度末頃の制度開始（申請受付の開始）を目指しています。

参考：経済産業省「SCS評価制度の構築方針」公表（2026年3月27日）

なぜ制度が必要なのか

取引先のセキュリティ水準を担保する方法は、発注者（委託元企業）と受注者（委託先企業）の双方にとって長年の課題です。従来はチェックシートやアンケートによる確認が主流でしたが、統一基準がないため取引先ごとに要求がばらつき、双方に過度な負担が生じてきました。さらに、これらの手法は形骸化しやすく、サプライチェーン全体に被害が波及する現実を防ぎ切れないことも明らかになっています。

IPAが2024年度に実施した中小企業実態調査では、サイバー攻撃の被害に遭った中小企業の約7割が「取引先にまで影響が及んだ」と回答しています。

事例として、2022年に発生した小島プレス工業のインシデントが挙げられます。この事例では、同社が利用していたリモート接続機器の脆弱性を突かれシステムが被害を受け、取引先である自動車メーカーの国内全工場が一時的に稼働停止に追い込まれました。1社の弱点が取引網全体に影響を及ぼすというサプライチェーンリスクを象徴する事例です。

本制度は、このような状況に対応するために設計されています。

委託元企業（発注者）にとって：取引先のセキュリティ水準を統一的な基準で把握でき、調達リスクの低減と管理の効率化が期待される
委託先企業（受注者）にとって：自社がどの程度の対策を講じるべきかが明確になり、取引先に対して状況を説明しやすくなる
中小企業にとって：リソースが限られる中でも効率的に必要な対策を進められ、複数の取引先から異なる要求を受ける負担が軽減される

最終的には、こうした取り組みの積み重ねがサプライチェーン全体のセキュリティ水準を押し上げ、経済・社会全体のサイバーレジリエンスを強化することにつながります。

制度の概要

SCS評価制度は、サプライチェーン全体でのセキュリティ対策水準の向上を目指す制度です。特に、取引先へのサイバー攻撃等に起因する情報漏えいリスク、製品・サービスの提供途絶リスク、取引ネットワークを通じた不正侵入等リスクに対する適切なセキュリティ対策を促し、経済・社会全体のサイバーレジリエンスを強化することを目的としています。

本制度の対象は、サプライチェーンを構成する企業等のIT基盤（オンプレミス、クラウド環境を含む）です。一般的にIT基盤に該当しないと考えられる製造環境等の制御（OT）システムや委託元等に提供する製品等については、サプライチェーン全体での共通化が難しいことから直接の対象とはせず、他の制度・ガイドライン等に基づき対策を行うことを想定しています。

主に2社間の取引契約における委託先企業側が対策を実施する主体として想定され、取得単位は法人または企業グループ全体を基本としています。委託元が委託先に適切な段階（★）を提示し、示された対策を促すとともに実施状況を確認する運用が想定されています。

なお、本制度の評価基準を達成するにあたって、特定のセキュリティ対策製品の導入が必須とされているものではありません。要求事項・評価基準を満たす具体的な実装例などをまとめた評価ガイド等は、2026年秋頃を目途に公表する予定です。

求められる対策の3段階（★3〜★5）

本制度は、求められる対策のレベルや評価の方法などによって3段階設けられています。★3の要求事項・評価基準を基礎として、★4ではより広範かつ実践的な対策を含む評価が行われます。

区分	名称	対策の特徴	評価方法
★3	Basic	サプライチェーン企業が最低限実装すべき基礎的な組織的対策とシステム防御策を求め、広く認知された脆弱性を悪用する一般的なサイバー攻撃への対処を目指す水準（25項目の詳細はこちら）	自己評価（専門家の確認を経たもの）
★4	Standard	サプライチェーン企業が標準的に目指すべき水準。組織ガバナンス、取引先管理、システム防御・検知、インシデント対応などを包括的に実施し、被害拡大防止や事業継続を推進する水準（44項目）	第三者評価
★5	（検討中）	より高度なサイバー攻撃に対応する到達点。国際規格におけるリスクベースの考え方を反映し、現時点でのベストプラクティスに基づく対策を実行することを想定	第三者評価（予定）

SCS評価制度における3段階の区分と評価方法（出典：経済産業省「制度構築方針」をもとに作成）

★5は今後検討予定

現在、★3（Basic）と★4（Standard）の要求事項・評価基準が確定しており、2026年度末頃の運用開始を目指しています。

一方、★5については、より高度なサイバー攻撃に対応する位置づけとなっていますが、具体的な対策基準や評価スキーム、開始予定時期などは、2026年度以降に検討が進められる予定です。このため、★5は★3と★4の後に遅れてリリースされることになります。

また、★3〜★5のそれぞれの段階で、米CMMCや英Cyber Essentials、日本の自工会・部工会ガイドラインなど各関連制度・ガイドラインがベンチマークとして設定されていることも特徴の1つです。

SCS評価制度の登録の流れ

★3と★4では評価方法が異なるため、登録の流れも異なります。★5はまだ未定となっています。

★3（Basic）の登録の流れ

★3は自己評価を原則としていますが、専門家による確認を経た自己評価が求められます。有効期間は1年間であり、更新のためには年次での自己評価が必要になります。

評価取得を希望する組織（取得希望組織）が、★3の要求事項に基づいて自己評価を記入
社内外の資格者（情報処理安全確保支援士（登録セキスペ）や、セキュリティプレゼンター、ITコーディネータ等）が、記入内容を評価し、要求事項に対する合否を判断
自己評価結果および資格者による評価を、登録機関に提出
登録機関は、提出された申請内容に問題がないことを確認後、該当組織を台帳に登録・公開

★4（Standard）の登録の流れ

★4は第三者評価が原則のため、自社内で必要な対策を実施後、評価機関からの評価を受ける必要があります。ただ、評価コストの負担を抑える観点で詳細が今後検討されるため、一部流れが変わる可能性も考えられます。有効期間は3年であり、維持するためには毎年1回の自己評価の実施・評価機関への提出と、3年に1回の第三者評価が必要になります。

取得希望組織が、★4の要求事項に基づいて回答を準備
取得希望組織が、認定された評価機関または技術検証事業者に、検証・評価を依頼
評価機関または技術検証事業者が、技術要件を中心に、一部の要求事項について第三者評価を実施
評価機関または技術検証事業者が、評価結果を取得希望組織に通知、認定機関に提出
認定機関が、合格となった組織を台帳に登録・公開

SECURITY ACTIONとの関係

SCS評価制度は、「SECURITY ACTION（セキュリティ対策自己宣言）」から、より高度なセキュリティ対策に取り組む発展系の制度です。

「SECURITY ACTION」は、経営者自身が情報セキュリティ対策に取り組むことを自己宣言する制度で、「1つ星」と「2つ星」の2段階があります。1つ星は企業が情報セキュリティの基本項目に自ら取り組むことを宣言するもので、2つ星はさらに多くの情報セキュリティ対策に取り組むことを宣言するものです。

これは、経営者による自社のセキュリティ対策への意識付けや取り組みの第一歩として機能し、SCS評価制度への登録に向けた準備段階と位置づけられています。「SECURITY ACTION」で基本的なセキュリティ意識と対策を実践した後、さらに一歩進んで★3や★4の取得へとつなげていく流れが想定されています。

制度で求められる具体的な要件

SCS評価制度では、委託先企業（受注者）と委託元企業（発注者）にそれぞれ異なる役割が求められています。制度の目的であるセキュリティ水準の底上げを実現するには、両者の協力が不可欠です。

委託先企業（受注者）に求められる対策

委託先企業側には、まず自社のセキュリティ対策を実施し、制度に基づく評価を取得する責任があります。

★3（Basic）では、25項目の基礎的な組織的対策とシステム防御策の実装が求められます。★4（Standard）では44項目に及ぶ組織ガバナンス、取引先管理、システム防御・検知、インシデント対応などの包括的な対策を実装することが必要です。これらは、自工会・部工会ガイドラインのレベル1・レベル2と関連付けられており、自己評価との連携も検討が進んでいます。

委託元企業（発注者）側の対応

委託元企業側には、取引先に適切な対策を求め、その実施状況を確認する責任があります。

契約においてどの段階（★3または★4）を満たすべきかを明示し、自社の事業継続や機密情報保護に関わるリスクを考慮しながら要求水準を設定します。たとえば、重要な取引先には★4を求める、といった活用が想定されます。また、直近のインシデントや再委託先の重要性に応じて基準を調整し、必要に応じて追加要件を課すことも可能です。

委託元企業は直接管理できない再委託先についても、一次委託先を通じて対策状況を把握する責任があります。特に★4の要求事項には「重要な取引先のセキュリティ対策状況の把握」が含まれており、重要な機密情報を扱う再委託先に対しても一定の適用が期待されます。

なお、経済産業省および公正取引委員会は、委託元企業が委託先にSCS評価制度の★取得を求める際の独占禁止法や中小受託取引適正化法（取適法）との関係を整理し、「問題とならない」ケースを想定した事例と解説文書を2025年12月に公表しています。公的制度を根拠として対策を要請できるため、要求の正当性が担保され、取引先にとっても受け入れやすい設計となっています。

参考：経済産業省「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」

要求事項の大分類一覧

以下は、SCS評価制度における要求事項を大分類ごとに整理したものです。各項目数は、★ごとの要求事項の件数を示しています。

大分類	★3の項目数	★4の項目数	要求概要
ガバナンスの整備	4	6	組織全体のセキュリティ体制の確立、役割・責任の明確化、ポリシーの策定と周知、サイバー攻撃の監視・分析体制の整備、秘密保持契約の締結、およびセキュリティ対策状況の定期的な見直しと経営層への報告を通じて、継続的なセキュリティ対策の推進とガバナンス強化を目指します。
取引先管理	2	4	サプライチェーンにおける取引先との関係性把握、機密情報の取り扱い明確化、重要な取引先のセキュリティ対策状況把握、インシデント発生時の役割・責任、契約終了時の情報回収など、取引先とのセキュリティに関する取り決めと管理を強化します。
リスクの特定	4	4	組織内のIT資産（ハードウェア、OS、ソフトウェア、ネットワーク）の正確な把握と管理、機密情報の分類と管理ルール策定、脆弱性の管理体制とプロセス確立を通じて、潜在的なリスクを明確にします。
攻撃等の防御	8	5	ユーザーおよび管理者のID・アクセス権限の厳格な管理、認証の強化、意識向上トレーニング、安全なシステム構成維持、マルウェア対策、パッチ適用を通じて、サイバー攻撃の侵入と拡大を防ぎます。
データセキュリティ	1	4	組織が取り扱うデータの適切なバックアップ、機密情報の暗号化、重要データの保管場所のルール化、および取引先との情報共有ルールを通じて、データの機密性、完全性、可用性を確保します。
プラットフォームセキュリティ	3	4	ハードウェアおよびソフトウェアの安全な構成維持、不要な機能の削除、サポート期限の管理、パッチ適用、マルウェア対策、ログの取得とレビューを通じて、ITプラットフォームの堅牢性を維持します。
技術インフラのレジリエンス	1	2	ネットワークの適切な分離、境界防御、および社内から社外への不正通信の遮断対策を講じることで、ITインフラの回復力（レジリエンス）を高めます。
攻撃等の検知	1	3	ネットワーク接続、データ転送、ハードウェア・ソフトウェアの挙動の継続的な監視、およびセキュリティインシデントとして扱う対象範囲を明確化し、異常を早期に発見できる体制を確立します。
インシデントへの対応	1	0	セキュリティインシデント発生時の対応手順を明確化し、発見から報告、調査、復旧までのプロセスを整備することで、迅速かつ効果的なインシデント対応を可能にします。
インシデントからの復旧	0	1	事業継続上重要なシステムについて、自然災害や情報機器の故障・不具合を想定した復旧準備（バックアップ、トランザクションデータログ、復旧手順書の整備）を行うことで、迅速な復旧を可能にします。

SCS評価制度における要求事項の大分類と★ごとの項目数（出典：経済産業省「制度構築方針」をもとに作成）

★3では基礎的な管理策に重点が置かれ、★4になると組織ガバナンスや取引先管理、復旧計画などを含むより広範かつ実践的な対策が求められます。こうした体系的な整理によって、自社がどのレベルを目指すべきかを判断しやすくなります。

参考：★3・★4要求事項及び評価基準（Excel）｜経済産業省

中小企業向け支援策

SCS評価制度の制度構築方針の公表にあわせて、経済産業省およびIPA（情報処理推進機構）は、中小企業がスムーズに★を取得できるよう複数の支援策を打ち出しています。

サイバーセキュリティお助け隊サービス（新類型）の創設

中小企業がSCS評価制度の★3および★4を安価かつ簡便に取得できるよう、新たな支援策として「サイバーセキュリティお助け隊サービス」（新類型）が創設されます。制度の詳細・実証事業の参加方法については「サイバーセキュリティお助け隊サービス（新類型）とは？中小企業のSCS評価制度★取得を支援する新制度を解説」で詳しく解説しています。

「サイバーセキュリティお助け隊サービス」は、国が認定した民間事業者が中小企業にセキュリティサービスをワンパッケージで提供する仕組みです。従来型（既存類型）では24時間の異常監視、緊急時の駆け付け支援、相談窓口、簡易サイバー保険などが提供されていましたが、新類型ではSCS評価制度の★3・★4の要件項目のうち未達成の項目について、サービスの導入により達成させることを目的としています。

2026年8月頃から2027年9月頃まで（約1年間）、新類型の制度設計を行うための実証事業が実施される予定です。実証事業に参加する中小企業は、SCS評価制度の対策範囲について実証期間中は無料でセキュリティサービスの支援を受けることができます。

実証事業では、サービス提供事業者が実際に中小企業に対して★3または★4取得のためのサービスを試行的に提供し、サービス機器の内容・品質・価格の検証や、継続的に導入可能な価格要件の検討が行われます。2026年度末頃のSCS評価制度開始にあわせて、新類型のサービス基準案が公表され、先行版としてサービスインする予定です。

参考：経済産業省「サイバーセキュリティお助け隊サービス（新類型）」

「中小企業の情報セキュリティ対策ガイドライン」第4.0版の公開

IPAは2026年3月27日、中小企業が自らSCS評価制度の★3・★4の対策を実施できるよう、「中小企業の情報セキュリティ対策ガイドライン」を第4.0版に改訂して公開しました。変更点の詳細は「中小企業の情報セキュリティ対策ガイドライン第4.0版の変更点を解説」をご覧ください。主な改訂ポイントは以下の通りです。

情報セキュリティ5か条→6か条へ拡充：従来の5か条に「バックアップを取ろう!」を追加。自社診断の項目にも「外部から内部ネットワークへの不要な通信を遮断する」「ウェブサイトを安全に運用する」を追加
SCS評価制度の基本的な考え方を反映：ガイドラインの「第2部実践編」STEP3において、SCS評価制度で求められる要求事項を踏まえた対策の考え方を整理。付録の規程類サンプルやひな型もSCS評価制度に対応する形で拡充
「中小企業のための人材確保・育成の実践ガイドブック」を付録追加：セキュリティ人材の確保・育成を支援する方策と取組事例を掲載

参考：IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版公開（2026年3月27日）

登録セキスペによる支援体制の拡充

IPAでは、情報処理安全確保支援士（登録セキスペ）のうち中小企業向け支援が可能な専門家を「中小企業向けサイバーセキュリティ対策支援者リスト」として公開しています。

中小企業がSCS評価制度の★3を取得する際、セキュリティ専門家として同リストの登録セキスペに適合可否の確認および助言を依頼できるよう、指導テーマに「セキュリティアセスメント」が追加されました。あわせて、登録セキスペ向けの指導要領の作成やスキル習得のためのケース演習等も実施されています。

今後、★3取得に際して「専門家確認」の支援が可能な登録セキスペが掲載されたリストが、IPAホームページに公開される予定です。

今からできる備え

制度の本格運用は2026年度末頃を目指して準備が進められていますが、今の段階から備えておくことが重要です。早めに取り組むことで、将来的な評価取得もスムーズになり、取引先への説明責任も果たしやすくなります。

現状把握

まず取り組むべきは、自社の現状把握です。セキュリティポリシーやルールが整備されているか、脆弱なシステムが放置されていないか、インシデント対応の手順が定められているかといった観点を点検し、基本的な対策の有無を確認しましょう。こうした棚卸しは、★3の基礎的な25項目への対応状況を確認する第一歩となります。

IPAが公開した「中小企業の情報セキュリティ対策ガイドライン」第4.0版には、SCS評価制度の要求事項を踏まえた対策の考え方や規程類のサンプルが整備されています。自社の現状把握と対策立案の出発点として活用できます。

体制づくり

次に、社内体制づくりを進めます。経営層の関与を明確にし、情報セキュリティを担当する責任者を定め、必要に応じて外部の専門家から助言を受けられる体制を準備します。

外部の専門家として、IPAが公開する「中小企業向けサイバーセキュリティ対策支援者リスト」に掲載されている登録セキスペ（情報処理安全確保支援士）への相談も有効です。★3取得に際しては、こうした専門家による「専門家確認」が自己評価プロセスに組み込まれています。

これにより、★4で求められる組織的なガバナンスや取引先管理への対応にもつながります。

日常的な運用

日常的な取り組みも欠かせません。従業員へのセキュリティ教育や、アクセス権限の適切な管理、ソフトウェア更新の徹底、そしてバックアップの実施は、今からすぐに始められる対策です。こうした基礎的な習慣づけが、制度上の評価に直結するだけでなく、実際のインシデント防止にも大きく寄与します。

支援策の活用

中小企業で対策のリソースが不足している場合は、「サイバーセキュリティお助け隊サービス」（新類型）の実証事業への参加を検討するのも有効な選択肢です。実証期間中はSCS評価制度の対策範囲について無料で支援を受けることができ、★取得に向けた具体的なサポートが得られます。

認証のための対策は形式的になりがちですが、SCS評価制度で求められている内容は過度に高度なものではありません。むしろ、事業を安全に継続するための基盤整備として不可欠な内容です。まずは現状把握から取り組み、自社の対策を一歩ずつ積み上げていくことが重要です。準備を早めに始め、自社と取引先の信頼を強化していくことが、今後の事業継続における大きな鍵となるでしょう。

よくある質問（FAQ）

Q. SCS評価制度はいつから始まりますか？: ★3・★4は2026年度末頃の制度開始（申請受付の開始）を目指しています。★5は2026年度以降に要求事項・評価基準の検討が進められる予定です。なお、制度運営基盤の整備状況等により変更となる可能性があります。
Q. SCS評価制度の取得は義務ですか？: SCS評価制度は法令による義務付けではありません。2社間の取引契約等において、委託元が委託先に適切な★段階を提示し、対策を促すとともに実施状況を確認する形での活用が想定されています。
Q. 特定のセキュリティ製品を導入する必要がありますか？: 特定のセキュリティ対策製品の導入が必須とされているものではありません。要求事項・評価基準を満たす具体的な実装例をまとめた評価ガイド等は、2026年秋頃に公表予定です。
Q. OTシステムや製品も対象に含まれますか？: 本制度の直接の対象はIT基盤（クラウド環境を含む）です。製造環境等の制御（OT）システムや委託元等に提供する製品等は直接の対象とせず、他の制度・ガイドライン等に基づき対策を行うことが想定されています。
Q. 中小企業でも対応できますか？: 中小企業向けの支援策が複数用意されています。「サイバーセキュリティお助け隊サービス」（新類型）による安価な取得支援、「中小企業の情報セキュリティ対策ガイドライン」第4.0版による自社対策の指針、登録セキスペによる専門家支援などを活用することで、段階的な対応が可能です。
Q. SECURITY ACTIONとの関係は？: 「SECURITY ACTION」の★1・★2が基本的なセキュリティ意識・対策の出発点となり、そこからSCS評価制度の★3（Basic）、★4（Standard）へとステップアップしていく段階的な構造となっています。

まとめ

SCS評価制度は、サプライチェーン全体のセキュリティ水準を底上げするために整備が進められている重要な制度です。2026年3月27日にパブリックコメントを反映した「制度構築方針」の正式版が公表され、2026年度末頃の制度開始に向けた具体的な道筋が示されました。

★3・★4の要求事項・評価基準が確定し、中小企業向けの支援策（お助け隊サービス新類型、ガイドライン第4.0版、登録セキスペ支援）も整備されつつあります。制度開始に向けて、自社の現状把握や体制づくりなど、今からできる準備を着実に進めていくことが求められます。

セキュリティ対策評価制度(SCS評価)とは？概要と求められる事を解説

なぜ制度が必要なのか

制度の概要