SCS評価制度とは｜★3・★4で求められる対策と、委託元・委託先の準備

SCS評価制度とは、取引先のセキュリティ対策を★3・★4の段階で示し、委託元が確認できるようにする国の制度だ。

経済産業省と内閣官房国家サイバー統括室が2026年3月に方針を公表し、IPAが運営する。IPAは★3・★4の申請受付を2027年3月に始める予定としている。

SCS評価制度とは：サプライチェーンの対策水準を★で示す制度の目的と対象

SCS評価制度は、2社間の取引で委託元が委託先に★を示し、対策を促して実施状況を確かめるための制度だ（経済産業省の制度ページ）。対象は企業のIT基盤（クラウドで運用するものを含む）で、工場の制御システムや委託元に納める製品は直接の対象にしない。業種や企業規模は問わない（IPAのよくある質問）。

SCS評価制度の目的と★の段階

IPAの『情報セキュリティ10大脅威 2026』では、「サプライチェーンや委託先を狙った攻撃」が組織編の2位だった。経済産業省は制度の背景に、委託元は取引先の対策を外から判断しにくく、委託先は複数の委託元から別々の対策を求められるという課題を挙げている。

制度構築方針は、★ごとに想定する脅威を分けている。★1・★2は、IPAのセキュリティ対策自己宣言「SECURITY ACTION」が受け持つ。

★の取得は任意で、格付けでもない。上位の★は下位の要求を含むため、★3を持たずに★4を取ることもできる。

SCS評価制度と既存の自己宣言・ISMS認証との違い

ISMS認証は、組織が自らリスクを評価して管理策を決め、その仕組みが回っているかを審査する。SCS評価制度の★3・★4は、代表的な脅威に効く対策を業界共通の基準にし、インターネットにつながる自社のIT基盤に実装されているかを見る。方針は両者を相互補完と位置づける。

制度が決めるのは要求事項と評価の方法までだ。★を取引の条件にするかは、契約の当事者が決める。

SCS評価制度はいつから始まるか：開始予定と評価の進め方

★3・★4の申請受付は、2027年3月に始まる予定だ。評価の受け方と有効期間は★で異なる。

公表されている開始予定と確かめる資料

2026年11月4日時点の経緯と予定は次のとおり。

最新の日付は、経済産業省とIPAの制度ページで確かめる。

★ごとの評価の受け方と有効期間

どちらも原則として全ての評価基準への適合が求められる。不適合が見つかっても、是正して確認を受ければ取得できる。

申請の前に経営層が自己適合を宣言し、取得した企業はIPAのWebサイトで公開される。登録料はIPAに払う分で、社外の確認者や評価機関への費用はそれぞれとの契約で決まる（制度運営機関の「SCS-100 基本規程」）。

★3・★4で求められる対策の範囲と違い

★3は基本の対策26件を自己評価と専門家の確認で、★4は17件を加えた43件を評価機関の審査で確かめる。要求事項は、ガバナンスの整備、取引先管理、リスクの特定、攻撃等の防御、攻撃等の検知、インシデントへの対応、インシデントからの復旧の7大分類と16中分類からなる。

編集上の想定として、委託先がVPN装置の更新を後回しにし、既知の脆弱性を突かれて委託元から預かったデータを持ち出された場合を考える。この入口は、★3の更新期限と★4の技術検証の両方にかかわる。

★3の要求事項：全取引先に求められる基本の対策

★3の評価基準は、規程に加えて機器の設定と記録まで具体的に決めている。

• 更新：Critical・High、またはCVSS基本値7.0以上の脆弱性を直す更新は、公開から14日以内に適用する。深刻度の説明がない更新も含む。対象は会社支給のパソコンのOS・ブラウザ・Officeソフト、サーバーのOSとミドルウェア、会社支給のスマートデバイスのOSとアプリ、境界のネットワーク機器のOSとファームウェア
• 境界の機器：ファイアウォールとルーターの初期パスワードを強固なものに変えるかリモートアクセスを無効にし、認証のない外からの通信を遮断し、不要になったルールを消す
• 認証：重要な機密情報を扱うクラウドサービスには多要素認証を使う
• 把握：パソコン・サーバーの台数とOS、ネットワーク機器の製造元・モデル・保守事業者、取引先が管理するシステムとの接続を把握する。取引先システムとの接続の情報は年1回以上点検する
• 事故への備え：発見から最終報告までの対応手順と連絡先を決め、重要な情報は遠隔地にもバックアップし、復元手順を用意する

★4で上乗せされる要求と外部の評価

★4では、対策が実際に動いているかを評価機関が確かめる。

方針によれば、実地審査では脆弱性の管理、事故対応の手順、復旧の準備を証跡で確かめる。技術検証は、VPN装置やルーターのように悪用されると社内に入られやすい公開機器に脆弱性検査を行う。直近の脆弱性検査の結果を出して代えることも検討するとしている。

★4の技術検証に備えて、インターネットから見える自社の機器を洗い出し、社内の台帳と照合する方法は、ASMの解説にまとめた。

委託元が取引先に求める準備と、委託先の進め方

委託元は取引先の重要度から求める★を決め、委託先は公開機器と委託元との接続から★3の点検を始める。

委託元：取引先の区分と求める★の決め方

制度構築方針は、求める★の決め方を例として示している。事業継続と情報管理への影響で分け、判断では取引先が扱う機密情報と、自社システムへの接続の有無・範囲を見る。我々は、これらを取引先ごとに一覧にすることを勧める。

★3の要求事項では足りない取引には、★4を求めるか、対策を上乗せする。再委託先にどの★を求めるかは、直接の委託先が判断する。要求事項を共通の確認票にして実施状況を聞く使い方もある。契約では、求める★と満了までの維持、事故の際の双方の役割と責任を決めておく。

経済産業省と公正取引委員会は、取引先に対策を求めること自体は直ちに独占禁止法上の問題にならないとする。ただし、取引上優越した地位にある委託元が、合理的な必要性なく指定の製品・サービスの購入を強いることや、対策のコスト上昇を考えずに一方的に著しく低い対価を定めることは問題になるとしている。★4相当の対策を求める想定事例では、委託元が必要性と費用負担の考え方を説明し、価格交渉で合意した結果を書面に残す。

委託先：★3の自己点検と証跡の整え方

★3の自己評価は、IPAの「自己評価等ガイド」とアセスメントシートを使う。次の順に進めるとよい。

1. 適用範囲を決める。インターネットに公開しているサーバーは必ず含め、他社の社内システムにつながる境界の機器も入れる
2. VPN装置・ファイアウォールなどの公開機器と、委託元との接続を先に点検する。台帳、更新を当てた日付、ファイアウォールのルール、多要素認証の設定を記録として残す
3. 残りの要求事項をアセスメントシートで埋め、足りない対策と、規程はあっても記録がない箇所を分けて直す
4. 専門家の確認を受ける。資格と研修の要件を満たして登録した専門家なら、社内の人でもよい

規程のひな形は、制度に合わせて改訂された『中小企業の情報セキュリティ対策ガイドライン』にある。経済産業省は、制度に係る不適切な勧誘への注意も呼びかけている。外部に頼むときは、相手がIPAの公表する名簿に載っているかを見る。