SCS評価制度とは｜★1〜★5の要求事項と自社が今からできる対応ステップを解説

取引先の大手企業から「経済産業省が新しいセキュリティ評価制度を作ったらしい、御社の対応方針を教えてほしい」と連絡が来た、あるいは業界ニュースで「SCS評価制度」の文字を見て「これは自社に関係するのか」と気になった——そんな状況で本記事にたどり着いた方が多いのではないでしょうか。

SCS評価制度（正式名称：サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省と内閣官房国家サイバー統括室が2026年3月27日に「制度構築方針」を公表した任意の評価制度です。★3・★4の申請受付は2026年度末頃（2027年1〜3月頃）の開始を目指しています。

ただし任意制度とはいえ、取引先との契約で事実上の要件化が進む可能性があります。「対象は自社に及ぶのか」「いつまでに何を準備すべきか」を短時間で判断する必要が生じます。

本記事は、制度の一文定義と自社への該当性・任意/義務・開始時期を冒頭ボックスで即答したうえで、★1〜★5レベル区分の全体像、★3・★4の要求事項カテゴリと代表項目、既存認証（SECURITY ACTION／ISMS／Pマーク／NIST CSF）との違い、自社レベルの判定フロー、対応の実務ステップまでを解説します。

SCS評価制度の要点【最短4問即答】

ここからは、SCS評価制度について検索する担当者が最初に判断したい「対象・任意or義務・開始時期・何をすべきか」の4問を、公式資料にもとづき即答します。詳しい根拠は各項目のリンク先で確認できます。

出典・参考資料（3件）

• 出典：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）｜経済産業省
• 出典：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）｜IPA
• 出典：SCS評価制度に関するよくあるお問合せ（FAQ）｜経済産業省（PDF）

SCS評価制度とは（正式名称・一文定義と制度趣旨）

この節では、SCS評価制度の正式名称・略称と、制度が目指す姿・制度実施主体を整理します。

制度の正式名称・略称・一文定義

SCS評価制度は「サプライチェーン強化に向けたセキュリティ対策評価制度」の略称で、SCSは英語表記「Supply Chain Security」の頭文字に由来します。委託元が委託先に求めるセキュリティ水準を共通の物差しで示し、サプライチェーン全体のセキュリティ対策水準の向上を図るための任意評価制度です。

委託先へのサイバー攻撃等を起因とした自社事業・サービスの提供途絶／機密情報の漏えい、改ざんや委託先等を踏み台とした不正侵入等のリスクに対する適切なセキュリティ対策の実施を促し、サプライチェーン全体でのセキュリティ対策水準の向上を図ること

IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」（ipa.go.jp/security/scs/index.html）

SCS評価制度の対象範囲（IT基盤・外部ネットワーク境界／非対象＝OT・販売製品）

制度の適用範囲はIT基盤と外部ネットワーク境界に限定されており、制御(OT)システムや取得希望組織の管理・運用下にない機器は対象外です。制度構築方針では以下のように定義されています。

本制度は、サプライチェーンを構成する企業等のIT基盤(クラウド環境で運用するものも含む。)を対象とする。一般的にIT基盤には該当しないと考えられる製造環境等の制御(OT)システム、発注元等に提供する製品等については求められる対応が基本的に異なることから直接の対象とはせず、他の制度・ガイドライン等に基づき対策を行うことを想定する。

経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」p.8（meti.go.jp/files/900017305.pdf）

適用範囲に含まれるのは、業務共通のサーバ群、エンドポイント機器（PC・スマートデバイス等）、クラウドサービスや親会社が提供するグループ共通ネットワークなど「他社と対策責任を共有するIT基盤」、そしてファイアウォール・ルータ・VPN装置等の外部ネットワーク境界機器です。

逆に、一方向セキュリティゲートウェイで区切られた製造拠点の制御システムや、発注元に販売する組込機器・IoT製品などは適用範囲から除かれます。

制度実施主体（IPA・経済産業省）と申請の枠組み

制度所管は経済産業省と内閣官房国家サイバー統括室で、運用主体はIPA（独立行政法人情報処理推進機構）です。IPAはスキームオーナーとして事務局を担い、指定委員会・評価機関・技術検証事業者・セキュリティ専門家・研修事業者の各機能を通じて評価スキームを運営します。

★3の申請は「取得希望組織による自己評価→セキュリティ専門家による確認・助言→経営層による自己適合宣誓→事務局への提出→台帳への登録・公開」の流れ、★4は「指定委員会が評価機関・技術検証事業者を指定→取得希望組織が自己評価→評価機関による文書確認・実地審査・技術検証→評価報告書提出→事務局への登録申請→台帳登録・公開」の流れです。

出典・参考資料（2件）

• 出典：SCS評価制度の詳細情報｜IPA
• 出典：「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）を公表しました｜経済産業省

★1〜★5レベル区分の1枚統合表

以下では、★1〜★5の各段階が誰向け・何が違うのかを1枚の表で整理します。SCS評価制度で先行運用される★3・★4の要求事項数（26件／43件）は、IPA公式「SCS評価制度の詳細情報」ページの記載を正本としています。ベンダー各社の解説記事では★3=81項目・★4=72項目とする独自集計も見られますが、制度公式の数字は26件と43件で、以後の記載はこれに統一します。

レベル	対象・水準	要求事項数	評価方法	有効期間	目安となる会社像
★1	SECURITY ACTION の一つ星（自己宣言）	情報セキュリティ6か条	自己宣言	ロゴ使用可（更新周期は自主管理）	まず宣言から始める中小事業者
★2	SECURITY ACTION の二つ星（自己宣言）	5分でできる自社診断＋基本方針の外部公開	自己宣言	ロゴ使用可（更新周期は自主管理）	基本方針まで整えた中小事業者
★3	全てのサプライチェーン企業が最低限実装すべき対策（基礎的な組織的対策とシステム防御）	26件	専門家確認付き自己評価	1年	取引先から一般的なセキュリティ水準を求められる企業
★4	サプライチェーン企業等が標準的に目指すべき対策（組織ガバナンス・取引先管理・システム防御・検知・インシデント対応の包括的対策。実地審査・技術検証あり）	43件	第三者評価	3年	供給停止で発注元に大きな影響を与える企業／重要な機密情報を扱う企業
★5	さらに目指すべき高度な対策（国際規格等のリスクベース＋ベストプラクティス）	今後検討	第三者評価	今後検討	今後検討（2026年度以降に基準・スキーム具体化）

★1・★2（SECURITY ACTIONベースの自己宣言）

★1・★2は、IPAが運営する自己宣言制度「SECURITY ACTION」に対応します。★1（一つ星）は「情報セキュリティ6か条」への取組を自己宣言することで取得でき、★2（二つ星）は「5分でできる情報セキュリティ自社診断」で現状を把握したうえで「情報セキュリティ基本方針」を定め外部公開することで取得できます。

IPAは「認定するものではありません」と明記しており、費用はロゴマークの使用も含めて無料です。

出典・参考資料（1件）

• 出典：SECURITY ACTION 中小企業自らが情報セキュリティ対策に取組むことを自己宣言する制度｜IPA

★3（26件・専門家確認付き自己評価・有効期間1年）

★3は「全てのサプライチェーン企業が最低限実装すべきセキュリティ対策」として、26件の要求事項を専門家確認付き自己評価で満たすことを求めます。評価の流れは、取得希望組織が要求事項に基づき自己評価を記入し、セキュリティ専門家が確認・助言を行い、経営層による自己適合宣誓を含めて事務局に提出、事務局が申請内容を確認し台帳に登録・公開する、というものです。

有効期間は1年で、以降の更新は再度の自己評価と専門家確認が必要になります。

ここで求められる「セキュリティ専門家」は、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001主任審査員のいずれかの資格保持者で、かつ制度が定める研修を受講した者を指します。単に社内の情報システム担当者であれば良いというものではない点に注意が必要です。研修事業者の公表は2026年12月末頃を予定しています。

★4（43件・第三者評価・有効期間3年）

★4は「サプライチェーン企業等が標準的に目指すべきセキュリティ対策」として、★3の26件に加えて組織ガバナンス・取引先管理・データ暗号化・ログ分析・出口対策など包括的な対策を含む43件の要求事項を、指定された評価機関による第三者評価で満たすことを求めます。評価は文書確認・実地審査・技術検証を含み、有効期間は3年です。

★4の評価機関・技術検証事業者は、IPAが指定委員会を通じて指定・公表します。制度構築方針では2026年12月頃の公表を予定しています。第三者評価にかかる費用の具体的目安は現時点で公表されていませんが、評価機関の指定・公表と取得ガイド（2026年10月頃）の公表以降に、実務相場が明らかになる見通しです。

★5（検討中：2026年度以降に基準検討予定）

★5は「サプライチェーン企業等がさらに目指すべき高度な対策」として、国際規格等におけるリスクベースの考え方に基づき、自組織に必要な改善プロセスを整備した上でシステムに対しては現時点でのベストプラクティスに基づく対策を実施することを想定しています。

要求事項数・評価スキーム・有効期間・開始時期は現在検討中で、経済産業省プレスリリースでは「2026年度以降、要求事項・評価基準や評価スキームの具体化の検討を進めます」とされています。

ベンチマークとしてはISO/IEC27001や自工会・部工会ガイドラインLv3等が挙げられています。

★3／★4の要求事項カテゴリと代表項目

次に、★3・★4の26件／43件が具体的にどのような分類に整理され、各分類の代表項目は何かを、制度構築方針の別添をもとに解説します。「26項目・43項目」の数字だけを追うのではなく、カテゴリと代表項目まで押さえておくと、社内の現状棚卸しとギャップ分析にそのまま使えます。

要求事項の分類軸（NIST Cyber Security Framework＋取引先管理）

制度構築方針は、★3・★4の要求事項を7つの大分類に整理しています。原文表記は「NIST Cyber Security Framework(CSF)」の6機能に、取引先管理を加えた7分類です。統治機能（Govern）を含む6機能構成は、NIST CSF 2.0（2024年2月24日リリース）で確立された分類に相当します。

NIST Cyber Security Framework(CSF)の機能に対応した６つの分類に、取引先管理に重点を置いた分類を加えた７つの分類において、それぞれレベルごと達成すべき対策を提案。

経済産業省・内閣官房国家サイバー統括室「制度構築方針」p.16（meti.go.jp/files/900017305.pdf）

SCS評価制度の大分類	NIST CSFの対応機能
ガバナンスの整備	統治（Govern）
取引先管理	— （SCS独自）
リスクの特定	識別（Identify）
攻撃等の防御	防御（Protect）
攻撃等の検知	検知（Detect）
インシデントへの対応	対応（Respond）
インシデントからの復旧	復旧（Recover）

★3の要求事項カテゴリ×代表項目（26件を分類軸で棚卸し）

★3の代表項目は、制度構築方針p.16の要求事項一覧から、各分類の中心的な項目を抜粋すると次のようになります。

• ガバナンスの整備：自社のセキュリティ担当の明確化（No.1-2-1）、セキュリティ対応方針の策定（No.1-3-1）
• 取引先管理：他社との機密情報の取扱い明確化（No.2-1-2）、接続している外部情報サービスの把握（No.3-1-3）
• 攻撃等の防御：ID管理手続・アクセス権限の設定（No.4-1-1, 4-1-2）、パスワードの安全な設定・管理（No.4-1-4, 4-1-5）、内外ネットワーク境界の分離・保護（No.4-5-1）、適時のアップデート適用（No.4-4-1, 4-4-4）、端末等へのマルウェア対策（No.4-4-1, 4-4-4）
• インシデントへの対応：インシデント対応手順の作成（No.6-1-1）

★3で求められるのは、いずれも「一般的な脅威に対する最低限の対処」として想定される基礎的な対策です。ISMSやPマークを取得済みの企業では、既に対応済みの項目が多く含まれます。

★4の要求事項カテゴリ×代表項目（43件・★3との差分に焦点）

★4は★3の26件に、被害拡大防止・取引先保護を含む包括的対策を加えた43件です。★3にない★4固有の代表項目は次のとおりです。

• ガバナンスの整備：定期的な経営層への報告、不備の是正等（No.1-4-1）
• 取引先管理：機密情報共有先の把握（No.2-1-1）、重要な取引先等の対策状況把握（No.2-1-3）、インシデント発生時の他社との役割等の明確化（No.2-1-4）
• 攻撃等の防御：重要な保管データの暗号化（No.4-3-1, 4-3-2）、ログの収集・定期的な分析の実施（No.4-4-3）、社内システムにおける適切なネットワーク分離（No.4-5-1）、社外への不正通信の遮断＝出口対策（No.4-5-2）

★4では「重要な取引先等の対策状況把握」（No.2-1-3）に代表される取引先管理の粒度が上がり、実地審査で「サプライチェーンの中で自社が発注側として管理すべき委託先の状況を、継続的にどう可視化しているか」を確認されます。これはTPRM（Third-Party Risk Management、サードパーティリスク管理）が実務的に扱う領域と重なります。

出典・参考資料（2件）

• 出典：サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針｜経済産業省・内閣官房国家サイバー統括室（PDF）
• 参考資料：NIST Cybersecurity Framework 2.0｜NIST

自社が目指すべき★レベルの判定フロー

以下では、自社が★3で足りるのか、それとも★4まで目指すべきかを、制度構築方針p.15の判定樹に沿って判断するフローを解説します。

発注側／受注側の立場整理（どちらから始まる話か）

SCS評価制度は、委託元が委託先に「求めるセキュリティ水準」を提示する仕組みなので、自社が発注側か受注側かで議論の入り口が異なります。

受注側企業は「取引先から★何を求められそうか」から入り、発注側企業は「重要な委託先に★何を求めるか」の設計から入ります。両方の立場を持つ企業（例：中堅システムインテグレーターは大手金融機関の受注側かつ協力会社への発注側）は、両サイドから判定します。

発注側として委託先の★取得状況を継続管理する仕組みはTPRMツールが担うため、後述の「SCS対応に役立つソリューション」節も併せて確認してください。

目指す★を決める判定フロー

制度構築方針p.15は、受注側の立場から「事業活動上重要な業務の多くがIT基盤に依存している取引先」を前提に、次の2つのリスク観点で判定樹を提示しています。

【事業継続リスク】取引先の事業中断により自社の事業継続上重要な業務に許容できない遅延等が生じ得るか → YES → ★4

【判断において考慮すべき観点の例】製品・サービス供給の中断による自社への影響範囲／同業他社からの調達可否／在庫確保の困難さ

NO の場合：【情報管理リスク】取引先へのサイバー攻撃等により自社の機密等に係る情報管理に重大な影響が生じ得るか → YES → ★4／NO → ★3

【判断において考慮すべき観点の例】取引先による自社の重要な機密情報へのアクセス可否／取引先から自社のシステム、ネットワークへのアクセス可否／取引先からアクセス可能な自社システム・ネットワークの範囲

経済産業省・内閣官房国家サイバー統括室「制度構築方針」p.15（meti.go.jp/files/900017305.pdf）

実務では、このフローを「自社が発注側として重要な委託先に何を求めるか」に置き換えると使いやすくなります。「もしこの委託先が2〜3か月止まったら自社の受注業務が事業継続不可になるか」が YES であれば、その委託先に★4を求めるのが妥当です。「機密情報や自社ネットワークへのアクセスを許している委託先か」が YES であれば、同じく★4です。それ以外は★3で十分な水準を確保できると想定されています。

受注側の企業は、主要取引先に対してこの2問を自問し、両方 NO であれば★3、いずれか YES であれば★4を目標にする、と読み替えられます。

業種別の目安（製造業サプライチェーン／受託開発・BPO・SaaS／政府調達関与）

業種別に見ると、SCS★3・★4は自工会・部工会サイバーセキュリティガイドラインのLv1・Lv2に対応します。制度構築方針p.26では、SCS★3が自工会・部工会ガイドLv1と、SCS★4がLv2〜3の一部と対応関係にあるとされています。自動車部品業界のティア1・ティア2サプライヤーは、自工会・部工会Lv2が事実上の共通基盤となっているため、SCS★4を目標に据えるのが自然です。

受託開発・BPO・SaaSは、大手金融機関や事業会社からの委託がある場合、機密情報や本番システムへのアクセスを許容している立場になりやすく、判定フローの「情報管理リスク」がYESになる可能性が高い業種です。★4準備を早期に検討する価値があります。

政府機関等や重要インフラ事業者の調達に関わる可能性がある事業者は、経済産業省FAQで「政府機関等や重要インフラ事業者等における調達等での活用は、今後検討してまいります」との回答があり、将来的に★取得が入札条件になる可能性を織り込むと、★4の準備を先行させる判断もあります。

出典・参考資料（2件）

• 出典：サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針｜経済産業省・内閣官房国家サイバー統括室（PDF）
• 参考資料：自工会/部工会・サイバーセキュリティガイドライン｜日本自動車工業会

既存認証との違い（SECURITY ACTION／ISMS／Pマーク／NIST CSF）

本節では、SCS評価制度と既存の情報セキュリティ関連認証との違いを整理し、「既存認証を持っていればSCS★3・★4は免除されるのか」という実務上よくある疑問に答えます。

各制度の目的・評価軸・対象の比較表

各制度は目的・評価軸・対象が異なる相互補完的な仕組みで、単純に「上位互換／下位互換」の関係にはありません。

制度	目的	評価軸	対象	評価主体
SECURITY ACTION	中小企業自らの情報セキュリティ対策取組宣言	情報セキュリティ6か条／基本方針の外部公開	中小企業	自己宣言（IPA運営）
SCS評価制度（★3・★4）	サプライチェーン全体のセキュリティ水準の可視化	代表的な脅威を参考にした管理策のベースラインアプローチ	業種・規模不問（中小〜大企業）	専門家確認付き自己評価（★3）／第三者評価（★4）
ISMS適合性評価制度	組織的な情報セキュリティマネジメントシステムの認証	組織自らのリスクアセスメントに基づく管理策	全業種・全規模	認定機関認定の審査機関
プライバシーマーク	個人情報を適切に管理している事業者の証明	個人情報保護マネジメントシステム（JIS Q 15001）	個人情報を扱う事業者	JIPDECほか指定機関
NIST CSF 2.0	組織のサイバーセキュリティリスク管理の枠組み	6機能（統治・識別・防御・検知・対応・復旧）＋実施ティア	あらゆる組織（フレームワーク）	認証制度ではない（自己活用）

既存認証でSCS★3・★4は免除されるか（現時点の公式姿勢と実務上の活用範囲）

結論から言うと、現時点でISMS認証やPマークを取得していても、SCS評価制度★3・★4の要求事項カバーは別途評価が必要です。制度構築方針は次のように相互補完的な関係と位置付けています。

本制度(★３・★４)は、先行する仕組みである「SECURITY ACTION」「自工会・部工会ガイドライン」や、国際標準であるISMS適合性評価制度等と相互補完的な制度として発展することを目指す。

経済産業省・内閣官房国家サイバー統括室「制度構築方針」p.26（meti.go.jp/files/900017305.pdf）

ただしISMSやPマークを取得している企業は、要求事項のうち「組織的対策」（セキュリティ担当の明確化・対応方針の策定・インシデント対応手順の作成など）で既に対応済みの項目が多くあります。

ゼロから準備を始めるよりも、既存の管理策台帳とSCS要求事項リストをマッピングし、追加で必要な項目（★4であれば「重要な取引先等の対策状況把握」「社内システムのネットワーク分離」「出口対策」等）を洗い出す進め方が現実的です。相互補完的な位置付けをうまく活かせば、既存投資を捨てずにSCS★3・★4を上積みできます。

出典・参考資料（3件）

• 出典：SECURITY ACTION 制度｜IPA
• 参考資料：ISMS適合性評価制度｜JIPDEC
• 参考資料：プライバシーマーク制度｜JIPDEC

自社の現状ギャップ測定の手順

続いて、自社が目指す★レベルを決めた後にまず何をチェックすればよいかを、既存認証（ISMS/Pマーク/SECURITY ACTION）で置換できる部分と追加で必要な部分の整理を軸に解説します。

最初のステップは、自社のIT基盤の棚卸しです。制度の対象範囲はサーバ群・エンドポイント機器・クラウドサービス・外部ネットワーク境界機器なので、「どのシステムが業務共通のIT基盤か」「どの取引先とネットワーク接続を共有しているか」「機密情報がどこに保管されているか」を、事業単位ではなくIT基盤単位で一覧化します。

この段階でクラウド利用の全体像やSaaS連携先が抜けていると、★4の「重要な保管データの暗号化」「社内システムのネットワーク分離」の要求事項に対応漏れが生じます。

次に、既存認証との突き合わせを行います。ISMSがあれば、その管理策台帳（Annex A管理策の実装状況）とSCS要求事項マップを並べ、「SCS要求事項No.1〜No.7の分類ごとに、ISMSでカバーできている項目・カバーできていない項目」を洗い出します。Pマークがあれば、個人情報保護マネジメントの範囲でカバーできる項目（アカウント・アクセス管理の一部、インシデント対応体制など）を先に消込みます。

SECURITY ACTIONの二つ星までしか取得していない場合は、実質的にはゼロベースに近い準備が必要と考えたほうがよいでしょう。

3つ目のステップは、要求事項リストと現状の差分整理です。制度構築方針の別添「★3・★4要求事項及び評価基準」（別添PDF・別添Excelとしてプレスリリースから公開）を入手し、各要求事項に「対応済み・部分対応・未対応・対応方針検討中」の4区分で自己評価します。この段階では文書化の粒度は問わず、まず全体像として「26件／43件のうち、いくつが対応済みか」を把握することが目的です。

4つ目は、経済産業省が2026年3月に改訂・公開した「中小企業の情報セキュリティ対策ガイドライン（改訂版）」の活用です。プレスリリースでは以下のように、SCS★3・★4対策の考え方をガイドラインの「第2部 実践編」STEP3に整理したと明記されています。

中小企業が自らSCS評価制度★3・★4の対策を実施できるよう、「中小企業の情報セキュリティ対策ガイドライン」を改訂し、本日公開しました。具体的には、ガイドラインの「第2部 実践編」STEP3において、SCS評価制度で求められる要求事項を踏まえ、対策を実施するにあたっての考え方を整理しました。

経済産業省ニュースリリース「「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）を公表しました」（meti.go.jp/press/2025/03/20260327001）

ここまでの棚卸し・突き合わせ・差分整理・ガイドライン参照までを、制度の申請受付が始まる2026年度末までの前半（今〜半年）で完了させておくことが、後続の実務ステップに余裕を持たせる鍵です。

対応の実務ステップ（時系列タイムライン）

次のステップとして、SCS評価制度の申請受付開始（2026年度末頃）に向けた実務ステップを、4つの時系列スパンで整理します。制度側の公表スケジュールは、2026年8月頃にセキュリティ専門家・評価機関に関する規則、10月頃に取得ガイドと★3・★4の申請方法、12月頃に評価機関の指定・公表、そして2026年度下期に評価用ガイド等の公表と運用開始が予定されています。

今〜半年：現状棚卸し（IT資産／認証状態／取引先要求の把握）

まず取り組むのは、自社IT基盤の棚卸しと、目指す★レベルの仮決めです。

IT基盤（サーバ群・エンドポイント・クラウドサービス・外部ネットワーク境界機器）の一覧化、既存認証（ISMS／Pマーク／SECURITY ACTION）の取得状況と管理策マッピング、主要取引先からSCSに関する要求が来ているか・来そうかの確認、そして自社の判定フロー（事業継続リスク・情報管理リスク）に基づく★3または★4の仮目標決定を、この期間で完了させます。

同時に、経済産業省ニュースリリースからリンクされているガイドライン改訂版と制度構築方針本編（40ページ）を情報システム部門・セキュリティ担当者で読み込み、社内の共通理解を作ります。

半年〜1年：ギャップ埋めと証跡運用の仕組み化

棚卸しで明らかになった未対応・部分対応の要求事項について、対策の実装と証跡運用の仕組み化を進めます。★4を目指す場合は、取引先管理（重要な取引先の対策状況把握、機密情報共有先の把握、インシデント発生時の他社との役割明確化）、ログ収集・分析、暗号化、ネットワーク分離、出口対策など、★3にない項目の実装がこの期間の中心です。

手作業でエビデンスを集める運用は継続が難しいため、IT資産管理・ログ管理・特権ID管理・脆弱性管理などのツール活用による証跡自動収集を早い段階で仕組み化することで、審査対応の負荷を軽減できます。

この期間中に、経済産業省が2026年8月頃・10月頃・12月頃に順次公表する評価機関規則・取得ガイド・申請方法を確認し、社内の対応計画を修正します。中小企業向けには、経済産業省が2026年夏頃から「サイバーセキュリティお助け隊サービス（新類型）」の実証事業を開始する予定で、SCS★3・★4の取得支援（セキュリティポリシー策定などの組織的対策の支援）が提供される見込みです。

申請直前：自己評価の文書化と社内レビュー

申請受付開始の直前3〜6か月は、自己評価文書の作成と社内レビューに時間を割きます。★3であればセキュリティ専門家の選定（情報処理安全確保支援士・公認情報セキュリティ監査人・CISSP・CISA・CISM・ISO27001主任審査員のいずれかで、制度指定の研修受講者。研修事業者は2026年12月末頃公表予定）を進め、専門家による確認・助言のスケジュールを確保します。

★4であれば、公表される評価機関の中から自社の業種・規模・対象システムに適合する評価機関を選定し、文書確認・実地審査・技術検証のスケジュールを事前に確保します。

申請時：★4は第三者評価機関の選定と評価受審

申請受付開始（2026年度末頃）以降、★3は自己評価と専門家確認を経て事務局に申請、★4は評価機関による評価報告書を添えて事務局に登録申請します。事務局が申請内容を確認し、台帳に登録・公開されると取得完了です。★4の第三者評価にかかる費用の具体的な目安は現時点で公表されていませんが、評価機関の指定・公表（2026年12月頃）と取得ガイドの公表以降に、実務相場が判明する見通しです。

取得後の運用フェーズでは、★3は1年、★4は3年の有効期間中に社内のセキュリティ対策水準を維持し、更新時に再度の自己評価または第三者評価を受審します。契約期間が有効期間を超える取引がある場合、経済産業省FAQでは「例えば当該契約の満了までは、必要な★の評価を維持し続けることを求める等の運用が考えられます」と示されており、有効期間中の実質的な維持が求められます。

出典・参考資料（2件）

• 出典：SCS評価制度 よくある質問（FAQ）｜IPA
• 出典：SCS評価制度に関するよくあるお問合せ（FAQ）｜経済産業省（PDF）

SCS対応に役立つソリューション（GRCツール／TPRM／ISMS-Pマーク認証取得支援）

SCS評価制度の要求事項を満たすうえで、経済産業省FAQ Q10では「特定のセキュリティ対策製品の導入を求めるものではありません」と明示されています。ただし★3の証跡運用の仕組み化や、★4の「重要な取引先等の対策状況把握」「ログ収集・分析」「アクセス権限の設定」といった要求事項は、実務的にGRCツール・TPRM・ISMS-Pマーク認証取得支援サービスの機能領域と重なります。

ここでは、SCS対応で活用できる主要な3類型を整理します。

GRCツール（証跡運用・要求事項棚卸しの仕組み化）

GRCツールは、ガバナンス・リスク・コンプライアンスの一元管理を目的としたツールで、SCS評価制度の要求事項マップ管理、対応状況の可視化、証跡（エビデンス）の自動収集、内部監査プロセスの管理などを支援します。ISMSやPマークで既に整備している管理策台帳を、SCS要求事項リストと突き合わせるうえで有効です。

特に★4を目指す場合、43件の要求事項に対する対応状況を継続的に管理する仕組みが必要になり、Excel台帳での運用は更新負荷が急増します。

TPRM（発注側として委託先のSCS取得状況を管理）

TPRM（Third-Party Risk Management、サードパーティリスク管理）ツールは、自社が発注側として持つ委託先のセキュリティリスクを可視化・管理するツールです。★4の要求事項「重要な取引先等の対策状況把握」（No.2-1-3）は、まさにTPRMツールが扱う領域と重なります。

発注側企業が委託先に★取得状況を確認する運用や、委託先のセキュリティ質問票・エビデンス提出を定型化する場面で活用できます。★4の実地審査で「取引先管理の実装状況」を問われる際にも、TPRMツールを介した継続的な確認プロセスが証跡になります。

委託先のリスク評価フロー・質問票運用・スコアリング機能など、TPRMツール全般の選び方や主要サービスの比較は、以下の記事で詳しく整理しています。

ISMS-Pマーク認証取得支援（★3の基礎理解＋認証取得の下地）

ISMS-Pマーク認証取得支援サービスは、既存の情報セキュリティマネジメント認証の取得を伴走支援するサービスで、SCS★3の基礎的な組織的対策（セキュリティ担当の明確化・対応方針の策定・インシデント対応手順の作成など）の下地を作るうえで有効です。

SCS制度は認証取得を義務化するものではありませんが、SECURITY ACTIONの二つ星までしか取得していない企業が★3の水準に一足飛びに到達するのは負担が大きく、ISMSまたはPマークの取得支援を通じて社内のマネジメントシステムを整えることが、SCS★3対応の実質的な近道になるケースがあります。

主要サービスの機能比較

SCS評価制度への対応で活用できる主要サービスを、機能領域とSCS対応観点から比較します。

1. VendorTrustLink（株式会社アトミテック）

VendorTrustLinkは、株式会社アトミテックが提供する国産のTPRM（サードパーティリスク管理）ツールです。SCS★4の要求事項「重要な取引先等の対策状況把握」（No.2-1-3）に直接対応する機能として、委託先へのセキュリティ質問票配布・回答収集・リスクスコアリング・是正管理までを一貫して仕組み化できます。

ISO 31000のリスクマネジメント規格に準拠した設計で、中小企業から大企業まで幅広く採用されています。

自社が発注側の立場で、委託先のSCS取得状況や情報セキュリティ対策の実装状況を継続的に管理したい企業に向いています。

2. SecureNavi（SecureNavi株式会社）

SecureNaviは、中小企業向けのISMS・Pマーク取得支援起点でGRC領域に進出したサービスで、導入企業は1,400社以上・継続率99%以上と公表されています。SCS★3で求められる組織的対策（セキュリティ担当の明確化・対応方針の策定・インシデント対応手順の作成）を、認証取得プロセスを通じて体系的に整備できます。

SecureNavi Proは自工会・部工会サイバーセキュリティガイドラインへの公式対応も行っており、自動車部品業界のティア1・ティア2サプライヤーが同ガイドラインLv1（＝SCS★3対応）またはLv2（＝SCS★4対応）を目指す下地として使えます。

3. Secure SketCH（NRIセキュアテクノロジーズ株式会社）

Secure SketCHは、NRIセキュアテクノロジーズが提供するセキュリティ対策評価プラットフォームで、SCS評価制度への対応では★3・★4の要求事項に沿った標準テンプレートを2026年2月に追加公表しています。

自社のセキュリティ対策実装状況を専用の質問票で棚卸しし、SCS★3・★4への適合ギャップを可視化できるため、経済産業省が公表する要求事項リストを社内で一から整理する負担を軽減できます。累計利用企業は8,000社を突破し、利用者数2.4万人以上、継続利用率90%以上と公表されており、大手金融機関から中堅サプライチェーン企業まで幅広く採用されています。

4. Conoris BP（株式会社Conoris Technologies）

Conoris BPは、AIレビュー機能と業界別テンプレートを持つTPRMツールで、委託先セキュリティ評価の作業時間短縮を強みとしています。パーソルテンプスタッフの事例では、1件あたりのレビュー時間が3時間から1時間（最短20分）に短縮されたと公表されています。

SCS★4の実地審査で「重要な取引先等の対策状況把握」の実装を問われた際に、AI支援による質問票回答レビュー・自社基準との適合判定・是正依頼の管理履歴を証跡として提示できます。

VendorTrustLinkが「SMB向けの汎用性・シェア重視」の位置づけであるのに対し、Conoris BPは「AI活用による業界別テンプレートの深さ」に強みがある点が相補的です。

ここではSCS対応の観点で4サービスに絞って紹介しましたが、GRCツール全体の選び方やタイプ別の主要サービスまで幅広く比較検討したい方は、以下の記事で主要26サービスを整理していますので参考になります。

公式資料リンク集

本記事で参照した公式資料を、社内チェックリストの根拠として使えるようにまとめます。制度の詳細を追う際は、まず経済産業省の制度構築方針本編PDF（40ページ）と、IPAの詳細情報ページを合わせて確認するのが最短です。

出典・参考資料（13件）

• 出典：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）｜経済産業省（制度全体のポータル）
• 出典：「制度構築方針」（SCS評価制度の構築方針）を公表しました｜経済産業省ニュースリリース（2026年3月27日）
• 出典：サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（本編PDF）｜経済産業省・内閣官房国家サイバー統括室（★3・★4の要求事項・評価スキーム・スケジュール等の一次情報）
• 出典：SCS評価制度の概要（1ページ図PDF）｜経済産業省（★段階・要求事項数・評価方法の1枚統合図）
• 出典：SCS評価制度に関するよくあるお問合せ（FAQ）｜経済産業省（PDF、21問）
• 出典：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）｜IPA
• 出典：SCS評価制度の詳細情報｜IPA（★3=26件・★4=43件・評価スキーム・有効期間・専門家要件・スケジュールの一次情報）
• 出典：SCS評価制度 よくある質問（FAQ）｜IPA
• 出典：SECURITY ACTION 制度｜IPA（★1・★2の一次情報）
• 参考資料：自工会/部工会・サイバーセキュリティガイドライン｜日本自動車工業会
• 参考資料：NIST Cybersecurity Framework 2.0｜NIST
• 参考資料：ISMS適合性評価制度｜JIPDEC
• 参考資料：プライバシーマーク制度｜JIPDEC

よくある質問（FAQ）

Q. SCS評価制度とは何ですか？

A. SCS評価制度は、経済産業省と内閣官房国家サイバー統括室が2026年3月27日に制度構築方針を公表した「サプライチェーン強化に向けたセキュリティ対策評価制度」の略称で、サプライチェーン全体のセキュリティ対策水準を可視化するための任意の評価制度です。SCSは英語表記「Supply Chain Security」の頭文字に由来します。

★1・★2はIPAが運営する「SECURITY ACTION」ベースの自己宣言、★3（26件・専門家確認付き自己評価・有効期間1年）と★4（43件・第三者評価・有効期間3年）が先行運用され、★5は今後検討中です。★3・★4の申請受付は2026年度末頃（2027年1〜3月頃）の開始を目指しています。

Q. SCS評価制度への対応は義務ですか？

A. SCS評価制度は任意制度で、法令上の義務や罰則はありません。ただし委託元が委託先に求める共通のセキュリティ水準として設計されているため、取引契約で★取得が事実上の要件になる可能性があります。

経済産業省FAQ Q2でも「★の取得は委託元（または委託先）との取引契約において決められるものであり、本制度として何らかの規制を課すものではありません」と明記されています。契約上の扱いについては「独占禁止法上及び取適法上適切に本制度を活用することが求められます」（同FAQ Q8）と、優越的地位の濫用にならない運用も併せて示されています。

Q. SCS評価制度は中小企業も対象になりますか？

A. SCS評価制度は業種や事業規模を問わず、中小企業から大企業まで幅広い事業者が対象です。経済産業省FAQ Q18では「業種や事業規模を問わず、幅広い事業者が対象となり得ます。中小企業だけでなく、大企業も評価対象とすることが可能なように制度を設計しています」と明記されています。

中小企業向けの支援策として、経済産業省は「サイバーセキュリティお助け隊サービス（新類型）」の実証事業を2026年夏頃から開始する予定で、★3・★4の取得支援（セキュリティポリシー策定などの組織的対策の支援）が提供される見込みです。加えて、2026年3月に改訂された「中小企業の情報セキュリティ対策ガイドライン」第2部 実践編 STEP3に、SCS要求事項を踏まえた対策の考え方が整理されています。

Q. 「セキュリティ対策評価制度」と「SCS評価制度」は違うものですか？

A. 「セキュリティ対策評価制度」と「SCS評価制度」は同じ制度を指す表記の違いで、正式名称と略称の関係です。正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、SCSは英語表記「Supply Chain Security」の頭文字に由来する略称です。

検索キーワードや社内議論で表記が混在することがありますが、経済産業省・IPA・関連するベンダー各社の解説記事が指しているものは同一の制度です。ニュースリリースや公式資料では「制度構築方針」など「SCS」を付けずに表現されている箇所もあり、混同しないように注意が必要です。

Q. ISMSやPマークを取得していればSCS★3は免除されますか？

A. ISMSやPマークを取得していても、SCS★3・★4の要求事項カバーは別途評価が必要で、免除規定はありません。

制度構築方針p.26は「本制度（★3・★4）は、先行する仕組みである『SECURITY ACTION』『自工会・部工会ガイドライン』や、国際標準であるISMS適合性評価制度等と相互補完的な制度として発展することを目指す」と位置付けており、SCSは他認証を代替・免除する制度ではありません。

ただし既存認証で組織的対策の多くを整備済みの企業は、管理策台帳とSCS要求事項をマッピングし、追加で必要な項目（★4なら「重要な取引先等の対策状況把握」「社内システムのネットワーク分離」「出口対策」など）を洗い出す進め方が現実的です。既存投資を捨てずにSCS★3・★4を上積みできる相互補完的な関係と捉えるのが実務上の理解です。

Q. SCS評価制度で★3と★4のどちらを目指すべきですか？

A. 制度構築方針p.15の判定フローに沿うと、「事業継続リスク」と「情報管理リスク」の2軸で判定し、いずれかがYESなら★4、両方NOなら★3が目安です。「取引先の事業中断で自社の事業継続上重要な業務に許容できない遅延が生じ得るか」がYESなら★4、「取引先へのサイバー攻撃で自社の機密情報管理に重大な影響が生じ得るか」がYESなら★4、両方NOなら★3で足ります。

業種別に見ると、自動車部品業界のティア1・ティア2サプライヤーは自工会・部工会サイバーセキュリティガイドラインLv2が事実上の共通基盤となっており、SCS★4を目標に据えるのが自然です。受託開発・BPO・SaaSは大手取引先の機密情報や本番システムへのアクセスを許容する立場になりやすく、情報管理リスクがYESになる可能性が高いため★4準備を早期に検討する価値があります。

詳細な判定手順は本記事「自社が目指すべき★レベルの判定フロー」章で解説しています。

Q. SCS評価制度の★1・★2はどうやって取得しますか？

A. ★1・★2はIPAが運営する自己宣言制度「SECURITY ACTION」に取り組み、ロゴマークの使用を申請する形で取得します。★1（一つ星）は「情報セキュリティ6か条」への取組を自己宣言することで取得でき、★2（二つ星）は「5分でできる情報セキュリティ自社診断」で現状を把握したうえで「情報セキュリティ基本方針」を定め外部公開することで取得できます。

IPAは「認定するものではありません」と明記しており、費用はロゴマーク使用も含めて無料です。SCS制度構築方針では、SECURITY ACTIONは★3・★4取得の準備段階として位置付けられており、まずここから着手して自社の情報セキュリティ体制の下地を作るという段階的な進め方が示されています。

Q. SCS評価制度で★4の第三者評価にかかる費用の目安は？

A. 現時点で★4の第三者評価にかかる費用の具体的な目安は、公式資料からは公表されていません。評価機関の指定・公表が令和8年（2026年）12月頃、取得ガイドの公表が同10月頃を予定されており、実務相場は評価機関の公表以降に判明する見通しです。

ISMS認証など類似の第三者評価制度の相場を安易に類推する書き方は避け、評価機関・取得ガイドの公表を待って社内で予算感を組む方が確実です。中小企業向けには「サイバーセキュリティお助け隊サービス（新類型）」の実証事業が2026年夏頃から開始予定で、支援策の内容と提供価格帯もこの過程で具体化される見込みです。

Q. SCS評価制度に利用できる補助金や支援制度はありますか？

A. SCS評価制度に特化した専用補助金は現時点で公表されていませんが、中小企業向けに「サイバーセキュリティお助け隊サービス（新類型）」の実証事業が2026年夏頃に開始予定です。経済産業省FAQ Q7では「サイバーセキュリティお助け隊サービス（新類型）は、★3や★4の取得支援を目的としたサービスです。

具体的には、セキュリティポリシー策定などの組織的対策の支援をサービス内容とする予定です」と示されています。

また経済産業省が2026年3月に改訂・公開した「中小企業の情報セキュリティ対策ガイドライン」第2部 実践編 STEP3には、SCS要求事項を踏まえた対策の考え方が整理されており、無料で参照できる支援コンテンツとして活用できます。制度専用の補助金は今後の政府予算・支援策の追加検討で登場する可能性があるため、経済産業省・IPAのニュースリリースを継続的にウォッチすることをおすすめします。

Q. SCS評価制度に経過措置や既存取引への影響はありますか？

A. 制度開始時点（申請受付開始）では★を取得している企業は存在しないため、既存取引の即時停止のような運用は想定されていません。経済産業省FAQ Q21では「本制度の開始は申請受付の開始を意味しており、制度開始時点において★を取得している企業は存在しません」と明記されています。

ただし有効期間（★3=1年、★4=3年）を超える契約については、経済産業省FAQ Q19で「例えば当該契約の満了までは、必要な★の評価を維持し続けることを求める等の運用が考えられます」とされており、有効期間中の実質的な維持が求められる見通しです。取引先ごとの契約条件でどう扱うかは、独占禁止法や下請法（取適法）上の適切さに配慮しつつ、契約当事者間で合意する形になります。

Q. SCS評価制度への対応を効率化する仕組み（GRCツール・TPRM）はありますか？

A. SCS評価制度は特定のセキュリティ対策製品の導入を求めていませんが、要求事項の実務対応にはGRCツール・TPRM・IT資産管理・ログ管理などのツール活用が現実的な選択肢になります。

経済産業省FAQ Q10では「★の取得を希望する組織の規模やシステム構成によって求められる対応が必ずしも同一では無いことから、本制度の評価基準を達成するにあたっては、特定のセキュリティ対策製品の導入を求めるものではありません」と明示されています。

ただし★3の証跡運用の仕組み化や、★4の「重要な取引先等の対策状況把握」（No.2-1-3）はTPRMツールの機能領域と、「ログ収集・分析」（No.4-4-3）「アクセス権限の設定」（No.4-1-1・4-1-2）はSIEM・特権ID管理・IT資産管理ツールの機能領域と、それぞれ実務的に重なります。

本記事の「SCS対応に役立つソリューション」章で紹介した3類型（GRCツール／TPRM／ISMS-Pマーク認証取得支援）を、要求事項カテゴリと対応させて選定検討することが実務的な進め方です。

まとめ

SCS評価制度は、経済産業省・内閣官房国家サイバー統括室が2026年3月27日に制度構築方針を公表した、サプライチェーン全体のセキュリティ水準を可視化するための任意評価制度です。

★1・★2はSECURITY ACTIONベースの自己宣言、★3（26件・専門家確認付き自己評価・1年）と★4（43件・第三者評価・3年）は2026年度末頃の申請受付開始を目指しており、★5は2026年度以降に基準・スキームの具体化が検討されます。

自社が目指すべき★レベルは、「事業継続リスク」と「情報管理リスク」の2軸で判定し、いずれかがYESなら★4、両方NOなら★3が目安です。ISMS・Pマーク・SECURITY ACTIONを取得済みの企業は、既存の管理策台帳とSCS要求事項リストをマッピングし、追加で必要な項目（★4なら取引先管理・ログ分析・出口対策など）を先に洗い出す進め方が現実的です。

次のアクションとして、IPAと経済産業省の公式資料（制度構築方針本編PDF、詳細情報ページ、FAQ 21問）を入手し、社内チェックリストの作成と取引先・上司への回答準備から始めてください。★4準備または★3の証跡運用の仕組み化にあたっては、GRCツール・TPRM・ISMS-Pマーク認証取得支援サービスの活用もあわせてご検討ください。

MCB FinTechカタログでは、SCS★3・★4対応で活用できるGRCツール・TPRM・ISMS-Pマーク認証取得支援サービスの最新資料を、まとめて請求できます。マネックスグループの金融実務ノウハウを活かした独自の評価軸で比較検討したい方は、上のボタンから資料をご請求ください。

GRCツール・関連サービスの料金・機能を一括チェック

MCB FinTechカタログでは、GRCツール・TPRM（サードパーティリスク管理）・ISMS-Pマーク認証取得支援サービスの最新資料を、まとめて請求できます。SCS★3・★4対応で活用できるサービスの機能・料金・導入実績を、独自の評価軸で比較検討できる法人向けプラットフォームです。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。