取引先から「SCS評価制度への対応」や「★3の取得」を求められ、何から手を付ければよいか判断しかねていませんか。
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省と内閣官房国家サイバー統括室が2026年3月に制度構築方針を公表した新しい仕組みで、2026年度末頃の申請受付開始が予定されています。委託元から示された段階（★）に自社が対応できるかどうかが、これからの取引で問われる場面が広がりつつあります。
もっとも、★3・★4の要求事項は7つの分野にわたり、★3であっても専門家の確認を受けた自己評価が求められます。自社の情報システム担当者だけで進めるべきか、外部の対応支援サービスに頼むべきか、頼むとしたらどこまで任せられて費用はどれくらいかかるのか。判断材料がそろわないまま、着手が遅れてしまうケースは少なくありません。
本記事では、SCS評価制度の対応支援サービス14社を比較・解説します。制度の★3・★4の要求事項や申請時期といった前提を整理したうえで、対応支援サービスに頼める範囲・自社の状況に合う選び方・費用の実際まで、資料請求や問い合わせの判断に使える形でまとめました。自社に合った支援サービスを見つけるための材料としてご活用ください。
また、貴社の状況に合わせて適した支援サービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。
目次
一括ダウンロードする
SCS評価制度とは？
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化する仕組みです。経済産業省と内閣官房国家サイバー統括室が2026年3月27日に「制度構築方針」を公表しました。委託元と委託先の双方が同じものさしでセキュリティ水準を確認できるようにし、サプライチェーン全体の底上げを図ることを目的としています。
サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化することで、委託元企業・委託先企業双方の負担を軽減しつつ、サプライチェーン全体のセキュリティ水準の底上げを図る仕組みとして本制度を位置付けます。具体的には、2社間の取引契約等において、委託元が、委託先に適切な段階（★）を提示し、示された対策を促すとともに実施状況を確認することを想定しています。
出典：サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針を公表しました｜経済産業省
制度が対象とするのは、企業のIT基盤（クラウド環境で運用するものを含む）です。一般的にIT基盤に該当しない製造現場の制御（OT）システムや、委託元へ提供する製品そのものは直接の対象とはされていません。委託する側（発注企業）と委託される側（受注企業）のどちらの立場でも関わる制度であり、取引の相手方から★の提示を受ける場面と、自社が取引先に★を求める場面の両方が想定されています。
本記事で紹介する対応支援サービスは、自社が★を取得する（主に受注側の）ための支援を扱います。取引先に★を求める発注側の立場でも、まず受注側として★をどう取得するかを押さえておくと、支援サービスの選び方の基準が掴めます。
なぜ今、SCS対応が求められるのか
サプライチェーンを経由したサイバー攻撃では、セキュリティ対策が手薄な取引先が侵入口となり、そこから本体企業へ被害が波及します。委託元が取引先ごとに独自のチェックシートで対策状況を確認する負担も年々増しており、共通の基準で「どこまで対策できているか」を示せる仕組みが求められてきました。SCS評価制度は、この確認作業を★という段階で標準化しようとするものです。
ただし、SCS評価制度そのものは任意の制度です。★の取得を取引の条件にするかどうかは、契約の当事者間で決めることとされています。政府調達や入札での活用は今後の検討事項とされており、現時点で「入札要件になる」と確定しているわけではありません。とはいえ、取引先から対応を求められる場面は今後広がると見込まれるため、求められてから慌てないよう、制度の全体像を早めに押さえておくことに意味があります。
出典・参考資料（2件）
申請受付・制度開始のスケジュールと着手時期の目安
経済産業省は、★3・★4について2026年度末頃の制度開始（申請受付の開始）を目指すとしています。FAQでは、申請の受付開始時期を令和8年度末頃（2027年1月〜3月頃）と示したうえで、詳細なスケジュールや提出様式は令和8年度に具体化され、制度のスキームオーナーである情報処理推進機構（IPA）から公表される予定としています。
現時点では、SCS 評価制度の開始時期（申請の受付開始時期）は令和８年度末頃（１月～３月頃）を予定しています。詳細なスケジュールや提出様式等については、令和８年度に具体化される予定ですので、SCS 評価制度のスキームオーナーである独立行政法人情報処理推進機構（IPA）の公表をお待ちください。
出典：SCS評価制度に関するよくあるお問合せ（FAQ）Q1｜経済産業省
着手の目安としては、制度開始が申請受付の開始を指す点に注意が必要です。制度開始の時点で★を取得している企業は存在せず、受付開始後に自社評価や第三者評価を経て取得へ進みます。★3の要求事項は現状の把握・規程の整備・証跡の準備といった段階を踏むため、取引先からの要請が見込まれる企業ほど、受付開始を待たずに現状のギャップ把握から始めておくと、その後の対応に余裕を持たせられます。
★3・★4のレベル区分と要求事項
SCS評価制度で今回具体化されたセキュリティ対策の段階は★3・★4の2つで、★5は今後の検討事項とされています。より基礎的な★1・★2については、IPAが運営する自己宣言制度「SECURITY ACTION」を参照する位置づけです。取引先から求められることが多いのは、まず基礎レベルにあたる★3です。
セキュリティ対策の段階を★3・★4（★5については今後検討）に区分し、★3の要求事項・評価基準を基礎として、★4ではより段階的に広い範囲や対策を含む要求事項・評価基準に基づき、自己評価（専門家の確認を経たもの）や第三者評価機関による評価を行います。
出典：制度構築方針を公表しました（本制度において設けるセキュリティ対策の段階）｜経済産業省
★3と★4は、要求事項の件数・評価の受け方・有効期間が異なります。要求事項は7つの大分類に整理されており、★3が26件、★4が43件です。★3で求められる26件は★4にも含まれるため、★3を土台に★4へ積み上げる構造になっています。評価の受け方は、★3が専門家の確認を付けた自己評価、★4が第三者評価機関による評価です。
7つの大分類は「ガバナンスの整備」「取引先管理」「リスクの特定」「攻撃等の防御」「攻撃等の検知」「インシデントへの対応」「インシデントからの復旧」です。組織的な体制づくりから、攻撃への防御・検知、インシデントの対応・復旧までを幅広く扱います。自社の対策がどの分野で足り、どの分野が手薄かという観点で全体像を掴んでおくと、後のタイプ選びの手がかりになります。
| 段階 | ★3 | ★4 | ★5 |
|---|---|---|---|
| 対策の基本的な考え方 | 全てのサプライチェーン企業が最低限実装すべき対策。基礎的な組織的対策とシステム防御策が中心 | 標準的に目指すべき対策。組織ガバナンス・取引先管理、システム防御・検知、インシデント対応まで包括的に実施 | 今後検討（令和8年度以降に要求事項・評価スキームを具体化） |
| 要求事項 | 26件 | 43件 | 今後検討 |
| 評価スキーム | 専門家確認付き自己評価 | 第三者評価 | 第三者評価（予定） |
| 有効期間 | 1年 | 3年 | 今後検討 |
※経済産業省「制度構築方針概要」（2026年3月27日）の区分にもとづく。★5は今後検討。
「要求事項」とよく似た言葉に「評価基準」があります。要求事項が対策の項目そのものであるのに対し、評価基準はその達成を判定するための細目で、1つの要求事項の下に複数の評価基準がぶら下がる階層になっています。
経済産業省が公開する別添「★3・★4要求事項及び評価基準」（2026年3月27日版）を集計すると、評価基準は★3で111項目、★4で153項目です。この件数は2025年12月公表の制度構築方針（案）の段階（★3が81項目・★4が157項目）から更新されているため、古い資料の数値と混同しないよう、参照する資料の公表時点を確かめておくことが大切です。
★3の評価スキームが「専門家確認付き自己評価」である点は、対応を考えるうえで重要です。ここでの専門家とは、情報処理安全確保支援士・公認情報セキュリティ監査人・CISSP・CISM・CISA・ISO/IEC 27001主任審査員などの資格を持ち、制度所定の研修を受講した者を指します。
社内の情報システム担当者が確認すれば足りるわけではなく、要件を満たす専門家の関与が前提となるため、対応支援サービスに専門家の確認を委ねる余地が生まれます。
★4の第三者評価を担う評価機関は、令和8年12月頃を目途にIPAから公表される予定で、現時点では指定・公表されていません。
出典・参考資料（3件）
ISMS・Pマーク取得済み企業のSCS対応
ISMS（ISO/IEC 27001）を運用している企業では、「すでに認証があるのだから、SCSの要件は免除されるのではないか」と考えたくなります。しかし、制度側の公式見解はそこまで踏み込んでいません。経済産業省はSCS評価制度とISMSを相互補完的な制度と位置づけており、既存のISMS認証があればSCSの要求事項が自動的に満たされる、という「流用」や「みなし合格」の仕組みは設けられていません。
SCS 評価制度の★３及び★４は、代表的な脅威を参考に、効果の高い管理策を抽出するベースラインアプローチを採用しています。ISMS（情報セキュリティマネジメントシステム）とは相互補完的な制度と位置づけていますが、詳細な比較については制度構築方針 p.28 をご参照ください。
出典：SCS評価制度に関するよくあるお問合せ（FAQ）Q9｜経済産業省
とはいえ、ISMSの運用で整えてきた資産は無駄になりません。情報資産台帳・リスクアセスメント・規程類・内部監査の記録といった土台は、★3・★4の要求事項に取り組む際の出発点として実務上活用できます。SCSで新たに求められる要件と既存の運用との差分を洗い出せば、ゼロから体制を作る企業よりも短い工数で対応を進められます。制度上の免除ではなく、あくまで対応を効率化する土台として捉えるのが正確です。
一方、Pマーク（プライバシーマーク）は、SCS評価制度の制度構築方針・FAQ・関連資料のいずれにも登場しません。Pマークが対象とするのは個人情報の適切な取り扱いであり、IT基盤のサイバーセキュリティを対象とするSCS評価制度とは目的が異なります。
Pマークを取得しているからといってSCS対応が進むわけではない点は、正しく理解しておく必要があります。既存認証を土台にした効率的な対応は、後述する「対応支援サービスのタイプ」でも軸の1つになります。
対応支援サービスに頼める内容と支援の流れ
ここからは、対応支援サービスに実際に頼める内容と、その進み方を整理します。各社でメニュー名は異なりますが、支援の流れはおおむね共通しています。
多くのサービスは、まず現状を把握するギャップ分析から始まります。★3・★4の要求事項に対して自社が何を満たし、何が不足しているかを、専門家が評価して可視化します。次に、不足を埋めるための改善計画やロードマップを作成し、規程・手順書といった証跡の整備を支援します。
★3では専門家の確認を付けた自己評価が必要になるため、この確認まで担うサービスもあります。★4を目指す場合は、第三者評価の準備や、技術的・組織的対策の実装まで踏み込む支援が加わります。
調査から報告までの期間は、企業の規模や現状によって前後しますが、★3対応でおおむね2〜4か月を目安とするサービスが多く見られます。取得後の運用・更新まで継続して伴走するサービスもあり、どこまでを外部に任せたいかによって選択肢が変わります。
ここで支援の起点となるギャップ分析は、自社のセキュリティ対策の現状を要件に照らして評価する「セキュリティアセスメント」の一種です。脆弱性診断やリスクアセスメントといった他の評価手法との違いや、種類ごとの進め方・費用の目安を先に俯瞰しておきたい場合は、以下の記事が見取り図になります。
自社対応と外部委託の線引き（★3自社対応の工数感）
すべてを外部に委託する必要はありません。どこを自社で担い、どこを外注するかを見極めると、費用を抑えつつ着実に進められます。判断の分かれ目は、要件の解釈と専門家の確認という、SCS特有の2点にあります。
★3を自社対応する場合、規程の整備・情報資産の棚卸し・証跡の準備といった作業に、担当者ベースで数十時間規模の工数がかかると見込まれます。支援会社によっては★3の自社対応に36〜80時間程度を一つの目安として示す例もあり、日常業務と並行して進めると、この工数が着手の遅れにつながりやすい部分です。
特に、26件の要求事項を制度の意図どおりに正確に解釈できるか、自己評価の妥当性を要件を満たす専門家が確認できるか、という2点は、社内に有資格者がいなければ自社だけで完結させにくい領域です。
そこで、要件解釈の正確さと専門家確認が必要な部分だけを外部に頼み、資料の準備や社内調整は自社で進める、といった役割分担が現実的です。対応支援サービスの中には、ギャップ分析だけ・証跡整備の一部だけといった部分的な依頼を受けるものもあります。まずは自社の現在地をギャップ分析で把握し、そのうえで自社対応と外部委託の範囲を決めると、過不足のない依頼につながります。
対応支援サービスのタイプと選び方
対応支援サービスは、自社の状況によって適したものが変わります。既存認証の有無・現在地の把握段階・目指す★レベル・社内でどこまで進めたいかという4つの観点で、大きく次の4タイプに分けて考えると、自社に合うサービスを絞り込みやすくなります。それぞれのタイプに向く企業と、選ぶ際に確認したい点を見ていきます。
既存のISMS・Pマークを活かして効率的に対応したいか
すでにISMSなどの認証を運用している企業は、既存の規程・運用を土台に、SCSで追加になる要件との差分に絞って対応を進められます。このタイプの支援サービスは、ゼロから作り直すのではなく、既存資産のどこがSCS要件に流用できて、どこに不足があるかを分析することに強みを持ちます。
SaaSやツールで自社主体に進めやすい設計のものもあります。選ぶ際は、自社が使っている認証・規程の形式に対応した差分分析ができるか、二重管理を避けられるかを確認するとよいでしょう。
何から着手すべきか分からず、現状診断から始めたいか
「取引先から対応を求められたが、何から手を付ければよいか分からない」という段階の企業には、現状診断から伴走するタイプが向きます。専門家が客観的に現状を評価し、要求事項に対して何が不足しているかを可視化して、優先順位を付けた計画や報告書を示します。
★3の取得を主軸に据えるサービスが多く、報告書やロードマップの具体性が選定の分かれ目です。納品物として現状・ギャップ・対策案・優先度がどこまで整理されるか、確認しておくと安心です。
★4・第三者評価・実装まで見据えた高度な対応が必要か
重要な情報や機密性の高いシステムを扱い、取引先から★4を求められる企業には、43件の要求事項の解釈から、技術的・組織的対策の実装、第三者評価の準備までを一気通貫で担えるタイプが必要です。★4は第三者評価が前提となるため、評価に耐える体制づくりまで踏み込めるかが重要になります。CISSPなどの有資格者が直接支援するか、実装や運用まで対応範囲に含むかを確認すると、高度な要件にも対応しやすくなります。
コストを抑えて段階的・自社主体で対応したいか
コストを抑えつつ社内にノウハウを蓄積したい企業には、教材やパッケージ型のサービス、あるいは部分的な依頼を受けるサービスが向きます。動画講座・チェックシートの添削・規程のひな型といった形で、固定料金で自走を支える設計です。
経済産業省も「中小企業の情報セキュリティ対策ガイドライン」を改訂し、SCS評価制度に対応した規程類のサンプルを無償で提供しています。未達成の要件をサービス導入で満たす「サイバーセキュリティお助け隊サービス（新類型）」のような、国の中小企業向け支援策も検討されています。
こうした公的リソースと支援サービスを組み合わせれば、必要な部分だけ専門家の助言を受けながら、自社主体で対応を進められます。
選ぶ際は、どこまでが固定料金に含まれ、どこからが追加費用になるかを見ておきましょう。
対応支援にかかる費用・料金体系
費用は、支援の範囲と自社の現状によって幅があります。料金を公開しているサービスもあれば、個別見積もりのみのサービスもあり、現時点では非公開とする会社が少なくありません。ここでは、公開されている料金からタイプ別の目安をつかんでおきます。いずれも各社公式の記載にもとづく2026年8月時点の情報で、実際の費用は範囲や企業規模によって変わります。
コストを抑えて自走したいタイプ（教材・パッケージ）は比較的抑えやすく、動画講座と添削を組み合わせたコースで数十万円程度から用意されています。既存認証を活かして効率化するタイプは、★3対応の初期分析で初期費用90万円程度からとする例があります。
現状診断から専門家に伴走してほしいタイプは料金を公開する会社が少なく個別見積もりが中心ですが、実装まで含むコンサルティングでは★3対応で180万円程度から、★4対応で220万円程度からという公開例が目安になります。SaaS型のプラットフォームには、月額3万円程度から利用できるサービスもあります。
費用を見積もる際は、要件を満たすために高額なツールの新規購入が必ず必要になるわけではない点も押さえておくとよいでしょう。制度上、特定のセキュリティ製品の導入は求められておらず、既存のシステム設定や運用の工夫で満たせる要件もあります。
まずはギャップ分析で不足を可視化し、本当に必要な投資を見極めることが、費用を抑える近道です。各社の具体的な料金・支援範囲は、このあとの診断ツール・比較表・サービス個別紹介で確認できます。
一括ダウンロードする
しかし、自社がどのタイプに適しているか、といった判断が難しいケースも存在します。そのような場合でも貴社の状況に合わせて適したサービスを最短で見つけられるように、「30秒で終わる選定診断ツール」を以下にご用意しています。ぜひこちらもご活用ください。
SCS評価制度 対応支援サービスの選定診断
SCS評価制度 対応支援サービスの比較
ここからは、自社の課題や要件に合わせて比較・検討できるよう、主要なSCS評価制度 対応支援サービス14社を、対象★レベル・支援範囲・支援スタイル・既存認証の活用・料金体系・提供形態の観点で比較して整理します。
| サービス名 | スタークエスト（StarQuest）／SecureNavi | LRM SCS評価制度対応コンサルティング | スリーエーコンサルティング SCS対応支援 | 日立ソリューションズ SCS対応支援コンサルティング | GRCS SCS対応支援サービス | パーソルクロステクノロジー SCS評価制度支援 | シーイーシー SCS評価制度支援ソリューション | さくら情報システム SCS対策支援サービス | サイバーコマンド SCS評価制度対応支援 | S&J SCS評価制度向け支援サービス | TIS（TISI）SCS対応支援サービス | AGS SCS対策評価支援サービス | エムオーテックス ガイドライン対応サポートアカデミー | シースリーインデックス SCS評価制度対応支援 |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 対象★レベル | ★3・★4 | ★3・★4 | ★3・★4 | ★3・★4 | ★3中心（★4は個別相談） | ★3・★4 | ★3・★4 | ★3・★4 | ★3以上 | ★3・★4 | ★3・★4 | ★3・★4（対応可否は要問い合わせ） | ★3・★4 | ★3中心（★4はオプション） |
| 支援範囲 | ギャップ分析〜書類作成・審査対応・継続運用 | ベースライン分析（対策案提示・実装はオプション） | 予備調査〜規程整備・内部監査・審査対応（全18工程） | スコープ定義〜ギャップ分析・改善ロードマップ・取得準備 | ギャップ分析〜現状把握報告書（規程整備・監査代行・教育はオプション） | ヒアリング〜ギャップ分析・ロードマップ（規程・台帳ひな形はオプション） | 自社評価〜ギャップ分析・改善・取得後の運用まで一貫 | 現状診断〜規程整備・体制構築・運用定着まで一貫 | 現状整理〜対策の運用定着まで伴走（制度確定後の差分修正も対応） | Gap分析・妥当性評価〜体制構築・更新時フォロー | 自己評価の客観分析〜報告書・ロードマップ・★4第三者評価準備 | 体制確認〜自己評価・改善案・実装・教育訓練まで一貫 | チェックシート添削・動画講座・規程ひな型（自己評価を自走） | ギャップ分析・証跡整備・自己評価レビュー（部分依頼可） |
| 支援スタイル・期間 | ツールで自走（AIアシスト） | 伴走（既存規程との差分に特化） | 伴走（専任チーム制） | 伴走（調査・報告書作成を代行） | 伴走／目安2か月 | 伴走／目安3〜4か月 | 伴走（メニュー選択型） | 伴走（一気通貫） | 伴走（制度確定前から着手） | 伴走（有資格者が直接担当） | 伴走／最短3か月 | 伴走（実装・教育まで自社対応） | 自走（月1相談）／実践9か月・学習3か月 | 伴走（SIer型・無料相談あり） |
| 既存認証（ISMS/Pマーク）の活用 | ◎ISMS/Pマーク運用ツールの資産を流用 | ◎既存ISMS/Pマーク規程と照合 | ●ISO/Pマークのコンサルノウハウを応用 | △ | ●ISMSと相互補完・既存資産の活用を優先 | △ | ●ISMS済み企業はチケット制で不足分のみ | △ | △ | △ | △ | △ | △ | △ |
| 料金体系 | 要問い合わせ（中小向けリコー共同版は月額30,000円） | 初期費用90万円〜（税別・★3ベースライン分析） | 月額60,000円〜（ライトプラン） | 要問い合わせ | 要問い合わせ | 要問い合わせ | 自社評価33万円〜／フルコンサル159.5万円〜（税込） | 要問い合わせ | 要問い合わせ（早期契約は先着10社20%OFF） | 要問い合わせ | ★3Basic 180万円〜／★4Standard 220万円〜（税抜） | 要問い合わせ | 実践45万円／学習22.5万円（税別）・更新12万円/年 | 要問い合わせ |
| 提供形態 | SaaS・ツール | コンサルティング | コンサルティング | コンサルティング | コンサルティング | コンサルティング | コンサルティング | コンサルティング | コンサルティング | コンサルティング | コンサルティング | コンサルティング | 教材・パッケージ | コンサルティング |
| 詳細情報 | オンライン相談を予約 | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト |
※上記は各社公式情報にもとづく2026年8月時点の傾向です。実際の支援範囲・料金・対応可否は各社にご確認ください。「既存認証の活用」列の記号は、◎＝既存のISMS・Pマークの規程や運用を直接流用、●＝認証支援のノウハウを応用、△＝既存認証の活用を特段訴求していない、を表します。
SCS評価制度 対応支援サービスの個別紹介
ここからは、先ほどのタイプ別に各サービスの特徴・対象★レベル・支援範囲・料金を個別に紹介します。自社の状況に近いタイプから読み進めてください。
既存のISMS・Pマークを活かして効率的に対応したい企業向け
すでに認証を運用している企業が、既存資産を土台に効率よくSCS対応を進めやすいサービスです。
1. スタークエスト（StarQuest）／SecureNavi株式会社
ISMS・Pマークの取得と運用を一元管理するクラウドツールを本業とするSecureNavi株式会社が、SCS評価制度専用に提供するプラットフォームです。2026年5月29日に公式サービスサイトを公開し、★の取得・継続運用に必要な対策実施・書類作成・審査対応までを支援対象としています。
AIアシストが社内規程や取り組み状況をもとに入力内容を自動提案し、アセスメントシートの作成を支援します。要求事項・評価基準の改訂に自動で追従して新旧を比較する機能や、制度の解説動画・マニュアル、操作や要件を尋ねられるAIチャットも備えます。
ISMS・Pマーク運用ツールで培った基盤を活かし、既存認証を取得済みの企業が規程などの資産を流用しながらSCS対応を進められる設計です。スタークエスト単体の料金は公表されておらず問い合わせが必要ですが、リコージャパンと共同提供する中小企業向けの「StarQuest for RICOH」（2026年6月30日提供開始）は**月額30,000円・年額360,000円**で提供されています。
2. LRM SCS評価制度対応コンサルティング（LRM株式会社）
既に運用しているISMSやプライバシーマークの規程類と、SCS評価制度★3・★4の要求基準を照らし合わせる「ベースライン分析」を軸にした、LRM株式会社のコンサルティングサービスです。不足項目を「充足」「改善余地あり」「再検討」の3区分で可視化します。
支援は現状把握のベースライン分析から始まり、対策案の提示・実装支援はオプションとして選べます。既存の情報セキュリティ体制と二重管理にならないよう統合する設計を掲げ、認証取得支援で扱ってきたISMS・ISMAP登録などの知見をSCS対応へ転用します。
★3対応のベースライン分析は**初期費用90万円（税別）から**が公式ページに示され、月額費用やオプションの料金は問い合わせが必要です。同社はISMS/ISO27001の認証取得支援コンサルティング事業全体で、年間580社（2023年8月〜2024年7月）の支援実績を公表しています。
3. セキュリティ対策評価制度(SCS) 対応支援サービス（株式会社スリーエーコンサルティング）
Pマーク・ISO/ISMS認証の取得・運用コンサルティングを長年手がける株式会社スリーエーコンサルティングが、そのノウハウをSCS評価制度に応用した対応支援サービスです。★3・★4の要件準拠からエビデンス整備までを対象とし、プラン設計上は★3・★4を並行して扱います。
支援は予備調査・ギャップ分析から規程整備、内部監査、審査対応まで全18項目の工程で構成されます。メイン・サブ・営業の専任チームが伴走する体制をとり、261名（2026年5月時点）の組織で認証コンサルティングを提供しています。
料金は月額制の3段階で、ルール策定支援と問い合わせ対応を中心とする**ライトプランが月額60,000円から**、脆弱性診断とIT実務支援「情シスtrust」月10時間分が付くベーシックプランが月額135,000円からです。★3の専門家チェックを含むプレミアムプランは個別見積もりとなります。
現状診断から専門家に伴走してほしい企業向け
何から着手すべきか分からない段階から、現状診断・報告書・ロードマップで★3対応を伴走するサービスです。
4. セキュリティ対策評価制度対応支援コンサルティング（株式会社日立ソリューションズ）
株式会社日立ソリューションズが、自社のセキュリティコンサルティングメニューの一つとして提供する対応支援サービスです。SCS評価制度の★3・★4レベルへの対応を主な対象とし（★5は検討中）、企業のIT基盤（PC・サーバー・ネットワーク・クラウド環境）を対象範囲としています。
支援は、認定取得のスコープ定義から、要求事項とのギャップ分析、改善支援とロードマップ作成、認定取得の準備作業までの4段階で進みます。インタビューシートの作成・ヒアリング・分析・報告書作成を同社が担うため、社内で人的リソースを割きにくい企業でも進めやすい構成です。
ギャップ分析で見つかった課題には、同社が保有する情報セキュリティアセスメントやID管理などの関連ソリューションの紹介まで一貫して対応します。料金は個別見積もりで、金額は公開されていません。
5. セキュリティ対策評価制度（SCS）対応支援サービス（株式会社GRCS）
GRC（ガバナンス・リスク・コンプライアンス）・セキュリティ領域のコンサルティングを手がける株式会社GRCS（東証グロース上場）が、ISMS・GRCの支援実績を土台に提供するサービスです。★3（基礎的な対策水準）の取得を目指す企業を主な対象とし、★4を目指す企業向けの個別相談も受け付けています。
SCS評価制度が定める7つの大分類を、「組織・体制」「ツール」「ドキュメント」「運用」の4つの観点で評価する枠組みを採ります。チェックリストの記入支援・ヒアリング・現状把握報告書の作成・報告とQ&Aという流れで進み、目安期間は約2か月です。
要件充足にあたっては、新規ツールの導入よりも、既存のシステム設定や業務フローの工夫での対応を優先的に検討する方針を掲げています。ISMSとは相互補完的な関係と位置づけ、規程整備・内部監査代行・従業員教育などの継続サポートもオプションで用意しています。
6. SCS評価制度支援サービス（パーソルクロステクノロジー株式会社）
パーソルグループのパーソルクロステクノロジー株式会社が2026年7月に提供を開始した支援サービスです。「大手企業からセキュリティ対策の強化や評価取得を求められている中小・中堅企業」や、セキュリティの専門家が社内にいない企業を想定顧客に掲げています。
支援は、チェックシートを使ったヒアリング、★3・★4の要求事項と現状を突き合わせるギャップ分析、優先度を付けたアクションプランの作成という3段階で進みます。調査期間の目安は3〜4か月です。
納品物は、現状診断・ギャップレポートと評価取得に向けたロードマップで、規程・台帳のひな形や証跡一覧の作成はオプションで対応します。料金は公開されておらず、問い合わせによる個別見積もりとなります。
7. SCS評価制度支援ソリューション（株式会社シーイーシー）
東証プライム上場の独立系システムインテグレーター、株式会社シーイーシーが、セキュリティ事業ブランド「Cyber NEXT」の一メニューとして2026年7月に提供を開始したソリューションです。セキュリティレベルの可視化から、ギャップ分析・改善策立案、評価取得後の運用支援までを一貫して扱います。
メニューは、現状を可視化する自社セキュリティ評価、伴走型で一気通貫のフルコンサルティング、不足フェーズだけを依頼できるチケット制コンサルティングの3つに分かれます。ISMSなどで一定水準まで対策済みの企業がチケット制を選ぶなど、自社のセキュリティ成熟度に応じて使い分けられます。
料金は公開されており、自社セキュリティ評価が33万円から、フルコンサルティングが159万5,000円から、チケット制コンサルティングが52万8,000円から（いずれも税込）です。評価取得後は、CEC SOCなどのマネージドセキュリティサービスと組み合わせた継続運用にも対応します。
8. サプライチェーン強化に向けたセキュリティ対策支援サービス（さくら情報システム株式会社）
さくら情報システム株式会社が、ITインフラ全般のシェアードサービス「S-COART」ブランドの一部として提供するSCS評価制度対応支援サービスです。セキュリティの専門人材が限られる中堅企業を主な対象に、2026年4月から提供しています。
自社の診断ツール「CYBER Healthcare」で現状を可視化して★3・★4要件との差分を把握し、規程整備、業務プロセス設計、体制構築、運用定着までを一続きで支援します。日次・月次・年次の業務フローや役割分担、証跡管理フォーマットまで具体的に設計します。
情報システムの専任部門を持たない企業でも★3取得に必要な体制を整えられるよう、現状診断から運用の定着までを一気通貫で伴走する点が支援の中心です。料金は公開されておらず、問い合わせによる確認となります。
★4・第三者評価・実装まで見据えた高度対応が必要な企業向け
★4や第三者評価、技術的対策の実装まで踏み込んだ支援を求める企業向けのサービスです。
9. セキュリティ対策評価制度（SCS評価制度）対応支援サービス（サイバーコマンド株式会社）
社員の50%が情報処理安全確保支援士（国家資格）を保有すると公表するサイバーコマンド株式会社が提供する、SCS評価制度への対応を支援するコンサルティングサービスです。★3以上で求められる専門家の関与に、有資格者の体制で応じられる点を打ち出しています。
制度の正式な評価基準が確定する前の段階から、自社の対象範囲の整理や現状の対策の過不足の洗い出しに着手できる立て付けです。評価を取得した後も、必要な対策を運用として定着させるところまで一貫して伴走する方針を掲げています。
料金は要お問い合わせですが、2026年5月〜10月に契約した企業を対象に、通常価格から20%OFFで提供する先着10社限定の早期対応キャンペーンを実施しています。あわせて、制度確定後に要求事項との差分が生じた場合の修正対応まで、追加費用なく引き受ける特典も設けています。
10. SCS評価制度向け支援サービス（S&J株式会社）
東証グロース市場に上場するサイバーセキュリティ専業のS&J株式会社が、2026年7月に提供を開始した支援サービスです。SOC監視や脆弱性診断、インシデント対応を手がける同社のコンサルティング体制の延長線上に位置づけられています。
支援はGap分析から始まり、自己評価結果の妥当性評価、体制構築・運用整備、再評価・更新時のアフターフォローという4つの工程で進みます。Gap分析と妥当性評価は、CISSPや情報処理安全確保支援士などの有資格者が直接担当します。
対応レベルは★3（要求事項26件）・★4（要求事項43件）の両方で、★5は制度側が基準・評価スキームを策定中のため対象外としています。料金は公式サイトに記載がなく、2つある支援メニューの内容は資料請求や問い合わせで確認する形です。
11. サプライチェーンセキュリティ評価制度対応支援サービス（TISI株式会社）
TIS株式会社（2026年7月にTISI株式会社へ商号変更）が2026年5月25日に提供を開始した、SCS評価制度への準拠を支援するコンサルティングサービスです。★3・★4それぞれに専用メニューを設け、料金を公開しています。
★3向けの「★3Basic」は、自己評価結果を情報セキュリティコンサルタントが客観的に分析し、専門家確認付きの評価報告書と対策ロードマップを提供します。★4向けの「★4Standard」は、既存文書の確認と関係者へのインタビューでギャップを可視化し、第三者評価の取得までを伴走します。
料金は★3Basicが180万円（税抜）〜、★4Standardが220万円（税抜）〜で、ロードマップ実行段階の対策実行支援は個別見積りです。実装期間は最短3カ月を公式に示しています。★5は現時点で未公表のため、対応メニュー化されていません。
12. サプライチェーンセキュリティ対策評価支援サービス（AGS株式会社）
金融機関・公共機関向けのシステム開発や自社データセンターの運用で培ったセキュリティ対応力を背景に、AGS株式会社が情報セキュリティコンサルティングの一メニューとして提供する支援サービスです。東証スタンダード市場に上場し、ISMSやプライバシーマークなどの認証を自社で取得しています。
支援は、管理体制の確認と専用チェックシートの提供から始まり、SCS評価制度の基準に沿った自己評価の可視化、課題整理とビジネスモデルに応じた改善案の策定、報告会という4段階で進みます。
課題抽出にとどまらず、専門エンジニアによるシステムの開発・実装や、標的型攻撃メール訓練などの従業員教育まで自社で一貫して依頼できる点を特徴として挙げています。料金は支援内容に応じた個別見積りです。
コストを抑えて段階的・自走で対応したい企業向け
教材・パッケージや部分依頼で、固定料金・低コストに自社主体の対応を支えるサービスです。
13. ガイドライン対応サポートアカデミー（エムオーテックス株式会社）
IT資産管理ツール「LANSCOPE」を主力とするエムオーテックス株式会社が、コンサルティングパッケージ「ガイドライン対応サポートアカデミー」の一メニューとして提供しています。個別カスタムの契約ではなく、内容と価格をあらかじめ固定したパッケージ商品として、★3・★4への対応を支援します。
支援の中心は、★3・★4対応のチェックシートで自己評価した内容をコンサルタントが添削する形です。視聴回数・人数に制限のない動画講座、月1回のWeb会議相談（メール相談は回数無制限）、社内規程のひな型がセットになっており、社内で自走しながら客観的なチェックを受けられます。
料金は、実践コースが45万円（税別・9ヶ月）、学習コースが22万5,000円（税別・3ヶ月）、2年目以降の更新が12万円（税別・年額）で、標準納期は10営業日です。2026年4月には★3に特化した「実践コース（ライト）」を新設しており、初めて制度対応に取り組む企業やセキュリティ専任者のいない企業を主な対象としています。
14. SCS評価制度対応支援（シースリーインデックス株式会社）
システム受託開発やAWS導入支援を手がける独立系システムインテグレーター、シースリーインデックス株式会社による支援です。情報システム部門と同じ目線で証跡整備に伴走するSIer型を掲げ、取引先や親会社からSCS対応を求められた製造業・中堅企業を主な対象としています。
支援はPHASE1〜4で構成されます。現状の対策と証跡を洗い出すギャップ分析（PHASE1）を起点に、証跡整備（PHASE2）、自己評価シートの専門家レビュー（PHASE3）、オプションの★4取得支援（PHASE4）へと段階を追って進みます。ギャップ分析だけ、証跡整備の一部だけといった部分依頼にも対応し、フルパッケージ契約を前提としません。
主対象は、自己評価と専門家助言で取得する★3（Basic）です。自社対応する場合の工数は担当者1人あたり36〜80時間程度が目安とされています。料金は支援範囲・企業規模に応じた個別見積もりで、価格表は公開されていません。現状診断の相談は無料のため、まずは無料相談で現在地を確認するところから始められます。
まとめ
SCS評価制度は、2026年度末頃の申請受付開始に向けて準備が進む新しい制度です。取引先から求められることが多い★3は26件の要求事項からなり、専門家の確認を付けた自己評価が必要になります。★4は43件の要求事項と第三者評価が前提です。既存のISMS運用は対応の土台として活かせますが、制度上の免除ではない点に注意が必要です。
対応支援サービスを選ぶ際は、自社の状況を4つのタイプに照らして考えると絞り込みやすくなります。既存認証を活かして効率化したいのか、現状診断から伴走してほしいのか、★4まで見据えた高度な対応が必要か、コストを抑えて自走したいのか。
まずはギャップ分析で自社の現在地を把握し、自社対応と外部委託の範囲を見極めたうえで、比較表や診断ツールを使って候補を絞り込むのが着実です。気になるサービスが見つかったら、資料請求や問い合わせで詳細を確認してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. SCS評価制度とは何ですか？
A. SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、サプライチェーンを構成する企業のセキュリティ対策状況を、★という共通の段階で評価・可視化する経済産業省の制度です。
委託元が委託先に適切な★を提示し、対策の実施状況を確認する使い方が想定されています。2026年3月27日に経済産業省と内閣官房国家サイバー統括室が制度構築方針を公表し、★3・★4について2026年度末頃の申請受付開始が予定されています。
制度自体は任意で、★の取得を取引の条件にするかは契約の当事者間で決めることとされています。
出典・参考資料（1件）
Q. SCS評価制度の申請受付はいつから始まりますか？制度開始前の今から準備できますか？
A. SCS評価制度の申請受付は令和8年度末頃（2027年1〜3月頃）の開始が予定されており、制度開始前の現時点から準備を始められます。 制度開始は申請受付の開始を指すため、開始時点で★を取得している企業は存在せず、受付開始後に評価を経て取得へ進みます。
★3対応は現状把握・規程整備・証跡準備といった段階を踏むため、取引先からの要請が見込まれる企業ほど、受付を待たずに現状のギャップ把握から着手しておくと、その後の対応に余裕を持たせられます。
詳細なスケジュールや提出様式は令和8年度に具体化され、情報処理推進機構（IPA）から公表される予定です。
出典・参考資料（1件）
Q. SCS評価制度は★3と★4のどちらを目指せばよいですか？
A. まず取引先から提示された★の段階に合わせるのが基本で、多くの企業は基礎レベルの★3から着手します。 ★3は全てのサプライチェーン企業が最低限実装すべき対策（要求事項26件・専門家確認付き自己評価）、★4は重要情報や機密性の高いシステムを扱う企業向けの標準的な対策（要求事項43件・第三者評価）です。★3の26件は★4にも含まれるため、★3を土台に★4へ積み上げる構造になっています。
どちらを求められるか判然としない場合は、支援会社のヒアリングや診断で目標レベルを確認するとよいでしょう。
出典・参考資料（1件）
Q. ISMSやPマークを取得済みなら、SCS評価制度の要求事項は免除されますか？
A. ISMSやPマークを取得していても、SCS評価制度の要求事項が自動的に満たされる「免除」や「みなし合格」の仕組みはありません。 経済産業省はISMSとSCS評価制度を相互補完的な制度と位置づけ、どちらを先に取得してもよいとしていますが、既存認証による流用制度は設けられていません。
ただし、ISMSの運用で整えた情報資産台帳・リスクアセスメント・規程類・内部監査の記録などは、★3・★4の要求事項に取り組む土台として実務上活用でき、ゼロから体制を作るよりも短い工数で進められます。
Pマークは個人情報の保護が目的で、SCS評価制度の関連資料には登場しません。
出典・参考資料（1件）
Q. SCS評価制度の対応に、高額なセキュリティ製品を新しく購入する必要はありますか？
A. SCS評価制度は特定のセキュリティ対策製品の導入を求めておらず、高額なツールの新規購入が必ず必要になるわけではありません。 組織の規模やシステム構成によって求められる対応は異なり、既存のシステム設定や運用ルールの工夫で満たせる要件もあります。まずギャップ分析で不足を可視化し、本当に必要な投資を見極めることが、費用を抑える近道です。
出典・参考資料（1件）
Q. SCS評価制度の対応支援サービスの費用はどれくらいかかりますか？
A. 費用は支援範囲と自社の現状で幅があり、教材・パッケージ型は数十万円程度から、現状診断から実装まで伴走するコンサルティング型は★3対応で180万円程度から、★4対応で220万円程度からが目安です。 既存認証を活かすベースライン分析型は初期費用90万円程度から、SaaS型のプラットフォームは月額3万円程度からという例もあります。料金を非公開とし個別見積もりのみとする会社も少なくありません。
ギャップ分析だけ・証跡整備の一部だけといった部分依頼に対応するサービスもあるため、必要な範囲を絞ると費用を抑えられます。（各社公式の記載にもとづく2026年8月時点の目安）
Q. SCS評価制度の対応支援は、依頼から完了までどれくらいの期間がかかりますか？
A. ★3対応では、現状把握（ギャップ分析）から報告までおおむね2〜4か月を目安とするサービスが多く見られます。 企業の規模や現状のセキュリティ水準によって前後し、★4の第三者評価対応や技術的対策の実装まで含む場合は、さらに期間を要します。申請受付の開始時期から逆算し、準備期間に余裕を持たせて着手するのが安全です。
Q. 製造業以外の企業もSCS評価制度の対象になりますか？
A. SCS評価制度の対象は製造業に限らず、業種や事業規模を問わず、サプライチェーンを構成する幅広い事業者が対象です。 ITベンダー・物流・小売など、大手企業のサプライチェーンに組み込まれている企業であれば、発注側・受注側のどちらの立場でも関わります。中小企業だけでなく大企業も評価対象とできるよう制度が設計されており、自社が製造業でないことを理由に対象外と考えるのは適切ではありません。
出典・参考資料（1件）
Q. SCS評価制度の対応は自社だけで進められますか？外部委託との線引きはどう考えればよいですか？
A. SCS評価制度の★3は自社対応も可能ですが、規程整備・情報資産の棚卸し・証跡準備などに担当者ベースで数十時間規模の工数がかかり、要件の正確な解釈と専門家による確認の2点は外部に頼む余地が大きい領域です。 ★3の評価スキームは有資格の専門家の確認を付けた自己評価が前提で、社内に情報処理安全確保支援士などの有資格者がいなければ自社だけでは完結させにくくなります。
要件解釈と専門家確認が必要な部分だけを外部に委託し、資料の準備や社内調整は自社で進める役割分担が現実的です。
まずギャップ分析で自社の現在地を把握したうえで、自社対応と外部委託の範囲を決めると、過不足のない依頼につながります。
SCS評価制度 対応支援サービスの料金・資料を一括チェック
MCB FinTechカタログでは、SCS評価制度をはじめとするセキュリティ認証・対応支援サービスの最新資料をまとめてダウンロードできます。気になるサービスの支援範囲や費用を比較し、自社の状況に合う相談先を見つける材料としてご活用ください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
