取引先や業界ニュースで「セキュリティ格付け制度」という言葉を見かけ、自社に関係があるのか気になっていませんか。この「格付け制度」と呼ばれているものは、経済産業省とIPA（情報処理推進機構）が2027年3月頃の運用開始を目指して準備を進める「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」を指すのが一般的です。
この制度は、★3から★5までの段階で、企業のセキュリティ対策の実施状況を可視化する仕組みです。
ここで先に押さえておきたいのは、これは企業を序列化して優劣を競わせる「格付け」ではないという点です。経済産業省は制度構築方針のなかで、対策レベルを競わせることを目的とした格付け制度ではないと明記しています。俗称の「格付け」という響きと、公式名称の「評価制度」というズレが、この制度を分かりにくくしている原因のひとつです。
本記事では、SCS評価制度とは何かの整理から、対象となる企業、開始時期、★3・★4・★5それぞれの水準と評価方法、ISMSなど既存制度との関係、そして企業が今から準備すべきことまでを、経済産業省・IPAの公式情報をもとに解説します。
発注側・受注側のどちらの立場でも、自社が何をいつまでに検討すべきかの見通しを立てるための材料としてご活用ください。現時点で未確定の事項は、そのまま「検討中」として扱います。
目次
一括ダウンロードする
セキュリティ格付け制度とは？（＝SCS評価制度）
「セキュリティ格付け制度」の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、SCS評価制度と略されます。SCSはSupply Chain Security（サプライチェーン・セキュリティ）の頭文字です。制度を所管するのは経済産業省と内閣官房国家サイバー統括室で、制度の運営事務局はIPA（情報処理推進機構）が担います。
制度の中身を一言でいえば、企業のセキュリティ対策の実施状況を★3から★5までの段階で示し、取引のなかで相手に見えるようにする仕組みです。具体的には、2社間の取引で発注側が委託先に目指してほしい★の段階を示し、その実施状況を確認する使われ方が想定されています。
2社間の取引契約等において、委託元が、委託先に適切な段階（★）を提示し、示された対策を促すとともに実施状況を確認することを想定
IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」ポータル（https://www.ipa.go.jp/security/scs/index.html）
注意したいのは、この制度は企業を序列化して優劣を競わせるものではないという点です。経済産業省は制度構築方針のなかで、次のように明記しています。俗称の「格付け」から受ける印象とは、制度の狙いが異なります。
本制度は、企業のセキュリティ対策への対応状況を可視化するものであり、事業者のセキュリティ対策レベルを競わせることを目的としたもの（格付け制度等）ではありません。
出典：サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（2026年3月27日）｜経済産業省
出典・参考資料（2件）
- 出典：サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針を公表しました｜経済産業省（https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html）
- 参考資料：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）｜IPA（https://www.ipa.go.jp/security/scs/index.html）
制度が検討された背景と趣旨
この制度が検討される背景には、サプライチェーン全体を狙うサイバー攻撃の広がりがあります。取引先を経由して侵入されたり、部品やサービスの供給が途絶えたりするリスクが高まる一方で、対策の状況を確かめ合う共通のものさしがありませんでした。
経済産業省は、発注側と受注側の双方に課題があると整理しています。発注側からは「取引先のセキュリティ対策状況を外部から判断することが難しい」、受注側からは「複数の取引先から様々な対策を要求される」という課題が生じている、という指摘です。SCS評価制度は、★という共通の段階を用意することで、この双方の負担を軽くすることを狙っています。
出典・参考資料（1件）
- 出典：サプライチェーン強化に向けたセキュリティ対策評価制度構築に向けた中間取りまとめを公表しました｜経済産業省（https://www.meti.go.jp/press/2025/04/20250414002/20250414002.html）
こうした潮目の変化は、取引先のセキュリティ評価に日々携わる現場でも語られています。
少し前までは、資本関係もない取引先を勝手に評価して「あなたはここに問題があってC評価です」と伝えるなんてけしからん、というお叱りを受けることもありました。それが今では、サプライチェーンリスク管理という考え方がだいぶ市民権を得てきたと感じています。背景としては、各省庁が警鐘を鳴らしていることもありますし、IPAが発表している情報セキュリティ10大脅威の中でも、サプライチェーンの弱点を悪用した攻撃が長年にわたって上位にランクインしています。直近では、経済産業省が主導しているサプライチェーン対策の評価制度（SCS評価制度）への関心も高まっていて、それにキャッチアップするためにサプライチェーンをどう評価すればいいのか、という観点でお問い合わせをいただくことも増えてきています。
制度の背景にある「サプライチェーンの弱点を突く攻撃」がどのようなものか、具体的な手口や取引先を経由した被害事例まで先に押さえておきたい方は、次の記事もあわせてご覧ください。
対象となる企業と、取引でどう使われるか
ここからは、自社が対象になるのかという疑問に答えます。SCS評価制度の対象は、特定の業種や規模に限られません。経済産業省は、サプライチェーンに属するすべての企業が対象になると位置づけ、特にリソースの限られる中小企業での活用に期待を示しています。発注元・受注先・再委託先といった立場を問わず、取引でつながる企業が広く関わる制度と考えておくとよいでしょう。
こうした段階を設けることにより、特に、限られたリソースの中で自社のリスクを踏まえてセキュリティ対策を行うことが困難な中小企業を中心に、サプライチェーンに属するすべての企業が、容易かつ適切に必要なセキュリティ対策を決定できるようになることが期待されます。
出典：サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（2026年3月27日）｜経済産業省
取引での使われ方は、発注側が委託先に「この取引では★4を目指してほしい」といった形で目指す段階を示し、その実施状況を確認する、というのが想定される流れです。具体的には、自社が受注側であれば取引先から★の取得や対応を求められる可能性があり、発注側であれば委託先の対策状況を★という共通のものさしで確認できるようになります。どちらの立場でも、取引に関わる実務として押さえておきたい制度です。
出典・参考資料（1件）
- 出典：制度構築方針を公表しました｜経済産業省（https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html）
セキュリティ格付け制度はいつから始まるか（スケジュール）
今すぐ動くべきか、まだ様子を見てよいのかは、開始時期の見通し次第です。IPAは、よくある質問のなかで、★3・★4について2027年3月頃の運用開始を予定していると示しています。経済産業省も、令和8年度（2026年度）末頃の制度開始を目指すとしており、両者の見通しは整合しています。
制度構築方針は、2025年12月に案が示されて意見公募（パブリックコメント）にかけられ、93者から569件の意見を踏まえて、2026年3月27日に「制度構築方針」として確定・公表されました。現在はこの方針にもとづき、IPAが基本規程や要求事項・評価基準を公開するなど、制度開始に向けた整備が進んでいます。
一方で、★5の対策基準や評価スキーム、申請にかかる費用、評価機関の詳細などは引き続き検討中で、順次公表される予定です。細部はこれから固まる部分が残っているため、最新の情報は経済産業省・IPAの公式ページで確認するのが確実です。
まとめると、★3・★4は2027年3月頃の開始が視野に入っており、準備の検討を始めるには十分に近い時期に来ています。一方、★5や申請の細かな運用ルール、費用などはこれから公表される部分が残っています。
費用や細かな運用ルールが未確定でも、費用のかからない現状把握（自社の対策状況の棚卸し）だけは、今から始めておいて損はありません。確定した情報を待ってから動くと準備が後手に回りやすいため、まず自社の立ち位置を把握しておくことをおすすめします。
出典・参考資料（2件）
- 出典：よくある質問｜IPA（https://www.ipa.go.jp/security/scs/faq.html）
- 出典：制度構築方針を公表しました｜経済産業省（https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html）
★3・★4・★5それぞれの水準と評価方法
ここからは、制度の中心である★の段階を整理します。SCS評価制度では、既存のSECURITY ACTION（後述）が一つ星・二つ星を担っているため、この制度では★3から始まります。★3・★4・★5それぞれの水準・評価方法・有効期限を、次の表にまとめました。ただし、最上位の★5は対策基準や評価スキームが検討中で、現時点では具体像がまだ固まっていない点を先にお断りしておきます。
| 段階 | 水準（何を実施するか） | 評価方法 | 有効期限 | 要求事項の項目数 |
|---|---|---|---|---|
| ★3 | すべてのサプライチェーン企業が最低限実装すべき対策。基礎的なシステム防御策と体制整備が中心 | 専門家確認付き自己評価（自己評価の結果を社内外のセキュリティ専門家が確認・助言） | 1年 | 26項目（2025年4月の中間取りまとめ時点は25項目） |
| ★4 | 標準的に目指すべき対策。組織ガバナンス・取引先管理、システムの防御・検知、インシデント対応まで包括的に実施 | 第三者評価（評価機関による審査）＋技術検証 | 3年 | 43項目（2025年4月時点は44項目） |
| ★5 | 到達点として目指す対策。国際規格のリスクベースの考え方にもとづき、現時点のベストプラクティスを実施 | 第三者評価（対策基準・評価スキームは令和8年度以降に具体化を検討） | 検討中 | 検討中 |
水準の中身をもう少し具体的にいうと、★3では不正プログラム対策・アクセス制御・ログの取得・データのバックアップといった基礎的なシステム防御と、責任者の設置や手順の整備といった最低限の体制づくりが中心になります。
★4ではこれに加えて、組織全体のガバナンスや取引先の管理、攻撃の検知やインシデント発生時の対応まで、対象がより広がります。ここで挙げたのは代表的な例で、個別の要求事項・評価基準の全文はIPA公式で公開されているため、自社が何を満たす必要があるかは原文で確認できます。
「専門家確認付き自己評価」と「第三者評価」は、この制度で定義された用語です。制度構築方針では、それぞれ次のように説明されています。
★３：全てのサプライチェーン企業が最低限実装すべきセキュリティ対策として、基礎的なシステム防御策と体制整備を中心に実施する段階（専門家確認付き自己評価）
出典：サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（2026年3月27日）｜経済産業省
★４：サプライチェーン企業等が標準的に目指すべきセキュリティ対策として、組織ガバナンス・取引先管理、システム防御・検知及びインシデント対応等包括的な対策を実施する段階（第三者評価）
また、★3で自己評価の内容を確認する「セキュリティ専門家」には、力量や研修の受講といった要件が定められる予定です。ただし、その専門家や★4で審査を行う評価機関の具体的な範囲・登録の枠組みは順次公表される見込みで、現時点では固まっていない部分もあります。社内に確認できる人材がいない場合の外部依頼の要否や費用感も、この公表を待って判断することになります。
要求事項の項目数については、注意が必要です。2025年4月の中間取りまとめでは★3が25項目、★4が44項目とされていましたが、成案化後のIPA公式の要求事項・評価基準では★3が26項目、★4が43項目と微修正されています。
あわせて、要求事項の下位にある詳細な評価基準は全体で153項目に整理され、対策は7つの大分類（ガバナンスの整備／取引先管理／リスクの特定／攻撃等の防御／攻撃等の検知／インシデントへの対応／インシデントからの復旧）で構成されています。項目数が増えたわけではなく、要求事項を細かな評価基準に落とし込んで整備が進んだ、と捉えるのが実態に近い理解です。
一部の解説記事では★3=83項目・★4=157項目といった数字も見られますが、これは要求事項そのものではなく、より細かい評価基準に近い数え方によるものと考えられます。公式に公開されている要求事項の数は★3=26・★4=43で、要求事項と評価基準は数える単位が異なります。参照する資料によって項目数の見え方が変わるため、最新の数はIPA公式で確認するのが確実です。
出典・参考資料（3件）
- 出典：制度構築方針を公表しました｜経済産業省（https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html）
- 出典：要求事項・評価基準｜IPA（https://www.ipa.go.jp/security/scs/requirements-criteria.html）
- 出典：SCS評価制度の詳細情報｜IPA（https://www.ipa.go.jp/security/scs/details.html）
上位★は下位を包含する（★3を取らずに★4を目指せる）
★は下から順に取得しなければならない、というものではありません。上位の段階は下位の段階で求められる事項を含んでいるため、★3を取得していなくても★4を目指すことができます。自社が取引で求められる水準や、目指したい到達点に応じて、狙う★を選べる設計です。
上位の段階はそれ以下の段階で求められる事項を包括するため、例えば、★3を事前に取得していなければ★4を取得できないという関係とはなりません。
出典：サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（2026年3月27日）｜経済産業省
ISMS・Pマーク・SECURITY ACTIONとの違いと関係
「ISMS（情報セキュリティマネジメントシステム）やPマークを取得済みなら、SCS評価制度は別途必要なのか」という疑問を持つ方は多いはずです。SCS評価制度は既存の認証制度を置き換えるものではなく、役割が異なる制度として位置づけられています。特にSECURITY ACTIONとは段階が連続しており、経済産業省は既存制度との相互補完を目指すとしています。主な制度との関係を整理します。
| 制度 | 目的・対象 | SCS評価制度との関係 |
|---|---|---|
| SECURITY ACTION（一つ星・二つ星） | 中小企業がセキュリティ対策に取り組むことを自己宣言する仕組み | 一つ星・二つ星の区分があるため、SCS評価制度は★3から区分を設けている。段階として連続する位置づけ |
| ISMS適合性評価制度（ISO/IEC 27001） | 組織の情報セキュリティマネジメントシステムを第三者が認証 | 相互補完的な制度として発展することを目指すと明記 |
| プライバシーマーク（Pマーク） | 個人情報の適切な取り扱いに関するマネジメントを認証 | 個人情報保護が主眼で、サプライチェーンのセキュリティ対策を可視化するSCS評価制度とは目的・対象範囲が異なる（一般的な整理） |
経済産業省は、SECURITY ACTION（一つ星・二つ星）やISMS適合性評価制度、自工会・部工会のサイバーセキュリティガイドラインなどと相互補完的に発展させることを目指すとしています。
要求事項の設計にあたっては、米国立標準技術研究所（NIST）の「Cybersecurity Framework 2.0」なども参照されており、英国の類似制度「Cyber Essentials」との将来的な相互認証の可能性も念頭に置かれています。
既存の認証取得や対策の取り組みは、SCS評価制度への対応でも土台として活かせると考えてよいでしょう。
先行する自己評価の仕組みである「SECURITY ACTION」（一つ星及び二つ星）、「JAMA・JAPIA自工会/部工会サイバーセキュリティガイドライン」や国際標準である「ISMS適合性評価制度」等とは相互補完的な制度として発展することを目指す。
出典：サプライチェーン強化に向けたセキュリティ対策評価制度構築に向けた中間取りまとめ（2025年4月14日）｜経済産業省
出典・参考資料（1件）
- 出典：中間取りまとめを公表しました｜経済産業省（https://www.meti.go.jp/press/2025/04/20250414002/20250414002.html）
企業が今から準備すべきこと
ここからは、制度開始に向けて企業が今から着手できる準備を整理します。★3・★4の取得には、定められた要求事項・評価基準を「すべて」満たす必要があるとIPAが明示しています。段階的に進めるために、次の手順で検討を始めるとよいでしょう。
- 目指す★を決める：取引先から求められそうな水準や、自社が到達したいレベルから、★3・★4のどちらを目指すかの当たりをつけます。上位★は下位を包含するため、★3を飛ばして★4を検討することもできます。
- 現状を把握する：前掲の7つの大分類（ガバナンスの整備〜インシデントからの復旧）に沿って、自社の対策が今どこまでできているかを棚卸しします。
- 不足対策を洗い出す：現状把握で見えたギャップを一覧にし、優先度をつけて対応計画を立てます。要求事項・評価基準の全文はIPA公式で公開されているため、これを基準に確認します。
- 委託先の状況を確認する：★4では取引先管理が求められます。自社だけでなく、委託先・再委託先のセキュリティ対策状況を把握する仕組みも、あわせて検討しておくと後の対応がスムーズです。
申請の具体的な手続きや費用は、まだ公開されていない部分があります。IPAは費用について「今後公開予定」としており、評価機関や技術検証事業者などの詳細も順次公表される予定です。未確定の情報を待つ間も、現状把握と不足対策の洗い出しは先に進められる準備です。
出典・参考資料（2件）
- 出典：よくある質問｜IPA（https://www.ipa.go.jp/security/scs/faq.html）
- 参考資料：要求事項・評価基準｜IPA（https://www.ipa.go.jp/security/scs/requirements-criteria.html）
現状把握を社内だけで進めるのが難しい場合は、外部の専門家によるセキュリティアセスメント（第三者評価）を活用する方法もあります。診断の種類・進め方・費用の目安は、次の記事で整理しています。
中小企業向けの支援策（お助け隊サービス〈新類型〉）
中小企業がコストや人材の制約のなかで★を取得できるよう、支援策も準備されています。経済産業省とIPAは、中小企業が★3・★4を安価かつ簡便に取得できるよう、既存の「サイバーセキュリティお助け隊サービス」の新類型を創設する予定としています。制度設計に向けた実証事業は令和8年（2026年）春頃から始まる予定です。
これらはいずれも「予定」の段階であり、詳細はこれから固まっていきます。中小企業にとっては、自社だけで抱え込まず、こうした支援策の動向も見ながら準備を進められる点は押さえておきたいところです。
出典・参考資料（1件）
- 出典：サイバーセキュリティお助け隊サービス（新類型）の実証事業｜経済産業省（https://www.meti.go.jp/policy/netsecurity/otasuketai_jissho.html）
準備・委託先評価を支援するツール（GRCツール）
ここからは、SCS評価制度への準備を外部のツールで進めたい場合の選択肢を紹介します。要求事項に沿った現状把握（自己評価）や、委託先のセキュリティ対策状況の確認は、GRCツール（ガバナンス・リスク・コンプライアンスを支援するツール）や委託先リスク管理サービスで効率化できます。
ここでは、SCS評価制度の準備に活かせるサービスをいくつか取り上げます。まず4サービスの対応用途・評価方式・提供形態を一覧で整理し、そのあと各サービスを個別に紹介します。掲載状況や機能は変わることがあるため、詳細は各社の最新情報をご確認ください。
| サービス名 | SecureNavi（StarQuest） | Secure SketCH | VendorTrustLink | Conoris BP |
|---|---|---|---|---|
| 主な用途 | SCS評価制度の★取得・継続運用の対応 | 自社・グループ・委託先のセキュリティ対策の可視化 | 委託先へのチェックシート審査業務の効率化 | 委託先・再委託先のセキュリティ調査の効率化 |
| 評価対象 | 自社（★取得に向けた対応） | 自社／グループ会社／委託先 | 委託先・取引先 | 委託先・再委託先 |
| 評価方式 | 自己評価の対応をAIアシストで支援 | アンケート自己評価＋外部スキャン診断 | チェックシート配信・自動採点 | Webフォーム調査票＋AIレビュー分析 |
| SCS評価制度への対応 | SCS対応の専用ツール「StarQuest」を提供 | ★3・★4対応の評価テンプレートを提供 | 委託先のチェックシート評価で活用（SCS対応の明示なし） | 委託先・再委託先の調査で活用（SCS対応の明示なし） |
| 提供形態 | クラウド（SaaS） | クラウド（SaaS） | クラウド（SaaS） | クラウド（SaaS） |
| 詳細情報 | 資料を請求する | 資料を請求する | 資料を請求する | 資料を請求する |
表で「SCS評価制度への対応」を明示していないサービスも、★4で求められる委託先・取引先の管理に活用できます。自社の現状把握に使うのか、委託先の評価に使うのかで適したツールが変わるため、その観点で選ぶとよいでしょう。
SecureNavi（SecureNavi株式会社）
ISMSやPマークの取得・運用をクラウド上で一元管理するSecureNaviは、SCS評価制度への対応を支援する専用プラットフォーム「スタークエスト（StarQuest）」も提供しています。★取得・継続運用に必要な対策実施、書類作成、審査対応までを、AIアシスト機能で支援する制度対応プラットフォームと位置づけられています。
要求事項・評価基準の改訂に自動で追従し、新旧の比較ができる機能も備えます。制度対応を専用ツールで進めたい企業に向いています。
Secure SketCH（NRIセキュアテクノロジーズ株式会社）
Secure SketCHは、Web上で設問に回答することでセキュリティ対策状況を得点や偏差値で可視化し、同業種・同規模の企業とベンチマーク比較できるクラウド型の評価プラットフォームです。自社評価だけでなく、グループ会社や委託先の評価にも対応します。
NIST、ISO/IEC 27001、サイバーセキュリティ経営ガイドラインなど複数のフレームワークに対応し、SCS評価制度の★3・★4に対応した評価テンプレートも用意されています。現状把握を定量的に進めたい企業に向いています。
VendorTrustLink（株式会社アトミテック）
委託先・取引先へのセキュリティチェックシートの配信・回収・採点・履歴管理をクラウド上で一元化する委託先リスク管理（TPRM）ツールがVendorTrustLinkです。国際的なリスクマネジメントガイドラインISO 31000に沿った設計を掲げ、Excelやメールで属人化しがちだったチェックシート業務をプラットフォームに載せ替えます。
★4で求められる取引先管理を効率化したい企業や、委託先の対策状況を継続的に確認したい企業に向いています。
Conoris BP（株式会社Conoris Technologies）
Conoris BPは、委託先・再委託先へのセキュリティ調査と年次の定期点検を、クラウド上に一元化するベンダーリスク管理（VRM）ツールです。調査票をWebフォームで配信・回収し、AIレビューアシスト機能が回答を自動分析してリスクのある項目を抽出、ISO 27001などのフレームワークと照合して審査担当者の判断を支援します。
委託先をツリー状の階層で管理できるため、再委託先まで含めた確認を体系的に進めたい企業に向いています。
ここで挙げたのは一例で、委託先リスク管理やセキュリティ評価を支援するGRCツールはほかにも多数あります。機能や料金、委託先管理の動向を踏まえた失敗しない選び方まで、まとめて比較検討したい方は次の記事もあわせてご覧ください。
まとめ
「セキュリティ格付け制度」と呼ばれているものは、経済産業省・IPAが2027年3月頃の開始を目指す「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」を指すのが一般的です。企業のセキュリティ対策の実施状況を★3から★5で可視化する仕組みで、対策レベルを競わせる「格付け」ではありません。
対象はサプライチェーンに属するすべての企業で、取引のなかで発注側が委託先に目指す★を示す使われ方が想定されています。★3は専門家確認付き自己評価、★4は第三者評価と、水準に応じて評価方法が異なります。
まずは目指す★の当たりをつけ、要求事項の7分類に沿って現状を把握し、不足対策と委託先の状況確認に着手するのが、今からできる準備です。詳細は経済産業省・IPAの公式情報を確認しつつ、必要に応じて委託先リスク管理・セキュリティ評価のツールも検討してみてください。
よくある質問（FAQ）
Q. セキュリティ格付け制度（SCS評価制度）とは何ですか？
A. セキュリティ格付け制度（SCS評価制度）とは、サプライチェーンに属する企業のセキュリティ対策の実施状況を★3〜★5の段階で可視化する、経済産業省・IPAの新しい制度です。正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、★3・★4は2027年3月頃の運用開始が予定されています。
俗称の「格付け」という響きに反し、企業を序列化して優劣を競わせる制度ではなく、2社間の取引のなかで対策状況を確認し合うための共通のものさしとして設計されています。
出典・参考資料（1件）
- 参考資料：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）｜IPA（https://www.ipa.go.jp/security/scs/index.html）
Q. SCS評価制度の★は自社で選べますか？どの★を目指せばよいですか？
A. SCS評価制度の★は下位から順に取得する必要はなく、自社が取引で求められる水準や到達したいレベルに応じて、目指す★を選べます。上位の段階は下位の段階で求められる事項を包含するため、★3を取得していなくても★4を目指すことが可能です。
どの★を目指すかは、取引先から示される水準や、自社が扱う情報・事業継続の重要度をふまえて判断することになります。まずは★3・★4のどちらに当たりをつけるかから検討を始めるとよいでしょう。
出典・参考資料（1件）
- 出典：制度構築方針を公表しました｜経済産業省（https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html）
Q. SCS評価制度の申請はどこで、どのように行いますか？
A. SCS評価制度の申請先はIPA（事務局）で、★3と★4では評価の方法が異なります。★3は、要求事項にもとづく自己評価を行い、社内外のセキュリティ専門家の確認・助言を経て、経営層による自己適合宣誓とともに事務局へ提出し、問題がなければ台帳に登録・公開されます。
★4は、これに加えて評価機関による第三者評価と技術検証（実地審査を含む）が求められます。ただし、評価機関や技術検証事業者などの詳細は順次公表される予定で、申請の細かな運用ルールにはまだ未確定の部分が残っています。
出典・参考資料（1件）
- 出典：SCS評価制度の詳細情報｜IPA（https://www.ipa.go.jp/security/scs/details.html）
Q. 取引先（発注元）からSCS評価制度の★取得を求められたら、断ることはできますか？
A. 発注元が委託先に★の取得や対応を求めること自体は、協議を尽くした通常の要請であれば、独占禁止法や取適法（旧・下請法）上の問題は生じないと整理されています。経済産業省は、これらの法律との関係を整理し、「問題とならない」ケースを想定した事例と、その内容を補足する解説文書を公表しています。
ただし、これは「どのような求め方でも問題ない」という意味ではありません。要請の方法や内容によっては優越的地位の濫用にあたり得るため、取引条件として妥当かどうかは、要請の具体的な進め方によって判断される点に注意が必要です。
発注側の立場では、一方的に短い期間での取得を強制したり、対価や支援を伴わない過度な負担を求めたりすると問題になり得ます。取得を求める際は、準備期間や支援のあり方を含めて委託先と十分に協議しながら進めることが求められます。
出典・参考資料（1件）
- 出典：制度構築方針を公表しました（関係法令の整理）｜経済産業省・公正取引委員会（https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html）
Q. ISMSやPマーク、SECURITY ACTIONの取得実績はSCS評価制度の★取得に活かせますか？
A. 既存の認証や対策の取り組みはSCS評価制度への対応の土台として活かせますが、それだけで★が自動的に付与されるわけではありません。★3・★4を取得するには、制度で定められた要求事項・評価基準を「すべて」満たしている必要があるとIPAが示しています。
SCS評価制度はSECURITY ACTION（一つ星・二つ星）と段階が連続し、ISMS適合性評価制度とも相互補完的に発展することが目指されているため、これまでの取り組みが無駄になるわけではありません。ただし、既存認証があっても要求事項の充足は改めて確認・評価される前提で、不足の洗い出しを進めておくのが安全です。
出典・参考資料（2件）
- 出典：よくある質問｜IPA（https://www.ipa.go.jp/security/scs/faq.html）
- 出典：中間取りまとめを公表しました｜経済産業省（https://www.meti.go.jp/press/2025/04/20250414002/20250414002.html）
Q. 中小企業でもSCS評価制度に対応できますか？費用はどのくらいかかりますか？
A. 中小企業も対応できるよう支援策が準備されている一方で、申請・登録にかかる費用は現時点では未確定（今後公開予定）です。経済産業省とIPAは、中小企業が★3・★4を安価かつ簡便に取得できるよう、既存の「サイバーセキュリティお助け隊サービス」の新類型を創設する予定で、令和8年（2026年）春頃から制度設計のための実証事業を始めるとしています。
費用の目安はこれから公表される段階のため、確定情報を待ちつつ、費用のかからない現状把握や不足対策の洗い出しから先に着手しておくとよいでしょう。
出典・参考資料（2件）
- 出典：サイバーセキュリティお助け隊サービス（新類型）の実証事業｜経済産業省（https://www.meti.go.jp/policy/netsecurity/otasuketai_jissho.html）
- 出典：よくある質問｜IPA（https://www.ipa.go.jp/security/scs/faq.html）
委託先リスク管理・セキュリティ評価サービスの料金・資料を一括チェック
MCB FinTechカタログでは、SCS評価制度への準備に役立つ委託先リスク管理・セキュリティ評価ツール（GRCツール）の最新資料を無料で一括請求できます。自己評価や委託先評価をどこまで効率化できるかを比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
