SCS評価制度とは？★3・★4の違いと開始時期・費用・準備を解説

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）とは、サプライチェーンを構成する企業のセキュリティ対策を共通の基準で評価し、★の段階で示す制度です。委託元が委託先に求める対策水準を★で示し、対策の実施状況を確かめる場面での活用が想定されています。

「主要な取引先から、★4を取得する予定か聞かれた」「自社の委託先には、どの★を求めればよいのか」。サプライチェーンの中間に位置する企業では、評価を求められる立場と求める立場の両方から、制度を正しく理解しておく必要があります。

本記事では、取引先からSCS評価制度への対応を求められている企業や、委託先への要請を検討している企業の情報システム・セキュリティ・調達部門の方に向けて、制度の仕組み、★3・★4の違い、評価の流れ、費用、今から進めたい準備を解説します。

以下、業務を任せる側を「委託元」、業務を任される側を「委託先」と表記します。

SCS評価制度とは？目的と仕組み

SCS評価制度の目的は、委託先へのサイバー攻撃をきっかけにした事業の停止や機密情報の漏洩、委託先を踏み台にした不正侵入などのリスクに備え、サプライチェーン全体の対策水準を引き上げることです。経済産業省と内閣官房国家サイバー統括室が2026年3月27日に制度構築方針を公表し、IPA（独立行政法人情報処理推進機構）が制度の運営を担います。

制度の骨格は次のとおりです。

委託元・委託先それぞれのメリット

これまで委託先は、取引先ごとに形式の異なるチェックシートへ回答し、委託元も回答の水準をそろえて比べにくい状況がありました。共通の基準ができることで、双方に次のようなメリットが見込まれます。

• 委託先：取得した★で自社の対策水準を説明でき、取引先ごとの個別回答の負担を減らせる
• 委託元：委託先の対策を共通の物差しで確かめられ、取引の重要度に応じて求める水準を示しやすくなる

⇒サプライチェーン攻撃とは？攻撃された場合のリスクや被害事例、防止策を解説

出典：経済産業省「SCS評価制度の構築方針」を公表（2026年3月27日）

出典：IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」

SCS評価制度の★3・★4・★5の違い

SCS評価制度では、対策の水準を★3・★4・★5の段階で示します。★3は全てのサプライチェーン企業が最低限実施すべき対策、★4は標準的に目指すべき対策という位置づけです。

★5は、未知の攻撃も含めた高度なサイバー攻撃を想定した段階で、要求事項や評価の方法は今後検討されます。どの★を目指すかは、取引先から求められる水準と、自社が担う業務や扱う情報の重要度で決まります。まずは主要な取引先がどの★を想定しているかを確かめましょう。

IPAは、★3・★4の準備段階として、中小企業が自ら対策に取り組むことを宣言する「SECURITY ACTION」（一つ星・二つ星）から始めることも勧めています。

出典：IPA「SCS評価制度の詳細情報」

出典：IPA「関連制度・施策」

SCS評価制度の要求事項と評価基準

★ごとに、実施すべき対策を示す「要求事項」と、対策ができているかを判断する「評価基準」が定められています。★を取得するには、その★で定められた全ての要求事項・評価基準を満たす必要があります。

一部だけを満たした状態では取得できないため、取引先から求められてから慌てないよう、早めに現状との差を確かめておきましょう。

公開中のExcelをチェックリストとして使う

★3・★4の要求事項・評価基準は、Excel形式で公開されています。自社の取り組みを1項目ずつ照らし合わせれば、そのままチェックリストとして使えます。

確認するときは、「対策があるか」だけでなく「実施した記録を示せるか」まで見ておくと、評価の準備を進めやすくなります。要求事項・評価基準の解説書と取得ガイドも公表される予定です。

出典：IPA「要求事項・評価基準」

出典：IPA「SCS評価制度：よくある質問」

SCS評価制度の評価の流れ

★3は、自社で記入した自己評価をSCSセキュリティ専門家が確認する方式です。★4は、評価機関が書類確認や実地審査に加えて、技術検証を行う方式です。どちらもIPAの台帳に登録されると、取得した★が公開されます。

★3の流れ

1. 要求事項・評価基準に沿って自己評価を記入する
2. SCSセキュリティ専門家が内容を確認し、必要に応じて修正を含めて助言する
3. 経営層による自己適合宣誓とあわせて、事務局（IPA）に評価結果を提出する
4. 事務局が台帳に登録し、公開する

★4の流れ

1. 自己評価を記入する
2. 評価機関に評価と技術検証を依頼する
3. 評価機関が文書確認・実地審査・技術検証を行う
4. 評価機関から評価報告書を受け取る
5. 事務局に登録を申請する
6. 事務局が台帳に登録し、公開する

★4の審査は、提出書類の確認、ヒアリングや操作画面などを確かめる実地審査（リモートも可）、技術検証の3つで、それぞれ1〜2日程度が想定されています。技術検証では、既知の脆弱性の悪用など一般的な攻撃パターンが試されます。対象の範囲や実施項目は、「★4技術検証ガイド」で定められる予定です。

評価は、組織が決めた適用範囲からサンプリングして行われる想定です。申請内容に虚偽が見つかった場合などには、★の取消し等の措置を受けることがあります。

出典：IPA「SCS評価制度の詳細情報」

出典：IPA「SCS-320 技術検証事業者指定基準」

SCS評価制度はいつから？運用開始までのスケジュール

★3・★4は、2027年3月頃に運用が始まる予定です。2026年に入って制度の規程や料金が順に公表されており、申請方法や取得ガイドもこれから公表されます。

★5の要求事項や開始時期は、現在検討されています。予定は変わることがあるため、取得や要請の計画を立てるときは、IPAの公式情報で最新の状況を確かめましょう。

出典：IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」

出典：IPA「SCS評価制度：よくある質問」

出典：経済産業省「SCS評価制度に関する注意喚起」

SCS評価制度の取得にかかる費用

★の登録を希望する組織がIPAに支払う登録料は、2026年9月18日に公表された料金設定で次のように定められています。

料金は消費税込みです。★3は申請日が2028年3月31日までか、4月1日以降かで登録料が変わるため、取得の計画とあわせて確かめておきましょう。

料金設定で示されているのは、IPAに支払う登録料です。★3ではSCSセキュリティ専門家による確認、★4では評価機関による評価と技術検証を受けるため、それぞれの依頼にかかる費用は依頼先に確認しましょう。規程の整備や記録の準備にかかる社内の工数も含めて見積もると、予算を判断しやすくなります。

出典：IPA「サプライチェーン強化に向けたセキュリティ対策評価制度 料金設定のお知らせ」（2026年9月18日）

委託先として★を求められたときの準備

取引先から★を求められたら、次の順で準備を進めましょう。

1. 求められている★と期限を確かめる：どの★を、いつまでに、どの業務を対象に求めているのかを取引先に確認しましょう。
2. 適用範囲を決める：委託されている業務に関わる組織やシステムが含まれるように、評価を受ける範囲を決めます。
3. 要求事項・評価基準との差を洗い出す：公開中のExcelと自社の取り組みを照らし合わせ、足りない対策を一覧にしましょう。
4. 規程と実施記録をそろえる：対策を定めた規程に加え、実施したことを示す記録も用意します。
5. 外部公開資産と既知の脆弱性を把握する：インターネットからアクセスできるサーバーや機器と、その脆弱性を洗い出します。★4の技術検証に備える意味でも、評価の前に確かめておきましょう。

外部公開資産には、使われなくなった公開サーバーや、部署ごとに導入したクラウドサービスなど、情報システム部門が把握しきれていないものも含まれがちです。自社ドメインに関連する資産を外部から洗い出すと、把握漏れに気づきやすくなります。

⇒脆弱性診断とは？種類や脆弱性を放置するリスク、進め方を紹介

⇒ASM（アタックサーフェスマネジメント）とは？実施ステップやおすすめツール6選を解説

委託元として委託先に★を求めるときのポイント

委託先に★を求めるときは、次の4点を押さえましょう。

• 取引内容に合った★を選ぶ：委託する業務、扱う情報、自社システムへの接続の有無から、求める★を決めます。
• 求める★と期限を取引条件で示す：どの★を、いつまでに、どの業務を対象に求めるのかを文書で伝えます。委託先が準備にかけられる期間も考えて、期限を設定しましょう。
• 取得費用を踏まえて取引価格を協議する：★の取得には、登録料や評価の費用、社内の工数がかかります。委託先から取引価格の見直しを求められたら、協議に応じましょう。
• 取得状況を台帳で管理する：委託先ごとに、取得した★、適用範囲、有効期限を自社の管理台帳に記録します。

経済産業省と公正取引委員会は、取引先にセキュリティ対策の実施を要請すること自体は、直ちに独占禁止法上問題となるものではないとしています。ただし、取引上の地位が優越している発注者が、対策にかかるコストを考慮せずに取引価格を据え置いたり、実質的に必要のない特定のサービスの利用を強制したりすると、優越的地位の濫用として問題となる可能性があります。

SCS評価制度に基づく対策要請については、発注者と取引の相手方の双方を対象に、独占禁止法・取適法（旧・下請法）上「問題とならない」想定事例と解説文書も作成されています。★を求める前に、調達部門や法務部門と内容を確認しておきましょう。

⇒取引先のセキュリティ評価とは？評価項目・チェック方法・評価基準を解説

出典：経済産業省・公正取引委員会「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」（2022年10月28日）

出典：IPA「関連制度・施策」

★の取得後も委託先の継続監視が必要な理由

★は、評価を受けた時点で、その★の要求事項・評価基準を満たしていたことを示すものです。有効期間（★3は1年、★4は3年）のあいだにも、委託先では次のような変化が起こり得ます。

• 新しい公開サーバーやクラウドサービスを使い始める
• 利用中の機器やソフトウェアに新たな脆弱性が見つかる
• 従業員のメールアドレスや認証情報が外部に漏洩する

こうした変化は、次の評価や更新まで取得済みの★には反映されません。委託元は、★で確認済みの対策を繰り返し確かめるのではなく、評価後に変わりうる外部公開資産や漏洩情報を継続的に確かめる仕組みを用意しましょう。

委託先が多いと、外部情報の収集を手作業で続けるのは難しくなります。外部情報の収集はツールに任せ、担当者は影響の判断と委託先との調整に集中する方法も検討しましょう。

⇒取引先のセキュリティ管理とは？管理台帳・継続監視の進め方と効率化のポイント

SCS評価制度で注意したい不適切な勧誘

2026年4月27日、経済産業省と内閣官房国家サイバー統括室は、制度の趣旨と異なる説明による勧誘や営業活動への注意喚起を公表しました。注意喚起では、次のような例が挙げられています。

• 「評価を取得していないと商取引が規制される」という勧誘
• 「今すぐ評価を取得しないと入札から除外される」という営業
• 特定のセキュリティ対策製品の導入が必須であるとの表示

SCS評価制度は任意の制度で、企業間の商取引を直接規制するものではありません。評価基準を満たすために、特定のセキュリティ対策製品の導入が必須とされているわけでもありません。

取得支援や製品の提案を受けたときは、説明の根拠を確かめ、IPAの公式情報と照らし合わせましょう。

出典：経済産業省「SCS評価制度に関する注意喚起」

SCS評価制度とISMS・SECURITY ACTIONの違い

SCS評価制度、ISMS認証、SECURITY ACTIONは、いずれもセキュリティへの取り組みを社外に示せる仕組みですが、示す内容と評価の方法が異なります。

ISMS認証は、組織が決めた範囲で情報セキュリティの管理の仕組みを運用し、改善を続けていることを示します。SCS評価制度の★は、サプライチェーンを構成する企業として実施すべき対策を、★ごとの基準で確かめるものです。

ISMS認証を取得していても、SCS評価制度の★を取得するには、別途申請が必要です。ISMSの運用で整えた規程や記録は、要求事項・評価基準との照合に活用しましょう。

⇒ISMSとは？Pマークとの違いや認証取得のメリット・デメリットを解説

出典：IPA「関連制度・施策」

SCS評価制度に関するよくある質問

SCS評価制度について、取得を検討する際に疑問になりやすい点をまとめました。

Q. SCS評価制度の★の取得は義務ですか？

義務ではありません。SCS評価制度は、取得するかどうかを各社が判断する任意の制度です。ただし、取引先から取引の条件として★を求められることはあるため、主要な取引先の方針を早めに確かめておきましょう。

Q. 中小企業も★を取得できますか？

取得できます。★3は、全てのサプライチェーン企業が最低限実装すべき対策と位置づけられています。IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」では、付録5の「情報セキュリティ関連規程（サンプル）」が★3・★4の要求事項・評価基準に対応する形で見直されているため、規程づくりの参考にしましょう。

Q. ★を取得すれば、取引先ごとのセキュリティチェックシートは不要になりますか？

全てが不要になるとは限りません。★で対策水準を共通の基準で示せるため、個別回答の負担は減ると見込まれます。ただし、扱う情報や自社システムとの接続条件は取引ごとに異なるため、★とあわせて個別の確認を求められることもあります。

Q. SCS評価制度の最新情報はどこで確認できますか？

IPAのSCS評価制度のページで確認できます。2026年7月7日からはメールニュースの登録も受け付けており、最新情報やセミナーの案内が配信されます。

出典：IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」

出典：IPA「関連制度・施策」

まとめ

SCS評価制度は、サプライチェーンを構成する企業の対策水準を★で示す任意の制度です。委託先として★を求められたら、求められている★と期限を確かめ、要求事項・評価基準との差や外部公開資産の状況を早めに把握しましょう。

委託元として★を求める場合は、取引内容に合った★と期限を示し、費用や価格の協議にも応じましょう。★は評価時点の対策を示すものなので、取得後に生じる外部リスクの変化は別の方法で確かめる必要があります。

委託先が多く、漏洩情報や外部脆弱性の確認まで手が回らない場合は、外部情報の収集をツールに任せる方法も検討しましょう。SMSデータテックの「ダークウェブアイ/SCM」は、取引先・委託先の漏洩情報と外部脆弱性を集約し、継続的に可視化・管理するツールです。定期実行スキャン、過去の検出情報の振り返り、取引先ごとの情報管理に対応し、同意取得状況も管理できます。

★の確認とあわせて、評価後の変化を把握したい方は、継続監視・管理機能をご確認ください。

⇒ダークウェブアイ/SCMの継続監視・管理機能を見る

取引先の外部リスク監視・導入について相談する