サイバー攻撃の手口が巧妙化するなか、自社のシステムだけでなく、取引先や業務委託先を経由して被害が広がるリスクにも注意が必要です。発注元企業は、取引先がどの程度のセキュリティ対策を実施しているのかを把握しなければなりません。しかし、個別に確認項目を設けて調査する方法では、確認する側にも大きな負担がかかります。また、受注側の企業も、複数の取引先からそれぞれ異なる対策や報告を求められ、対応に追われるケースがあります。
こうした問題への対策として整備が進められているのが、経済産業省と内閣官房が策定した「SCS評価制度」です。企業のセキュリティ対策を共通の基準で評価することで、サプライチェーン全体の安全性向上を目指しています。本記事では、制度の基本的な仕組みをはじめ、★による評価区分、評価対象となる領域、運用開始までのスケジュール、企業が事前に進めておきたい対策について解説します。
SCS評価制度とは
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）とは、取引先を経由してサイバー攻撃の被害が拡大する事態を防ぐために設けられた仕組みです。企業が実施しているセキュリティ対策を共通の物差しで評価し、その達成度を複数の段階に分けて示すことで、各社の対策状況を把握しやすくします。制度への参加は任意ですが、サプライチェーン全体のセキュリティ水準を高めることが目的です。
制度の策定を担うのは経済産業省と内閣官房で、運営はIPA（独立行政法人情報処理推進機構）が担当します。制度が導入される背景には、サイバー攻撃をめぐる環境の変化に加え、発注元と受注先の双方が抱える課題があります。まずは、制度が必要とされるようになった経緯と、企業間で生じている問題を整理します。
制度創設の背景
近年は、企業そのものを直接攻撃するだけでなく、取引関係にある別の企業を経由してシステムへの侵入を図るサイバー攻撃が問題となっています。攻撃者は、十分な防御体制を整えられていない中小企業や業務委託先などを突破口として利用し、そこから取引先である大企業や重要インフラへと攻撃対象を広げることがあります。
こうした手口では、最初に攻撃を受けた企業だけでなく、その取引先にも深刻な影響が及びかねません。たとえば、委託先のシステムへの侵入をきっかけに、発注元が保有する機密データや顧客情報まで漏えいするおそれがあります。個々の企業が自社の対策を強化するだけでは、こうしたリスクを十分に抑えられないため、取引関係全体を見据えた対策が求められるようになりました。こうした課題を背景に、企業間でセキュリティ対策の水準を確認・評価できる仕組みとして、SCS評価制度が創設されました。
発注元・受注先それぞれが抱える課題
サプライチェーン全体のセキュリティを強化するには、取引関係にある企業の対策状況を適切に把握し、必要な水準を共有することが欠かせません。しかし、従来の確認方法では、発注元と受注先の双方に負担が生じていました。
発注元企業にとって悩ましいのが、取引先のセキュリティ対策を客観的に判断しにくい点です。各社に独自の確認シートを配布して回答を集めても、記載された内容だけで実際の対策状況まで判断するのは容易ではありません。確認項目の作成から回答の精査まで、担当者の業務負担や管理コストが膨らみやすいという問題があります。
一方、受注先企業も、取引先ごとに異なる基準への対応に追われていました。複数の企業と取引している場合、同じような対策を実施していても、提出する資料や回答方法を相手に合わせて変えなければならず、重複した作業が発生しがちです。
SCS評価制度では、企業のセキュリティ対策を共通の基準に沿って評価することで、発注元が取引先の状況を判断しやすくするとともに、受注先の確認対応を効率化することを目指しています。これにより、企業間の確認作業を合理化しながら、サプライチェーン全体のセキュリティ強化につなげる狙いがあります。
SCS評価制度の評価段階（★の区分）
SCS評価制度では、企業が取り組む情報セキュリティ対策を、★1から★5までの5つのレベルに分けて評価します。それぞれの段階で求められる対策内容は異なり、上位のレベルほど、より高度なセキュリティ対策や厳密な評価手続きが必要になります。
どの評価レベルを目標とするかは、自社の事業内容や取引先との関係、求められるセキュリティ水準などを踏まえて検討することが大切です。ここからは、各レベルの位置づけや評価方法、取得にあたって押さえておきたいポイントを紹介します。
★1・★2：既存のSECURITY ACTIONを活用
SCS評価制度のうち、★1（一つ星）と★2（二つ星）は、中小企業向けに運用されている「SECURITY ACTION」の取り組みを基礎としています。そのため、これらの段階に対応するために、まったく新しい評価基準へ一から取り組むわけではありません。
SECURITY ACTIONは、中小企業が自社の情報セキュリティ対策を見直し、必要な取り組みを進めていることを自己宣言する制度です。★1に相当する段階では「情報セキュリティ5か条」に沿った対策の実践を宣言し、★2では、それに加えて自社の情報セキュリティ基本方針を策定・公開します。
SCS評価制度では、この既存の取り組みを★1・★2の区分に対応させています。すでにSECURITY ACTIONに取り組んでいる企業にとっては、現在の活動を今後のセキュリティ対策強化につなげやすい仕組みといえるでしょう。
★3（基礎レベル）：自己評価を中心とした審査
★3は、企業が基本的なサイバー攻撃のリスクに対応できるよう、必要なセキュリティ対策を整備しているかを確認する区分です。高度な防御体制だけでなく、日常的に求められる基本対策を適切に実施できているかが評価のポイントとなります。
認証を取得する際は、企業が26項目の要求事項に沿って自社の対応状況を確認し、その結果についてセキュリティの専門家によるチェックを受けます。★4のように第三者評価機関が現地で審査する方式とは異なり、自社による評価を基本とするため、比較的導入しやすい区分です。
認証の有効期間は1年間とされており、取得後も継続的に対策状況を確認し、毎年更新する必要があります。まずは基本的なセキュリティ体制を整えたい中小企業にとって、最初の目標として検討しやすい評価レベルといえるでしょう。
★4（標準レベル）：外部機関による実地評価
★4は、取引先や社会全体への影響が大きい企業などを想定した評価区分で、★3よりも高度なセキュリティ対策と厳密な確認プロセスが求められます。
評価では、43項目の要求事項への対応状況を確認するだけでなく、第三者評価機関による現地での審査や技術面の検証も実施されます。企業が自ら対策状況を申告するだけではなく、外部の専門家が実際の運用やシステム環境を確認するため、対策の実効性を客観的に判断しやすくなる点が特徴です。
認証は取得後3年間有効です。サプライチェーンの重要な役割を担う企業や、重要インフラに関連する事業者など、高い水準のセキュリティ対策を求められる企業にとって、取得を検討する意義のある評価レベルといえます。
★5（高度レベル）：制度の具体化に向けて検討中
★5は、★1〜★4よりも高いセキュリティ水準を評価するために構想されている区分です。ただし、現段階では制度の詳細が確定しておらず、正式な運用には至っていません。
★3と★4では、企業に求められる基本的なセキュリティ対策や、その実施状況を確認する仕組みが定められています。一方、★5については、さらに高度な防御体制や専門的な技術対策などを評価する区分になると考えられます。具体的な審査項目や評価方法はまだ明らかになっておらず、今後の制度設計に注目する必要があります。
現時点で★5の取得に向けた具体的な準備を進めるのは難しいものの、高度なセキュリティ対策を競争力の一つとして位置づけたい企業は、今後公表される情報を定期的に確認しておくとよいでしょう。
SCS評価制度の対象範囲と運用スケジュール
SCS評価制度への対応を考える際は、どのシステムや設備が評価に含まれるのか、また制度がいつから利用できるようになるのかを確認しておく必要があります。対象となる範囲を事前に把握し、運用開始までの期間を踏まえて準備を進めれば、必要な対策を計画的に整えやすくなります。
ここからは、評価対象となる領域と対象外の範囲、申請受付や運用開始に関する予定について解説します。
評価対象となる領域と対象外の範囲
SCS評価制度では、企業が業務で利用するIT環境を中心に、セキュリティ対策の状況を確認します。対象となるのは、業務用PCやサーバー、クラウドサービス、ネットワーク機器のほか、社内システムと外部ネットワークをつなぐ接続部分などです。これらの環境は、不正アクセスやマルウェア感染の入口となる可能性があるため、適切な管理と防御対策が求められます。
ただし、企業が保有するすべてのシステムが評価対象になるわけではありません。工場の生産設備などを制御するOT（Operational Technology）システムや、自社で開発・提供する製品およびサービスそのものは、原則として対象外です。OTは生産工程や設備の稼働を制御するもので、一般的なIT環境とは異なるリスクや管理上の特性を持つため、別の観点から対策を評価する必要があります。
制度への対応を始める際は、自社のIT資産を洗い出し、評価対象に該当するシステムと対象外の設備・サービスを区別しておくと、必要な準備を進めやすくなります。
申請受付・運用開始までの見通し
★3および★4の申請受付と制度の運用は、2026年度末（2027年3月頃）に始まる予定です。現在は制度の具体化に向けた検討が進められており、各評価レベルで必要となる対策や申請の進め方など、詳細な情報は経済産業省の公式サイトなどで順次案内される見込みです。
制度の開始までは準備期間があるものの、必要な対策を短期間で整えるのは容易ではありません。特に★4では、外部の評価機関による現地審査や技術面の確認が求められるため、早い段階から社内のセキュリティ体制を点検しておくことが大切です。
また、大手企業との取引が多い企業や、サプライチェーンの重要な役割を担う企業は、取引先から制度への対応を求められる可能性もあります。公式情報の更新を定期的に確認し、要求事項や申請方法が明らかになった際に速やかに動けるよう、事前の準備を進めておきましょう。
企業が今からできる準備
SCS評価制度の正式な運用開始は2026年度末頃を予定していますが、企業にとっては今から準備を始めておくことで、制度開始後にスムーズに対応することができます。ここでは、自社の現状把握と、既存のセキュリティ基準との関係整理という2つの観点から、今から取り組める準備について見ていきます。
自社のセキュリティ対策を現状把握する
SCS評価制度への対応を見据えるなら、最初に行いたいのが、自社のセキュリティ環境を一通り確認することです。現時点では★3の26項目、★4の43項目について今後詳細が示される予定ですが、アクセス権限の管理、システムの脆弱性への対応、トラブル発生時の対応体制、従業員への教育など、基本的なセキュリティ対策については事前に確認しておくとよいでしょう。
まずは、現在どのような対策を実施しているのかを一覧にし、不十分な部分や運用上の課題を洗い出しておくことが重要です。あらかじめ現状と理想との差を把握しておけば、今後正式な要求事項が示された際にも、必要な対応を判断しやすくなります。
また、業務で使用しているPCやサーバー、クラウドサービス、ネットワーク機器などについて、誰がどのように管理しているのかも確認しておきましょう。セキュリティポリシーや社内ルールが文書化されているか、実際の運用がルールどおりに行われているかまで確認しておくと、制度への対応を進める際にも役立ちます。
ISMSなど既存のセキュリティ基準との整合性を確認する
SCS評価制度への対応を進める際は、すでに導入しているセキュリティ認証や社内の管理体制を活用できるかどうかも確認しておきましょう。特に、ISMS（ISO/IEC 27001）の認証を取得している企業では、現在の運用ルールや管理手順と、SCS評価制度で求められる対策との共通点を整理することが大切です。
既存の認証取得に向けて整備した情報管理の仕組みや、継続的なリスク管理の取り組みは、SCS評価制度への対応にも役立つ可能性があります。ただし、既存の認証を取得しているからといって、SCS評価制度の要求事項をすべて満たせるとは限りません。制度の詳細が公表された段階で、現在の対策で対応できる部分と、新たに取り組む必要がある部分を確認する必要があります。
一方、ISMSなどの認証を取得していない企業も、これを機に自社に適したセキュリティ管理の仕組みを検討するとよいでしょう。既存の基準との関係を整理しながら対策を体系化することで、SCS評価制度への対応だけでなく、日常的な情報セキュリティの強化にもつなげられます。
まとめ｜SCS評価制度の開始に備えて計画的に対策を進めよう
SCS評価制度は、取引先を経由したサイバー攻撃のリスクを抑えるため、企業の情報セキュリティ対策を一定の基準に沿って評価する仕組みです。★1・★2ではSECURITY ACTIONの取り組みを活用し、★3では専門家の確認を伴う自己評価、★4では第三者評価機関による実地審査などを通じて、企業の対策状況を段階的に評価します。自社の事業内容や取引先から求められる水準を踏まえ、適切な評価レベルを検討することが大切です。
★3・★4の申請受付と運用は、2026年度末頃の開始が予定されています。制度への参加は任意ですが、取引先との契約や調達条件などによって対応が必要になる可能性もあるため、開始を待たずに準備しておくと安心です。まずは社内のセキュリティ対策を洗い出し、ISMSなど既存の認証や管理体制を活用できる部分を整理しておきましょう。制度の詳細が公表された後も、必要な対応を効率よく進めやすくなります。
サイバー攻撃への備えは、大企業だけでなく、サプライチェーンに関わるすべての企業にとって重要な経営課題です。自社の現状を把握し、できることから対策を積み重ねることが、取引先からの信頼確保にもつながります。
