SCS評価制度とは？★3の要求事項と2027年3月までの進め方

取引先から「SCS評価制度の★3を取ってほしい」と言われて、初めてこの制度を知った——そんな担当者の方が増えています。

結論から申し上げます。SCS評価制度は、サプライチェーン全体のセキュリティ対策の水準を、国が★の数で示す新しい仕組みです。多くの企業がまず目指すのは、全企業共通の入口である**★3**。要求事項は26件、有効期間は1年です。評価用ガイド等は2026年度下期（2026年10月〜2027年3月）に公表予定とされ、申請は2027年1〜3月に集中すると見込まれます。

この記事では、制度の全体像と、自社が何から始めればよいかを、専門用語を使わずに整理します。

正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。頭文字をとってSCS評価制度と呼ばれます。

経済産業省と内閣官房国家サイバー統括室の監督のもと、IPA（独立行政法人 情報処理推進機構）が運営します。2026年3月27日に「制度構築方針」が公表され、現在は詳細を詰めている段階です。

仕組みはシンプルです。企業のセキュリティ対策の状況を、★3・★4・★5の3段階で評価し、条件を満たした企業を台帳に登録・公開します。取引の場面では、発注する側（委託元）が「うちと取引するなら★3を満たしてください」と相手に段階を示し、その実施状況を確認する、という使い方が想定されています。

IPAは制度の目的として、2つの課題を挙げています。委託元側は「委託先の対策が見えにくく、自社が渡しているチェックリストが適切かも判断しづらい」。委託先側は「複数の取引先から別々の要求を受けて、負担が過大になっている」。

心当たりのある方も多いのではないでしょうか。取引先ごとに様式の違うセキュリティチェックシートが届き、そのたびに似た内容を書き直している——この重複を共通の物差しに置き換えるのが、制度の狙いです。

なお、現時点では任意の制度です。ただし取引の要件として求められる動きが実際に出てきており、この点が実務上のプレッシャーになっています。

3つの段階は、対象とする脅威の高さで分かれています。

まず押さえたいのは、★3の有効期間が1年だという点です。一度取得すれば終わりではなく、毎年更新することになります。制度への対応は「一度きりのプロジェクト」ではなく「毎年回る業務」として設計しておく必要があります。

★4になると、自己評価だけでは足りません。評価機関による実地審査が入り、さらにインターネットに公開している機器（VPN装置やルーターなど）に対する脆弱性検査も行われます。

ここは間違えやすいので、はっきり書いておきます。

★4は★3で求められる内容を含んでいます。積み上げ式の構造です。しかし、★3を先に取得していなければ★4を取得できない、という関係ではありません。制度構築方針にもそう明記されています。

取引先から★4を求められた場合、★3を経由せずに★4を目指すことができます。「まず★3から」は多くの企業にとって現実的な順番ですが、必須の順番ではありません。

要求事項26件は、7つの大分類に整理されています（当社ではこれを「7つの柱」と呼んでいます）。この7つの並びを見ると、制度が何を求めているかの筋道が見えてきます。

実務で最も時間がかかるのは、右端の列です。規程を作ること自体より、運用して記録を残すことのほうが重くなります。

たとえば★3では、セキュリティ事故が起きたときの対応について、新しく人を受け入れたときと年1回以上の頻度で、教育・訓練を行うことが求められます。しかも方針を文書にするだけでは足りません。実施した内容・方法・時期・受講状況を記録して保管することまで含まれます。記録は後からさかのぼって作れないため、早く着手した企業が有利になる構造です。

大きく4つのステップです。

1. 自己評価を記入する — 要求事項・評価基準に沿って、自社の状況を記入します。社内外の専門家の支援を受けながら進めてもかまいません。
2. セキュリティ専門家の確認・署名を受ける — 記入内容を専門家が確認し、必要に応じて修正の助言をします。専門家が内容を了承すると署名します。
3. 経営層の宣誓を添えて申請する — 経営層による自己適合宣誓を含めて、評価結果を事務局に提出します。
4. 台帳に登録・公開される — 申請内容に問題がなければ、事務局が台帳に登録し公開します。

なお、提出書類の確認にかかる期間は1〜2日程度が想定とされています。評価結果に足りない点が見つかっても、適切に是正して専門家の了承を得られれば★3は取得できます。

★3は「自己評価」と紹介されることが多いため、社内で書類を作れば申請できると思われがちです。実際にはステップ2の専門家の確認と署名が必須です。

この専門家は、社外に依頼することもできますが、社内にいてもかまいません。制度が定める資格要件は、情報処理安全確保支援士・公認情報セキュリティ監査人・CISSP・CISA・CISM・ISO/IEC 27001主任審査員のいずれかを保持していることです。

ただし、資格だけでは足りません。制度が定める研修の受講と、事務局への登録も必要です。そしてその研修を提供する事業者の公表は2026年12月末頃の予定とされています。つまり現時点では、まだ誰も「登録済みのセキュリティ専門家」にはなれません。

社内に該当資格を持つ方がいれば、研修の情報が出た時点で動けるよう候補者を決めておくとスムーズです。いない場合は、外部への依頼を前提に準備を進めることになります。

公表されているスケジュールを整理します。

評価用ガイドの公表時期と、公表を待たずに着手できることは SCS評価制度の評価用ガイドはいつ公表される？公表前の今できる3つの準備 で詳しく解説しています。

規程を整え、台帳を最新にし、運用して記録を残す——ここまでに数か月かかります。ガイドの公表を待ってから動くと、支援の依頼が集中する時期と重なります。

一方で、ガイドを待たずに着手できることがあります。現在地の把握・体制の決定・台帳の棚卸しの3つです。要求事項の細部が変わっても無駄になりません。

7つの大分類に沿った6問です。「いいえ」が3つ以上あれば、準備に数か月を見込んだほうが安全です。

1. セキュリティの責任者と推進体制が、文書で明確になっていますか
2. どの取引先と、どのように接続・情報連携しているかの一覧がありますか
3. IT資産（PC・サーバー・ネットワーク機器）の台帳が、実機と合っていますか
4. パスワードやアクセス権限のルールがあり、その運用記録が残っていますか
5. セキュリティ事故が起きたときの連絡先と手順が、文書になっていますか
6. バックアップから実際に復旧できるか、直近1年以内に試しましたか

この6問は入口の確認です。★3の要求事項は26件あり、それぞれに評価基準が定められています。

Q. SCS評価制度の取得は義務ですか。

現時点では任意の制度です。法律で取得を義務づけられているわけではありません。ただし取引の要件として求められる動きが出てきており、また公共調達との連動も今後の検討課題として挙げられています。

Q. ★3を取らずに★4を取ることはできますか。

できます。★4は★3の内容を含みますが、★3を事前に取得していなければ★4を取得できないという関係ではないと制度構築方針に明記されています。

Q. ISMS（ISO/IEC 27001）を取得していれば免除されますか。

免除の仕組みは公表されていません。制度構築方針では、ISO/IEC 27001は★5を検討する際のベンチマーク（参考にする基準）として位置づけられています。既存の認証で整備した文書や運用記録は、要求事項への対応を進めるうえで役立ちますが、そのまま置き換えられるものではありません。

Q. IPAの「JC-STAR」にある★1・★2とは違うのですか。

まったく別の制度です。JC-STARはIoT機器を対象とした制度で、★1・★2があります。SCS評価制度の★は3・4・5の3段階のみです。どちらもIPAが関わる★の制度なので、混同しやすい点にご注意ください。

• SCS評価制度は、サプライチェーン全体のセキュリティ水準を国が★の数で示す仕組み。監督は経済産業省と内閣官房国家サイバー統括室、運営はIPA
• 多くの企業がまず目指すのは**★3**。要求事項26件・専門家確認付きの自己評価・有効期間1年（毎年更新）
• ★3を取得していなくても★4は取得できる。「まず★3から」は現実的な順番だが必須の順番ではない
• ★3は自己評価だが、セキュリティ専門家の確認・署名と経営層の宣誓が必須。専門家は社内の有資格者でも担える（ただし研修事業者の公表は2026年12月末頃予定）
• 評価用ガイド等の公表は2026年度下期、申請の集中は2027年1〜3月の見込み。現在地の把握・体制の決定・台帳の棚卸しは、ガイドを待たずに着手できる

SCS評価制度への対応支援の内容は SCS評価制度 対応支援 でご案内しています。

「何から始めればいいか分からない」という段階でしたら、まずは自社の現在地を確かめてみてください。

SCS簡易ギャップ診断（無料・Web・全15問／約5分） では、7つの柱ごとに「自社がいま★3にどれくらい近いか」の目安が、その場で分かります。入力は自己申告のみで、資料の準備は不要です。

制度の全体像から知りたい方には、無料ウェビナー「30分で分かるSCS評価制度」 をご用意しています。ご参加いただいた方には、★3対応で使う規程・台帳のひな型8点「SCS★3スターターキット」を後日お送りします。専門用語を使わず、社内の稟議に使える形でご説明します。

本記事は2026年8月6日時点で公開されている経済産業省・IPAの情報に基づいています。制度の詳細は今後変更される可能性があります。最新情報は下記の出典元をご確認ください。

出典

• 経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日公表・PDF）
• IPA「SCS評価制度の詳細情報」（2026年4月21日公開／2026年5月29日最終更新）
• IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」（特設サイト）