SCS評価制度とは？★3・★4が発注企業・取引先に与える意味

SCS評価制度とは？

正式名称は、

サプライチェーン強化に向けたセキュリティ対策評価制度

です。

英語では、

Supply Chain Security Evaluation System

と表現され、略称としてSCSが使われています。

2026年3月、経済産業省と国家サイバー統括室が制度構築方針を公表しました。

制度の運営は、経済産業省・国家サイバー統括室の監督のもと、

独立行政法人情報処理推進機構（IPA）

が担います。

制度の主な目的は、- サプライチェーン上の重要性に応じて必要なセキュリティ対策を示すこと - 企業がその対策を実施しているか評価すること - 取引先から見ても実施状況を分かりやすくすること - 発注企業ごとに異なる質問票・要求への対応負担を軽減すること - サプライチェーン全体のセキュリティ水準を高めることです。

SCSの主な対象は、

サプライチェーンを構成する企業等のIT基盤

です。

クラウド環境で運用されるIT基盤も含まれます。

一方、一般的なIT基盤とは異なる製造設備等の制御システム、いわゆるOT環境などは、SCSだけで直接評価することを前提としておらず、必要に応じて別の制度・ガイドライン等を活用する考え方となっています。

つまり、

SCSはすべてのサイバーセキュリティ制度を置き換えるものではありません。

公式資料：IPA：SCS評価制度の詳細情報 · 経済産業省・国家サイバー統括室：SCS制度構築方針（IPA掲載PDF）

SCSはいつ始まるのか？

2026年10月時点で、IPAは、

★3・★4について2027年3月頃の制度運用開始

を予定しています。

制度を実際に動かすための準備も既に進んでいます。

2026年9月18日にはIPAが、

★4の第三者評価を行う評価機関技術検証を行う技術検証事業者SCS専門家向け研修を実施する研修事業者の募集を開始しました。

現在の予定では、評価機関等は2026年12月末頃から公表、SCSセキュリティ専門家は2027年1月頃から公表される予定です。

IPAは2026年9月18日に料金設定を公表しています。登録料とは別に、専門家確認・第三者評価・技術検証等の費用が発生する場合があります。企業向け申請手続や一部のガイドは、今後さらに詳細化・公表される予定です。

そのため、正式な申請を検討する場合には、

必ずIPAの最新情報を確認する

必要があります。

現在の評価機関・技術検証事業者・研修事業者の指定申請期限は、2026年10月26日17時（日本時間）です。これは事業者の指定申請期限であり、一般企業が★3・★4を取得するための期限ではありません。

公式資料：IPA：SCSのよくある質問 · IPA：評価機関・技術検証事業者・研修事業者の指定申請 · IPA：SCS料金設定（PDF）

★3と★4は「星が多いほど良い会社」という意味ではない

これはSCSを理解する上で非常に重要です。

SCSの★は、ホテルやレビューサイトの星のような、

企業の優劣を競うランキングではありません。

経済産業省も、SCSは企業のセキュリティ対策状況を評価・可視化する仕組みであり、企業同士を競わせる「格付け制度」ではないと説明しています。

必要な水準は、その企業がサプライチェーンの中で担う役割や、扱う情報、システムへのアクセス、事業停止時の影響などによって変わります。

例えば、一般的な事務用品を提供する企業と、顧客の重要情報を扱うクラウドサービス会社、重要な業務システムへ管理者権限でアクセスするITベンダー、その会社が止まると製造ライン全体が停止する重要サプライヤーでは、同じリスクとは言えません。

したがって、

「★4の方が★3より良い会社なのか？」

という問いより、

「この取引関係に対して、どのセキュリティ水準が適切なのか？」

を考えることが重要です。

公式資料：経済産業省：SCS制度方針・FAQ

★3とは？

★3は、

一般的なサイバー脅威に対応できる水準

として設計されています。

制度構築方針では、サプライチェーン企業が最低限実装すべきセキュリティ対策という考え方が示されています。

主に、基本的な組織的対策、システム防御、アカウント管理、資産管理、インシデント対応、復旧準備などが含まれます。

例えば、セキュリティ担当者を明確にする。

セキュリティ方針を策定する。

情報資産やネットワークを把握する。

利用している外部サービスを管理する。

ユーザーID・管理者IDを適切に管理する。

アクセス権限を管理する。

ネットワーク境界を保護する。

アップデートを適切に実施する。

マルウェア対策を行う。

ネットワーク等を監視する。

インシデント対応手順を整備する。

復旧のための対策を準備する。

といった領域です。

現在公表されている★3の要求事項は、

26項目

です。

公式資料：IPA：★3・★4 要求事項・評価基準

★3は「完全な自己申告」ではない

★3の評価方式は、

専門家確認付き自己評価

です。

まず取得を希望する企業自身が、★3の要求事項・評価基準に基づいて自己評価を行います。

その後、制度上の要件を満たしたSCSセキュリティ専門家が、自己評価の内容や資料を確認します。

必要に応じて、評価結果の修正を含む助言も行います。

最終的に専門家が内容を確認し、署名します。

さらに、経営層による自己適合宣言を含めて制度事務局へ提出します。

申請内容に問題がなければ、登録され、公表されます。

現在の制度設計では、★3の有効期間は、

1年間

です。

維持・更新するためには、毎年、要求事項への適合状況を確認し、必要な専門家確認を経た自己評価を提出することが想定されています。

公式資料：IPA：★3・★4 要求事項・評価基準

★4とは？

★4は、★3よりも広い範囲で、サプライチェーンへの影響が大きい企業などが標準的に目指す水準として設計されています。

単に、「最初の侵入を防ぐ」だけではありません。

侵害された場合に、被害が社内外へ広がらないようにする。

攻撃者の目的達成を難しくする。

取引先のデータやシステムを守る。

重要取引先のセキュリティ状況を把握する。

事業継続を考える。

異常をより早く検知する。

復旧能力を高める。

といった、より包括的な対策が求められます。

現在公表されている★4の要求事項は、

43項目

です。

上位段階は下位段階の要求を含む考え方となっています。

ただし重要なのは、

★4を取得する前に、必ず★3を取得する必要はありません。

公式資料でも明確にされています。

公式資料：IPA：★3・★4 要求事項・評価基準

★4は第三者評価

★3との大きな違いが、

評価方法

です。

★3は、専門家確認付き自己評価。

★4は、

第三者評価

です。

まず取得希望企業が自己評価を行います。

その後、IPAの制度上指定された評価機関へ評価を依頼します。

★4では、文書確認だけではなく、

実地審査

および

技術検証

も行われます。

技術検証は、指定された評価機関自身が実施する場合と、評価機関から委託を受けた指定技術検証事業者が実施する場合があります。

評価機関は評価結果をまとめ、取得希望企業へ評価報告書を交付します。

企業はその結果をもとにSCS事務局へ★4登録を申請します。

問題がなければ登録・公表されます。

現在の制度設計では、★4の有効期間は、

3年間

です。

ただし、その期間中も毎年、自己評価結果を評価機関へ提出する必要があります。

また、適用範囲や要求事項への適合状況に大きな影響を与える変更があった場合には、再評価が必要になる可能性があります。

SCS-100の3.2では、企業は自己適合宣言も行い、自己評価とともに評価機関へ提出します。3年ごとの更新時には第三者評価を受けます。

基本規程の「実地審査」には、ヒアリングや目視確認を実地または遠隔地で実施することが含まれます。

公式資料：IPA：SCS-100 基本規程（PDF）

★3と★4の違い

これは経営・事業担当者向けに簡略化した説明です。

正式な取得準備では、

IPA・経済産業省が公表する最新の要求事項・評価基準を確認する必要があります。

公式資料：IPA：SCS-100 基本規程（PDF） · IPA：★3・★4 要求事項・評価基準

SCSは7つの領域から考える

SCSの要求事項は、

NIST Cybersecurity Frameworkの6機能に対応した分類に、

取引先管理を重視した分類を追加した、

7つの大分類

で整理されています。

SCSが、

単にセキュリティ製品を導入するための制度ではない

ことがここからも分かります。

公式資料：経済産業省・国家サイバー統括室：SCS制度構築方針（IPA掲載PDF） · IPA：★3・★4 要求事項・評価基準

事業担当者向けの説明は編集上の要約であり、公式の要求事項の原文ではありません。

全項目を満たす必要があるのか？

IPAは、★3・★4を取得するためには、その段階で定められた要求事項・評価基準を満たす必要があると説明しています。

したがって、一部の項目だけ対応して、点数の合計で星を取得するような仕組みとは異なります。

一方で、組織の規模、システム構成、適用範囲などによって、具体的な実装方法が必ずしも全企業で同じになるわけではありません。

だからこそ準備は、

「何を買えばいいのか？」

からではなく、

「要求事項に対して、現在何ができていて、何を証明できて、どこが不足しているか？」

から始めるべきです。

公式資料：IPA：SCSのよくある質問 · IPA：SCS-100 基本規程（PDF）

特定のセキュリティ製品を買う必要はない

この点は非常に重要です。

経済産業省は、SCSの評価基準を満たすために、

特定のセキュリティ製品の導入を必須とはしていない

と明記しています。

企業によって、規模、IT環境、クラウド利用、ネットワーク構成、業務内容は異なります。

そのため、同じ要求事項でも、実装方法は異なる可能性があります。

したがって、

「SCS取得にはこの製品が必須です」

「政府がこのサービスの利用を要求しています」

といった説明には注意が必要です。

SCSは、特定製品を購入するための制度ではありません。

公式資料：経済産業省：SCS制度方針・FAQ · 経済産業省・国家サイバー統括室：SCSに係る不適切な勧誘への注意喚起

SCSは任意制度

もう一つ大きな誤解があります。

SCSは、日本企業すべてに取得を義務付ける制度ではありません。

任意制度です。

★を取得していないからといって、SCS制度自体が企業活動を禁止したり、自動的に取引停止を命じたりするものではありません。

ただし、ここには重要な実務上の違いがあります。

発注企業と取引先の間で、契約や取引条件として、一定のセキュリティ水準を求めることは考えられます。

つまり、

制度そのものは任意。

一方で、

取引関係の中でセキュリティ水準が求められる可能性はある。

ということです。

だからこそ、顧客から突然聞かれてから調べるのではなく、今のうちに制度を理解しておく意味があります。

経済産業省と国家サイバー統括室は、★を取得していなければ商取引が規制される、入札から除外されるといった不適切な勧誘への注意を呼びかけています。SCS制度自体がそのような規制を課すものではありません。

公式資料：経済産業省：SCS制度方針・FAQ · 経済産業省・国家サイバー統括室：SCSに係る不適切な勧誘への注意喚起

発注企業がすべての取引先に★4を要求すればよいわけではない

大企業側から見ると、管理を簡単にするために、

「すべての取引先に★4を求めればいい」

と考えたくなるかもしれません。

しかし、それが適切とは限りません。

例えば、一般的な備品会社。

顧客情報を保管するクラウド事業者。

製造システムへ管理者権限で接続するIT会社。

その会社が停止すると製造自体が止まる重要サプライヤー。

では、リスクが大きく異なります。

より実務的なのは、

1. 取引関係を把握
2. 事業・情報への影響を評価
3. 適切なセキュリティ水準を決定
4. 分かりやすく取引先へ伝える
5. 対応状況を確認

という方法です。

星に合わせてリスクを作るのではなく、リスクに合わせて必要な水準を決める。

ことが重要です。

発注企業は取引先の負担も考える必要がある

サプライチェーンセキュリティは、すべての費用・負担を取引先へ押し付ければ強くなるというものではありません。

経済産業省と公正取引委員会は、セキュリティ対策の要請によって取引先に追加コストが発生する場合の、価格交渉やパートナーシップについても考え方を示しています。

発注企業が追加対策を求める場合には、必要な対策について説明する。

費用負担について協議する。

準備期間を考える。

利用できる支援制度を案内する。

取引先からの相談・質問に対応する。

といった姿勢が重要です。

強いサプライチェーンを作るには、

取引先を困らせること

ではなく、

取引先も対策できる状態を作ること

が必要です。

公式資料：経済産業省・公正取引委員会：取引先とのパートナーシップ・費用協議 · 公正取引委員会・経済産業省：取引先とのパートナーシップ指針

発注企業は今から何を準備すべきか？

制度開始前でも準備できます。

1. 重要取引先を把握する

例えば、重要情報を持っている。

自社システムへ接続している。

重要なITサービスを提供している。

管理者権限を持っている。

停止すると自社事業へ重大影響がある。

といった取引先です。

2. リスク別に取引先を分類する

すべて同じ基準にする必要はありません。

アクセス、保有データ、事業依存度、重要性、事故発生時の影響などで考えます。

3. 現在の質問票とSCSを比較する

既にサプライヤーセキュリティチェックを実施している企業も多いでしょう。

新しいチェックリストを増やすだけではなく、既存プロセスとSCS要求事項を比較することが重要です。

4. SCSをどう取引に使うか決める

例えば、正式な★取得を求める。

SCS要求事項を共通チェックリストとして使う。

新規取引先登録に組み込む。

重要取引先だけに適用する。

などの考え方があります。

5. 未達時の対応を決める

重要取引先がまだ要求を満たさない場合、是正計画。

期限設定。

代替対策。

追加監視。

リスク受容。

契約上の措置。

必要に応じて別の取引先。

などを検討できます。

自動的な取引停止だけが選択肢ではありません。

取引先・サプライヤーは今から何を準備すべきか？

大手顧客から、「来月までにこのセキュリティ資料を出してください」と言われてから始めるのは大変です。

最初にやるべきことは、必ずしも新しい製品購入ではありません。

まず、

1. 適用範囲を決める
2. 現在の対策を整理する
3. 証拠を集める
4. ★3・★4要求事項と比較する
5. 不足を明確にする
6. 優先順位を付ける
7. 対策を実施する
8. 文書・証拠を整える
9. 適切な正式評価へ進む

という流れが実務的です。

Axtonによる準備プロセスの説明例であり、SCS公式申請手順ではありません。

図1：SCSが取引関係でどう使われるか

公式資料：経済産業省：SCS制度方針・FAQ

図2：★3・★4の評価フロー

公式資料：IPA：SCS-100 基本規程（PDF）

★4の技術検証とは？

★4では、第三者評価の一部として技術検証が実施されます。

SCS制度には、指定された技術検証事業者という役割があります。

現在IPAが公表している制度資料では、脆弱性診断等の技術検証を行う事業者が想定されています。

ただし、市場に存在するすべてのセキュリティテストが、自動的にSCS評価で必要になるという意味ではありません。

正式な評価では、最新の公式ガイダンスと指定評価機関の指示に従う必要があります。

公式資料：IPA：評価機関・技術検証事業者・研修事業者の指定申請 · IPA：制度規程・委員会

SCSセキュリティ専門家とは？

★3の自己評価について、確認・助言を行うのが、

SCSセキュリティ専門家

です。

★4でも、評価機関内で評価責任者を担うなどの役割があります。

制度上のSCSセキュリティ専門家になるためには、定められた資格・力量要件と、SCS制度に関する研修要件を満たした上で、制度事務局への登録が必要です。

そのため、

「サイバーセキュリティコンサルタントである」ことと、「SCS公式専門家である」ことは同じではありません。

IPAが現在示す資格は、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001主任審査員のいずれかです。資格・力量の維持、SCS制度に関する研修受講、制度事務局への登録が必要であり、資格保有だけでSCS専門家になるわけではありません。

公式資料：IPA：SCS評価制度の詳細情報 · IPA：SCSのよくある質問 · IPA：SCS-100 基本規程（PDF）

Axton GroupはSCS評価・認証機関ではありません

この点は明確にする必要があります。

Axton Group LTD Japanは、正式な指定・登録を受けていない限り、SCS評価機関、技術検証事業者、公式SCSセキュリティ専門家、SCS認証機関であるとは表明しません。

一方、正式評価前の準備支援については、プロジェクト範囲・実際の提供能力に応じて、SCS要求事項の理解。

現状整理。

証拠資料の確認。

規程・業務プロセス整理。

ギャップ分析。

是正ロードマップ。

サプライヤーセキュリティプロセス設計。

適切な専門家との調整。

などを支援できる可能性があります。

正式な★評価は、SCS制度で定められた仕組みに従う必要があります。

サイバーセキュリティの準備支援を見る

SCSとISMSは同じ制度ではない

SCSとISMSは、同じものではありません。

経済産業省は、両者を相互補完的な制度として位置付けています。

SCS ★3・★4では、代表的な脅威などをもとに、効果が高い具体的な管理策を抽出した、ベースライン的なアプローチを取っています。

一方ISMSは、情報セキュリティマネジメントシステムとして、組織自身がリスクを評価し、管理していく考え方が中心です。

そのため、

「ISMSを取得済みだから、★4も自動取得できる」

とは限りません。

逆に、SCSの★を取得したからといって、ISMSが持つすべての目的を代替するわけでもありません。

既にISMSを運用している企業は、既存の規程・証拠・ガバナンスを活かしながら、SCS固有の要求事項との差分を確認することが重要です。

公式資料：経済産業省：SCS制度方針・FAQ · 経済産業省・国家サイバー統括室：SCS制度構築方針（IPA掲載PDF）

★5はどうなる？

★5は、より高度なサイバー攻撃への対応を想定した、今後の上位水準として検討されています。

現時点では、未知の攻撃を含む高度なサイバー攻撃に対し、リスクベースの考え方や、現在のベストプラクティスを活用した対策などが想定されています。

ただし、

★5の要求事項・評価基準・評価方法・開始時期は、まだ確定していません。

現時点で企業が実務的に準備すべき中心は、★3と★4です。

公式資料：IPA：SCSのよくある質問

★1・★2は？

SCS制度構築方針では、低い段階についてIPAの既存制度である

SECURITY ACTION

が参照されています。

現在運用開始に向けて準備されているSCS評価制度の中心は、★3・★4であり、★5は今後検討されます。

したがって、すべての★番号が同じ評価方式で運用されると考えるべきではありません。

公式資料：経済産業省・国家サイバー統括室：SCS制度構築方針（IPA掲載PDF）

図3：SCS準備は継続的な業務

7つの領域を確認する

ガバナンスの整備

責任者、方針、経営層の確認、改善プロセスは明確か

取引先管理

重要取引先を把握し、セキュリティ上の責任を決めているか

リスクの特定

資産、ネットワーク、外部サービス、脆弱性を把握しているか

攻撃等の防御

ID、アクセス、システム、ネットワーク、重要情報を保護しているか

攻撃等の検知

不審な動作や異常を把握・分析できるか

インシデントへの対応

インシデント発生時の手順・連絡・役割が決まっているか

インシデントからの復旧

重要システム・業務を復旧できるか

これは経営・事業担当者向けの要約です。

正式準備では、

最新の要求事項・評価基準を使用する必要があります。

公式資料：IPA：★3・★4 要求事項・評価基準

セキュリティ質問票を送るだけでは取引先管理にならない

例えば、

1. 質問票を送る
2. Excelが返ってくる
3. フォルダに保存する
4. 翌年まで何もしない

という運用。

情報は集めています。

しかし、リスクを管理しているでしょうか。

より実務的なのは、

1. 取引先を特定
2. 重要度を判断
3. 必要水準を決定
4. 証拠提出
5. ギャップ確認
6. 是正担当者
7. 期限設定
8. 再確認
9. 承認またはエスカレーション
10. 定期再評価

というプロセスです。

SCSは、このようなサプライチェーンセキュリティを継続的に管理する際の、共通基準として活用できる可能性があります。

取引先管理の説明例であり、この業務フローをSCSが義務付けているわけではありません。

SCS運用とワークフロー自動化

SCSは、特定のワークフロー製品の導入を求めていません。

しかし、多数の取引先を管理する企業では、運用面の課題が発生する可能性があります。

数百社の取引先。

取引先ごとに異なる必要水準。

質問票。

証拠書類。

不足資料。

是正事項。

担当者。

期限。

承認。

例外。

再評価。

経営への報告。

これらをすべてメールとExcelだけで管理すると、セキュリティそのものとは別に、大きな業務負荷になる可能性があります。

適切なワークフローを設計することで、要求事項の通知。

資料提出。

不足情報へのリマインド。

セキュリティ担当者への振り分け。

是正対応。

期限管理。

エスカレーション。

判断履歴。

再評価。

などを一つの業務として管理できます。

重要なのは、

テクノロジーがセキュリティ判断を置き換えるのではなく、セキュリティ業務を正しく実行できるよう支えること

です。

SCSはFluyentaの導入を要求しておらず、FluyentaはSCS公式製品ではありません。ワークフロー製品は通知、証拠整理、確認の振り分け、判断履歴などを支えますが、セキュリティ判断を置き換えません。

エンタープライズ業務自動化を見る

発注企業と取引先の役割

サプライチェーンセキュリティは、

発注側と受注側のどちらか一方だけで完成するものではありません。

SCSについて誤解してはいけないこと

これらの違いを理解することが、不要なコストや不安、不適切な営業活動、不合理な取引要求を避けるために重要です。

2027年3月頃までに企業が準備できること

発注企業なら、

本当に重要な取引先は誰か

を把握する。

取引先なら、

主要顧客からどの程度のセキュリティ水準を求められる可能性があるか

を理解する。

そして双方とも、正式運用が始まる前から、公表されている★3・★4要求事項を確認できます。

準備の流れとしては、

1. 重要な取引関係を把握する
2. 適用範囲を決める
3. 現在の対策を要求事項と比較する
4. 証拠を整理する
5. 不足項目を明確にする
6. 是正を優先する
7. 適切な★水準を検討する
8. 正式申請前に最新のIPA情報を確認する

という流れが考えられます。

目的は、単に、

「星を取る」

ことではありません。

本来の目的は、

サプライチェーンの中で、より安全で信頼できる企業になること。
そして、その対策状況を取引先が分かりやすく確認できるようにすること。

です。

よくあるご質問