公開日：2026年08月14日
/ 
更新日：
2026年08月14日
2026年3月、経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の制度構築方針を公表しました。今後、多くの企業が関わる可能性のある制度として注目を集めています。
「SCS評価制度とはどのような制度なのか」「自社にも関係するのか」「SECURITY ACTIONとの違いは何か」など、疑問を持つ方も多いのではないでしょうか。
本記事では、SCS評価制度の背景や、概要、企業が押さえておきたいポイントについて分かりやすく解説します。
1. なぜ今、SCS評価制度が注目されているのか
近年、企業を狙ったサイバー攻撃は高度化・巧妙化しており、自社だけでなく取引先や委託先企業を経由して被害が発生するケースが増えています。そのため、企業単体ではなく、サプライチェーン全体でセキュリティリスクに対応することが重要になっています。
一方で、委託元企業は「取引先が十分なセキュリティ対策を講じているか把握しづらい」、委託先企業は「取引先ごとに異なるセキュリティ要求への対応負荷が大きい」といった課題を抱えています。
SCS評価制度は、こうした課題への対応を目的として構築が進められている制度です。企業のセキュリティ対策状況を共通の基準で評価・可視化することで、委託元企業・委託先企業双方の負担軽減と、サプライチェーン全体のセキュリティ対策水準の向上を目指しています。
当社が2026年7月に開催したセキュリティカンファレンスでも、サプライチェーンリスクや限られたリソースの中で優先的に取り組むべき対策について取り上げました。SCS評価制度は、こうした背景から多くの企業担当者が関心を寄せるテーマとなっています。
2. SCS評価制度とは
SCS評価制度は、企業のセキュリティ対策状況を共通の基準で評価・可視化する制度です。
重要なことは、企業のセキュリティ対策レベルを競うための格付け制度ではないという点です。また、特定のセキュリティ製品の導入を義務付ける制度でもありません。
制度で定められた要求事項に沿ってセキュリティ対策を実施し、その状況を評価・可視化することを目的としています。
本制度は、委託元企業が委託先企業のセキュリティ対策状況を確認しやすくするとともに、委託先企業が取引先ごとに異なるセキュリティ要求への対応負荷を軽減することを目指しています。
これにより、委託元企業・委託先企業双方の負担軽減を図りながら、サプライチェーン全体のセキュリティ対策水準の向上が期待されています。
3. SCS評価制度の評価段階
SCS評価制度では、企業のセキュリティ対策状況を段階的に評価する仕組みが採用されています。
評価段階は★1から★5までで構成されていますが、実はすべてが同じ制度ではありません。
★1・★2は、IPAが運営する中小企業向けの自己宣言制度「SECURITY ACTION」です。
「SECURITY ACTION」とは
自己宣言から始めましょう。中小企業のためのセキュリティアクション。│独立行政法人 情報処理推進機構（IPA）
https://www.ipa.go.jp/security/security-action/sa/
★3・★4は、SCS評価制度における新たな評価段階として設けられるもので、2026年度末頃の申請受付開始が予定されています。
★5については、経済産業省が要求事項や評価基準の具体化を検討中です。
| 概要 | |
|---|---|
| ★1・★2 | SECURITY ACTION（自己宣言制度） |
| ★3 | SCS評価制度（専門家確認付き自己評価） |
| ★4 | SCS評価制度（第三者評価） |
| ★5 | 高水準な対策。今後具体化予定 |
4. SCS評価制度の★3と★4の違い
★3は、一般的なサイバー攻撃への対応を目的とした基本的なセキュリティ対策を評価する水準です。
一方、★4ではより広範囲な要求事項が設定されており、評価方法も第三者評価です。そのため、★3よりも高い水準のセキュリティ対策と運用が求められます。
なお、★3を取得しなければ★4を取得できない仕組みではなく、自社の事業内容やサプライチェーン上での役割、取引先から求められる水準などを踏まえて取得を検討することになります。
| 観点 | ★3 | ★4 |
|---|---|---|
| 基本的な考え方 | 一般的なサイバー脅威に対処する基礎的な水準 | 被害拡大防止や取引先保護まで含めた標準的な水準 |
| 評価方法 | 専門家確認付き自己評価 | 第三者評価と技術検証 |
| 実務のポイント | ルール・体制・基本的防御策を整える | 継続運用・監視・取引先管理・対応/復旧まで実効性を確認 |
5. SCS評価制度の対象となる企業
「自社は中小企業だから関係ない」「まだ取引先から求められていないから関係ない」と思われる方もいるかもしれません。
しかし、SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を評価・可視化することを目的とした制度であり、企業規模や業種を問わず、幅広い企業に関係する可能性があります。
そのため、例えば次のような企業は制度動向を把握しておくことが望ましいでしょう。
委託元企業
- 業務やサービスを委託している
- 取引先のセキュリティ対策状況を確認している
- サプライチェーン全体のリスク管理を行っている
委託先企業
- 顧客企業からセキュリティチェックシートの提出を求められることがある
- ITサービスや業務委託サービスを提供している
- 取引先とのセキュリティに関するやり取りが発生している
制度構築方針では、委託元企業が委託先企業に対して適切な評価段階（★）を提示し、対策状況を確認することが想定されています。そのため、委託元企業・委託先企業のいずれにとっても無関係ではありません。
今後、取引先とのセキュリティ対策に関するコミュニケーションの共通基準として活用される可能性もあるため、制度の詳細が固まる前の段階から、自社との関係性を確認しておくことが重要です。
6. SCS評価制度への備えとして確認しておきたいこと
SCS評価制度への対応というと、新たなセキュリティ製品の導入をイメージする方もいるかもしれません。しかし、制度構築方針では特定の製品導入を必須としているわけではありません。
制度対応を検討する際は、新たな製品導入を検討する前に、自社の現状を把握しておくことが重要です。
例えば、以下のような観点から現状を整理すると、自社の課題や対応の優先順位を検討しやすくなります。
01
現状の棚卸し
- 各種管理規程の有無と実態を把握する
- 情報資産、システム、クラウドサービスを整理する
- どの情報を、どの部門・委託先が取り扱っているかを確認する
02
委託先管理の確認
- 委託先や再委託先を把握する
- 取引先に求めているセキュリティ確認項目を整理する
03
運用体制の確認
- インシデント対応手順を確認する
- 運用記録や証跡が残っているか確認する
- 責任者や関係部門の役割を明確にする
SCS評価制度の詳細は今後さらに具体化される予定ですが、まずは自社の現状を把握し、どのような課題があるのか整理しておくことが重要です。
- 制度構築方針で示されている要求事項や評価観点をもとに、SCS評価制度対応を検討する際の確認ポイントとして当社が整理したものです。
7. SCSKサービスウェアがご支援できること
SCS評価制度への関心が高まる中、「自社のセキュリティ対策状況をどのように把握すればよいか分からない」「何から着手すべきか判断できない」「運用体制まで手が回らない」といった課題を抱える企業も少なくありません。
SCSKサービスウェアでは、セキュリティアセスメントによる現状分析をはじめ、課題整理や優先順位付け、運用体制の構築・運用支援などを通じて、お客様のセキュリティ対策強化をご支援しています。 また、セキュリティ対策は一度実施して終わりではなく、継続的な運用と改善が重要です。当社では、お客様の状況に合わせたセキュリティ体制づくりをサポートしています。
さらに、サイバーセキュリティやSCS評価制度に関する最新動向、実務に役立つ情報をお届けするセミナーやウェビナーも継続的に開催しています。SCS評価制度への理解を深めたい方は、ぜひ当社Webサイトの関連コンテンツもご活用ください。
関連コンテンツ
