SCS評価制度 完全ガイド
SUPPLY CHAIN SECURITY
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省とIPA（独立行政法人情報処理推進機構）が主導する、企業のサイバーセキュリティ対策の水準を「★の数」で可視化する新しい共通基準で、2026年度末（2027年1月〜3月頃）から申請受付が開始される予定となっています。
専門用語が多くて難しく感じられがちなこの制度について、初心者の方にも分かりやすく、直感的に理解できるようにポイントをまとめました。
① なぜ今、この制度が必要なのか？
昨今のサイバー攻撃（特にランサムウェア等）は、防御が固い大企業を直接狙うのではなく、セキュリティ対策が手薄になりがちな「取引先や委託先（サプライチェーン）」を踏み台にして侵入する手口が主流になっています。
「自社さえ守れていれば安全」という時代は終わり、取引網全体で一定のセキュリティ水準を担保しなければならない時代になりました。SCS評価制度は、今後のビジネスにおいて「取引の継続・獲得」のための重要な実質的条件となる可能性が高い、非常に大切な制度です。
② 求められる基準の違い（★3と★4）
SCS評価制度では、現在「★3」と「★4」の2つのレベルが公表されています。中小企業であっても、まずは基本となる「★3」の取得を目指すことが現実的な第一歩となります。
| 項目 | ★3（基本） | ★4（標準） |
|---|---|---|
| 対象企業 | 全てのサプライチェーン参加企業（中小企業含む） | より高いセキュリティ対策が求められるサプライチェーン企業等 |
| 要求事項数 | 26項目 | 43項目（★3を内包） |
| 評価方法 | 専門家確認付き自己評価 | 第三者評価 ＋ 技術検証 |
| 有効期間 | 1年 | 3年 |
・専門家確認付き自己評価（★3）：
自社で26の要求事項について「対策ができているか」をチェックし、社内ルールや運用記録（証跡）を揃えます。その内容を外部のセキュリティ専門家に確認・アドバイスしてもらい、正しく運用されているかの保証を得る方式です。
・第三者評価 ＋ 技術検証（★4）：
国が認めた公的な評価機関（第三者）が書類や運用状態を厳格に審査（第三者評価）します。さらに、実際のシステムやネットワークに対して擬似的なアクセス・脆弱性テスト（技術検証）を行い、技術的に穴がないかまで直接判定する非常に厳格な方式です。
SCS評価制度の公式な審査費用・評価費用は、制度の正式開始（2026年度末頃予定）に向けてIPA等より順次発表される予定となっており、現時点では公式な金額は公開されていません。
なお、審査自体の費用のほかに、社内での体制整備工数やセキュリティツールの導入費用、外部コンサルティング費用等が別途発生する場合があります。最新の公式費用発表は、以下のIPA公式ページをご確認ください。
③ どのような内容をチェックされるか？
SCS評価制度の要求事項を理解するため、特に重要な実務ポイントを12項目に整理すると以下の分野がチェックされます。
- ガバナンス： 経営層が関与し、セキュリティ方針を定めているか
- 資産管理： パソコンやサーバーなどのIT資産を台帳で把握しているか
- ID管理： 入社・退職に連動して、アカウントの発行や削除が速やかに行われているか
- アクセス管理： 業務に必要な「最小限の権限」だけを付与しているか
- 多要素認証（MFA）： 重要システムへのログインに、パスワード以外の認証を導入しているか
- 特権ID管理： 強力な権限を持つ管理者アカウントを厳格に管理しているか
- 脆弱性管理： OSやソフトの弱点を把握し、アップデート（パッチ適用）しているか
- ログ管理： いつ、誰が、何をしたかの記録を取得し、改ざんされないよう保管しているか
- バックアップ： データを定期的にバックアップし、実際に復旧できるかテストしているか
- インシデント対応： 事故が発生した際の連絡体制や対応手順が準備されているか
- 委託先管理： 自社が業務を委託している業者のセキュリティ状況を定期的に確認しているか
- 教育・訓練： 従業員に対して定期的なセキュリティ教育を実施しているか
※特に、攻撃者の最初の侵入口となりやすい「ID管理」「アクセス管理」「多要素認証（MFA）」の領域は、制度の中でも極めて重視されています。
④ 簡単な自社診断（7つの質問）
あなたの会社は今、どのくらいSCSの基準を満たせているでしょうか？ サイバー攻撃者に最も狙われやすい（＝SCS評価でも厳しくチェックされる）弱点を中心に、7つの簡単な質問で現状をチェックしてみましょう。
- Q1.【資産管理】 情報機器のOSやソフトウェアについて、必要なアップデートやセキュリティパッチを適時適切に適用していますか？
- Q2.【多要素認証】 重要なクラウドサービスやVPN等へのアクセスに、多要素認証（MFA）を導入していますか？
- Q3.【ID管理】 退職・異動などで不要になったアカウントを、速やかに削除・無効化していますか？
- Q4.【アクセス管理】 システムへのアクセス権限は、全員ではなく業務に必要な最小限に留めていますか？
- Q5.【バックアップ】 重要情報の消失に備えて定期的にバックアップを取得していますか？
- Q6.【インシデント対応】 セキュリティ事故が発生した場合に備え、連絡体制や対応手順を準備していますか？
- Q7.【委託先管理】 業務を委託している外部業者に対して、セキュリティ対策状況を定期的に確認していますか？
⑤ 診断結果に応じた必要なアクション
上記の7つの質問で「はい」と答えられた数に応じて、次にとるべきアクションが変わります。
基礎的なセキュリティ対策はかなり浸透しています。次のステップとして、これらの対策が「ルール通りに運用されている証拠（エビデンス）」を残す仕組みづくりを始めましょう。
できている部分もある一方で、「退職者アカウントの放置」などが一つでもあれば攻撃者はそこを狙います。まずは「いいえ」だった項目を洗い出し、運用ルールの見直しとツールの導入を急いでください。
現在の状態は、AIを駆使した最新のサイバー攻撃に対して非常に無防備な状態です。まずは焦らずに、「自社にどんなIT機器があるか」と「誰がどのアカウントを持っているか」のリストアップ（棚卸し）から着手し、専門家への相談をご検討ください。
参考資料・出典リンク
SCS評価制度の詳細や最新情報、関連ガイドラインにつきましては、以下の公的機関（IPA・経済産業省）の公式ページをご参照ください。