SCS評価制度とは？★3・★4の違いと取引先が準備すること
SCS評価制度は、企業のサプライチェーンで求めるセキュリティ対策を段階別に示し、取引先が実施状況を確認しやすくするために経済産業省とIPAが整備している制度です。2026年8月31日時点では、2026年度末ごろの制度開始を目指して詳細が検討されています。
本記事は2026年8月31日時点の公表資料に基づきます。申請条件、評価項目、料金、表示方法などは今後変わる可能性があるため、利用時はIPAの最新ページを確認してください。
取引先ごとにばらばらだった確認を共通化する
発注企業が取引先へ独自の質問票を繰り返し求めると、要求水準も回答形式もそろわず、確認する側・される側の負担が増えます。SCSは、組織のIT基盤を中心とする対策要求と評価方法を共通化し、サプライチェーン全体の対策を底上げする狙いがあります。
経済産業省は、SCSを企業の優劣を付けるいわゆる「格付け」ではなく、発注時などに必要なセキュリティ対応状況を可視化する制度と説明しています。製品・サービスそのものの安全性を一律に保証する認証でも、法令上すべての企業へ取得を義務付ける制度でもありません。3段階のうち★3・★4を先行して整備し、★5は今後設計されます。発注条件に使う場合は、扱う情報、接続権限、事業停止時の影響に応じて必要水準を判断します。
★3と★4は評価方法・想定リスクが異なる
| 確認軸 | ★3の考え方 | ★4の考え方 |
|---|---|---|
| 想定する場面 | 幅広い取引先の基礎的対策 | 重要情報・システムへ影響し得る取引 |
| 評価の深さ | 対策の実施状況を標準項目で確認 | 運用証跡や技術面を含め、より深く確認 |
| 主な論点 | 体制、資産、アクセス、教育、事故対応など | 侵害の拡大防止、監視、復旧、役割別対策など |
星の数だけで安全性を比較せず、評価対象となった拠点・サービス・組織範囲と、自社が委託する業務の範囲が一致しているかを確かめます。
会社全体ではなく、取引に関係する境界を明確にする
同じ会社でも、一般公開情報だけを扱う制作業務と、顧客データへ接続する保守業務ではリスクが違います。発注側は一律に高い評価を要求するのではなく、情報の機密性、権限、停止影響、再委託を整理して水準を決めます。受注側は、評価対象外の拠点やサービスまで安全と誤認させない表示が必要です。
制度開始を待たずにできる準備
- 責任者を決める経営、情報システム、現場、委託管理の役割を明確にする
- 資産と境界を整理する端末、ID、クラウド、データ、拠点、再委託先を棚卸しする
- 規程と実態を照合する文書だけでなく設定・ログ・教育・事故記録を確認する
- 不足を優先付けする重要業務と侵害経路から、期限・担当・予算を決める
- 証跡を保つ実施日、対象、結果、是正、承認を再確認できる形で残す
アクセス制御やバックアップが「ある」と答えるだけでは、対象・頻度・例外・復元結果が分かりません。制度項目をチェックリストとして消化せず、インフラの依存関係と情報セキュリティの実運用へ結び付けます。
参考情報
最終確認日: 2026年8月31日。制度開始前のため、申請時は公表済みの最新規程・評価基準を確認してください。