サイバー攻撃が巧妙化する中、自社だけでなく、委託先や取引先などを経由して侵入・被害が拡大する「サプライチェーンリスク」への対応が重要になっています。実際に、取引先にも影響を及ぼすサイバー攻撃事案が頻発しており、一社のインシデントが取引先を含む事業やサービスの提供に広く影響する可能性があります。
こうした背景を受け、経済産業省と内閣官房国家サイバー統括室が制度構築を進めているのが「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」です。2026年3月に制度構築方針が公表され、独立行政法人情報処理推進機構（IPA）が制度を運営する予定です。★3・★4については、2027年3月頃の運用開始が予定されています。
本制度は任意の枠組みですが、サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化することで、委託元・委託先双方の負担を軽減しながら、サプライチェーン全体のセキュリティ水準を高めることを目的としています。
本記事では、SCS評価制度の目的や仕組み、対象範囲、既存のセキュリティ制度との関係、そして限られたリソースで効率的に対策を進めるためのポイントを解説します。
※本記事は2026年8月時点で公表されている情報を基に作成しています。制度開始までに評価方法や提出様式などが変更・具体化される可能性があります。
企業のセキュリティ対策では、自社だけを守れば十分という考え方が通用しにくくなっています。委託先や取引先がサイバー攻撃を受けた結果、そこを経由して自社システムへ侵入されたり、委託していた機密情報が漏えいしたり、取引先の事業停止によって自社のサービス提供に影響したりする可能性があるためです。
一方、サプライチェーンのセキュリティ管理には別の課題もあります。委託元企業にとっては、取引先がどの程度セキュリティ対策を実施しているのかを外部から判断しにくいという問題があります。反対に、委託先企業では、複数の取引先からそれぞれ異なるセキュリティチェックシートや対策を要求され、回答や証跡提出に大きな負担がかかるケースがあります。IPAも、こうした発注側・受注側双方の課題をSCS評価制度創設の背景として挙げています。
SCS評価制度は、このような課題に対して、企業のセキュリティ対策状況を「共通の物差し」で評価・可視化する仕組みを提供するものです。
SCS評価制度への対応は法律上の義務ではなく、任意です。ただし、実際の取引において委託元が委託先へ一定の★取得を求めるなど、取引条件の一つとして活用されることが想定されています。どの水準を求めるかは、取引当事者間で決められます。
制度が普及した場合、次のような効果が期待できます。
SCS評価制度として具体的な要求事項・評価基準が策定されているのは、現時点では「★3」と「★4」です。「★5」については、より高度な水準として構想されていますが、要求事項や評価基準、評価スキームは今後具体化される予定です。
★3は、一般的なサイバー脅威に対処するための基礎的な体制整備やシステム防御策を中心とする水準です。
評価方式は、企業自身が要求事項・評価基準に基づいて自己評価を実施し、SCS評価制度で定められた要件を満たすセキュリティ専門家がその内容を確認する「専門家確認付き自己評価」となります。
★4は、サプライチェーン企業等が標準的に目指す水準として位置付けられています。
★3の対策に加え、組織ガバナンス、取引先管理、システムの防御・検知、インシデント対応など、より広範で包括的なセキュリティ対策が求められます。評価についても自己評価だけではなく、指定された評価機関による第三者評価と技術検証が行われる予定です。
★5については、より高度なサイバー攻撃への対応や、自社のリスクを適切に把握・管理した上で、継続的にセキュリティ対策を改善していく水準として想定されています。ただし、2026年8月時点では要求事項・評価基準・評価方法は確定しておらず、今後具体化される予定です。
SCSの★3・★4とは別に、IPAでは中小企業向けの自己宣言制度として「SECURITY ACTION」を運営しています。SECURITY ACTIONには「一つ星」と「二つ星」がありますが、これらを「SCSの★1・★2」と呼ぶのは正確ではありません。IPAは、SECURITY ACTIONを、SCS評価制度の★3・★4を目指す前の準備段階として活用することを推奨しています。SECURITY ACTIONの一つ星では、IPAの「情報セキュリティ6か条」への取り組みを自己宣言します。なお、SECURITY ACTIONはIPAが各企業の対策状況を審査・認定する制度ではなく、企業自身による自己宣言制度です。
SCS評価制度は、特定の業種や大企業だけを対象とするものではありません。サプライチェーンを構成する企業等のIT基盤が対象となり、クラウド環境で運用されるシステムも含まれます。
一方、製造設備などの制御（OT）システムや、取引先に提供する製品そのものについては、一般的な企業ITとは特性が異なり、サプライチェーン全体で評価基準を共通化することが難しいことから、SCSの直接の評価対象とはしない方針です。これらについては、それぞれに適した他の制度や業界ガイドライン等に基づいて対策することが想定されています。
なお、在宅勤務者や出向者の環境など、具体的にどの範囲まで評価対象に含めるかについては、制度開始に向けて今後さらに詳細化される予定です。
SCS評価制度の★3・★4は、2027年3月頃の運用開始が予定されています。
制度が始まってから慌てて対応するのではなく、自社の現状を把握し、要求事項とのギャップを確認しておくことが重要です。
ステップ1：現状把握｜自社のセキュリティレベルを客観的に評価する
まずは、現在の自社の管理体制を棚卸しします。「アカウントやIDの管理が手作業やExcelで属人化していないか」「社外とのファイル共有が追跡できない方法で行われていないか」など、現状の運用実態を客観的に把握することがすべてのスタートです。
ステップ2：目標設定｜目指すレベル（★3 or ★4）とギャップを特定する
★3では、一般的なサイバー脅威に対処するための基礎的な体制整備・システム防御策が求められます。★4では、これに加えてガバナンス、取引先管理、攻撃の検知、被害拡大防止、インシデント対応など、より包括的な対策が求められます。公開されている要求事項・評価基準と自社の現状を照合し、未対応項目を特定します。
ステップ3：対策実行｜運用負荷を抑え、客観的証跡を残す「システム化」の検討
SCS評価制度において、評価基準を満たす（正しく運用できていることを説明できる状態にする）ためには、場当たり的な対策や「人が頑張るルール」では日々の業務負担が増大し、形骸化を招きやすくなります。
例えば、本制度でも重視される「アカウントの適切な管理（退職者のID削除漏れ防止等）」や「アクセス権の定期的な棚卸し」といったガバナンス要件に対しては、手作業による台帳管理ではなく、IDaaS（クラウド型ID管理システム）やワークフロー機能を活用し、「自動的に統制され、客観的な証跡（ログ）が残る仕組み」を構築することが有効です。
※なお、SCS評価制度は特定のセキュリティ製品の導入によって認定が保証されるものではありません。自社の実態とリソースに合った適切なITツールを選択し、無理のない運用体制を整備することが重要です。
ISMS（ISO/IEC 27001）やPマークとの違いは？
ISMSは、組織が自らリスクを特定・評価し、情報セキュリティを継続的に管理・改善するためのマネジメントシステムです。SCS評価制度の★3・★4は、代表的なサイバー脅威を踏まえて効果の高い対策をあらかじめ示す「ベースラインアプローチ」を採用しており、ISMSとは相互補完的な関係に位置付けられています。
一方、プライバシーマークは、主に個人情報の適切な取扱い・保護のためのマネジメントシステムを評価する制度であり、SCSとは目的・評価対象が異なります。
NIST CSFや各種ガイドラインとの関係は？
SCS評価制度の要求事項は、米国国立標準技術研究所（NIST）が策定する「NIST Cybersecurity Framework（CSF）2.0」をはじめ、国内外のセキュリティフレームワークや業界ガイドラインを参照して設計されています。また、自動車産業で広く活用されている「自工会・部工会サイバーセキュリティガイドライン」とも一定程度の整合性が図られています。要求されるセキュリティ水準の目安としては、SCSの★3が自工会・部工会ガイドラインのLv1相当、★4がLv2相当として整理されています。そのため、自工会・部工会ガイドラインなどに基づいてセキュリティ対策をすでに進めている企業では、既存の規程や運用、技術対策、証跡などをSCS評価への対応にも活用でき、追加対応の負担を抑えられる可能性があります。ただし、SCS評価制度と自工会・部工会ガイドラインは、要求事項や評価方法が完全に同一というわけではありません。SCSの取得にあたっては、SCS固有の要求事項・評価基準に沿って対応状況を確認する必要があります。
※SCS評価制度の★3・★4は、2027年3月頃の運用開始が予定されています。
SCS評価制度は、企業をふるいにかけるためのものではなく、サプライチェーン全体でサイバー攻撃の脅威に立ち向かい、共にビジネスを守り抜くための共通言語です。
制度が本格稼動する2026年度末に向けて、まずは自社のID管理やアクセス権の状況など、身近な運用実態の把握から始めてみてはいかがでしょうか。自社の対策を可視化し強化することは、サプライチェーン全体を強靱化する大きな一歩となります。