サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の対象企業、★3・★4の違い、2027年3月頃の開始予定と対応準備を解説。任意性、ISMSとの違い、費用の考え方、担当者と証跡の整理まで、経済産業省・IPAの一次資料に基づいてまとめます。
「取引先からセキュリティ対策の評価を求められた」「サプライチェーンリスク評価制度に備えたい」。こうした場面で確認したいのが、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）です。企業のIT基盤における対策状況を共通の基準で確認し、取引先に説明しやすくする仕組みです。
確認日：2026年9月12日。 本記事は経済産業省・IPAの制度資料に基づく解説です。9月11日に公表された評価機関等の指定基準・手順も確認しています。制度の公表と、企業からの取得申請の受付開始は別です。
SCS評価制度の要点
何を評価するか： 企業等のIT基盤におけるセキュリティ対策の実施状況。クラウド環境も含みます。
いつ始まるか： ★3・★4は2027年3月頃の運用開始予定です。確定した受付開始日として扱わず、IPAの案内を確認します。
取得は義務か： 任意制度です。ただし、個別の取引で必要な対策水準の確認に使われることが想定されています。
評価方法： ★3は専門家確認付き自己評価、★4は第三者評価と技術検証です。
今すること： 取引先が必要とする水準、対象となるIT基盤、既存対策と記録、不足対策の担当・期限を整理します。
出典：経済産業省の制度説明、IPAの制度FAQ。
「サプライチェーンリスク評価制度」とSCS評価制度の関係
「サプライチェーンリスク評価制度」という表現で調べる場合でも、制度の資料を探すときは正式名称と略称「SCS評価制度」を確認してください。SCSはSupply Chain Securityの略です。本記事では、この経済産業省・IPAの制度を扱います。
サプライチェーンのリスク評価自体は、取引先の事業継続、情報管理、製品・サービスなどを確認する幅広い活動です。そのすべてがSCS評価制度の対象になるわけではありません。一般的な考え方はサプライチェーンリスクマネジメント（SCRM）も参照してください。
この制度が目指すのは、発注側が取引先の対策状況を把握しにくい問題と、受注側が取引先ごとに異なる確認に対応する負担の軽減です。企業同士の優劣を競う格付けや、将来の無事故を保証する制度ではありません。
対象企業と対象範囲：中小企業や製造業も関係する？
制度はサプライチェーンを構成する企業等を対象としています。企業規模だけで「大企業向け」「当社には無関係」と判断せず、取引の内容と、共有する情報・接続するシステムを確認します。
直接の評価対象は企業等のIT基盤です。一方、一般にIT基盤に該当しない製造現場の制御システム（OT）や、取引先に提供する製品そのものは直接の対象ではなく、別の制度や指針による対策が想定されています。製造業の場合も、工場設備と、メール・認証・業務システムなどのIT基盤を分けて整理すると対象を確認しやすくなります。
発注側は、委託する業務や情報の重要性に応じて必要な段階を検討します。受注側は、取引先が求める★の段階、対象範囲、確認したい時期を聞き、対応方針を合意します。「取得しない企業は一律に取引できなくなる」と決めつける必要はありません。出典：経済産業省の対象範囲・制度趣旨。
★3・★4・★5の違いと評価方法
★3：基本的な対策を、専門家の確認を経て自己評価
★3は、一般的なサイバー脅威への対処を想定した段階です。取得を希望する組織が自己評価を行い、制度の要件を満たすセキュリティ専門家による確認を受けます。経営層の自己適合宣誓を含めた結果を提出する仕組みであり、担当者がチェックするだけの自己申告ではありません。
2026年3月公表の要求事項では、★3は26の要求事項です。要求事項と、それぞれを確認する細かな「評価基準」は単位が異なるため、資料の項目数を比較するときは区別します。
★4：対策範囲を広げ、第三者評価と技術検証を実施
★4は、侵入防止に加え、被害の拡大防止や取引先のデータ・システムの保護を重視します。評価機関による第三者評価と技術検証を行い、文書だけでなく実装も確認する仕組みです。
要求事項は43件で、★3の内容を含みます。26件に43件を単純に足す数え方ではありません。また、★3を先に取得しなければ★4を取得できないという関係ではありません。
★5：詳細は今後の具体化を確認
★5は、より高度な攻撃を想定した段階として検討されています。★3・★4と同じように、取得手順や詳細要件がすべて確定した段階として案内しないことが大切です。
出典：IPAの段階別評価・評価方法、制度構築方針、★3・★4要求事項及び評価基準。
開始時期と最新資料：2026年9月時点で何が決まった？
IPAのFAQでは、★3・★4は2027年3月頃の運用開始予定とされています。「2026年度末頃」という経済産業省の案内と合わせて理解します。2026年中に取得受付が始まったと読み替えないようにしてください。
2026年8月28日には制度の基本規程が公開され、9月11日には評価機関・技術検証事業者・研修事業者に関する指定基準や手順が追加公開されました。9月11日の公表は制度を運営する側の基準整備であり、一般企業の★取得がすでに可能になったことを意味しません。
準備担当者は、要求事項の表だけでなく、申請手順、評価ガイド、提出様式などの最新版を確認する必要があります。古い説明資料に記載された「公開予定」を、そのまま最新状況として使わないようにしましょう。
出典：IPAの制度規程・制度基準・制度手順、IPA FAQ。
対応準備チェックリスト：誰が、何を用意する？
以下は、ヤグラが実務上の進め方として整理した準備例です。公式の申請様式や、これだけで取得できる必須証跡一覧ではありません。 取得を検討する段階の要求事項・評価基準と照らして使ってください。
1. 取引先からの要請を確認する
担当：営業・調達・情報システム部門。 取引先からの質問票や要請を集め、求められた段階、期限、対象業務、扱う情報を記録します。発注側の担当者と確認する質問は「どの業務について、どの水準の対策状況を、いつ確認したいか」です。必要な段階が不明なまま製品や評価支援を発注しないようにします。
2. 対象となるIT基盤と責任者を整理する
担当：情報システム部門・各業務の責任者。 端末、サーバー、クラウド、認証基盤、外部接続、委託先が運用する環境を一覧にします。各環境について、管理者、データの種類、保守を依頼する相手を確認します。会社全体の資産台帳をそのまま流用する場合も、今回の適用範囲との違いを明らかにします。
3. 既存対策と確認資料を対応付ける
担当：対策ごとの責任者。 要求事項ごとに「実施内容」「確認できる資料」「不足」「担当」「対応予定日」を記録します。資料の例は、設定内容、権限の点検記録、教育・訓練の実施記録、ログの確認記録、事故対応手順、復旧訓練の結果です。規程があることと、実施した記録があることを分けて確認すると、運用上の不足を見つけやすくなります。
4. 不足対策を予算と期限に落とし込む
担当：経営層・情報システム部門・購買。 未実施の対策を整理し、設定変更で対応できるもの、運用体制が必要なもの、外部支援が必要なものに分けます。費用は初期設定や機器・サービスだけでなく、担当者の作業、教育、日々の確認、評価・登録、更新まで見積もります。
5. 評価前に、日々の運用が続くか確認する
担当：運用責任者・経営層。 アラートに誰が気付くか、担当者が不在のとき誰へ連絡するか、対応結果をどこに残すかを確認します。資料の不足を埋めるだけでなく、異常を検知してから判断・連絡・復旧に進めるかを点検します。準備状況を経営層へ報告し、未解決の事項と判断が必要な事項を明確にします。
この準備を通じて、目指す段階と対象範囲、各要求事項の実施内容と確認資料、残る不足の担当・期限・予算を一覧で説明できる状態を目指します。
教育・ログ監視・事故対応はどう準備する？
教育は受講だけでなく実施記録を残す
公式の★3の要求事項「4-2-2」に対応する評価基準には、インシデント発生時の対応に関する教育・訓練と、その記録・点検が含まれます。新しく受け入れた従業員への実施や年1回以上の実施など、頻度も原文で確認してください。
実務では、内容・方法・実施時期・受講状況を残し、未受講者への対応や、訓練で分かった改善点を管理します。教育内容の検討には標的型攻撃訓練の考え方も参考になります。
ログは保存先と、確認・判断する担当をそろえる
★3の要求事項「5-1-1」に対応する評価基準には、不正アクセスの検知・遮断に加え、ログやアラートの分析・判定、通知などが含まれます。★4の要求事項「4-4-3」に対応する評価基準には、対象ログの保管や認証ログの確認に関する条件があります。対象や代替条件まで、公式の評価基準で確認することが必要です。
ログを集めるだけでは、気付くべき事象に気付けるとは限りません。保存対象、保存期間、閲覧権限、確認する担当、不審な事象の判断と連絡を一つの運用として整理します。対応手順はインシデント初動対応とSOCの連携で詳しく解説しています。
SOCやAI SOCは、調査や判断のための情報整理を支える選択肢です。SCS評価制度で特定製品の導入が一律に必須とされているわけではありません。 製品名から選ぶ前に、自社に不足する対策と運用を確認します。出典：公式の要求事項・評価基準、経済産業省の制度説明。
ISMS・SECURITY ACTION・防衛省の基準との違い
ISMS認証との違い： ISMSは、組織のリスクに応じた情報セキュリティの管理体制を扱います。SCS評価制度の★3・★4は、定められた具体的対策と実装状況を確認する仕組みです。両者は相互補完的であり、ISMS認証があるだけでSCSを自動取得できるとは考えません。既存の規程や記録を使いながら、SCS固有の基準との差を確認します。
SECURITY ACTIONとの違い： 中小企業の情報セキュリティ対策に関する自己宣言制度です。SCSの★3・★4の登録とは別の仕組みです。星の数だけを見て、同一の評価手続きだと判断しないようにします。
防衛省の基準との違い： 防衛省の調達における情報セキュリティ基準は、対象となる契約や保護すべき情報を確認して対応するものです。SCS評価制度と同じ制度ではありません。防衛関連の取引については、防衛サプライチェーンのセキュリティ基準とSOC要件を参照してください。
出典：経済産業省のISMSに関する説明、IPA SECURITY ACTION、防衛装備庁の情報セキュリティ基準。
SCS評価制度についてよくある質問
取得費用はいくらですか？
制度の基本規程には申請料・登録料に関する定めがありますが、金額の詳細は別途とされています。外部の専門家や評価機関への費用は、依頼先との契約で決まります。一律の「取得総額」を前提にせず、適用範囲、現在の対策、目指す段階、評価と支援の範囲をそろえて見積もります。出典：SCS評価制度 基本規程 6.5。
中小企業はまず★3を目指せばよいですか？
企業規模だけでは決められません。委託される業務の重要性や取引先との関係を確認して、必要な水準を検討します。★4を目指す場合も、★3の事前取得が一律の前提ではありません。出典：IPAの段階別評価。
一部の項目を満たせば取得できますか？
取得する段階に定められた、すべての要求事項・評価基準を満たす必要があります。各基準に適用条件がある場合は、その条件に従って判断します。適用範囲や個別条件の判断は、公式資料と評価を担当する専門家等に確認します。出典：IPA FAQ。
AI SOCやセキュリティ製品を導入すれば取得できますか？
製品の導入だけで取得を保証するものではありません。制度では組織・技術・運用を含めた対策を確認します。ヤグラはセキュリティ教育・訓練やアラート調査を支援します。制度対応を進める中で教育や監視・初動対応に不足がある場合は、ヤグラ アウェアネスやヤグラ AI SOCの支援範囲を確認し、お問い合わせからご相談ください。
参考資料と確認日
本記事の確認日は2026年9月12日です。日程・様式・評価方法は変更される可能性があるため、申請や契約の前に公式の最新版をご確認ください。
