情シス担当者のあなたに、ある日、親会社や主要顧客の担当者からメールが届きます。
「SCS評価制度への対応状況を確認させてください」「★3の取得予定はありますか」——そんな一文を見た場合、困惑する方も多いのではないでしょうか。
- 親会社や主要顧客から突然「対応状況を確認したい」と連絡が来た
- 「SCS評価制度」という名前は聞いたことがある程度で、中身はよく知らない
- 何を、どのレベルまで、いつまでにやればいいのか判断がつかない
こういったお悩みを持つ情シス担当者が今後増えると予想されます。
この記事では、制度の全体像を整理したうえで、情シス担当者が今日から着手できる具体的な5つのステップまで落とし込んで解説します。
目次
SCS評価制度とは？まず押さえておきたい基本知識
制度の目的
近年、取引先を踏み台にしたサイバー攻撃によって、本来の標的である大企業や重要インフラ事業者まで被害が拡大する事例が相次いでいます。また、セキュリティレベルが低い委託先企業が攻撃の侵入口となることで、取引先などで構成されるサプライチェーン全体に影響が波及します。
IPA（独立行政法人 情報処理推進機構）が毎年発表している「情報セキュリティ10大脅威」において、「サプライチェーンや委託先を狙った攻撃」は2019年以来8年連続でランクインしており、2026年は組織編の2位となっています。
※情報セキュリティ10大脅威 2026：https://www.ipa.go.jp/security/10threats/10threats2026.html
こうした状況を受け、経済産業省と内閣官房国家サイバー統括室は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の検討を進めてきました。
制度の狙いは、委託先企業のセキュリティ対策状況を共通の基準で「見える化」することです。これにより、委託元・委託先双方のセキュリティ対応状況の確認負担を軽減しながら、サプライチェーン全体のセキュリティ水準の底上げを目指しています。
最終的には、社会全体のサイバーレジリエンス向上につなげることが政府の目標となっています。
制度を受けることのメリット
SCS評価制度を受ける側（委託先・中小企業）にとってのメリットは、取引先ごとに個別のセキュリティチェックシートへ回答する手間が減らせることです。共通基準に基づく評価を一度取得しておけば、複数の取引先に対して同じ内容を繰り返し説明する負担を軽減できます。また、自社のセキュリティレベルを客観的な形で対外的に示せるようになり、契約条件への適合や新規取引の獲得にもつながりやすくなります。
求める側（委託元・親会社）にとっても、統一基準で取引先のセキュリティレベルを把握できるようになり、確認作業の標準化が図れるという利点があります。
中長期的に政府調達における評価要素としての活用が検討される可能性もあり、今のうちから対応を進めておくことは将来的な機会損失を避けることにもつながります。
制度創設の背景
SCS評価制度が作られた背景には、施行済みの「SECURITY ACTION」（自己宣言制度）だけでは対策の実効性を客観的に確認できないという課題があります。自己申告にとどまるため、委託元企業からすると「本当に対策が実施されているか」を確認する手段が乏しかったのです。
SCS評価制度は、専門家や第三者機関による確認・評価を組み込むことで、この課題に対応しようとしています。
制度は2026年3月27日に経済産業省と内閣官房国家サイバー統括室から正式な「制度構築方針」として公表されました。現時点（2026年7月）では、★3・★4の申請受付開始は2027年1〜3月頃を予定しており、要求事項の実装例をまとめた「評価ガイド」も2026年秋頃に公表される見込みです。詳細なスケジュールや提出様式は、今後IPAから順次公表されます。
※セキュリティ対策自己宣言：https://www.ipa.go.jp/security/security-action/
対象となる企業
制度の中心的な対象は2社間の取引契約等における委託先側の企業です。受注先企業は企業規模に関わらず対象となりますが、委託元ももちろん、委託元として取引先にセキュリティレベルを提示する立場として、制度の枠組みに関わります。対象は業界横断的であり、特定の業種だけが対象外となるものではありません。
なお、対象は主にクラウド環境を含むIT基盤であり、製造現場の制御（OT）システムなどは別のガイドラインに基づく対応が想定されています。
評価レベル（★3〜★5）の概要
SCS評価制度は★1〜★5の5段階で構成されますが、★1・★2はSECURITY ACTION（自己宣言）がそのまま該当する位置づけとなっています。新たに構築された評価区分は★3以上です。
- ★3：セキュリティ専門家による確認を経た自己評価（専門家確認付き自己評価）。要求事項は26項目とされ、有効期間は1年（毎年の更新が必要）。
- ★4：認定された評価機関による第三者評価および技術検証を実施。要求事項は56項目とされ、有効期間は3年（ただし毎年の自己評価提出が必要）。
- ★5：より高度なサイバー攻撃への対応を想定した最上位区分ですが、要求事項・評価スキームの詳細は2026年度以降も継続して検討される予定であり、現時点では確定していません。
※★5の正確な定義や運用開始時期は今後変更される可能性があるため、対応を検討する際はIPAの公式情報を随時確認してください。
参考：https://www.ipa.go.jp/security/scs/index.html
あなたの会社は本当に対応が必要？まず確認したい3つのポイント
制度の概要を理解した次に確認すべきことは「自社が実際に何を求められているのか」です。取引先からの確認内容は企業によって温度差があるため、次の3つのポイントをまず整理しましょう。
取引先から何を求められているか
取引先からの依頼が「★3」以上の取得を求めているのか、それとも「対策実施状況の報告」や「書類の提出」にとどまるのか、“取引先にとってのゴール”をまず確認します。
依頼メールを読み返し、次のようなチェック項目で整理すると判断しやすいです。
- 具体的な★の段階（★3、★4など）が明記されているか
- 「取得」なのか「報告」なのか、求められている行為が明確か
- 書類提出のみで済むのか、訪問や実地確認を伴うのか
不明な点があれば、曖昧なまま進めず、取引先に直接確認することをおすすめします。
求められている評価レベル
現時点で新規に整備されているSCS評価制度の中心は★3以上です。依頼文面に「★3」「レベル3」といった記載があるかを確認しましょう。
一方で、★1・★2（SECURITY ACTIONの範囲）での対応にとどまるのであれば、既存の自己宣言制度で足りる可能性が高く、対応の負荷は大きく変わってきます。
求められているレベルを誤認したまま準備を進めると、手戻りが発生しやすいので注意しましょう。
対応期限
依頼メールに具体的な対応期日が明記されているかを確認します。明記がない場合は、自ら取引先に確認することが望ましいです。
★3・★4の申請受付は、2026年度末頃（1〜3月頃）に始まる見込みです。ただし、早すぎると制度の詳細が固まっておらず具体的に進めにくいことや、遅すぎると目標とした取得期日に準備が間に合わない可能性があります。現実的な着手タイミングを見極めることが重要です。
情シス担当者が最初にやるべき5つのステップ
前の章の3つのポイントを確認した結果、対応が必要とわかったら、情シス担当者は何から着手すべきでしょうか？
この章では、SCS評価制度の認定を受けるために「まず何をすればいいか」を5つのステップに整理しました。
STEP1 現状のセキュリティ対策を棚卸しする
まず自社が「何をしていて、何をしていないか」を一覧化することから始めます。次のような評価項目別にチェックリスト形式で書き出すと整理しやすいです。
- 組織体制（責任者の任命、報告ライン）
- アカウント管理（権限管理、認証方式）
- PC・サーバー管理（資産管理、脆弱性対応）
- ネットワーク管理（境界防御、ログ取得）
- インシデント対応（検知・報告フロー）
- 委託先管理（再委託先へのセキュリティ要求）
SECURITY ACTIONの自己チェックツールを活用すれば、基礎的な項目の棚卸しを効率化できます。
ここでの目的は完璧な資料を作ることではなく、「自社の現在地」をまず把握することです。
まずは簡単な一覧シートを作成しましょう。項目ごとに「実施済み」「一部実施」「未実施」「不明」の4段階で自己評価すると、現状を整理しやすくなります。「不明」に分類された項目は、部署をまたいで確認が必要なケースが多く、後工程で優先的に確認すべき対象として印をつけておきます。
この段階では正確性よりもスピードを優先し、全体像を1〜2週間程度で粗く把握することを目指しましょう。細部を詰めるのはSTEP2以降で構いません。
※自己チェックツール：「5分でできる！情報セキュリティ自社診断」
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_3.pdf
STEP2 不足している対策を整理する
STEP1で洗い出した現状と、取引先から求められているレベル（★3または★4）の要件を突き合わせ、ギャップを一覧化します。
一度に対応しようとせずに、「リスクへの影響度」と「着手のしやすさ」の2軸で優先順位を整理するとよいでしょう。影響度が高く、かつ着手しやすい項目から対応することが現実的です。
今の業務量で無理なく実施できる範囲を線引きしておくことも大切になります。
STEP3 社内ルール・運用を整備する
セキュリティ対策というと、ファイアウォールやEDRといった技術的な対策を思い浮かべがちですが、パスワードポリシーやログの保管期間、インシデント発生時の報告フローといった「ルール・運用」の整備も中心的な要素です。
情シス担当者が一人で決めるのではなく、「誰の承認で運用するか」を明確にしておく必要があります。経営層や関連部署を巻き込む最初の機会として位置づけるとよいでしょう。
STEP4 証跡を残せる状態にする
SCS評価制度の評価では、「対策を実施しています」と宣言するだけでなく、それを裏付ける証跡（ログ、設定記録、運用記録など）を提示できることが求められます。誰が、いつ、何を確認したのかを残す運用を設計しましょう。スクリーンショットの保存、設定変更ログの取得、定例確認の議事録化など、低コストで始められる証跡化の方法から着手することが現実的です。
重要なのは、高価なツールを導入することではありません。「後から誰が見ても、いつ・誰が・何を確認したかが分かる」状態を継続的に維持することです。たとえば、月次確認のアカウント権限の棚卸しでは定型の確認フォーマットに確認者名と日付を記録すればよいでしょう。
STEP5 評価申請の準備を進める
STEP1〜4が整った段階で、初めて評価申請（★3：専門家確認付き自己評価、★4：第三者評価）に進みます。
申請にあたっては、必要書類の準備、社内承認の順序、外部審査への対応方針などを整理しておく必要があります。なお、★3の取得には、IPAが公開する「中小企業向けサイバーセキュリティ対策支援者リスト」に掲載された登録セキュリティスペシャリストに、専門家確認の支援を依頼できる仕組みも用意されています。ここで手が止まってしまう方もいるかもしれませんが、その場合は6章で紹介する外部支援の活用も選択肢に入れてください。
SCS評価制度対応チェックリスト
SCS評価制度を受けるにあたり確認すべき項目を弊社で独自にまとめましたのでご紹介します。自社の対応状況を確認するための簡易チェックリストとして活用してください。
組織体制
セキュリティ責任者は任命されていますか。
責任範囲は明記されていますか。
経営層への報告ラインは整備されていますか。
アカウント管理
利用中のアカウントを棚卸しできていますか。
権限は必要最小限に絞られていますか（最小権限の原則）。
退職者のアカウントは即時削除する運用になっていますか。
共有アカウントは禁止されていますか。
多要素認証（MFA）は導入されていますか。
PC・サーバー管理
資産台帳は整備されていますか。
OSやソフトウェアのアップデートは適時実施されていますか。
EDRやアンチマルウェアは導入されていますか。
重要データは暗号化されていますか。
ネットワーク管理
ファイアウォールやIDS／IPSは適切に設定されていますか。
リモートアクセスは制御されていますか。
通信ログは取得・保管されていますか。
社外との接続点は把握できていますか。
インシデント対応
検知から報告、初動対応、エスカレーション、復旧までのフローは文書化されていますか。
対応訓練は実施していますか。
緊急連絡先リストは最新化されていますか。
委託先管理
再委託先に対してもセキュリティ要求を伝達できていますか。
契約書にセキュリティ条項やSLA（サービスレベル合意）が盛り込まれていますか。
定期的な見直しの仕組みはありますか。
情シス担当者がつまずきやすいポイント
SCS評価制度対応を進めるうえで、多くの情シス担当者が直面する共通の壁があります。
ありがちなつまずきを事前に回避できるよう、次の4つのポイントを見ていきましょう。
通常業務と兼務している
多くの中小企業では、情シス担当者が他の業務と兼任しているケースが多く、日中は通常業務に追われ、対応が終業後や休日に持ち越されがちです。時間的な制約は、制度対応を進めるうえで最も大きな障壁の一つと言えます。
セキュリティの専門知識がない
セキュリティを専門的に学んだわけではないIT担当者が、やむなくセキュリティ業務を任されているケースは少なくありません。EDR、ゼロトラスト、CVEといった専門用語に心理的なハードルを感じる人も多いでしょう。
社内ルールが整備されていない
ルールが明文化されていないと、対策が個人の裁量に依存する「属人化」の状態に陥りやすいです。担当者が異動や退職で不在になった瞬間に、運用が成り立たないリスクがあります。「対策を始める前に、まずルールを書く」という順序を意識しましょう。
経営層を巻き込めない
「セキュリティ対応は情シスの仕事」という認識が社内に根強く残っていると、予算承認や経営層の署名を得られないまま、担当者一人で抱え込む事態になりやすいです。経営層への説明には、コストではなく「取引継続に直結するリスク」として伝える簡易資料を用意すると理解を得やすいです。
人手不足の情シスでも対応するには？
つまずきやすいポイントを踏まえたうえで、限られたリソースでも前に進めるための考え方を紹介します。
一人で抱え込まない
まず意識したいのは、負担と進捗を上司・同僚・経営層・取引先に可視化して共有することです。「責任は情シスが持つが、実施は組織全体で分担する」という体制を作ることで、一人にかかる負荷を大きく軽減できます。
外部支援を活用した方がよいケース
以下のようなサインが見られる場合は、外部支援の活用を検討する価値があります。
- 現状把握（STEP1）に割ける人手がそもそも足りない
- 求められている評価レベルが高く、自社だけでの対応に限界を感じている
- 申請書類の作成やエビデンス整理に不安がある
ただし、すべてを外部へ丸ごと委託することはおすすめできません。すべてを任せてしまうと費用がかさむだけでなく、社内にノウハウが蓄積されず、翌年以降の更新対応（★3は年次更新、★4も毎年の自己評価提出が必要）のたびに外部依存が続いてしまうためです。
「どの工程を自社で担い、どの工程を委託するか」をあらかじめ整理することが重要です。棚卸しやルール整備の”型”は自社で作り、専門家によるレビューや第三者評価といった、専門性が強く求められる工程だけを委託する、という役割分担が現実的でしょう。
情シス支援サービスという選択肢
現状アセスメント、対応計画の策定、対策の実装支援、専門家によるレビュー、取引先向けレポート作成など、機能ごとに切り分けて支援を提供するサービスも増えてきています。クロス・ヘッドの提供する情シスSAMURAIにおいても、お客様の課題に応じて柔軟なご支援が可能です。
また、経済産業省とIPAは、中小企業が★3・★4を安価かつ簡便に取得できるよう、「サイバーセキュリティお助け隊サービス（新類型）」の創設を進めています。2026年夏頃からは実証事業が開始される予定です。こうした公的な支援策の動向もあわせてチェックしておくとよいでしょう。
よくある質問
SCS評価制度は義務ですか？
現時点では法的な義務ではなく、任意の制度です。★の取得は委託元・委託先間の取引契約の中で決められるものであり、制度そのものが商取引を規制するものではありません。
なお、経済産業省と内閣官房は2026年4月に、「評価を取得していないと取引が打ち切られる」「今すぐ取得しないと入札から除外される」といった不適切な営業活動について注意喚起を行っています。制度の内容を正しく理解し、不安をあおる説明には注意しましょう。
★1・★2はどのような位置づけですか？★3以上とは何が違いますか？
★1・★2は既存のSECURITY ACTION（自己宣言制度）がそのまま該当します。★3以上は、専門家や第三者評価機関による確認・審査を経る点が最大の違いであり、対策の客観的な信頼性が担保されます。
★3取得にはどれくらいかかりますか？
自社の体制やこれまでの対策状況によって大きく異なるため一概には言えませんが、現状把握からルール整備、証跡化までを段階的に進める必要があるため、数か月単位での準備期間を見込んでおくのが現実的です。
ISMS取得企業も対応が必要ですか？
ISMSとSCS評価制度は目的やスコープが異なるため、ISMSを取得していても自動的にSCS評価制度に対応済みとはなりません。両制度の要求事項を照らし合わせ、不足分を確認する作業が必要になります。
情シス担当者が一人でも対応できますか？
不可能ではありませんが、無理に抱え込むことは避けましょう。特にSTEP1（棚卸し）とSTEP4（証跡化）は工数がかかりやすいため、社内の協力体制を整えたうえで進めることをおすすめします。
外部支援はどのタイミングで検討すべきですか？
STEP2（ギャップ整理）の段階で一度相談しておくと、後々の手戻りを防ぎやすいです。現状把握が終わり、不足している対策の全体像が見えたタイミングが、外部の視点を取り入れる好機と言えます。
まとめ
本記事の内容を以下にまとめます。
- 制度の内容を理解するだけでなく、実務対応（STEP1〜4の実装）まで進めることが重要
- まずは取引先からの要求事項の確認と、自社の現状把握から始める
- 人手やノウハウが不足する場合は、外部支援や国の支援策（サイバーセキュリティお助け隊サービスなど）の活用も有効な選択肢となる
制度自体はまだ本格運用前であり、慌てて完璧を目指す必要はありません。まずはSTEP1「現状の棚卸し」から着手し、自社のペースで一歩ずつ進めていってください。
※本記事の内容は2026年7月時点で公表されている情報に基づいています。SCS評価制度の詳細な運用ルールやスケジュールは今後変更される可能性があるため、対応を進める際はIPA・経済産業省の公式情報を随時確認することをおすすめします。