SCS評価制度とは？★3の要求事項と中小企業がやることを解説

「取引先からSCS評価制度の話をされたけど、何から手をつければいいの？」と困っていませんか。

結論から言うと、中小企業はまず★3を目標に、自社が81件の評価基準をどれだけ満たしているかを確認するところから始めれば大丈夫です。申請受付は2027年3月頃の予定なので、今から準備すれば十分間に合います。

この記事でわかること

• SCS評価制度がどんな制度か（格付けではありません）
• いつから始まり、費用はいくらかかるのか
• ★3と★4の違いと、どちらを目指せばいいか
• ★3の要求事項の中身と、すぐにできる対策
• 無料のセルフチェックで、今の対応状況を確認する方法

私は情報処理安全確保支援士の資格を持つエンジニアです。SCS評価制度で★3の確認を担当する「セキュリティ専門家」も、情報処理安全確保支援士などの資格が要件になっています。また、勤務先ではセキュリティマネージャーとして、自社の★3の評価基準のチェックをすでに完了しています。今回はその経験と支援士の立場から経済産業省とIPAの公開資料を読み込み、★3・★4の全項目を確認できるセルフチェックを作りました。そのときにわかったことも含めて、できるだけ専門用語を使わずに解説します。

SCS評価制度とは？3分でわかる概要

SCS評価制度は、取引先どうしで「セキュリティ対策をどこまでやっているか」を同じものさしで確認できるようにする制度です。正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、経済産業省が方針を決め、IPA（情報処理推進機構）が運営します。

なぜこの制度ができたのか

取引先を踏み台にして本命の企業を攻撃する「サプライチェーン攻撃」が増えているためです。経済産業省は、次の2つの困りごとを解決するためにこの制度を作ると説明しています。

• 発注する側：取引先の対策状況を外から判断しにくい
• 受注する側：取引先ごとに違う対策やチェックシートを求められ、負担が大きい

共通の基準ができれば、受注する側は「★3を取っています」と伝えるだけで済むようになります。

「格付け」ではない

★の数で企業をランク付けする制度ではありません。経済産業省は「企業のセキュリティ対策への対応状況を可視化するもの」で、格付け制度ではないと明記しています。想定されているのは、発注元が取引先に「うちとの取引には★3をお願いします」のように必要な段階を示す使い方です。

対象は社内のIT基盤

対象は、パソコンやサーバ、社内ネットワーク、クラウドサービスなどのIT基盤です。工場の制御システム（OT）や、発注元に納める製品そのものは、この制度の直接の対象外です。

いつから始まる？スケジュールと今後の公表予定

★3・★4の申請受付は2027年3月頃に始まる予定です。要求事項や制度のルール、料金はすでに公開されていて、これから申請方法や解説書が出てくる段階です。

時期	内容	状況
2026年3月27日	制度構築方針の公表	公表済み
2026年4月21日	要求事項・評価基準の公開	公表済み
2026年8月28日	制度規程の公開	公表済み
2026年9月18日	料金の公開	公表済み
2026年10月頃	申請方法・解説書の公表	予定
2026年12月末頃	評価機関の一覧公開	予定
2027年1月以降	セキュリティ専門家の一覧公開	予定
2027年3月頃	★3・★4 申請受付開始	予定

予定の時期は、IPAのよくある質問などにもとづく目安です。制度の準備状況によって変わる可能性があるので、最新の情報はIPAのSCS評価制度サイトで確認してください。

申請受付まではおよそ4か月です。ただし★3は、申請の前に自己評価と専門家の確認が必要です。取引先から求められそうなら、今のうちに自社の状況を把握しておくのがおすすめです。

★3・★4・★5の違い

今申請できるようになるのは★3と★4の2つです。★3は「自分たちでチェックして、専門家に確認してもらう」、★4は「評価機関に審査してもらう」と考えるとわかりやすいです。

	★3	★4
位置づけ	制度の土台となる基礎的な段階	★3より広い範囲・対策を求める段階
要求事項	26項目	43項目（★3の26項目を含む）
評価基準	81件	153件
評価のしかた	自己評価＋セキュリティ専門家の確認	評価機関による第三者評価（書類審査・実地審査・技術検証）
有効期間	1年（毎年更新）	3年（自己評価は毎年）
登録料（税込）	1万円（2028年3月31日までの申請）→2万円	6万円（3年分）

登録料はIPAの料金表、評価のしかたと有効期間は2026年8月に公開された制度規程にもとづきます。専門家や評価機関に払う費用は、この登録料とは別にかかります（金額は依頼先ごと、要確認）。

どちらを目指せばいい？

取引先から指定がなければ、まず★3を目指すのが現実的です。★4は★3の項目をすべて含んでいるので、★3の準備はそのまま★4への準備にもなります。なお、★を取るには対象の評価基準をすべて満たす必要があります。「8割できていればOK」という制度ではないので注意してください。

★5は、要求事項も評価のしかたもまだ検討中です。

うちの会社は関係ある？取引先から求められるケース

SCS評価制度は法律で義務づけられたものではなく、取得するかどうかは各社の判断です。ただし、取引契約の中で発注元から★を求められる使い方が想定されているので、次のような会社は早めに準備しておくと安心です。

• 大手企業の下請け・委託先として、業務を受けている
• 発注元のシステムにログインしたり、データをやり取りしたりしている
• 取引先から独自のセキュリティチェックシートを毎年送られている
• 取引先の機密情報（図面、顧客情報など）を預かっている

特に3つめに当てはまる会社は、★を取ることで取引先ごとのチェックシート対応が楽になる可能性があります。取引先がどの★を求めてくるかは会社ごとに違うので、気になる場合は早めに確認しておきましょう。

★3の要求事項を7つの分類でざっくり解説

★3の26項目は7つの分類に分かれています。評価基準81件のうち48件（約6割）が「攻撃等の防御」で、アカウントやパスワード、アップデートなどの日々の対策が中心です。

分類	★3の主な要求事項	かんたんに言うと
1. ガバナンスの整備	セキュリティ推進活動部門、守秘義務のルール、セキュリティ対応方針の策定	担当者と方針を決めて、社内に伝える
2. 取引先管理	取引先との関係の把握、機密情報の取扱い、インシデント時の役割・責任	取引先ごとに、何をやり取りしているかを整理する
3. リスクの特定	情報機器・ソフトウェアの把握、ネットワークの把握、外部情報サービスの管理、機密区分に応じた管理	社内に何があるかを台帳にする
4. 攻撃等の防御	ID・パスワードの管理、多要素認証、教育・訓練、バックアップ、アップデート、マルウェア対策、ネットワーク境界防護など13項目	日々の基本的な守りを固める
5. 攻撃等の検知	ネットワーク接続・データの監視	不正な通信に気づけるようにする
6. インシデントへの対応	インシデント対応手順	事故が起きたときの手順と連絡先を決める
7. インシデントからの復旧	事業継続要件に沿った復旧準備	止まったときの戻し方を準備する

「かんたんに言うと」は当ブログの解説です。要求事項名は経済産業省・IPA「★3・★4要求事項・評価基準」から引用し、一部を短くしています。

意外と細かい数字の基準もある

評価基準を読むと、数字で決められているものがいくつかあります。たとえば次のようなものです。

• 重大な脆弱性を直すアップデートは、公開から14日以内に適用する（4-4-4-2）
• パソコンやスマホのログインには6文字以上のパスワードかPINを使う（4-1-4-2）
• 重要な機密情報を扱うクラウドサービスには、常に多要素認証を使う（4-1-3-2）
• 重要な機密情報は、通常のバックアップに加えて遠隔地にもバックアップする（4-3-4-2）

「なんとなくやっている」だけでは足りず、ルールや記録として残すことが求められる項目が多いのも特徴です。

【無料】★3セルフチェックで今の状況を確認しよう

公開されている評価基準はExcelファイルで、153件を一つずつ確認するのはなかなか大変です。そこで私は、ブラウザ上で回答できる「SCS★3 セルフチェック」を作りました。

• ★3（81件）と★4（153件）を切り替えてチェックできる
• 「できている／一部できている／できていない／わからない」の4択で回答
• 対応が必要な項目を一覧で表示し、コピーやCSVで保存できる
• 登録不要。回答はお使いのブラウザの中にだけ保存され、サーバーには送信されません

このチェックは非公式の自己確認用ツールで、★の取得を保証するものではありません。それでも、「どこが足りないか」を社内で共有するたたき台として使えるはずです。なお、ツールは解説書の公表などに合わせて予告なく更新することがあり、その際にブラウザに保存された回答が消える場合があります。回答したら、CSVダウンロードや印刷・PDF保存で必ず控えを残しておいてください。

「できていない」が多いときの進め方

セルフチェックで「できていない」がたくさん出ても、焦らなくて大丈夫です。お金も時間もかからないものから順に片付けていきましょう。

① お金をかけずにすぐできる対策

• ルーターやファイアウォールの初期パスワードを変更する
• OSやソフトの自動アップデートを有効にする
• パソコンやスマホに画面ロックとログイン失敗時のロックを設定する
• 退職者や使っていないアカウントを削除・無効にする
• クラウドサービスの多要素認証をオンにする

② 文書として用意するもの

★3では「ルールを定める」「記録する」という要求が多くあります。主に必要になるのは次のような文書です。

• セキュリティ基本方針、体制表
• 守秘義務の誓約書
• IT資産台帳、ネットワーク構成図、情報の区分表
• パスワードルール、アカウント申請書
• インシデント対応手順と報告フォーマット、教育の記録表
• バックアップの計画とリストア（戻し方）の手順書

これらのうち主な9種類は、★3の評価基準番号と対応づけたWord・Excelのテンプレートを★3対応テンプレート集で無料配布しています。登録不要で、自社向けに自由に編集して使えます。

③ ツールやサービスの導入が必要なもの

次の項目は、機器やサービスを使うと実現しやすくなります。

• バックアップ：遠隔地へのバックアップには、クラウドバックアップが手軽です（比較記事へリンク）
• 不正通信の検知・遮断：UTMや、検知・通知まで入ったセキュリティサービス（解説記事へリンク）
• マルウェア対策：法人向けのセキュリティソフト（比較記事へリンク）
• パスワード管理：使い回しをなくすためのパスワード管理ツール（比較記事へリンク）

④ 使える支援もある

• サイバーセキュリティお助け隊サービス（新類型）：SCS評価制度に合わせた中小企業向けサービスの実証事業が進められています。詳しい内容はIPAのSCS評価制度サイトで確認してください（要確認）。
• IPAの講師派遣：条件を満たせば、IPAから情報セキュリティの講師を派遣してもらえます。社内教育の要求事項の対策にもなります。
• セキュリティ専門家への相談：★3の確認を担当する専門家の一覧は2027年1月以降に公開予定です。

注意：SCS評価制度に便乗した勧誘に気をつける

経済産業省は2026年4月に、SCS評価制度に関する不適切な勧誘への注意を呼びかけています。新しい制度が始まるときは、不安をあおって高額な契約を迫る営業が出てきやすいためです。

次のような話をされたら、いったん立ち止まって公式情報と照らし合わせましょう。

• 「この製品を入れないと★が取れない」→ 経済産業省は、特定のセキュリティ製品の導入は必須ではないとしています
• 「取得しないと法律違反になる」→ 法律で義務づけられた制度ではありません
• 「公式の認定コンサルです」→ 評価機関の一覧は2026年12月末頃、セキュリティ専門家の一覧は2027年1月以降にIPAが公開予定です

迷ったときは、IPAのSCS評価制度サイトとよくある質問を確認するのが確実です。

まとめ

SCS評価制度のポイントを振り返ります。

• 取引先どうしでセキュリティ対策を確認するための共通のものさしで、格付けではない
• ★3・★4の申請受付は2027年3月頃に始まる予定
• 中小企業はまず★3（要求事項26・評価基準81件）を目標にするのが現実的
• ★を取るには評価基準をすべて満たす必要がある

最初の一歩は、今の状況を知ることです。まずはSCS★3 セルフチェックで自社に足りないところを確認し、★3対応テンプレート集で文書を整えていきましょう。自社だけで進めるのが難しい場合は、SCS評価制度の対応支援でご相談も受け付けています。解説書や評価ガイドが公開されたら、この記事も更新します。

出典

• 「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」を公表しました（経済産業省、2026年3月27日）
• ★3・★4 要求事項・評価基準（IPA、2026年4月21日）
• SCS評価制度 よくある質問（IPA）
• SCS評価制度 料金表（IPA、2026年9月18日）
• SCS評価制度（IPA）