【2026年最新】SCS評価制度とは？サプライチェーン強化に向けたセキュリティ対策評価制度の★1〜★5・スケジュール・中小企業がやるべき準備
近年、サイバー攻撃は増加しており、企業単体ではなく取引先や委託先を含めたサプライチェーン全体でのセキュリティ対策強化が求められています。
こうした背景を踏まえ、経済産業省とIPA（情報処理推進機構）が構築を進めているのが「サプライチェーン強化に向けたセキュリティ対策評価制度」、通称SCS評価制度（エスシーエス評価制度）です。
2026年3月に制度構築方針が公表され、申請の受付は2026年度末頃に始まる予定で、いよいよ具体的な準備が必要な段階に入りました。
本記事では、サプライチェーン強化に向けたセキュリティ対策評価制度の内容や、制度開始前に企業が準備すべきことなどをわかりやすく解説します。
SCS評価制度（セキュリティ対策評価制度）とは
セキュリティ対策評価制度とは、サプライチェーン全体のセキュリティ対策水準を向上させることを目的とした評価制度です。近年、委託先や取引先を起点としたセキュリティインシデントが増加しており、サプライチェーン全体での対策が重要になっています。しかし、その一方で以下のような課題が顕在化しています。
⚫︎発注企業側：委託先のセキュリティ対策状況を把握しにくい
⚫︎受注企業側：委託元ごとに異なる要求事項への対応負担が大きい
こうした課題を解決するために、本制度では一定の基準に基づいて評価を行い、企業のセキュリティ対策状況を可視化・標準化することを目指しています。制度開始は令和8年度（2026年度）下期以降が想定されています。
2026年3月27日に経済産業省が「制度構築方針」を公表し、2026年4月にIPAの制度サイト、5月に経済産業省の特設サイトが公開されました。2026年7月にはサービス提供事業者の公募も始まっており、制度運営基盤の整備が着実に進んでいます。
セキュリティ対策評価制度の主な内容
ここからは、セキュリティ対策評価制度の主な内容について解説します。
対象とするリスクの範囲
本制度では、単なる情報漏えいリスクだけでなく、サプライチェーンに関連する幅広いリスクを対象としています。想定されている主なリスクは以下のとおりです。
⚫︎取引先へのサイバー攻撃を起因とした情報セキュリティリスク
⚫︎製品・サービスの提供途絶リスク
⚫︎取引ネットワークを通じた不正侵入リスク
画像引用元：「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」P7
企業単体ではなく、サプライチェーン全体での事業継続性や安全性を守る視点が重視されています。
評価方法
セキュリティ対策評価制度では、企業の重要性や影響度に応じて、求められるセキュリティ対策水準を★3、★4、★5の3段階で評価します。
★3：一般的なサイバー脅威に対応できる基本水準
すべてのサプライチェーン企業が最低限実装すべきセキュリティ対策水準です。基礎的なシステム防御策や体制整備を中心に実施します。評価方法としては、専門家確認付き自己評価が想定されています。要求事項は26件、評価の有効期間は1年とされており、毎年の更新が前提です。
★4：標準的に目指すべきセキュリティ対策水準
初期侵入の防止だけでなく、被害拡大防止やリスク低減までを重視する水準です。組織ガバナンス、取引先管理、システム防御・検知、インシデント対応など、包括的な対策が求められます。評価については、認定評価機関による第三者評価と技術検証が前提とされています。
要求事項は43件、評価の有効期間は3年ですが、その間も毎年の自己評価の提出が求められる想定です。
★5：到達点として目指す高度なセキュリティ対策水準
未知の攻撃も含めた高度なサイバー脅威に対応するため、リスクベースで継続的改善を実施する水準です。現時点でのベストプラクティスを踏まえた対策が求められます。★5の詳細な基準や評価スキームは、2026年度以降に具体化される予定です。
【補足】制度全体は★1〜★5。★1・★2はSECURITY ACTIONが位置づけられる
ここで中小企業の方に押さえていただきたいのが、SCS評価制度は★3から始まるのではなく、制度全体としては★1から★5までの5段階で設計されているという点です。
そして★1・★2には、IPAがすでに実施している「SECURITY ACTION（セキュリティアクション）」の一つ星・二つ星がそのまま位置づけられるとされています。SECURITY ACTIONとは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度で、費用はかかりません。
つまり、すでにSECURITY ACTIONを宣言している会社は、SCS評価制度のスタート地点にすでに立っているということになります。まだの会社は、ここから始めるのがもっとも費用対効果の高い一歩です。
| 段階 | 内容 | 評価の方法 | 有効期間 |
|---|---|---|---|
| ★1（一つ星） | SECURITY ACTION：情報セキュリティ5か条に取り組むと宣言 | 自己宣言（無料） | — |
| ★2（二つ星） | SECURITY ACTION：自社診断を実施し、基本方針を定めて公開 | 自己宣言（無料） | — |
| ★3（三つ星） | 一般的なサイバー脅威に対処できる水準／要求事項26件 | 専門家確認付き自己評価 | 1年 |
| ★4（四つ星） | 被害の拡大防止まで含む水準／要求事項43件 | 第三者評価＋技術検証 | 3年 |
| ★5（五つ星） | 未知の攻撃も含む高度な水準 | 検討中（第三者評価を想定） | 未定 |
※上記は2026年8月時点で経済産業省・IPAが公表している内容にもとづく整理です。制度は検討中の部分が残っており、要求事項の件数や運用の詳細は変更される可能性があります。最新情報は必ず公式サイトでご確認ください。
30〜300名規模の中小企業が現実的に目指す到達点は★3です。★4は第三者評価機関による審査と技術検証が必要になるため、審査費用と社内工数の負担が一段階大きくなります。発注元から明確に★4を求められていないのであれば、まずは★3を目標に据えるのが妥当です。
セキュリティ対策評価制度で期待される効果
セキュリティ対策評価制度は、受注企業・発注企業・社会全体のそれぞれに対して、多くのメリットが期待されています。
受注企業への効果
セキュリティ対策評価制度を活用することで、「どのレベルの対策を実施すればよいのか」が明確になります。取引先ごとに異なるセキュリティ要求へ個別対応する必要がなくなり、対応の手間を削減できるのがメリットです。
たとえば、これまではA社・B社それぞれから異なるチェックリストへの対応を求められていた場合でも、本制度に基づいた評価を提示することで、共通の基準で説明できるようになります。無駄な作業やコストを抑えながら、効率的にセキュリティ対策を進められるでしょう。
発注企業への効果
取引先のセキュリティ対策状況を評価結果として確認できるため、どの企業がどのレベルの対策を実施しているのかを客観的に把握できます。たとえば、新たに取引先を選定する際に、「★3」「★4」といった評価を基準として判断できるため、これまで担当者の経験や勘に頼っていた判断を標準化できます。
サプライチェーン全体のリスク管理を効率的に行えるでしょう。
社会全体での効果
サプライチェーン攻撃は、セキュリティ対策が弱い企業を狙って侵入し、そこから他の企業へ被害を拡大させるケースが多くあります。本制度により、すべての企業が一定水準以上のセキュリティ対策を実施するようになることで、「弱点となる企業」が減少します。
サプライチェーン全体のセキュリティレベルが底上げされ、社会全体のサイバーリスク低減につながるのが大きなメリットです。
SCS評価制度はいつから始まる？
「まだ先の話」と受け止められがちですが、制度づくりはすでに動いています。ここまでの経緯と今後の見通しを整理します。
| 時期 | 出来事 |
|---|---|
| 2026年3月27日 | 経済産業省が「制度構築方針」を公表 |
| 2026年4月21日 | IPAのSCS評価制度サイトが公開 |
| 2026年5月29日 | 経済産業省の特設サイトが公開 |
| 2026年7月13日 | サービス提供事業者の公募を開始 |
| 2026年度末頃（2027年1〜3月頃） | ★3・★4の申請受付が開始される予定 |
| 2026年度以降 | ★5の基準・評価スキームを具体化 |
つまり申請できるようになるまで、この記事の時点であと半年ほどです。一方で、★3の要求事項には「基本方針を定めて公開する」「責任者を決める」「従業員教育を年1回以上実施する」といった、お金では買えず、社内の合意形成に時間がかかる項目が含まれています。
アーデントがご相談を受けるなかで感じるのは、機器やソフトの導入より、社内ルールづくりと教育の実施のほうが着手が遅れやすいということです。申請受付が始まってから動き出すと、書類が揃わないまま数か月が過ぎます。今から少しずつ進めておくのが安全です。
セキュリティ対策評価制度が始まる前に準備すべきこと
セキュリティ対策評価制度が始まる前に企業がやるべき主な準備は、以下の3つです。
目指す★のレベルを明確にする
まずは制度の目的や内容を理解し、自社が目指す評価レベル（★3・★4・★5）を明確にしましょう。評価レベルごとに求められる対策内容は大きく異なります。自社の事業内容やサプライチェーンにおける役割（発注側か受注側か、重要度の高い企業かなど）を踏まえ、現実的かつ適切な目標レベルを設定することが重要です。
現在のセキュリティ対策や運用体制の課題を整理する
次に、自社のセキュリティ対策や運用体制の現状を把握し、不足している点や改善が必要な項目を整理します。評価レベルによっては、セキュリティ強化のために機器の更新や新たなツールの導入が必要になる場合もあります。
制度開始後に「必要な水準に達しておらず、取引機会を逃す」といった事態を防ぐためにも、早い段階で改善計画を立て、予算確保や製品選定を進めておきましょう。
制度に関する社内教育を実施する
制度に対応するためには、情報を扱う部門や受発注に関わる従業員が制度を正しく理解していることが不可欠です。制度の概要や自社が目指す認定レベル、必要な対応内容について、社内研修や資料共有を通じて周知し、従業員の理解を深めましょう。
また、制度に合わせて新たに策定・更新される社内ルールや、導入予定のセキュリティツールについても関係者へ事前に共有しておくことも重要です。
うちのような中小企業にも関係ある？
もっとも多いご質問です。結論としては、「大企業や官公庁と取引がある」「部品・部材・受託開発・システム運用などを他社に納めている」会社は、関係があると考えておくべきです。
SCS評価制度は法律による義務ではありません。しかし制度の狙いは「発注する側が取引先の対策状況を客観的に確認できるようにする」ことにあります。つまり義務ではなく、取引の条件として求められる形で影響が及ぶ可能性が高い制度です。
| 自社の状況 | 想定される影響 | 目安になる段階 |
|---|---|---|
| 大手メーカー・官公庁と直接取引がある | 発注元から取得を求められる可能性が高い | ★3、要請次第で★4 |
| 大手の一次下請け・二次下請け | 元請け経由で確認を求められる可能性 | ★3 |
| 受託開発・システム運用を請け負っている | 預かるデータの重要性から要請されやすい | ★3〜★4 |
| 一般消費者向けの小売・サービス業のみ | 直ちに求められる可能性は低い | まずSECURITY ACTION |
| 取引先から質問票への回答を求められたことがある | すでに実質的な対象。標準化の恩恵が大きい | ★3 |
4行目のように直ちに影響を受けにくい業種であっても、SECURITY ACTION（★1・★2）は無料で宣言でき、補助金の申請要件にもなっているため、取り組んでおいて損はありません。
ISMS・プライバシーマークとどう違う？
「うちはもうプライバシーマークを取っているが、それでは足りないのか」というご質問もよくいただきます。3つは目的が異なる制度で、どれかがどれかの代わりになるものではありません。
| 項目 | SCS評価制度 | ISMS（ISO27001） | プライバシーマーク |
|---|---|---|---|
| 主に見るもの | サイバー攻撃への備えと対応力 | 情報セキュリティの管理体制全般 | 個人情報の取り扱い |
| 評価の軸 | 技術的な対策の実装状況 | 仕組みが回っているか | ルールと運用の適正性 |
| 想定される場面 | 取引先からの要請への対応 | 入札・国際取引 | 個人情報を扱う事業の信頼性 |
| 中小企業の負担 | ★3なら比較的軽い | 大きい | 中程度 |
| 関係 | ISMS・Pマークとは相互に補完する関係 | — | — |
すでにISMSやプライバシーマークを取得している会社は、文書化や体制整備の土台ができているため、SCS評価制度の要求事項にも対応しやすいといえます。ただし、SCS評価制度は「攻撃を検知して対応できるか」という技術面まで踏み込む点が特徴です。
ウイルス対策ソフトを入れているだけで満たせる制度ではありません。
★3の要求事項でつまずきやすいのはどこ？
★3の要求事項は26件です。多くの中小企業にとって、機器やソフトの導入そのものより、「決める」「書く」「続ける」タイプの項目のほうが難所になります。
| つまずきやすい項目 | なぜ止まるのか | 先に着手すべきこと |
|---|---|---|
| 責任者（CISO相当）の任命 | 兼任の総務担当に押し付けて形骸化する | 経営層の誰が責任を持つかを先に決める |
| セキュリティ基本方針の策定・公開 | 文書のひな形がなく手が止まる | IPAや公的機関のテンプレートを使う |
| 委託先・取引先の管理 | 誰にどこまで委託しているか把握できていない | 委託先の一覧づくりから始める |
| IT資産の棚卸し | パソコン・ソフトの台帳がない | 台帳をExcelでよいので作る |
| 従業員教育（年1回以上） | 「時間がない」で先送りされる | eラーニングで実施記録ごと残す |
| ログの取得と保管 | 取っているつもりで保存期間が足りない | 保存期間を確認し、必要なら延長を検討 |
このうち「委託先の一覧づくり」と「IT資産の棚卸し」は、着手から完了まで想像以上に時間がかかります。クラウドサービスの契約が部署ごとにばらばらで、総務も把握していない、というのは中小企業では珍しくありません。ここは早めに手を付けてください。
中小企業向けの支援策はある？
あります。経済産業省とIPAは、中小企業が★3・★4を安価かつ簡便に取得できるようにするための支援策として「サイバーセキュリティお助け隊サービス（新類型）」の創設を進めています。2026年7月にはサービス提供事業者の公募も始まりました。
サイバーセキュリティお助け隊サービスとは、中小企業向けに、対策機器の提供・見守り・緊急時の対応支援などをひとまとめにした民間サービスです。IPAの基準を満たしたサービスが一覧で公開されており、月額数千円台から利用できるものもあります。
つまり「自社だけで26項目を満たすのは無理」という会社でも、外部サービスを使って現実的に到達できる道筋が用意されつつあるということです。具体的なサービス内容や価格は事業者ごとに異なりますので、選定にあたっては複数社を比較してください。
費用はどれくらいかかる？
制度の申請費用そのものは、この記事の時点では正式に公表されていません。ただし、費用を考えるうえでの構造は次のように整理できます。
| 費用の種類 | 内容 | 目安の考え方 |
|---|---|---|
| SECURITY ACTION（★1・★2） | 自己宣言 | 無料 |
| ★3の評価費用 | 専門家による確認付き自己評価 | 未公表（お助け隊サービスでの低廉化を想定） |
| ★4の評価費用 | 第三者評価機関の審査＋技術検証 | 未公表（★3より大幅に高くなる見込み） |
| 対策そのものの費用 | EDR・ログ管理・教育ツールなど | 製品・規模により幅がある |
| 社内工数 | 文書づくり・棚卸し・教育の実施 | 見落とされやすいが最も大きい |
見落とされやすいのが最下行の社内工数です。ツールの費用ばかりに目が向きますが、実際には「誰が資料を作り、誰が委託先を洗い出し、誰が教育を回すのか」を決めないと前に進みません。兼任の担当者1名に丸投げすると、ほぼ確実に止まります。
※費用に関する情報は今後具体化される予定です。最新の内容は必ず経済産業省・IPAの公式情報でご確認ください。
今日から始めるなら何をする？3ステップ
| ステップ | やること | 目安期間 |
|---|---|---|
| 1. SECURITY ACTIONを宣言する | ★1・★2にあたる自己宣言を済ませる（無料） | 1日〜1週間 |
| 2. 現状を棚卸しする | IT資産・委託先・既存のルールを一覧化する | 2週間〜1か月 |
| 3. 差分を埋める計画を立てる | ★3の要求事項と突き合わせ、予算と担当を決める | 1か月〜 |
ステップ1は今日中にでも着手でき、費用もかかりません。しかも SECURITY ACTION の宣言はデジタル化・AI導入補助金の申請要件にもなっているため、補助金を使う予定がある会社は結局やることになります。
ステップ2で「委託先が思ったより多い」「誰も台帳を持っていない」ことが判明するのが通例です。ここで現状が見えると、★3を目指すのが現実的か、まずは足元を固めるのが先かの判断がつきます。
対策費用に補助金は使える？
SCS評価制度への対応で必要になるセキュリティ製品やツールの導入費用は、デジタル化・AI導入補助金の対象になる場合があります。中小企業のクラウド化・セキュリティ強化を支援する制度です。
この補助金ではSECURITY ACTIONの宣言が申請要件とされています。つまりSCS評価制度の★1・★2への取り組みと、補助金の申請準備は同じ作業になります。どうせやるなら、まとめて進めるのが効率的です。
ただし対象ツール・補助率・要件は年度ごとの公募要領で変わります。最新の内容は必ず公募要領をご確認いただき、判断に迷う場合は補助金の支援事業者や専門家にご相談ください。
SCS評価制度のよくある質問
Q. SCS評価制度の取得は義務ですか？
A. 法律上の義務ではありません。ただし制度の目的は、発注する側が取引先の対策状況を客観的に確認できるようにすることにあります。今後は取引条件や見積依頼の要件として提示される可能性があるため、実質的な必要性は業種・取引先によって変わります。
Q. SECURITY ACTIONを宣言していれば★2として扱われますか？
A. 公表されている整理では、★1・★2にSECURITY ACTIONの一つ星・二つ星が位置づけられるとされています。まだ宣言していない会社は、無料で今日から着手できるここが最初の一歩です。ただし★3以上は別の評価が必要になります。
Q. 社員20名の会社でも★3は取れますか？
A. 規模による申請の制限は示されていません。★3は専門家の確認を受けた自己評価という方式で、中小企業でも到達できる水準として設計されています。また、中小企業が安価に取得できるよう「サイバーセキュリティお助け隊サービス（新類型）」の創設が進められています。
Q. ISMSを取得済みなら申請は不要ですか？
A. 別制度のため、ISMSの取得がそのままSCS評価制度の評価になるわけではありません。ただし文書化や体制整備の土台があるぶん対応は進めやすくなります。両者は相互に補完する関係と位置づけられています。
まとめ
今回は、サプライチェーン強化に向けたセキュリティ対策評価制度の内容や期待される効果、制度開始前に企業が準備すべきことなどを解説しました。
本制度は、サプライチェーン全体のセキュリティ対策を可視化・標準化する取り組みです。今後は評価制度への対応が取引条件の一部となる可能性もあるため、早期に準備を進めておくことが求められます。
制度開始に備え、自社の現状把握や目標レベルの設定、社内体制の整備などを進めながら、計画的にセキュリティ対策を強化していきましょう。
あらためて順番を整理すると、①SECURITY ACTIONの宣言（無料・今日から）②IT資産と委託先の棚卸し ③★3の要求事項との差分を埋める計画づくりの3つです。申請受付は2026年度末頃の予定ですが、社内ルールと教育は時間がかかるため、いま動き出しておくのが安全です。
ICTオフィス相談室では、現状の棚卸しから、どのレベルを目指すべきかの判断、必要なセキュリティ製品の選定、デジタル化・AI導入補助金の活用までご相談を承っています。「取引先から質問票を渡されたが何を答えればよいか分からない」という段階でも構いませんので、お気軽にお問い合わせください。
法人向けセキュリティソフトの
料金自動一括比較サイトを新しくオープンしました！
c-compe.com⇒
株式会社アーデントは、デジタル化・AI導入補助金の支援事業者を行っております！
アーデントからデジタル化・AI導入補助金を使ってクラウドツールを導入するメリットは以下の通りです。
メリット①対象ツールを２年間、半額、もしくは１／４で利用可！
メリット②会計、経費精算、請求書処理、受発注ツール導入なら、PCやタブレットの購入も補助が受けられ半額！
メリット③補助期間終了後は、公式価格よりお値引き！
メリット④各種IT活用、DX、保守サポートでより貴社のIT化を促進、生産性を向上します！
【弊社取り扱いクラウドツール】
🔹オフィス・グループウェア: Google Workspace※、Microsoft365、desk'nets NEO※
🔹ノーコード業務改善：kintone、Zoho※、楽楽販売、JUST.DB※、サスケworks
🔹コミュニケーション: サイボウズオフィス、Garoon、Chatwork、LINE WORKS、zoom
🔹会計・経費管理: マネーフォワード、freee、楽楽精算、楽楽明細、楽楽請求、invox
🔹電子契約・文書管理: freeeサイン、クラウドサイン、GMOサイン、Adobe Acrobat、box
🔹セキュリティ対策: sophos、SentinelOne、ESET、トレンドマイクロ、CloudGate UNO
🔹バックアップ: syscloud、Avepoint、veeam
🔹RPA・自動化: RoboTANGO、DX-Suite、Yoom※、バクラクシリーズ
🔹勤怠・労務管理: 勤革時、楽楽勤怠、マネーフォワード
🔹物流・在庫管理: ロジザードZERO
🔹教育・マニュアル作成管理: iTutor、NotePM、leaf
🔹PBX・電話システム: INNOVERAPBX※、MOTTEL※、ZoomPhone※
🔹端末管理：LANSCOPE、clomo、ISM Cloud One
🔹リモートデスクトップ：RemoteOperator在宅
🔹受付ipad：ラクネコ※
🔹タスク管理、その他：Adobe creative cloud、Notta、JOSYS、backlog※
など
※こちらのツールは補助期間終了後の値引不可
また、上記以外のツールも取り扱いできるものが多々ありますので、一度ご相談ください。
デジタル化・AI導入補助金2026の詳細、お問合せはお電話頂くか、以下の記事を御覧ください↓
デジタル化・AI導入補助金お問合せ：03-5468-6097
以下の動画では、採択のポイントや申請にあたっての注意点などを詳しく解説していますので、
あわせてご覧ください！
