>
>
公開日
最終更新日
SCS評価制度とは、経済産業省が推進し、サプライチェーンのセキュリティ水準を可視化する新たな公的枠組みです。本記事では、2026年3月の制度構築方針の確定を踏まえ、「SCS評価制度とは何か」「いつから始まるのか」といった基本概要から、★3・★4の要求事項の違い、ISMSとの比較、情シスが直面する課題までを解説します。
知りたいことから読む（SCS評価制度 記事シリーズ）
本記事は制度の全体像を解説する「入り口」の記事です。目的によっては、以下の記事の方が早く答えが見つかります。
★3の要求事項を実際にチェックしながら準備したい → SCS評価制度★3取得チェックリスト（81評価基準対応）
取引先向けのセキュリティチェックシートを今すぐ作りたい → 実務で使えるセキュリティチェックシートの作り方
まずサプライチェーン攻撃の脅威・事例を知りたい → サプライチェーン攻撃とは？最新事例と規模別対策
SaaS・IT資産の可視化から証跡を整えたい → SCS評価制度SaaS対応にIT資産可視化が不可欠な理由
制度の定義・スケジュール・評価基準・運営体制を体系的に理解したい方は、このまま読み進めてください。
この記事でわかること
SCS評価制度の定義・背景と、従来のセキュリティチェックシートとの違い
制度が「いつから」始まるか（2024〜2026年の構築タイムライン）
★3・★4の要求事項の違い（要求事項数・評価基準数・審査スキーム・有効期間）を中心とした評価レベル比較
NIST CSFベース＋日本独自「取引先管理」で構成される7大分類の内容
SCS-100を頂点とする規程体系と、運営審議委員会・指定委員会の発足状況
ISMS・Pマーク・SECURITY ACTIONとの違いと、自社が★3・★4のどちらを目指すべきかのセルフチェック
情シスが今すぐ着手すべき実務対応（チェックシート移行・SaaS管理等）
中堅・中小企業向け支援策「サイバーセキュリティお助け隊サービス（新類型）」の概要
セキュリティ対策評価制度（SCS評価制度）とは？サプライチェーン強化に向けた定義と背景
SCS評価制度は、企業ごとの独自の基準を廃し、社会共通の物差しでサプライチェーン全体のセキュリティ対策水準を評価・証明する仕組みです。
サプライチェーン攻撃の深刻化と実態
2022年の自動車メーカー事例以降、サプライチェーン経由の侵害は規模・頻度ともに拡大しています。攻撃者は直接ターゲットを狙うのではなく、セキュリティ体制が相対的に脆弱な取引先や子会社、委託先を踏み台にして本丸へ侵入する「サプライチェーン攻撃」を常態化させています。
例えば、2022年2月には大手自動車メーカーの主要委託先（子会社）が利用していたリモート接続機器の脆弱性を突かれ、ランサムウェアに感染しました。その結果、大手自動車メーカーのグループ企業国内全工場の稼働が丸1日停止するという甚大な被害が発生しています（トヨタ自動車 公式発表）。さらに2024年9月には、物流アウトソーシング企業がランサムウェア被害を受け、複数の取引先企業に提供していた物流システムが停止し、大規模な事業中断と個人情報の流出を招いた事例も報告されています。独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」の組織編においても、「サプライチェーンや委託先を狙った攻撃」は第2位にランクインしており、8年連続で上位を占めています。
従来のセキュリティ確認手法が抱える限界
このような脅威に対抗するため、発注企業は取引先に対して自社が定めるセキュリティ基準を満たすよう要求してきました。しかし、その確認手法は各企業が独自に作成した「セキュリティチェックシート（Excelやスプレッドシート形式）」に依存していました。
この手法には大きな問題がありました。発注者側にとっては、取引先から提出された自己申告の回答が実態を伴っているのかを客観的に担保できず、ブラックボックス化しやすい点です。一方で受注者側（特に中堅・中小企業）にとっては、複数の取引先からそれぞれ異なるフォーマットで年間何十枚ものチェックシートが送られてくるため、「回答業務自体に数十時間を奪われ、本来のセキュリティ対策にリソースを割けない」という本末転倒な事態が生じていたのです。
SCS評価制度の目的とISMSとの違い
こうした業界全体の非効率と脆弱性を解消するため、経済産業省が創設を進めているのが「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」です。この制度は、共通の客観的な評価基準を設け、対策状況を「星（★）」の数で可視化します。
ISMSとの違いは設計思想にあります。ISMSが「組織全体の情報セキュリティ管理のプロセス（PDCAサイクル）が適切に構築されているか」を評価する国際規格であるのに対し、SCS評価制度は「サプライチェーンを構成するIT基盤において、具体的な技術的・組織的対策が実装されているか」に重きを置いています。SCS評価制度は、取引先選定の際の直接的な物差しとして機能するように設計されているのが特徴です。
SCS評価制度とISMS・Pマーク・SECURITY ACTIONとの違い（比較表）
情シス担当者からは「既にISMSやPマークを取得しているのに、なぜ別にSCS評価制度が必要なのか」という質問が多く寄せられます。それぞれ評価の対象・目的が異なるため、単純な上位互換の関係ではありません。
制度 | 主な評価対象 | 評価の視点 | 取引先への説明力 |
|---|---|---|---|
SCS評価制度 | サプライチェーンを構成するIT基盤における技術的・組織的対策の実装状況 | 「具体的に何を実装しているか」を★の数で客観的に可視化 | 発注者が取引先選定の基準として直接使える設計 |
ISMS（ISO 27001） | 組織全体の情報セキュリティマネジメントシステム（PDCA） | 「管理の仕組みが機能しているか」を審査 | 組織の管理体制への信頼は示せるが、個別の技術対策の実装状況までは保証しない |
Pマーク（プライバシーマーク） | 個人情報保護に関するマネジメントシステム | 個人情報の取扱いルールの遵守状況 | 対象が個人情報保護に限定され、サプライチェーン全体のセキュリティ対策は評価対象外 |
SECURITY ACTION | 中小企業の情報セキュリティ対策への取組み姿勢 | 自己宣言（★1）・より進んだ対策の自己宣言（★2） | 「取り組んでいる姿勢」の表明であり、第三者・専門家による確認は伴わない |
ISMSやPマークを既に取得している企業であっても、SCS評価制度の★3・★4は別途取得が必要になります。一方で、ISMSの構築で整備した規程やログ管理の仕組みは、SCS評価制度の自己評価やSCSセキュリティ専門家への説明の土台として活用できるため、「ゼロから作り直す」必要はありません。既存のISMS運用ドキュメントとSCS評価制度の7分類（統治・取引先管理・識別・防御・検知・対応・復旧）の対応関係を整理しておくと、自己評価の工数を大きく圧縮できます。
▲ サプライチェーン攻撃の仕組みと標的となる構造
SCS評価制度の対象範囲と「いつから」始まるかの最新スケジュール
SCS評価制度は、サプライチェーンを構成する企業の「IT基盤」を対象とし、2026年度末頃（2027年3月頃）から★3および★4の本格運用が開始されます。
2024年〜2026年の制度構築タイムライン
SCS評価制度は、2024年7月に経済産業省のサブワーキンググループで検討が始まりました。その後、中間取りまとめや実証事業を経て、2025年12月に制度構築方針（案）のパブリックコメントが実施されました。
そして、2026年3月27日に「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（確定版）」が正式に公表されました。続いて2026年4月には、IPAが本制度の運営主体として特設サイトを公開し、詳細な情報発信を開始しています。
本格運用はいつから始まるのか？
現在公表されているスケジュールによれば、2026年秋頃に評価ガイド等の詳細なマニュアルが提示され、**2026年度末頃（2027年2月〜3月頃）**から、本制度の主軸となる「★3」および「★4」の申請受付と本格運用が開始される予定です。最も高度な「★5」については、国際基準（自工会ガイドラインLv3等）との整合を図りつつ、2026年度以降に継続して検討されることとなっています。★5の要求事項・審査スキームはいずれも現時点では未定です。
対象となる範囲（スコープ）の限定
制度の適用を考える上で非常に重要なのが「対象範囲」の理解です。経済産業省の方針において、SCS評価制度の対象は「サプライチェーンを構成する企業等のIT基盤（クラウド環境で運用するものを含む）」に限定されています。
したがって、工場を稼働させるための制御システム（OTシステム）は対象外となります。委託元に納品する製品自体（組み込みソフトウェアやIoTデバイスなど）も同様に本制度の直接の評価対象外です。これらについては、業界ごとの個別ガイドライン等で対応することが想定されています。
SCS評価制度の評価基準：NIST CSFベースの7分類
SCS評価制度の評価基準は、国際基準であるNIST CSFに日本独自の「取引先管理」を加えた合計7つの大分類で構成されます。
世界標準の6機能＋日本独自の1機能
評価のベースとなっているのは、米国国立標準技術研究所（NIST）が策定した「サイバーセキュリティフレームワーク（CSF）」です。SCS評価制度では、このNIST CSFが定義する6つの機能に、日本市場特有のサプライチェーン構造を考慮した「取引先管理」を追加しています。
統治（ガバナンス整備）： 企業として最低限のリスク管理体制や、継続的改善に資する体制の構築。経営層のコミットメントが問われます。
取引先管理： 取引先に課す最低限のルールの明確化と、取引先の把握・管理。これが本制度の要となる日本独自の項目です。
識別（リスクの特定）： 自社のIT基盤や資産の現状把握、脆弱性など最新状況の把握と反映。
防御（攻撃等の防御）： マルウェア対策、多層防御、アクセス制御による侵入リスクの低減。
検知（攻撃等の検知）： ネットワークやシステムにおける不審な挙動、ログの監視・検知。
対応（インシデントへの対応）： サイバー攻撃発生時の初動対応プロセスや、被害拡大防止措置の整備。
復旧（インシデントからの復旧）： 被害からの事業復旧手順の確立。実証実験の結果を受け、インシデントを前提としたバックアップ対策は★3から必須要件に格上げされています。
情シス担当者は、これら7つの分類に基づいて自社のシステムや運用ルールが網羅的に設計されているかを見直す必要があります。
★1〜★5の評価レベルの違いと比較表
SCS評価制度は5段階で評価されますが、サプライチェーンでの取引基準として実質的に機能するのは、専門家または第三者機関の確認・審査が伴う「★3」以上です。★5については2026年度以降の検討事項であり、現時点では要求事項・審査スキームとも未定です。
評価レベル（星）の定義と要求事項
経済産業省の公表資料およびIPA公式サイトの要求事項・評価基準ページに基づく各レベルの位置づけや要求される項目数は以下の通りです。
段階 | 位置づけ | 要求事項数／評価基準数 | 評価・審査スキーム | 有効期間 | 運用開始時期 |
|---|---|---|---|---|---|
★1 / ★2 | 基礎的対策・継続的対策 | - | 自己宣言（SECURITY ACTION相当） | - | 既存運用 |
★3 | 全サプライチェーン企業が最低限実装すべき対策 | 26要求事項／81評価基準 | 自己評価 ＋ **SCSセキュリティ専門家（★3確認責任者）**による確認 | 1年 | 2026年度末頃 |
★4 | 標準的に目指すべき対策（影響度が高い企業向け） | 43要求事項／153評価基準（★3を包含した累計値） | 指定委員会が指定する評価機関・技術検証事業者による第三者審査・技術検証 | 3年 | 2026年度末頃 |
★5 | 到達点として目指すべき高度な対策 | 検討中 | 検討中 | 検討中 | 2026年度以降検討 |
※要求事項は評価の大分類、評価基準は要求事項をさらに個別チェック項目までブレークダウンしたものです。★4の153評価基準は★3の81評価基準を包含した累計値であり、★4を満たす企業は★3の水準も同時に満たします（出典：IPA公式Excel「20260327001-c.xlsx」を実集計・検証）。
自社が目指すべきレベルの判断基準（リスク軸）
企業が「自社はどのレベルを目指すべきか」や「取引先にどのレベルを要求すべきか」を判断する際、経済産業省は以下の2つのリスク軸を用いることを提唱しています。
事業継続リスク: その企業へのサイバー攻撃や業務停止が、サプライチェーン全体に許容できない供給遅延や影響をもたらすか。
情報管理リスク: その企業への攻撃により、機密情報や顧客情報の重大な漏えい被害が生じるか。
セルフチェック：3つの質問で自社の方向性を確認
上記のリスク軸を踏まえ、次の3つの質問に答えるだけでも大まかな方向性が見えてきます。
自社が停止すると、取引先や社会に大きな供給遅延・影響が出るか？（事業継続リスク）
自社が攻撃を受けると、機密情報や大量の顧客情報が漏えいするおそれがあるか？（情報管理リスク）
取引先（発注元）から、既に★4相当の対策を明示的に求められているか？
上記のうち2つ以上に「はい」と答えた企業は、影響度が高い取引先として★4を見据えた準備を早期に始めることをおすすめします。1つ以下であれば、まずは★3（26要求事項・81評価基準）の自己評価とSCSセキュリティ専門家による確認を目標に据えるのが現実的です。いずれの場合も、★4は★3の水準を包含しているため、★3の81評価基準への対応は無駄になりません。具体的な項目に落とし込んで進めたい場合は、SCS評価制度★3取得チェックリストから着手してください。
発注者として留意すべき点
発注者として留意すべき点がある。事業リスクを考慮せず全取引先に一律★4を要求すると、本来★4を必要としない中小企業に対して153評価基準もの厳格な第三者審査を課すことになり、過度なコスト負担を強いることになります。結果として取引の硬直化やサプライチェーンの混乱を招きます。リスク区分に応じた「適切な水準の適用と可視化」が制度本来の趣旨です。
▲ SCS評価制度における主軸レベル（★3・★4）の違い
SCS評価制度の運営体制と規程体系
SCS評価制度を実際に運用するための規程体系と、評価を担う専門家・評価機関の要件は、「SCS-100（基本規程）」を頂点とする文書群で定められています。ここでは、情シスが制度対応を進めるうえで押さえておくべき運営体制のポイントを整理します。
SCS-100を頂点とする規程体系
SCS評価制度の基本規程（SCS-100）には、制度全体を構成する文書体系として全21種類の文書が列挙されており、順次公開が進んでいます。2026年9月時点でIPAが公開している主な文書は次の通りです（出典：IPA「制度規程・委員会」ページ、2026年9月11日最終更新）。
文書番号 | 文書名 | 概要 |
|---|---|---|
SCS-100 | 基本規程 | 登録希望組織・評価/技術検証従事者・制度運営関係者すべてが遵守すべき基本的事項を規定 |
SCS-110 | 制度運営機関規則 | 制度運営機関の構成・所掌事務を規定 |
SCS-111 | 運営審議委員会規則 | 運営審議委員会の構成・所掌事務を規定 |
SCS-112 | 指定委員会規則 | 指定委員会の構成・所掌事務を規定 |
SCS-210 | 評価機関指定規則 | 評価機関の指定に係る事項を規定 |
SCS-220 | 技術検証事業者指定規則 | 技術検証事業者の指定に係る事項を規定 |
SCS-230 | 研修事業者指定規則 | 研修事業者の指定に係る事項を規定 |
SCS-310〜330B | 評価機関・技術検証事業者・研修事業者の指定基準／研修実施基準 | 各事業者が満たすべき要件・研修仕様を規定 |
SCS-510〜530 | 評価機関・技術検証事業者・研修事業者の指定手順 | 各事業者の指定・監督の手順を規定 |
個別の技術要件や審査手順は、上記のSCS-500番台の基準・手順書に落とし込まれる設計です。IPAは「★3・★4自己評価等ガイド」「要求事項・評価基準 解説書」を2026年10月の公開に向けて作成中と案内しており、今後も規程の追加公開が続く見込みです。
運営審議委員会・指定委員会の発足と体制
制度運営機関であるIPAのもとには、制度全体の方針・規程を審議する運営審議委員会と、評価機関・技術検証事業者・研修事業者の指定審査を担う指定委員会が設置されています。2026年6月〜8月にかけて両委員会が実際に発足し、会合を重ねています。
運営審議委員会： 委員長は満塩尚史氏（順天堂大学 健康データサイエンス学部 准教授）。内閣官房 国家サイバー統括室、経済産業省、日本自動車工業会、電子情報技術産業協会、日本ネットワークセキュリティ協会など産学官の委員で構成され、第1回（2026年6月10日）・第2回（2026年7月8日）の会合を開催済みです。
指定委員会： 委員長は島田毅氏（松山大学 情報学部情報学科 教授）。セキュリティオペレーション事業者団体、情報経済社会推進協会、法律専門家、セキュリティ教育事業者団体の委員で構成され、第1回（2026年7月27日）・第2回（2026年8月20日）の会合を開催済みです。
いずれの委員会も配付資料と議事要旨がIPA公式サイトで公開されており、規程改定時には意見公募が行われるなど、特定の業界団体に偏らない公平な運営体制が規程上担保されています。
SCSセキュリティ専門家（★3確認責任者）の資格要件
SCS-100基本規程に基づき、★3の自己評価結果を確認・助言する役割を担うのが「SCSセキュリティ専門家」です。この専門家は、★3では「★3確認責任者」として自己評価の確認・助言を行い、★4では「評価責任者」としての役割も担います。
SCSセキュリティ専門家として登録されるためには、次のいずれかの資格を保有していることが前提となります（出典：制度構築方針 p.20）。
情報処理安全確保支援士
公認情報セキュリティ監査人
CISSP
CISM
CISA
ISO27001主任審査員
これらの資格保有者は、指定研修事業者が実施する研修を修了したうえで、制度運営機関（IPA）の登録台帳に登録されることで、正式にSCSセキュリティ専門家として活動できます。なお、セキュリティ専門家向けに研修を行う研修事業者については、2026年12月末頃より公表される予定です。★3の有効期間は1年で、毎年の自己評価の更新にあわせてSCSセキュリティ専門家（★3確認責任者）による確認が必要です。
★4における評価機関・技術検証事業者の役割
★4では、指定委員会が指定した「評価機関」が第三者評価を、「技術検証事業者」がログ・設定画面の確認などの技術検証を担います（技術検証は評価機関自身ではなく、必要に応じて別の技術検証事業者が実施する場合もあります）。
★4取得までの大まかな流れは、①取得希望組織が要求事項・評価基準に基づき自己評価を記入、②評価機関に検証・評価を依頼、③評価機関が検証・評価を実施（技術検証事業者が担う場合あり）、④評価機関が評価報告書を提供、⑤取得希望組織がIPA（事務局）に登録を申請、⑥事務局が問題なければ台帳に登録・公開、という手順です。★4の有効期間は3年で、毎年の自己評価提出に加え、3年ごとに評価機関による第三者評価を受ける必要があります。
制度規程や委員会の最新情報は、IPA公式サイト（https://www.ipa.go.jp/security/scs/）で随時更新されています。
SCS制度開始に向けた情シスの実務対応
SCS評価制度の本格運用に向けて、情報システム部門は自社の対策水準を引き上げつつ、委託先管理のフローを再設計する「攻守両面」の実務対応が求められます。
1. サプライチェーン攻撃の脅威理解と対策
脅威の全体像を理解せずに制度対応を進めると、どの対策が本質的で何が形式的な対応に過ぎないかの判断が難しくなります。攻撃者は直接ターゲットを狙わず、取引関係にある関連会社や業務委託先など、セキュリティが手薄な経路を悪用します。自社を守るための全体像や規模別の対策については、サプライチェーン攻撃とは？2026最新事例と加害を防ぐ規模別対策の記事で詳しく解説しています。
2. 従来のチェックシートからの移行・再設計
制度開始後に最初に影響を受けるのが、既存の独自エクセル製チェックシートの運用です。制度が開始されれば、取引先ごとに異なっていたこれらのシートは段階的に廃止され、SCS評価制度の★認定を調達基準に組み込む形へ移行します。自社のヒアリング項目をどのようにSCS制度の標準項目とすり合わせるかについては、【2026年最新】実務で使えるセキュリティ チェック シートの作り方で具体的なアップデート手順を確認してください。
3. ★3取得に向けた81評価基準の自己評価と準備
自社が受注側として**★3を取得するためには、NIST CSFベースの26要求事項・81評価基準**を満たす必要があります。単なる「Yes/No」の回答ではなく、SCSセキュリティ専門家（情報処理安全確保支援士等の資格を持つ★3確認責任者）に対して運用の実態を説明できるよう、規程類の整備や設定の確認が必要です。具体的なチェック項目と準備の進め方は、SCS評価制度★3取得チェックリスト（81評価基準対応）にまとまっています。
4. SaaS管理とIT資産の可視化による証跡管理
★3以上の評価を取得し維持していくためには、利用しているクラウドサービス（SaaS）やエンドポイントのIT資産を正確に把握していることが大前提となります。「シャドーITが存在しないこと」や「適切なアクセス権限が付与されていること」を証明できなければ、SCSセキュリティ専門家や評価機関の評価をクリアできません。
しかし、この「証明」がSCS評価制度対応の中で最も工数がかかる部分でもあります。手作業のExcel台帳では、SaaSごとに異なるログイン方式・権限設定を毎回ログインして確認する必要があり、評価基準ごとの証跡を都度エビデンスとして残すのは現実的ではありません。AdminaのようなSaaS管理ツールでSaaS・ID・アクセス権限を自動で可視化しておくと、取引先管理・識別・防御の各分類で求められる証跡を継続的に確保でき、毎年の自己評価更新（★3は1年ごと）の負荷も抑えられます。評価取得に必要なエビデンス整備の手法については、SCS評価制度SaaS対応にIT資産可視化が不可欠な理由で詳しく解説しています。
中堅・中小企業向け支援策：「サイバーセキュリティお助け隊サービス（新類型）」
リソースが限られる中堅・中小企業が安価かつ簡便にSCS評価制度の★3・★4を取得できるよう、「サイバーセキュリティお助け隊サービス（新類型）」が創設されます。
新類型のワンストップサービスモデル
★3であっても81評価基準もの要求事項を満たす必要があり、専任の情シス担当者が不在の中小企業にとってはハードルが高いのが実情です。そこで経済産業省とIPAは、SCS評価制度の本格運用に合わせて、既存の支援策を拡張した「サイバーセキュリティお助け隊サービス（新類型）」を2026年春より実証開始する方針を打ち出しています。
現行のお助け隊サービスが「基本的なUTMやEDRツールの導入支援」を主眼としていたのに対し、新類型は「SCS評価制度の取得と維持」に特化しています。
具体的には、専門家が企業の現状をアセスメントし、★3取得に不足している部分（規程の作成支援、足りないセキュリティソリューションの提供、有資格者による最終確認手続き）をワンストップで補完するサービスモデルです。実質的に専任情シスがいなくても★3取得の手続きを完結できる設計となっています。
SCS評価制度に関するよくある質問（FAQ）
SCS評価制度に関して、情シス担当者から多く寄せられる疑問をQ&A形式でまとめました。
Q：SCS評価制度とは何ですか？
A：経済産業省が主導し、サプライチェーン全体のセキュリティ対策状況を共通の基準（★1〜★5）で客観的に評価・可視化する公的な枠組みです。
Q：SCS評価制度はいつから開始されますか？
A：2026年秋頃に評価ガイド等が公表され、**2026年度末頃（2027年3月頃）**から★3および★4の本格運用が開始される予定です。
Q：SCS評価制度の対象はどこまでですか？
A：サプライチェーンを構成する企業の「IT基盤（クラウド環境を含む）」が対象です。工場の**制御システム（OT）**や委託元へ納品する製品自体は対象外となります。
Q：SCS評価制度とISMSの違いは何ですか？
A：ISMSが組織のマネジメントシステム（PDCA）全体を評価する規格であるのに対し、SCS評価制度はIT基盤の具体的な技術的・組織的対策が実装されているかを直接的に評価します。Pマークは個人情報保護に限定した制度、SECURITY ACTIONは自己宣言に留まる制度であり、いずれもSCS評価制度の★3・★4とは別に取得が必要です（詳しい比較は本記事内の比較表を参照してください）。
Q：SCS評価制度の運営体制はどうなっていますか？
A：経済産業省とIPAが制度を所管し、SCS-100を頂点とする規程体系のもとで運営されています。IPA内には、制度方針・規程を審議する「運営審議委員会」（委員長：満塩尚史氏）と、評価機関・技術検証事業者・研修事業者の指定審査を担う「指定委員会」（委員長：島田毅氏）が設置されており、2026年6月〜8月に発足・会合を開始しています。
Q：★3のSCSセキュリティ専門家による確認とはどのような仕組みですか？
A：企業が自己評価を行った後、情報処理安全確保支援士／公認情報セキュリティ監査人／CISSP／CISM／CISA／ISO27001主任審査員のいずれかの資格を持ち、指定研修事業者の研修を修了して登録された「SCSセキュリティ専門家（★3確認責任者）」が、その評価内容が妥当であるかを確認・助言する仕組みです。
Q：★4の第三者評価はどこが行うのですか？
A：指定委員会によって指定された「評価機関」が第三者評価を行い、必要に応じて「技術検証事業者」がログ・設定画面の確認などの技術検証を担います。
Q：発注側として、取引先に一律で★4を要求してもよいですか？
A：推奨されません。事業継続リスクや情報管理リスクを評価し、影響が極めて大きい中核的な取引先のみに★4を求め、その他は★3とするなど、リスクに応じた適切な運用が求められます。
Q：SCS評価制度の要求事項・評価基準はいくつありますか？
A：本格運用の基準として、★3は26要求事項・81評価基準、★4は43要求事項・153評価基準が設定されています（出典：IPA公式Excel「20260327001-c.xlsx」）。★4は★3の内容を完全に包含しているため、★4を取得した企業は★3基準も同時に満たします。
Q：SaaSやクラウドサービスもSCS評価制度の対象になりますか？
A：はい、対象となります。自社のIT基盤として利用しているクラウドサービスのアカウント管理やアクセス制御などは、重要な評価ポイントに含まれます。
Q：中小企業向けのSCS評価取得支援制度はありますか？
A：はい、安価で簡便に★3・★4を取得・維持するためのワンストップサービス「サイバーセキュリティお助け隊サービス（新類型）」が提供される予定です。
まとめ
SCS評価制度は、サプライチェーン全体に広がっていた「セキュリティチェックシート対応の疲弊」を解消し、社会共通の物差しでリスクを正しく評価するための強力な枠組みです。2026年3月の制度構築方針の確定と、その後の運営審議委員会・指定委員会の発足により、本格運用までのカウントダウンはすでに始まっています。情報システム部門が明日から取り組むべき最初の一歩は、本記事で紹介した各評価レベルの基準を理解し、自社が★3を目指すべきか、★4を目指すべきかのセルフアセスメントを実施することです。各種クラウドツールやIT資産の可視化を進め、監査対応に耐えうる運用基盤を今から構築していきましょう。
更新履歴
2026年9月14日： ★3・★4の評価基準数を81／153に修正、SCSセキュリティ専門家等の正式名称を反映、運営審議委員会・指定委員会の体制とSCS-100〜SCS-530の規程体系を追記、ISMS等との比較表とセルフチェックを追加
2026年4月27日： 制度構築方針（確定版）公表を踏まえて初版を公開
制度規程・委員会構成は今後も更新が続く見込みのため、本記事も定期的に見直しを行っています。
対応状況チェックリスト
✅ 自社IT基盤のスコープ（OT除外）を確認した
✅ 目指すべきレベル（★3／★4）の自社判断基準を整理した
✅ SaaS・IT資産の棚卸しに着手した
✅ **SCSセキュリティ専門家（★3確認責任者）**による確認に向けた規程類の整備を開始した
✅ 取引先への要求レベルをリスク軸（事業継続・情報管理）で分類した
✅ **2026年度末頃（2027年3月頃）**の本格運用開始に向けた社内スケジュールを設定した
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
