最終確認日：2026年10月14日（制度の詳細は順次公表されているため、最新の情報はIPAのサイトをご確認ください）
「取引先から、SCS評価制度の★3を取るように言われるかもしれない」。最近、こうしたご相談が増えてきました。SCS評価制度は、取引先（サプライチェーン）全体のセキュリティを底上げするための新しい制度です。この記事では、制度の概要と★3・★4の違い、今から準備しておくとよいことをまとめます。
SCS評価制度とは
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。経済産業省が2026年3月27日に制度の方針を公表し、IPA（情報処理推進機構）が制度の運営を担っています。
大企業が直接狙われるだけでなく、取引先や委託先を経由して侵入される被害が増えています。IPAの「情報セキュリティ10大脅威 2026」（組織編）でも、「サプライチェーンや委託先を狙った攻撃」は2位でした。
この制度では、発注する側が取引先に求める対策の水準を「★」で示し、受注する側はその★を取得して対策ができていることを示します。中小企業にとっては、取引先ごとに違うチェックシートに答える手間を減らせる、という面もあります。
いつから始まるのか
- ★3・★4は、2027年3月頃の運用開始が予定されています。
- 2026年9月には料金表が公表され、評価機関などの募集が始まりました。
- 自己評価や第三者評価に使うガイドは、2026年度後半に公表される予定です。
運用開始前なので、現時点で★を取得している会社はまだありません。準備を始めるなら今が良い時期です。
★3と★4の違い
★3（Basic）
- 想定する脅威：広く知られた脆弱性を突く、一般的なサイバー攻撃
- 要求事項：26項目
- 評価の方法：自己評価を、研修を受けた専門家が確認する
- 有効期間：1年
★4（Standard）
- 想定する脅威：取引先への影響や、大きな情報漏えいにつながる攻撃。侵入された後の被害を抑える対策も含む
- 要求事項：★3より多い（IPAの制度詳細ページでは43項目）
- 評価の方法：評価機関による第三者評価（実地審査を含む）と、技術検証
- 技術検証：VPN機器やルーターなど、インターネットに面した機器の脆弱性検査（またはそれに代わる証跡の提出）
- 有効期間：3年
どちらも、定められた要求事項をすべて満たす必要があります。さらに上の★5は、内容がまだ決まっていません。
★3の確認を行う専門家は、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP などの資格を持ち、制度の研修を受けた人に限られます。
今から準備しておくとよいこと
要求事項の細かい評価方法はこれから公表されますが、IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、この制度に合わせて改訂されています。ガイドラインに沿って進めておけば、★3への準備にそのままつながります。
- 6か条と自社診断を済ませる：ガイドラインの「情報セキュリティ6か条」と「5分でできる！情報セキュリティ自社診断」（25項目）で、今の状態を確認します。
- 情報セキュリティ基本方針を作る：ガイドラインの付録にサンプルがあります。
- 守るべき情報と機器を一覧にする：どこに何の情報があり、誰が使っているかを把握します。付録の資産管理台帳が使えます。
- インターネットに面した機器を確認する：VPN機器やルーターのファームウェアが最新か、不要な入口が開いていないかを確認します。★4の技術検証で見られる部分であり、ランサムウェアの侵入口として最も多い場所でもあります。
- 取引先の意向を聞いておく：どの★を、いつまでに求められそうかを確認しておくと、準備の優先順位を決めやすくなります。
当事務所でお手伝いできること
当事務所では、現状の確認から、要求事項に照らした不足点の洗い出し、対策の実施、VPN機器などの脆弱性の確認まで、★3・★4の取得に向けた準備をお手伝いしています。取引先から届いたセキュリティのチェックシートへの回答作成もご相談いただけます。
「うちはどの★を目指せばいいのか」という段階からでも、お気軽にご相談ください。サービスの内容は事業内容（情報セキュリティ対策）に載せています。