SCS評価制度とは

SCS評価制度の正式名称と「SCS」の意味

SCS評価制度の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。SCSは「Supply-Chain Security（サプライチェーン・セキュリティ）」の略で、経済産業省が制度設計を進めています。
取引先に対して「自社のセキュリティ対策がどの水準にあるか」を、第三者にも分かる共通基準で示すための評価制度です。

SCS評価制度の目的と対象

目的は、サプライチェーン全体のセキュリティ対策状況を共通基準で可視化し、取引先間の説明や確認を容易にすることです。業界ごとにバラバラだった基準を統一し、すべての企業が「最低限守るべきライン」を共通認識として持てるようにします。
対象は大企業に限りません。発注側が取引条件として一定の評価取得を求める動きが広がっており、中堅・中小企業や子会社も対応が必要になりつつあります。

SCS評価制度の開始時期

SCS評価制度は2026年度末頃の開始が見込まれています。具体的には、2026年8月〜2027年9月に実証実験（「サイバーセキュリティお助け隊サービス」（新類型）実証実験）、2027年3月に制度の運用開始が予定されています。

セキュリティの弱い企業を狙ったランサムウェア被害が増えており、サプライチェーン全体での早期対応が求められています。

SCS評価制度の評価段階（★1〜★5）

セキュリティ基準は段階で評価されます。既存の自己宣言制度「SECURITY ACTION」（IPA運営）の★1〜★2を土台に、本制度では新たに★3・★4・★5が設けられます。
★3が最低限実装すべき水準、★4が標準的に目指す水準、★5が到達点として目指す最高位です。
なお★3・★4が先行して整備され、★5の対策基準・評価スキームの詳細は2026年度以降に具体化される予定です。

※上図はSECURITY ACTION（★1〜★2）と新設の★3・★4を中心に示した概念図です。本制度の最高位には★5があります。

★3は運用の説明可能性、★4は第三者が認める客観的証跡の有無が評価の核心となります。★5は到達点に位置づけられ、未知の攻撃も含めた高度な対策が想定されています（対策基準・評価スキームの詳細は今後具体化）。
なお上位の段階は下位の要求を包含しますが、★3を取得していなくても★4を取得できる（順番に取得する必要はない）とされています。

SCS評価制度が生まれた背景

この制度が生まれた背景には、サプライチェーン全体を取り巻くセキュリティリスクの深刻化があります。
大企業が強固なセキュリティ対策を講じる一方で、対策が手薄な中小企業や子会社が侵入口として最初に狙われるケースが増加しています。
また、1社のシステムダウンがサプライチェーン全体の製造停止や物流混乱を招く事態も現実のリスクとなっています。
たとえば、2025年10月に、IT・印刷関連サービスを展開するA社の基幹システムが、ランサムウェアの標的にされた事例があります。
この攻撃により、受注・出荷を担うシステムが停止し、A社自身の業務だけでなく、同社の物流・受発注基盤を利用していた複数の取引先やパートナー企業の業務にも影響が波及しました。
こうした状況を受け、業界ごとにバラバラだった基準を統一し、すべての企業が「最低限守るべきライン」を共通認識として持つ必要性が高まりました。
SCS評価制度は、その課題に応えるために整備された仕組みです。

SCS評価制度★3／★4の要求事項

SCS評価制度★3／★4の要求事項は、「ガバナンス（ルール）」「証跡（ログ）」「技術的統制（システム）」の3つがそろってはじめて対応できます。
★3／★4が求める統制レベルのギャップを、7分野の比較表として可視化したものが以下です。

多くの企業の実務上の障害は、属人的な社外共有（メール・個人クラウド・USBメモリ）、権限・アカウント管理の曖昧さ、ログ・証跡の不足による説明困難の3点です。これらは統制の欠落ではなく、統制を支える仕組みが分断されていることが原因です。
「何かを禁止する」のではなく「定期レビュー」「監査可能性」「脆弱性管理プロセス」など、「第三者に説明できる仕組みを持つ」こと、そしてファイルとログを分散させず一元化することが、対応を効率化します。

★3評価で求められる要件のポイント

経産省の制度構築方針（案）では、★3は「専門家確認付き自己評価」が前提です。第三者実地審査までは想定されておらず、以下の4点が主な評価ポイントとなります。

ログの場合、取得範囲が不明確な状態や、担当者が活用できない状態では評価に耐えません。

★4評価で求められる要件のポイント

★4では、第三者が見て妥当だと判断できる運用と証跡が存在するかどうかが評価の核心となります。
そのため、誰が・いつ・何を実施したか追跡できる客観的な記録が、合否を左右します。社内で通用している説明やルールが、そのまま評価に耐えるとは限りません。

また、★4ではインシデント対応について「起きた後の対応」ではなく「起きた場合にどう判断し、誰が動くか」が定義されているかが問われます。
セキュリティ方針の策定・承認、役割と責任の明文化、定期的なレビューと監督に加え、体制や手順が年1回以上点検・更新されているかが第三者評価で確認されます。

SCS評価制度に対応しない場合のリスク

SCS評価制度への対応が遅れた場合のリスクも、見過ごすことができません。具体的には、以下のようなリスクが存在します。

まとめ

SCS評価制度（★3／★4）は、もはや大企業だけの基準ではありません。
中堅・中小企業でも「★3は最低限」「重要取引では★4が求められる」 状況が現実に起きています。
SCS評価制度に未対応のままでは、新規受注・契約更新の難航や損害賠償、ブランド毀損に直結します。
効率的な統制・証跡の整備を進めるためには、「禁止」を増やすのではなく、「第三者に説明できる仕組み」の整備し、ガバナンス・ログ・アクセス制御と暗号化を分断せず一体で運用することが重要です。
ガバナンス（ルール）＋証跡（ログ）＋技術的統制（アクセス・暗号化） を1つのサービスで揃えるための選択肢として、クラウドストレージの活用もぜひご検討ください。

よくある質問（Q&A）