2026年度開始「SCS評価制度」とは？〜取引先のセキュリティを“見える化”する新制度〜

「うちは大企業じゃないし、サイバー攻撃なんて関係ない」 そう思っていらっしゃる経営者の方は、まだまだ少なくありません。

しかし、最近のサイバー攻撃の手口は、ちょっと意地悪な空き巣に似ています。正面玄関にぶ厚い扉とカメラが設置された豪邸に正面突破するのは大変ですから、隣の物置のカギが甘いところから入ってきて、地続きの裏庭をぐるっと回り込み、最後は豪邸の勝手口を内側から開ける、というやり方が増えているのです。

豪邸の住人にとっては「うちは厳重なのに、なぜ？」となりますが、攻撃者からすれば「だってそっちの方が楽だから」というだけの話です。

ここで言う「豪邸」が大手企業、「隣の物置」が取引関係にある中小企業にあたります。これがいわゆる「サプライチェーン攻撃」と呼ばれるもので、近年、被害が深刻化しています。

こうした状況を受け、経済産業省と内閣官房国家サイバー統括室が新しく動き出したのが、本記事のテーマである「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」です。

「名前が長いですね」と思われた方、ご安心ください。私も最初は深呼吸してから読みました。本記事では、この制度の中身と背景、そして企業が取り組むべきことを、なるべくやさしい言葉で整理してまいります。

第1章 SCS評価制度とは何か

SCSとは「Supply Chain Security」の略で、和訳すると「サプライチェーン・セキュリティ」となります。

ひと言で表すなら、企業のサイバーセキュリティ対策の状況を、共通のものさしで“見える化”する仕組みです。

これまで、大企業が取引先のセキュリティ状況を確認したい場合は、それぞれの企業が独自のチェックリストを取引先に送り、回答してもらう、という運用が主流でした。

ここで起きていたのが、サプライチェーン業界ではちょっと有名な“あるある”です。中小企業の担当者の机の上には、A社からの50項目のチェックシート、B社からの80項目のチェックシート、C社からは「弊社独自の様式」と書かれた表計算ファイル……といった具合に、似たような内容なのに微妙に異なる書類が山積みになっていました。

「同じことを聞かれているのに、書き方が全部違う」 「答え終わった頃には、次の更新依頼が来ている」 「これ、本業より時間かかってませんか？」

そんな悲鳴があちこちから聞こえていたのです。

SCS評価制度は、この状況を整理するために生まれました。国が共通の基準を設けて、その基準で評価された結果（★の数）を取引先に提示すれば、企業ごとのチェックシートを毎回作り直さなくて済む、という発想です。

2026年3月27日には、経済産業省から「制度構築方針」が正式に公表され、2026年度末頃（2027年春頃）から、★3および★4の申請受付が始まる予定となっています。

第2章 なぜ今、この制度が必要なのか

サプライチェーン攻撃が「主流の手口」になった

少し前まで、サイバー攻撃というと、悪意あるメールが直接届く、ホームページが改ざんされる、といった「正面からの攻撃」がイメージされていました。

しかし最近は、攻撃者の戦略が変わっています。

大手企業のセキュリティはどんどん強固になりました。一方で、その大手企業に部品や資材、サービスを提供する中小企業のセキュリティ対策は、人手も予算も限られるため、追いつかない部分が出てきます。攻撃者は、この「最も守りが薄いところ」を狙うようになったのです。

たとえば、ある中小の部品メーカーがランサムウェア（身代金要求型ウイルス）に感染し、システムが止まってしまったとしましょう。すると、その部品が納品できなくなり、結果として大手メーカーの工場ラインが停止に追い込まれます。さらにそこから、別の取引先の販売計画にも影響が出る……というように、被害がドミノ倒しのように広がります。

これは決して空想の話ではなく、実際に近年、大手自動車メーカーの工場停止や、大手印刷会社経由での個人情報大量漏えいといった、サプライチェーンを起点とする大規模インシデントが何度も発生しています。

「外から見えない」「対応がバラバラ」という二重の悩み

発注する側の大手企業から見ると、「取引先のセキュリティ対策が外から見えない」という不安があります。

一方、受注する側の中小企業から見ると、「複数の取引先からそれぞれ違うチェックを求められて、対応しきれない」という負担があります。

両者の悩みを同時に解決するために、国が共通の評価基準を提示し、その基準にもとづいて対策状況を可視化する——これがSCS評価制度の根本にある考え方です。

なお、念のため申し上げておきますと、本制度は企業を「優劣」で並べるための格付け制度ではありません。あくまで「自社の立ち位置を客観的に示すためのものさし」として設計されています。

第3章 ★（星）の段階と評価の仕組み

SCS評価制度では、対策のレベルに応じて★3・★4・★5という3段階が設けられています。

なぜ★3から始まるのか不思議に思われたかもしれません。実は、★1と★2はすでに存在しており、これはIPA（情報処理推進機構）の「SECURITY ACTION」という自己宣言制度に対応しています。SCS評価制度は、この延長線上にある「上の段階」として位置づけられているわけです。

各段階のイメージは次のとおりです。

  • ★3（三つ星）：すべてのサプライチェーン企業が最低限実装すべきセキュリティ対策。26の要求事項、81の評価基準 から構成されています。
  • ★4（四つ星）：★3の内容に加え、組織的なガバナンス、委託先の管理、インシデント対応訓練、継続的改善の仕組みなど、より高度な対策が求められます。43の要求事項、153の評価基準（★3分を含む）となっています。供給停止などによりサプライチェーン全体に大きな影響を与え得る重要企業が主な対象です。
  • ★5（五つ星）：到達点として目指すべき水準。高度なサイバー攻撃に対応するベストプラクティスに基づく対策が想定されていますが、具体的な要求事項は今後さらに検討される予定です。

評価のしかたが★3と★4で異なる

★の取得方法は、レベルによって厳しさが変わります。

★3は「専門家確認付き自己評価」が基本です。企業自身がチェックリストに沿って自社の対策状況を評価し、認定されたセキュリティ専門家がその内容を確認します。有効期限は1年で、毎年見直しが必要です。

★4はもう一段階厳しく、「第三者評価＋技術検証」が必要となります。評価機関による書類審査だけでなく、実地審査や技術的な検証も実施されます。

ちなみに、★3を取得していなくても、いきなり★4を目指すことは可能です。「★4は★3を内包している」という関係になっているためです。とはいえ、いまセキュリティ対策がほぼ手つかずという企業が、最初から★4を目指して走り出すのは、いきなりフルマラソンに挑むようなものですから、まずは★3で足場を固めるのが現実的でしょう。

第4章 「★3だから簡単」とは、決して言えません

ここまで読まれて、「★3なら基本的な対策レベルなのだから、なんとかなりそう」と感じられた方もいらっしゃるかもしれません。

正直に申し上げると、★3でも、決して軽いハードルではありません。81の評価基準を一つひとつ眺めてみると、「ルールを文書化すれば終わり」という項目はそれほど多くなく、多くの項目で“仕組み”、つまりツールやサービスの導入が事実上必要になってきます。

たとえば、★3で求められる主な項目をかいつまんでご紹介します。

  • 多要素認証（MFA）の導入：重要な機密情報を扱うクラウドサービスでは、ユーザも管理者もMFAが必須。「IDとパスワードだけ」はもう許されません。
  • IT資産の把握の仕組み：会社にあるパソコン、サーバ、仮想サーバ、それぞれの製造元・OS・台数を「把握するための仕組み」を整備すること。手書きのExcel台帳で全社のPCを管理し続けるのは、無理ではないにせよ、相当ハードです。
  • マルウェア対策ソフトの全台導入と継続運用：ネットワークにつながるすべてのパソコン・サーバが対象です。スキャン頻度の設定、パターンファイルの更新まで含めて運用する必要があります。
  • 不正アクセスのリアルタイム検知・遮断の仕組み：これがなかなか曲者で、ルーターの初期設定だけでは満たせません。UTM、EDR、IDS／IPSといった、いわゆる“監視と遮断ができる機器やサービス”の導入が現実的な選択肢になります。
  • 異常時のアラート発報・速報レポート通知の仕組み：何かあったときに速やかに気づき、報告できる体制が必要です。
  • 14日以内のパッチ適用：CVSS基本値7.0以上の重大な脆弱性については、14日以内のアップデートが求められます。10台、20台ならまだしも、50台、100台のPCを手作業で追うのは現実的ではありません。
  • バックアップと遠隔地バックアップ：重要なデータは、遠隔地にもバックアップを取り、復元手順書まで整備する必要があります。
  • ファイアウォールの適切な設定と管理：デフォルトパスワードの変更、不要なルールの削除、変更時の多要素認証など、運用ルールまで踏み込んで求められます。

ここに挙げただけでも、「家を建てるのに金槌一本では足りませんでした」という感想を抱かれるかもしれません。実際そのとおりで、ある程度の道具立てがないと、★3すら現実的には満たせない構造になっています。

「ツールを買っただけ」では認定されません

もう一つ、見落としがちで、しかも非常に重要なポイントがあります。 それは、ツールを導入しただけでは“対応済み”と判定されないということです。

評価では、「そのツールが本当に全社に適用されているか」「ルール通りに日々運用されているか」を裏付ける、客観的な証拠（エビデンス）——たとえば適用ログ、構成管理台帳、申請書の承認履歴、研修の受講記録など——の提出が求められます。

たとえばMFAを導入していても、「実は役員アカウントだけ免除設定にしていた」「開発者アカウントの一部に未適用が残っていた」というような状況が、ログから判明すれば、その項目は「未対応」と判断されかねません。

つまり、SCS評価制度への対応とは、

  1. 必要なツール・サービスを揃え
  2. 全社にきちんと適用し
  3. 運用ログ（証跡）が日々自動的に残る状態をつくる

という、3点セットの仕事になります。短距離走ではなく、しっかり走る支度をしてから始めるマラソン、という感覚が近いかもしれません。

経済産業省の資料には「特定のセキュリティ対策製品の導入が必須とされているものではありません」と明記されています。これは事実ですが、現場感覚としては、「製品名を指定はしないけれど、何かしらの道具なしでは要件はほぼ満たせない」 と読み替えるのが正直なところでしょう。

第5章 では、何から始めればよいのか

「ハードルがあるのは分かりました。で、結局うちは何から始めればいいんでしょう？」 ここが一番大事なところです。次の3ステップから始めていただくのが、現実的な進め方になります。

ステップ1：現状を棚卸しする

最初にやるべきは、自社のIT資産と対策状況の整理です。

  • 社内にどんなパソコン、サーバ、ソフトウェアがあるか
  • 誰がどの情報にアクセスできるか
  • 重要なデータはどこに保管されているか
  • 万が一の時、誰がどう対応するか

これらを一度、紙やデータに書き出してみるだけでも、「あれ、こんなパソコン、まだ使ってたんだっけ」「あの委託先、契約上どこまでの情報を渡していたかわからないぞ」といった発見が、必ずと言っていいほど出てきます。

ステップ2：目指す★レベルを決める

次に、自社が取得を目指すレベルを決めます。判断材料は主に2つです。

  • 自社のサプライチェーン上での立ち位置（重要部品の供給者か、それとも消耗品の納入か など）
  • 主要な取引先からの要望（★3を求められそうか、★4を求められそうか）

すべての企業がいきなり★4を取得する必要はありません。まずは★3を確実に取りに行く、というのが多くの企業にとって妥当な選択肢になるでしょう。

ステップ3：ギャップを埋める（ツール選定を含む）

現状と目指すレベルの間にある「足りない部分」を、計画的に埋めていきます。

ここで現実的な選択肢として頭に入れておきたいのが、統合型のクラウドサービス（オールインワン型のセキュリティ基盤）の活用です。MFA、資産管理、エンドポイント保護、ログ管理などを個別の製品で揃えようとすると、コストも運用負荷も跳ね上がりますが、一定規模の中小企業向けに、これらをまとめて提供するパッケージ型のサービスも市場には存在します。

もちろん「これさえ入れれば全部終わり」というほど甘くはなく、ルール策定や運用体制の整備、定期的な棚卸しといった“人の仕事”は残ります。ただ、土台のツール選定で大きく間違えると、後から大変な手戻りが発生しますので、ここは慎重に検討する価値があります。

そしてもう一つ大切な視点が、運用エビデンス（ログ）が自動的に蓄積されるかどうか。「適用しました」を口頭で言うのではなく、ログという形で残してくれるツールを選ぶこと——これは将来の自分への大きなプレゼントになります。

第6章 中小企業向けの支援策も用意されています

「ここまで読んできて、ちょっとお腹いっぱいになってきた」という方もいらっしゃるかもしれません。とくに中小企業の場合、専任のセキュリティ担当者を置く余裕がないことも多いでしょう。

そうした企業のために、国は支援策を用意しています。代表的なものをご紹介します。

これらに加え、IT導入補助金などの既存の補助制度との併用も見込まれています。「全部自前でやらなきゃ」と気負わず、使える支援は遠慮なく使っていただくのがよろしいかと思います。

おわりに：今から準備を始めても、決して早すぎない

制度の本格運用は2026年度末頃からですが、対応に必要な作業は、思っているよりも時間がかかります。とくに、現状の棚卸し、ツール選定、社内ルール整備、そして運用ログの蓄積期間は、片手間で短期間にできる類のものではありません。

「★3だから簡単」という前提で、制度開始の直前に動き始めると、ほぼ間違いなく間に合いません。何かツールを入れて、それが全社にきちんと適用され、ログがそろうまでには、最低でも半年、ものによっては1年単位の時間が必要だからです。

セキュリティ対策には、独特の難しさがあります。きちんと対策をしていても、攻撃を受けなければ「何もなくてよかった」で終わってしまい、評価されにくい。一方、対策を怠ると、ある日突然、業務が止まったり情報が漏えいしたりして、取引そのものを失うリスクがある——いわば、地味だけれど確実に効いてくる「健康診断と運動習慣」のような領域です。

SCS評価制度は、そうした見えにくい努力を「★」というかたちで可視化し、取引先との信頼関係の基盤にしようとするものです。今後、サプライチェーンに参加するための“ビジネスパスポート”のような位置づけになっていく可能性も十分にあります。

「制度が始まってから慌てて準備する」のではなく、「制度開始を、これまで先送りにしてきた社内整備を進める良い機会と捉える」。 そんな前向きなスタンスで取り組まれる企業が、結果として、取引先からの信頼も、自社の事業継続力も、しっかり手に入れていかれるのだと思います。

本記事が、貴社の取り組みの一助となれば幸いです。 ご不明な点やご相談ごとがございましたら、お気軽にお問い合わせください。

Back to top
タイトルとURLをコピーしました