SCS評価制度（セキュリティ対策評価制度）とは？制度の概要・評価基準・今から企業が取り組むべき対策を解説

近年、サプライチェーンを狙ったサイバー攻撃が増加しており、取引先を含めたセキュリティ対策の重要性が高まっています。こうした背景から創設が進められているのが、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」です。

SCS評価制度では、企業のセキュリティ対策を共通の基準で評価・可視化することで、取引先との信頼性向上やサプライチェーン全体のセキュリティ強化を目指しています。

本記事では、SCS評価制度の概要や創設の背景、評価制度の仕組み、企業が今から取り組むべき対策までを分かりやすく解説します。

SCS評価制度（セキュリティ対策評価制度）とは

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、企業のセキュリティ対策を共通の基準で評価する新たな制度です。

今後は取引先との関係において重要性が高まることも想定されており、制度の概要や創設の背景、目的について理解しておくことが重要です。

ここでは、SCS評価制度の基本的な内容を解説します。

SCS評価制度の概要

SCS評価制度とは、「サプライチェーン強化に向けたセキュリティ対策評価制度」の略称で、企業のセキュリティ対策を共通の基準で評価する制度です。

サイバー攻撃のリスクが企業単体ではなくサプライチェーン全体へ広がる中、企業間で一定水準以上のセキュリティ対策を講じていることを客観的に示す仕組みとして検討が進められています。

本制度は任意の制度として設計されており、企業間の契約や取引に応じて活用されることが想定されています。

企業は評価結果を通じて自社のセキュリティレベルを示すことができ、発注企業は取引先のセキュリティ対策状況を共通の基準で確認できるようになります。

また、評価は段階的な仕組みが採用されており、企業の役割や取り扱う情報の重要性に応じて適切なレベルを目指せる点も特徴です。

制度創設の背景

サプライチェーンを狙うサイバー攻撃の増加

近年は、セキュリティ対策が比較的手薄な取引先や委託先を経由して標的企業へ侵入する「サプライチェーン攻撃」が増加しています。

こうした攻撃では、一社の対策だけでは十分とはいえず、サプライチェーン全体で一定水準以上のセキュリティ対策を実施することが重要です。

そのため、企業単位ではなく、取引関係全体のセキュリティを底上げする仕組みが求められるようになりました。

セキュリティレベルを共通基準で評価する必要性

これまでは、発注企業ごとに独自のセキュリティチェックシートや評価基準を設けるケースが多く、受注企業は取引先ごとに異なる対応を求められることがありました。

SCS評価制度では、こうしたばらつきを解消するために共通の評価基準を整備し、企業のセキュリティ対策を客観的に評価・可視化することを目指しています。

共通基準を活用することで、発注企業は取引先のリスクを把握しやすくなり、受注企業も重複した対応負担を軽減できることが期待されています。

制度の目的

SCS評価制度は、企業ごとのセキュリティ対策を評価するだけでなく、サプライチェーン全体の信頼性とレジリエンスを高めることを目的としています。

セキュリティ対策の可視化

企業のセキュリティ対策を共通の評価基準で示すことで、発注企業は取引先の対策状況を客観的に把握しやすくなります。
これにより、取引先選定やリスク評価をより合理的に行えるようになります。

発注・受注双方の負担軽減

共通の評価制度を利用することで、発注企業ごとに異なるセキュリティチェックへの対応を減らせる可能性があります。
企業全体として重複した確認作業や監査対応を効率化できる点も、本制度の目的の一つです。

サプライチェーン全体のレジリエンス向上

企業単体ではなく、サプライチェーン全体でセキュリティ対策の水準を引き上げることは、サイバー攻撃による事業停止や情報漏えいなどのリスク低減につながります。

SCS評価制度は、企業間の信頼性向上だけでなく、日本全体のデジタル経済基盤や産業競争力を支える仕組みとしても期待されています。

SCS評価制度のスケジュール

2025年度に実証事業を通じて意見収集が行われ、2026年度は制度の詳細化や運用開始に向けた準備が進められ、評価用ガイドや運営規程、評価機関などが順次公表される予定です。

★3・★4の評価制度は2026年度末頃からの運用開始が予定されており、その後は取得企業の公表が行われる見込みです。

一方、★5については現在も評価スキームや開始時期の検討が進められています。

制度の正式運用が近づくにつれて、取引先から評価取得やセキュリティ水準の提示を求められる場面が増える可能性があります。

そのため、制度開始を待つのではなく、自社のセキュリティ対策や教育・運用体制を早めに整備しておくことが重要です。

引用：サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（令和8年3月）

SCS評価制度の対象と評価範囲

SCS評価制度では、評価を受ける対象となる組織やシステムの範囲が定められています。
適切な評価を行うためには、自社のどこまでが対象となるのかを正しく把握することが重要です。

ここでは、対象となる企業・組織や評価範囲、対象外となるケースについて解説します。

対象となる企業・組織

SCS評価制度は、企業のセキュリティ対策を共通の基準で評価する制度ですが、すべての事業者に一律の取得が義務付けられているわけではありません。

制度は任意で活用することを前提としており、企業間の契約や取引条件に応じて利用されます。特に、サプライチェーンの一員として取引先とのセキュリティ水準を示す必要がある企業や、重要な情報・システムを取り扱う企業が対象となることが想定されています。

一方で、本制度は一定の組織体制や役割分担を前提として設計されています。
そのため、機能的な分業が難しい個人事業主や極めて小規模な事業者では、現時点の制度設計では適用が難しい場合もあります。

評価対象となる範囲

SCS評価制度では、企業全体を漠然と評価するのではなく、サイバー攻撃の対象となり得るIT環境を明確に定義したうえで評価を行います。

IT基盤

評価対象の中心となるのは、取得を希望する組織のIT基盤です。
社内で利用するサーバーやネットワーク機器、端末のほか、インターネットに公開されているサーバーなど、業務を支えるITインフラ全体が対象となります。
評価では、これらの資産に対して適切なセキュリティ対策が実施されているかを確認します。

外部ネットワーク境界

インターネットなど外部ネットワークとの接続部分も重要な評価対象です。
ファイアウォールやVPNなどの境界防御だけでなく、外部からアクセス可能なシステムに対して適切な管理が行われているかが評価されます。
サイバー攻撃の多くは外部との接続点を狙って行われるため、この範囲の対策は特に重要視されています。

クラウドサービス

業務で利用しているクラウドサービスも評価対象に含まれます。
対象となるかどうかは、自社が契約しているかではなく、実際に業務で利用しているかが判断基準です。
社員が利用しているクラウドサービスは、契約主体や利用形態にかかわらず、責任共有モデルに基づいて適切な管理を行うことが求められます。

評価対象外となるケース

SCS評価制度では幅広いIT環境が対象となる一方で、一定の条件を満たす設備やシステムについては対象外となる場合があります。

OT（制御システム）

工場などで利用されるOT（制御システム）は、IT基盤と論理的・物理的に分離され、外部との通信が最小限に管理されている場合には、原則として評価対象外とされています。
ただし、IT環境との接続状況によっては、リスク評価の対象となるケースもあるため、ネットワーク構成に応じた確認が必要です。

ネットワークに接続されていない機器

ネットワークに接続されていないスタンドアロン機器は、原則として評価対象外です。
一方で、USBメモリなどによる情報の持ち出しや物理的な情報漏えいリスクが考えられる場合は、企業の判断によって評価範囲へ含めることも認められています。
そのため、接続の有無だけでなく、運用上のリスクも踏まえて対象範囲を決定することが重要です。

例外的な取り扱い

サポートが終了したソフトウェアなど、技術的な制約によって評価基準を満たすことが難しい資産については、専門家の判断により例外的な取り扱いが認められる場合があります。
ただし、単に評価対象から除外されるわけではありません。
ネットワーク隔離やアクセス制御の強化、仮想パッチの適用など、リスクを低減するための代替措置を講じることが前提となります。

このように、SCS評価制度では一律に評価対象を決めるのではなく、実際のIT環境やリスクに応じて適切な範囲を設定し、セキュリティ対策の実効性を確保することが重視されています。

SCS評価制度の評価方法と★制度

SCS評価制度では、企業のセキュリティ対策の実施状況を★（スター）による段階的な評価で示します。企業の規模やサプライチェーンにおける役割に応じて求められる対策レベルが異なり、上位の評価ほど高度なセキュリティ対策が必要です。

また、各段階は独立しているのではなく、下位レベルの要求事項を満たしたうえで次の段階へ進む「累積型」の仕組みとなっています。

★1・★2の位置付け

SCS評価制度では、★1から★5までの5段階でセキュリティ対策を評価します。

このうち★1・★2は、既存のセキュリティ対策制度をベースとした基礎的な位置付けであり、企業がセキュリティ対策に取り組むための入り口となるレベルです。

一方、サプライチェーン全体のセキュリティ強化を目的とした新たな評価制度の中心となるのは、★3以上です。

実際の企業間取引で活用される評価としては、★3～★5が中心になることが想定されています。

★3で求められる対策と評価基準

★3は、多くの企業が目指す基本的なセキュリティレベルとして位置付けられています。

主に、広く知られた脆弱性を悪用したサイバー攻撃への対応を想定しており、組織として基本的なセキュリティ対策を実施していることを評価します。

評価では、企業が要求事項に適合していることを自己評価するとともに、セキュリティ専門家による確認を受けます。
これは第三者認証とは異なり、自己評価の内容に矛盾がないかを専門家が確認する仕組みです。

また、★3の有効期間は1年間であり、毎年更新することで継続的な改善が求められます。

★4で求められる対策と評価基準

★4は、サプライチェーンにおいて重要な役割を担う企業を想定した評価レベルです。

★4を取得するためには、★3のすべての要求事項を満たしていることが前提となります。そのうえで、より高度なセキュリティ対策や運用体制が求められます。

評価は自己申告ではなく、評価機関による第三者評価で実施されます。
書類審査だけでなく、VPN装置やルータなど、インターネットに公開されているリスクの高い機器に対する脆弱性検査を含む技術的な検証が行われる点が特徴です。

また、ネットワークの適切な分離や公開資産の管理など、高度なセキュリティ管理体制も評価対象となります。

★5の位置付けと今後の方向性

★5は、SCS評価制度における最高レベルの評価です。

未知の脅威や高度な標的型攻撃（APT攻撃）への対応に加え、国際規格に基づくリスクベースの改善プロセスなど、組織におけるマネジメントシステムの確立が求められる想定ですが、現時点では具体的な要求事項や評価基準は今後検討される予定です。

制度の正式運用に合わせて段階的に整備される予定であり、将来的には特に高いセキュリティ水準が求められる企業を対象とした評価になることが想定されています。

星評価の取得方法と更新の流れ

SCS評価制度では、取得する評価レベルによって審査方法や更新方法が異なります。
評価を取得した後も、継続的なセキュリティ対策の実施と維持が求められます。

自己評価

★3では、企業が要求事項への適合状況を自己評価し、経営層が適合を宣誓します。
その後、制度が定める研修を受講したセキュリティ専門家が、自己評価の内容を確認します。
専門家は評価内容の整合性を確認する役割を担います。

第三者評価

★4では、評価機関による第三者評価を受ける必要があります。
第三者評価では、提出書類の確認だけでなく、必要に応じて技術的な検証も実施されます。
そのため、自己評価よりも客観性や信頼性の高い評価を受けられることが特徴です。

更新・維持

評価を取得した後も、一度取得すれば終わりではありません。

★3は毎年更新が必要であり、継続的に要求事項へ適合していることを確認します。

一方、★4の有効期間は3年間ですが、期間中も年次で自己点検を提出するなど、継続的な運用状況の確認が求められます。

また、虚偽の申告や重大な不備が判明した場合には、取得した★評価が取り消される可能性もあります。そのため、制度への適合を維持するには、一時的な対策ではなく、継続的なセキュリティ運用と改善を行うことが重要です。

SCS評価制度とISMS・Pマークとの違い

すでにISMSやPマークなどの認証を取得している企業では、「SCS評価制度との違い」が気になる方も多いでしょう。

それぞれの制度は目的や評価対象が異なるため、取得している認証があっても、そのままSCS評価制度へ置き換えられるわけではありません。

一方で、既存の認証やガイドラインとの共通点も多く、今後は要求事項の対応関係を整理することで、重複した対応を減らす仕組みが検討されています。

ISMSとの違い

ISMS（情報セキュリティマネジメントシステム）は、組織全体で情報セキュリティを継続的に管理・改善するためのマネジメントシステムです。

一方、SCS評価制度は、取引先が安心して取引できるセキュリティ対策を備えているかを共通基準で評価・可視化することを目的としています。

また、SCS評価制度では、サプライチェーンを構成する企業の実態に合わせて、IT基盤や外部ネットワーク境界などを対象に評価を実施します。

★4では第三者評価や技術検証も行われるため、運用ルールだけでなく実際の対策状況まで確認される点が特徴です。

Pマークとの違い

Pマーク（プライバシーマーク）は、個人情報を適切に管理する体制を評価・認証する制度です。そのため、主な対象は個人情報保護であり、サプライチェーン全体のサイバーセキュリティを評価するSCS評価制度とは目的が異なります。

SCS評価制度では、ネットワークやサーバー、クラウドサービスなど企業のIT基盤全体を対象とし、サイバー攻撃への備えや継続的な運用体制まで評価対象となります。

個人情報保護の観点では共通する部分もありますが、PマークだけでSCS評価制度の要求事項をすべて満たせるわけではありません。

SECURITY ACTIONとの違い

SECURITY ACTIONは、中小企業が情報セキュリティ対策に自主的に取り組むことを宣言する制度です。セキュリティ対策への第一歩として活用される位置付けであり、第三者による評価や取引先への客観的な証明を目的とした制度ではありません。

一方、SCS評価制度は、共通の評価基準に基づいて企業のセキュリティ対策を可視化し、サプライチェーン全体で活用することを目的としています。

自己評価だけでなく、★3では専門家による確認、★4では評価機関による第三者評価が行われるなど、より客観性を重視した制度設計となっています。

業界ガイドラインとの違い

自動車業界をはじめ、業界ごとに独自のセキュリティガイドラインを設けているケースがあります。しかし、業界ごとに異なる基準へ対応することは、複数の取引先を持つ企業にとって大きな負担となっていました。

SCS評価制度は、こうした個別基準を補完する共通の評価基準として位置付けられており、企業が重複した監査やチェックリストへの対応を減らせるよう設計が進められています。

今後は、ISMSや業界ガイドラインなどとの対応関係（マッピング）の整備や、要求事項の差分確認による評価の簡略化も検討されており、企業の監査負担の軽減につながることが期待されています。

SCS評価制度のメリット

SCS評価制度は、単にセキュリティ対策を評価するための制度ではありません。
企業間でセキュリティレベルを共通の基準で確認できるようになることで、取引の信頼性向上や評価業務の効率化につながります。

また、企業だけでなく、サプライチェーン全体のセキュリティ強化にも大きく貢献することが期待されています。

受注企業のメリット

受注企業にとって最大のメリットは、自社のセキュリティ対策を客観的に示せることです。
従来は取引先ごとに異なるセキュリティチェックシートへの対応が必要となるケースが多く、同じ内容を何度も説明・提出しなければならない負担がありました。

SCS評価制度が普及すれば、共通の評価基準によってセキュリティレベルを示せるため、個別対応の負担軽減が期待できます。

また、第三者が確認した評価結果を提示できることで、取引先からの信頼を得やすくなり、新規取引や継続取引における評価材料として活用されることも期待されています。

発注企業のメリット

発注企業は、取引先のセキュリティ対策を共通基準で比較・評価できるようになります。

これまでのように独自のチェックリストを作成・運用する必要が減り、評価業務の効率化につながるだけでなく、取引先のセキュリティレベルを客観的に把握しやすくなります。

また、サプライチェーン全体のリスクを把握したうえで取引先を選定できるため、サイバー攻撃による事業停止や情報漏えいなどのリスク低減にも役立ちます。

社会全体へのメリット

SCS評価制度の目的は、個々の企業の対策強化だけではなく、サプライチェーン全体のセキュリティレベルを底上げすることにあります。

共通の評価基準が普及することで、企業ごと・業界ごとに異なる評価方法が整理され、重複した監査や確認作業の削減が期待されます。
これにより、企業全体のセキュリティ対策にかかる社会的コストの抑制にもつながります。

さらに、共通基準に沿ったセキュリティ対策やサービスの普及が進むことで、企業間取引の信頼性が高まり、サイバー攻撃に強いサプライチェーンの構築が期待されています。

これは、国内産業全体のレジリエンス向上にもつながる重要な取り組みといえるでしょう。

SCS評価制度への対応に向けて企業が取り組むべきこと

制度開始後に慌てないためには、今から自社の現状を把握し、計画的にセキュリティ対策を進めることが重要です。
SCS評価制度は一度対策を実施すれば終わりではなく、継続的な運用と改善が求められます。

ここでは、評価取得に向けた基本的な進め方を4つのステップで紹介します。

Step1 自社のセキュリティレベルを把握する

まずは、自社のセキュリティ対策の現状を把握することから始めます。

SCS評価制度では、組織が利用するIT基盤や外部ネットワーク境界を対象として評価が行われます。そのため、利用しているサーバーやネットワーク機器、クラウドサービス、エンドポイント端末などを洗い出し、どこまでが評価対象となるのかを明確にしましょう。

あわせて、情報資産や運用ルール、インシデント対応体制なども整理することで、自社のセキュリティレベルを客観的に把握しやすくなります。

Step2 評価基準との差分を確認する

現状を把握したら、SCS評価制度の要求事項と照らし合わせ、不足している対策を確認します。

例えば、アクセス権限管理や多要素認証、ログ管理、脆弱性管理など、必要な対策が実施されているかをチェックします。

特に★4以上を目指す場合は、第三者評価や技術検証も行われるため、運用実態まで含めて確認しておくことが重要です。

既にISMSやPマークなどの認証を取得している場合でも、要求事項との違いを確認し、不足する項目を整理すると効率的に対応を進められます。

Step3 必要なセキュリティ対策を実施する

差分を把握した後は、優先順位を付けながら必要なセキュリティ対策を進めます。

ソフトウェアの更新や脆弱性対策、多要素認証の導入、アクセス制御の強化、バックアップ体制の整備など、基本的なセキュリティ対策を着実に実施することが重要です。

また、制度では技術的な対策だけでなく、ルールの整備や教育・訓練など、組織全体でセキュリティを維持する仕組みも評価対象となります。

担当部門だけではなく、経営層や各部門を巻き込みながら取り組むことが求められます。

Step4 継続的に運用・改善する体制を整える

SCS評価制度は、一度評価を取得すれば終わりではありません。

★3は毎年の更新、★4では年次の自己点検や一定期間ごとの更新が求められるため、継続的にセキュリティ対策を運用・改善していく体制が必要です。

定期的な自己点検や脆弱性管理、ログの確認、社内教育などを継続し、新たな脅威や制度改定にも対応できる仕組みを整えましょう。

PDCAサイクルを回しながら改善を続けることで、評価制度への対応だけでなく、サプライチェーン全体の信頼性向上にもつながります。

SCS評価制度への対応では「教育」と「運用」の定着も重要

セキュリティ対策は、システムやツールを導入するだけで十分ではありません。
SCS評価制度では、組織全体でセキュリティ対策を継続的に実践できる体制づくりが求められます。

従業員一人ひとりの意識向上や、ルールを定着させるための運用を継続することが、制度への適合維持につながります。

セキュリティ教育を継続的に実施する

サイバー攻撃の多くは、メールの誤開封やパスワード管理の不備など、人為的なミスがきっかけとなって発生します。そのため、従業員へのセキュリティ教育は、一度実施すれば終わりではなく、継続的に行うことが重要です。

新入社員向け研修だけでなく、全社員を対象とした定期的な教育や最新の脅威に対応した研修を実施することで、組織全体のセキュリティ意識を維持・向上できます。

また、担当者だけでなく経営層も制度の目的や役割を理解し、組織全体で取り組む姿勢を示すことが重要です。

ルールの周知と理解度を確認する

情報セキュリティに関するルールは、策定するだけでは十分な効果は得られません。
従業員が内容を理解し、日常業務の中で適切に実践できていることが重要です。

そのためには、社内ポータルやマニュアルによる周知に加え、理解度テストや確認アンケートなどを活用し、ルールが正しく浸透しているかを定期的に確認するとよいでしょう。

理解が不十分な項目は追加教育を行うことで、運用の定着につなげられます。

継続的な見直しと改善を行う

サイバー攻撃の手法は日々高度化しており、一度整備したルールや対策をそのまま維持するだけでは十分とはいえません。SCS評価制度も継続的な運用を前提としているため、定期的な自己点検や見直しを実施することが重要です。

教育の実施状況やインシデントの発生状況、運用上の課題などを定期的に振り返り、必要に応じてルールや対策を改善していくことで、セキュリティレベルを継続的に高められます。

こうしたPDCAサイクルを回すことが、制度への適合維持だけでなく、企業全体のセキュリティ強化にもつながります。

▶関連記事：情報漏洩のリスクを減らす！ 効果的な情報セキュリティの社内教育実施法

SCS評価制度に関するよくある質問

制度の運用開始時期や対象企業など、SCS評価制度についてよくある疑問をまとめました。

Q . いつから運用が始まりますか？

A . SCS評価制度は、2025年度に実証事業が進められ、2026年度はその結果を踏まえて制度の詳細化や運用開始に向けた準備が進められ、本格運用が開始される予定です。

現時点では制度の詳細が順次公表されている段階ですが、サプライチェーン全体のセキュリティ強化を目的として導入が進められています。制度開始後にスムーズに対応できるよう、早い段階からセキュリティ体制の整備を進めておくことが望ましいでしょう。

Q . すべての企業が取得する必要がありますか？

A . 現時点では、SCS評価制度は法令によって取得が義務付けられている制度ではありません。

ただし、発注企業が取引先に一定レベル以上の評価取得を求めるケースは今後増える可能性があります。特に製造業や重要インフラ関連など、サプライチェーン全体のセキュリティが重視される業界では、取引条件の一つとなることも想定されています。

Q . ★3と★4はどちらを目指すべきですか？

A . どちらを目指すべきかは、自社の役割や取引先から求められるセキュリティレベルによって異なります。

★3は専門家の確認を伴う自己評価が中心となるため、多くの企業にとって最初の目標となるレベルです。一方、★4は第三者評価や技術的な検証を含むため、より高いセキュリティ水準が求められる企業や、サプライチェーンの中核を担う企業が対象となります。

まずは★3への対応を進め、その後必要に応じて★4を目指すという段階的な取り組みが現実的です。

Q . ISMSを取得していればSCS評価制度への対応は不要ですか？

A . いいえ、ISMSを取得していてもSCS評価制度への対応が不要になるわけではありません。

ISMSとSCS評価制度には共通する管理項目が多く、今後は要求事項のマッピングや評価の簡略化が検討されています。しかし、SCS評価制度はサプライチェーンにおける取引先のセキュリティ水準を共通基準で評価することを目的としているため、制度固有の要件への対応は必要になります。

一方で、ISMSを取得している企業は、情報セキュリティマネジメントの仕組みがすでに整備されているため、ゼロから取り組む企業と比べて対応負担を抑えられる可能性があります。

▼資料ダウンロード：イー・コミュニケーションズのコンプライアンス研修

まとめ

SCS評価制度は、企業単体ではなく、サプライチェーン全体のセキュリティレベルを底上げすることを目的とした新たな評価制度です。今後は取引先から評価取得や一定のセキュリティ水準を求められる場面も増えることが予想されます。

制度への対応では、セキュリティ対策の実施だけでなく、従業員への教育やルールの定着、継続的な運用・改善まで含めた体制づくりが重要です。
制度開始後に慌てることのないよう、自社の現状を把握し、計画的に準備を進めていきましょう。

セキュリティ教育を継続的に実施・運用するには、受講状況や理解度を効率よく管理できる環境も欠かせません。

SAKU-SAKU Testing は、自社オリジナル教材や確認テストを簡単に作成・配信できるeラーニングプラットフォームです。

受講者の所属や役職に応じたコンテンツ配信や、教育担当者の使いやすさを重視した直感的な操作性により、情報セキュリティ教育をはじめとする社内教育を効率的に運用できます。

SCS評価制度への対応を見据えた教育基盤として、ぜひご活用ください。