SCS評価制度への対応

なぜサプライチェーンの評価が必要か？

近年は、セキュリティ対策が比較的弱い取引先を踏み台にした攻撃（サプライチェーン攻撃）が増加しており、その対策が重要視されています。自社だけが頑張って対策をしても、それでは足りないという事例が増えています。

★の登録による発注側や受注側のメリットは？

取組み自体はサイバーセキュリティの強度を上げることができるというメリットがありますが、★登録のメリットはサプライヤー評価選定の簡略化にあります。★の有無と★の数での評価は非常に簡単で分かり易いです。

評価とは？

★3・★4・★5の3段階で評価され、それぞれ具体的な要求事項・評価基準が設けられています。

※2026年5月現在、★3と★4の基準は公開されていますが、★5は検討中です。

※ ★4の登録を維持するために、毎年1回評価と検証を受ける必要があるか、それとも3年に1回で良いのか等頻度については、2026年7月時点で公表されていません。

【参考】★1と★2とは？

★1と★2は、SCS評価制度ではなく、「SECURITY ACTION」という制度に設けられており、★3よりも初歩的な基準となっています。（IPAのSECURITY ACTION特設ページ）

評価基準

評価制度の詳細は、独立行政法人情報処理推進機構（IPA）ホームページ「情報セキュリティ」よりご確認ください。

自己宣言とは？専門家による確認とは？

ここでいう自己宣言は、例えばISO認証やプライバシーマーク監査機関などの第三者による評価を受ける必要が無いものとお考えください。自身の判断で宣言していただくことになります。

但し、自己宣言のみだと客観性が全く無いため、専門家の確認が必要という条件があり、不適合が発見された場合は、専門家の了承を得る必要があります。

なお、「専門家」とは、情報処理安全確保支援士、公認情報セキュリティ監査人、ISMSの主任審査員等一定の条件を満たした者が所定の研修を受講することでなれるものとされていますが、2026年7月時点で詳細な条件は未定です。

また、条件さえ満たせば、専門家は社内の人員でも可となります。

第三者評価とは？

第三者評価や確認とは、ISO認証やプライバシーマークと同様に監査機関などの第三者による評価や確認を意味し、①提出書類の確認（★3と★4共通）②実地審査（★4のみ）③技術検証（★4のみ）で構成されています。なお、①②③いずれも所要時間は１～２日と予定されています。

技術検証とは？

技術検証は2026年7月時点においては詳細不明ですが、前述の第三者評価を行う機関が実施することもあれば、技術検証のみ他の機関が行うこともあるとされています。具体的には「対象組織のルーター等インターネットから侵入されやすい入口に脆弱性検査を実施する」とされていますが、同等の脆弱性診断を実施した結果を提出することで要件を満たすことができる可能性も検討されているようです。

★3？★4？それとも？

それでは、★3に取り組むべきでしょうか？それとも★4に取り組むべきでしょうか？★4のほうが要求が多く、第三者評価も必要なので信頼性は高いのは間違いありませんが、注意したいのは、★3、★4いずれもサイバーセキュリティリスクにフォーカスしているという点です。したがって、顧客の要求がサイバーセキュリティリスク以外の情報セキュリティリスク対応にもまたがる場合、★4であってもそれだけでは顧客要求を満たしきることができない可能性があります。

いつから準備する？

制度の運用開始は、2026年度下期（2026年10月から2027年3月）とされており、おそらく2027年２月～３月頃になると見込まれています。そのため、★3や★4の登録をすることができるのはその後になります。

ただし、要求されている内容は実際のサイバーセキュリティリスク対応において有意義であるため、登録するしないは別として要求に対応する取組みを始める価値はあります。

例えば、既にISMS等に取り組まれている組織は、SCSの要求とのGAPを分析し、そのGAPを埋める取組みを始めてはいかがでしょうか。

取組みパターン

GAPを埋めるとは？

GAPとは、既存の内部規程や手順、実装している管理策（対策）等とSCS要求事項との差分であり、足りない部分です。その足りない部分を埋めていくわけですが、例えば、パスワードの文字数が足りなければ増やすといった具合です。

まずは、何がどれくらい足りないのか把握することから始めましょう。

取組みの流れ

SCS評価制度よくあるご質問FAQ