取引先から「セキュリティ評価」を求められる前に。SCS評価制度で自社の現在地を確認する

- ⏱ 約10分で読めます - 👁 … views

知り合いの町工場の社長たちに「SCS評価制度というのが始まりそうですよ」と話しても、返ってくるのはだいたい同じ反応です。「うちはまだどこからも言われていないから」。20人ちょっとの規模で、専任の情シスはいません。図面と受発注のデータは、みんなで使える共有ディスク（ファイルサーバー）に置いてあって、日々の仕事はそれで回っている。アクセス制限やバックアップを細かく設計したというより、単に共有できるディスクがある、という程度の運用です。困っていない以上、今すぐ動く理由が見当たらない、というわけです。

その感覚は分かります。取引先から具体的に求められていないものに、先回りして手間とお金をかけるのは気が進みません。ただ、以前は大企業の話だと思われていたサプライチェーンのセキュリティ要求は、この数年で二次・三次の下請けまで降りてきました。「言われていないから」が「先週言われた、来月まで」に変わる日は、たいてい前触れなく来ます。そのとき慌てて泥縄で揃えるのか、それとも今のうちに現在地だけでも並べておくのか。私が心配しているのは、まさにそこです。

私は以前、同じくらいの規模の町工場で、自分たちだけでランサムウェア対策の基盤を組む話を書きました。ネットワークを分けて、戻せるバックアップを用意して、復旧手順を紙に残す。そこまではやり方が分かります。ただ、そのとき一つ残った問いがあります。「その対策は、何を基準にどこまでやればいいのか」。取引先や業界が見ている物差しが分からないと、過剰にも過少にもなってしまいます。

その物差しの候補になりそうなのが、経済産業省が2026年に方針を公表したSCS評価制度です。この記事では、制度の確定している部分だけを整理して、「★いくつを目指すか」を考える前に、まず自社の現在地をどう把握するかを書きます。

本記事は2026年7月時点の公表情報に基づいています。制度は詳細を詰めている最中で、この先変わる部分があります。数字や日付は必ず一次情報で確認してください。

SCS評価制度とは何か（確定していることだけ）

正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。略してSCS評価制度と呼ばれています。経済産業省と内閣官房国家サイバー統括室が2026年3月27日に制度構築方針を公表し、運営はIPA（独立行政法人情報処理推進機構）が担います。

企業のセキュリティ対策のレベルを★の数で示す仕組みで、★1から★4までの位置づけが方針として示されています。ざっくり分けるとこうなります。

  • ★1・★2は、既存の SECURITY ACTION（IPAがやっている自己宣言の仕組み）を土台にした段階です。
  • ★3は、セキュリティ専門家の確認を経たうえで、取得を希望する組織自身が評価する「専門家確認付き自己評価」です。
  • ★4は、評価機関が要求事項を審査する「第三者評価」に、技術検証を加えたものです。

有効期間も段階で違います。★3は1年で、毎年の更新が必要です。★4は3年ですが、その間も毎年の自己評価提出が求められます。取ったら終わりではなく、続ける前提の制度だという点は押さえておきたいところです。

開始時期については、公表資料が「2026年度末頃（令和8年度末、1月〜3月頃）の制度開始を目指す」としています。ここは目標であって、確定した施行日ではありません。制度側も変わり得ると断っているので、「もう始まる」と受け取らないほうがいいでしょう。

★1〜★5の段階を、中小製造業の目線で整理する

★の数だけ見ると上を目指したくなりますが、段階ごとに現場にかかる負荷はかなり違います。製造業の感覚で言い換えてみます。

★1・★2は、まず「うちはこういう対策をやっています」と自己宣言する段階です。SECURITY ACTION は無料で今日から始められます。書類仕事の負荷は軽いです。多くの中小企業にとって最初の一歩はここになります。

★3から専門家が絡みます。自己評価ではありますが、専門家の確認が入るぶん、対策の実態が問われます。組織としてのルールと、システム側の防御が両方見られます。ここを目指すなら、社内の担当を決めて、外部の専門家と話せる状態を作る必要が出てきます。

★4は第三者評価で、審査を受ける側の負荷が一段上がります。侵入を防ぐだけでなく、検知・取引先の管理・被害が広がるのを止める仕組み・復旧まで、対策の幅が問われます。取引先のデータやシステムを守る役割を担っているか、という視点が入ってきます。

★5については、2026年度以降に検討するとされていて、内容はまだ決まっていません。ここで具体像を語るのは早いです。

段階を表にすると、こうなります。

段階位置づけ誰が確認するか時期の目安
★1・★2SECURITY ACTION（自己宣言）自社今すぐ着手できる
★3専門家確認付き自己評価（有効期間1年・年次更新）専門家＋自社2026年度末頃を目標（変更あり得る）
★4第三者評価＋技術検証（有効期間3年・毎年自己評価提出）評価機関2026年度末頃を目標（変更あり得る）
★5検討中未定2026年度以降に検討・内容未定

要求事項が具体的に何項目あるかは、この表に載せていません。理由は次の章で書きます。

数字を鵜呑みにしないほうがいい理由

制度の解説記事を何本か読むと、★3の要求事項は「26件」だったり「25項目」だったりします。★4も「43件」と「44件」で食い違います。制度検討の初期には「7領域81基準」という別の枠組みの数字も出ていました。

これは誰かが間違えているというより、制度の詳細がまだ確定していないからです。IPAの「SCS評価制度の詳細情報」ページに書かれた数字と、報道や解説の数字と、初期の検討資料の数字が、それぞれ別の時点のものになっています。公表資料でも版によって差がある、という状態だと理解しておくのが安全です。

だから、この記事では「★3は◯項目」と数字を断定しません。項目数を根拠に社内の投資判断をするなら、必ずIPAの一次情報を、その時点で確認してください。数字は動きます。

「どの★を目指すか」を考える前に

★の話をすると、つい「じゃあ★3を目指そう」という話になりがちです。ですが、目標を決める前にやることがあります。今の自社がどこにいるかを知ることです。現在地が分からないまま目的地を決めても、間の距離が見えません。

私が以前書いた実装編では、ネットワークをVLANで分けて、感染しても書き換えられないpull型のバックアップを用意して、復旧の手順を残す、という基盤の組み方を扱いました。これらは制度の言葉に置き換えると、システム側の防御であり、被害が広がるのを止める仕組みであり、復旧の備えにあたります。SCS評価制度が★3・★4で見ようとしている領域と、方向は重なっています。

ただし、ここで実装の項目数と制度の要求事項数を一対一で結ぶことはしません。数の対応づけは、制度が固まっていない今やっても意味がないからです。共通しているのは、土台にあるのが SECURITY ACTION と IPAの中小企業向けガイドラインだ、という点だけです。そこが揃っていれば、制度が★いくつを求めてきても、話の出発点は同じになります。

実装編でいちばん言いたかったのは、製品名より「戻せる手順」と「再現できる設定」が大事だ、ということでした。この主張は制度とも噛み合います。★3は毎年更新、★4は毎年自己評価を出します。一度作って終わりではなく、続けて維持できる状態が問われます。手順が残っていて再現できるなら、更新のたびに一から作り直さずに済みます。継続を前提にした制度ほど、「戻せる・再現できる」の価値は上がります。

具体的な組み方（ネットワーク分離、pull型バックアップ、復旧手順）は実装編にまとめてあります。制度の話から入って「で、うちはどう組めばいいのか」まで来た方は、そちらを読んでみてください。→ 専任情シスがいない20人規模の町工場で、自分たちでランサムウェア対策基盤を組む

現状把握の手順（今からできること）

制度の開始を待つ必要はありません。現在地の把握は、方針が固まる前でも進められます。順番はこうです。

  1. SECURITY ACTION の自己宣言をします。★1・★2の土台であり、無料で今日から始められます。まずここで「うちはやる」という宣言と、その中身を並べます。
  2. IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」で、自社の対策を棚卸しします。何ができていて、何が空欄かを一覧にします。
  3. 取引先からの要求の有無と期限を確認します。チェックシートを求められているなら、その締め切りと項目を先に押さえます。制度の★を追う前に、目の前の取引先要求のほうが期限が近いことが多いです。
  4. 棚卸しで足りないと分かった対策を、実装編を見ながら埋めていきます。ネットワーク分離やバックアップの具体は、そちらに手順があります。

この2番の棚卸しが、いちばん面倒で、いちばん後回しにされます。頭の中では「だいたい大丈夫」でも、項目に落として見ると空欄が出てきます。ここを埋めておくと、取引先のチェックシートが来ても、制度の申請時期が近づいても、そのまま材料として使えます。

ここから先は宣伝です。その棚卸しの出発点として、うちで作った自己診断サービスを置いています。IPAの中小企業向けガイドライン第4.0版に沿って、AIとのチャットで自社の状況を答えていくと、できている項目とできていない項目が優先度つきで整理され、レポートとして残せます。税込550円の単発ツールです。SCS制度の認証や★3を保証するものではありません。あくまでガイドライン第4.0版に沿って現在地を短時間で把握するための入口として使ってください。→ SMEセキュリティ診断

正直に言えば、有料ツールを使わなくても、ガイドラインのPDFを開いて自分で棚卸しすれば済みます。ただ、それを一度に片付けるのが面倒で止まってしまうなら、対話形式のほうが手が動くと思います。

まだ確定していないこと（誤解しないために）

念のため、この記事の時点で確定していない部分をまとめておきます。ここを混同すると、誤った前提で社内を動かすことになります。

  • 開始時期は「2026年度末頃を目標」であって、確定した施行日ではありません。経産省も変更があり得ると明記しています。
  • ★5は2026年度以降に検討するとされていて、内容は未定です。
  • ★3・★4の要求事項数は、公表資料でも版によって差があり、詳細確定に向けて調整中です。具体的な数字での投資判断は一次情報で確認してください。
  • SCS評価制度と、うちの診断サービスの「25項目」は別物です。診断の25項目はIPAの中小企業向けガイドライン第4.0版に沿ったもので、SCS★3の要求事項と数で一致するものではありません。共通しているのは SECURITY ACTION と IPAガイドラインという土台だけです。

繰り返しますが、本記事は2026年7月時点の情報に基づいています。制度の詳細は今後変わります。動く前に一次情報を見てください。

まとめ

制度が固まるのを待ってから動く、という順番は逆だと思っています。★の基準が最終確定するのはまだ先ですが、SECURITY ACTION の宣言も、ガイドラインでの棚卸しも、ネットワークを分けて戻せるバックアップを持つことも、今日から始められます。制度が求めてくる対策の中身は、突飛なものではありません。守り方は、もう分かっています。

取引先からチェックシートが届いてから慌てるより、届く前に自社の現在地を一度並べておく。それだけで、その日にやることが「製品名を調べる」から「空欄を埋める」に変わります。

参考資料