SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、委託元と委託先の間で、委託先のセキュリティ対策の水準を★の段階で示すための制度です。★3は専門家確認付き自己評価、★4は評価機関による第三者評価で評価されます。2026年10月28日時点のIPAの公開情報では、★3・★4は2027年3月の受付開始に向けて制度運営基盤の整備が進められている段階です。
取引先から「SCS評価制度の★3は取る予定ですか」と聞かれ、何から手を付ければよいか迷う中小企業が出てきています。HVLは、取引先から★を求められてから慌てるより、IPAのガイドラインにある基本の対策から順に整え、自社の対策を説明できる状態にしておくことが先だと考えています。
この記事では、IPAの公開情報（2026年10月30日時点で確認）をもとに、制度の中身、★3と★4の違い、準備の順序を整理します。あわせて、システム開発・保守を受託する立場から、外部に開発・保守を任せている企業が委託先と確認しておきたい点も紹介します。
結論：★を求められる前に整えておくこと
SCS評価制度への備えは、★の取得を決める前の基本対策と、自社の対策を説明できる記録づくりから始めるのが現実的です。HVLが考える要点は次のとおりです。
- まずIPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版の情報セキュリティ6か条を実行する。
- 5分でできる！情報セキュリティ自社診断（25項目）で弱いところを把握し、情報セキュリティ基本方針を定める。
- ★3を取るかどうかは、取引先の要請と自社の役割を見て決める。
- 取ると決めたら、取得単位と適用範囲を決め、アセスメントシートで自己評価して不足を手当てする。
- 開発・保守を外部に委託しているなら、委託先が持つアカウントやデータの扱いも自社の評価に関係するため、委託先と役割分担を確認する。
この順序にしておくと、★3を目指すと決めた時点で、すでに多くの土台が揃っている状態から自己評価に入れます。逆に、★を取るかどうかがまだ決まっていない会社にとっても、取引先からのチェックシートに答えやすくなるという利点があります。
SCS評価制度とは：委託元と委託先それぞれの困りごとを減らす仕組み
SCS評価制度とは、委託元が委託先に求めるセキュリティ対策の水準を★の段階で共通化し、2社間の取引で対策の提示と確認をしやすくするためのIPAが運営する制度です。
IPAのSCS評価制度のページは、制度の背景として次の課題を挙げています。
- 委託元企業：委託先におけるセキュリティ対策が可視化しづらく、要求事項（チェックリスト等）の適正性の担保も難しい
- 委託先企業：複雑なサプライチェーン下で様々な委託元から様々な要求事項を求められ、過度な負担につながっている
そのうえで、2社間の取引契約等において、委託元が委託先に適切な段階（★）を提示し、示された対策を促すとともに実施状況を確認することが想定されています。全てのサプライチェーン企業が対象です。特にサプライチェーンを構成する中小企業は、セキュリティ対策におけるリソースが限られていることから、活用による効果が大きいと想定されています。
SCS評価制度の詳細情報によると、制度は2026年3月に経済産業省と内閣官房国家サイバー統括室が公表した制度構築方針に基づいて構築され、IPAが運営します。
HVLは、取引先ごとに違うチェックシートへ毎回回答している会社にとって、共通の物差しができることは負担を減らす方向に働くと考えています。一方で、★を取れば取引先の確認がすべて不要になるわけではありません。再委託や事故時の連絡など、契約で決める事項は残るとHVLは考えています。
★3〜★5の位置づけとSECURITY ACTIONとの違い
2026年10月28日時点のIPAの公開情報で、SCS評価制度の段階として説明されているのは★3・★4・★5です。SECURITY ACTIONの一つ星・二つ星は、SCS評価制度の段階ではなく別の制度です。
★3〜★5の位置づけ
各段階の位置づけと評価の方法は、IPA「SCS評価制度の詳細情報」（2026年10月28日更新）をもとに整理すると次のとおりです。
| 段階 | 位置づけ | 評価の方法 |
|---|---|---|
| ★3 | 一般的なサイバー脅威に対処しうることを水準とする | 専門家確認付き自己評価 |
| ★4 | 初期侵入の防御にとどまらず、内外への被害拡大防止・目的遂行のリスク低減によって取引先のデータやシステム保護に寄与する点や、サプライチェーンにおける自社の役割に適合したサプライチェーン強靭化策が講じられていることを水準とする | 第三者評価（文書確認＋実地審査＋技術検証） |
| ★5 | より高度なサイバー攻撃への対応を想定。★3・★4の精査も踏まえ、今後具体化 | 今後具体化 |
上位の段階はそれ以下の段階で求められる事項を包括します。そのため、★3を事前に取得していなければ★4を取得できないという関係とはなりません。
要求項目の数（2026年10月28日時点）
2026年10月28日時点のIPAの公開情報では、★3・★4の要求事項・評価基準は、7の大分類の下、16の中分類から構成されます。★3については計26件、★4については計43件の要求項目となっています。
要求事項・評価基準の本体や、評価のためのガイド・解説書はIPAの要求事項・評価基準のページに掲載されています。
注意：制度構築方針の案の段階では、項目数が異なる数字で紹介されていた時期があり、解説記事によって数字が違います。この記事では、2026年10月28日に更新されたIPAのページの数字を使っています。社内で資料を作るときも、どの時点の数字かを添えておくと混乱を防げます。
SECURITY ACTIONは別の自己宣言の制度
SECURITY ACTIONは、中小企業自らが情報セキュリティ対策に取り組むことを自己宣言するIPAの制度で、SCS評価制度とは別の制度です。
- ★一つ星：情報セキュリティ6か条に取り組むことの宣言
- ★★二つ星：自社診断で状況を把握し、情報セキュリティ基本方針を定めて外部に公開したうえでの宣言
SECURITY ACTIONはIPAがお墨付きを与える制度ではなく、中小企業自らが取り組みを自己宣言する制度です。IPAは「一つ星（二つ星）を宣言しました」という表現を適切な例として示しています。
HVLは、この2つの宣言の中身が★3の準備の土台になると考えています。6か条、自社診断、基本方針は、どれも中小企業の情報セキュリティ対策ガイドラインに含まれており、第4.0版はSCS評価制度の基本的な考え方に沿った内容とされています。
★3と★4の違い：自己評価か第三者評価か
★3と★4のいちばん大きな違いは、★3が専門家の確認を受ける自己評価であるのに対し、★4は評価機関による審査と技術検証を受ける第三者評価である点です。
★3：専門家確認付き自己評価
IPAの説明では、★3の流れは次のとおりです。
- 登録希望組織が、★3要求事項・評価基準に基づき自己評価を記入する（必要に応じて社内外の★3確認責任者からの支援を得ることも可）。
- 社内外の★3確認責任者が記入内容を確認し、必要に応じて評価結果の修正を含む助言を行い、提出内容を了承した場合に署名する。
- 登録希望組織は、経営層による自己適合宣言を行う。
- 制度運営機関に★3の登録を申請する。
- 制度運営機関は、申請内容に問題が認められない場合には台帳に登録して公開し、ロゴマークを発行する。
★3では、★3確認責任者が、自己評価の結果に係る文書の確認を行います。つまり、自社が記入した内容を裏づける文書を用意できるかどうかが準備の中心になります。
★4：第三者評価
★4は、要求事項について評価機関による審査及び技術検証の実施を受けます。流れは次のとおりです。
- 登録希望組織が、★4要求事項・評価基準に基づき自己評価を記入する。
- 評価機関に第三者評価・技術検証の実施を依頼する。
- 評価機関が第三者評価・技術検証を実施し、評価報告書を交付する。
- 経営層による自己適合宣言を行う。
- 制度運営機関に★4の登録を申請し、問題が認められなければ台帳に登録・公開され、ロゴマークが発行される。
★4では、評価機関および技術検証事業者が、文書確認に加え、実地審査および技術検証（脆弱性検査）を行います。評価プロセスでは、各登録希望組織で決定した適用範囲の中から対象をサンプリングの上、評価等を実施することが想定されています。
SCSセキュリティ専門家の役割と要件
SCSセキュリティ専門家は、★3における自己評価結果の確認・助言や、★4における評価責任者を担います。
SCSセキュリティ専門家になるには、次のいずれかの資格を保持し、研修を受講したうえで、制度運営機関に登録する必要があります。
- 情報処理安全確保支援士
- 公認情報セキュリティ監査人、公認情報セキュリティ主任監査人
- CISSP、CISA、CISM
- ISO27001主任審査員
2026年10月28日時点のIPAの公開情報では、研修を実施する研修事業者は2026年12月末頃より公表予定とされています。
スケジュール：2027年3月の受付開始に向けた流れ
2026年10月30日時点で確認したIPAの公開情報では、★3・★4は2027年3月の受付開始に向けて整備中です。ここまでの主な動きは次のとおりです。
- 2026年3月：制度構築方針の公表（経済産業省・内閣官房国家サイバー統括室）。2026年3月27日にはIPAのガイドライン第4.0版も公開。
- 2026年4月21日：IPAのSCS評価制度のサイト公開。
- 2026年9月18日：料金設定を公開。
- 2026年10月28日：★3・★4 要求事項・評価基準 Ver.1.1、自己評価等ガイド、アセスメントシート、★4 第三者評価ガイド、★4 技術検証ガイド、解説書を公開。2026年10月29日に誤字の修正（版の変更なし）。
- 2026年12月末頃：研修事業者の公表予定。
- 2027年3月：★3・★4の受付開始に向けて整備中。
料金や受付の詳細は今後も更新される可能性があります。検討するときは、IPAのSCS評価制度のページのお知らせで最新情報を確認してください。
★3を目指すかどうかの判断基準
★3を目指すかどうかは、取引先からの要請、自社がサプライチェーンで担う役割、社内で確保できる体制の3点から判断するのがよいとHVLは考えています。
SCS評価制度は、取引契約等で委託元が委託先に段階を提示することを想定した制度です。そのため、自社にとって必要な段階は、取引先との関係の中で決まっていきます。HVLが判断のときに確認するとよいと考える問いは次のとおりです。
- 取引先から、SCS評価制度の★の段階やセキュリティ対策の状況について、すでに問い合わせを受けているか。
- 取引先のデータを預かっている、または取引先のシステムに接続しているか。
- 取引先ごとのチェックシートへの回答に、毎回まとまった手間がかかっているか。
- 6か条、自社診断、基本方針といった土台が、すでに整っているか。
- 社内外で★3確認責任者を担える人を確保できる見込みがあるか。
★4の水準には「取引先のデータやシステム保護に寄与する点」や「サプライチェーンにおける自社の役割に適合した」対策が含まれています。HVLは、取引先のデータやシステムに深く関わる会社ほど、★3だけでなく★4を求められる場面も想定しておくべきだと考えています。
一方で、問い合わせを受けていない段階でも、土台づくりと自己評価の練習は先に進められます。HVLは、取得の判断を待たずに準備ステップの前半を進めておくことを勧めています。
委託先企業の準備ステップとチェックリスト
準備は、基本対策の実行、現状の把握、適用範囲の決定、自己評価、不足の手当ての順に進めるのが無理のない流れだとHVLは考えています。
準備の進め方
- 情報セキュリティ6か条を実行する（OSやソフトウェアは常に最新の状態にしよう！／ウイルス対策ソフトを導入しよう！／パスワードを強化しよう！／共有設定を見直そう！／バックアップを取ろう！／脅威や攻撃の手口を知ろう！）。
- 5分でできる！情報セキュリティ自社診断の25項目に答え、「わからない」と答えた項目を洗い出す。
- 情報セキュリティ基本方針を定め、社内と取引先に示す。
- ★3の取得を検討する場合は、取得単位と適用範囲（どの事業所・部門・システムを対象にするか）を決める。
- アセスメントシートで自己評価し、満たしていない要求項目を一覧にする。
- 不足の手当てを、社内でできるもの、委託先（開発・保守会社、クラウド事業者など）と相談が必要なもの、費用がかかるものに分けて計画する。
- ★3確認責任者（社内外のSCSセキュリティ専門家）の確保を考える。
手順4の取得単位と適用範囲の決め方は、IPAの要求事項・評価基準のページにある「★3・★4 自己評価等ガイド」と「★3・★4 要求事項・評価基準 解説書」が扱っています。自己評価で使うアセスメントシートも同じページに掲載されています。
準備状況のチェックリスト
社内で準備状況を共有するときは、次の表をそのまま確認表として使えます。
| 確認項目 | 確認する内容 | 参照する資料 |
|---|---|---|
| 情報セキュリティ6か条 | 6か条を全社で実行しているか | 中小企業の情報セキュリティ対策ガイドライン第4.0版 |
| 自社診断 | 25項目に答え、「わからない」項目を洗い出したか | 5分でできる！情報セキュリティ自社診断 |
| 基本方針 | 情報セキュリティ基本方針を定め、社内と取引先に示したか | 情報セキュリティ基本方針（サンプル） |
| 取得単位・適用範囲 | 対象にする事業所・部門・システムを決めたか | ★3・★4 自己評価等ガイド、解説書 |
| 自己評価 | アセスメントシートに記入し、満たしていない要求項目を一覧にしたか | 自己評価等ガイド 別紙 アセスメントシート |
| 不足の手当て | 社内で対応、委託先と相談、費用がかかる、の区分で計画したか | 自社の対策計画 |
| ★3確認責任者 | 社内外のSCSセキュリティ専門家を確保する見通しがあるか | SCS評価制度の詳細情報 |
| 委託先との役割分担 | アカウント、更新、バックアップ、事故時の連絡、再委託の扱いを確認したか | 委託契約・運用保守の取り決め |
つまずきやすい点と対処
準備でつまずきやすいのは、対象の範囲があいまいなまま進めることと、外部に任せている部分を社内で把握していないことです。HVLがよく見るつまずきと、その対処は次のとおりです。
- 適用範囲を決めないまま自己評価を始める：対象のシステムやアカウントが途中で増え、評価がやり直しになります。対処として、自己評価の前に事業所・部門・システムの一覧を作り、適用範囲を文書で決めておきます。
- 外部に任せている部分の管理者が分からない：サーバー、Webサイト、業務システムの設定や更新を誰が管理しているか、社内で分からない状態です。対処として、委託先ごとに担当範囲と連絡先を聞き取り、一覧にまとめます。
- 「わからない」項目を「実施している」として扱う：★3では自己評価の結果に係る文書が確認されるため、裏づけのない回答は修正の対象になります。対処として、「わからない」は不足として一覧に残し、確認できた時点で更新します。
- ★を取れば契約での確認は不要だと考える：HVLは、再委託や事故時の連絡など契約で決める事項は残ると考えています。対処として、★の準備とは別に、契約書や運用の取り決めも見直します。
- 確認責任者の確保を後回しにする：研修事業者は2026年12月末頃より公表予定とされています。対処として、社内に要件の資格を持つ人がいるか、社外に頼める人がいるかを早めに確認しておきます。
開発・保守を委託している企業が確認しておくこと
自社の業務システムやWebサイトを外部の開発会社・保守会社に任せている場合、評価の対象には委託先が扱うアカウントやデータも関係してきます。
HVLはシステム開発・保守を受託する立場から、次の点を委託先と確認しておくことを勧めます。
- 委託先に発行しているアカウントと権限の一覧
- OS・ミドルウェア・機器の更新を、契約上どちらが担当するか
- バックアップの取得と復元確認を誰が行うか
- 事故が起きたときの連絡先と連絡の期限
- 再委託の有無と、その先での情報の扱い
委託先へ確認する項目は、選定・契約・運用保守・契約終了の段階ごとに整理しておくと確認しやすくなります。たとえば契約終了の段階では、委託先に発行していたアカウントの停止や、預けていたデータの扱いを確認する項目が加わります。
委託先任せで仕様が分からなくなっているシステムがある場合は、まず現状を把握するところから始める必要があります。進め方は仕様書がないシステムの保守・引き継ぎと解析の進め方で整理しています。
AIを使った開発で生まれるコードの脆弱性は、AI開発の脆弱性の混入経路と確認項目で扱っています。社内で生成AIを使っている場合の入力データの扱いは生成AIの情報漏洩対策と社内ルールの進め方を、AI時代のセキュリティ全般はAIとサイバーセキュリティの攻撃・防御と社内AIの守り方をあわせてご覧ください。
よくある質問
SCS評価制度の★取得は義務ですか？
SCS評価制度は、取引契約等で委託元が委託先に段階を提示することを想定した制度で、IPAの公開情報では法律上の義務としては説明されていません。取引先から求められるかどうかは取引ごとに異なります。
★3と★4はどちらから取るべきですか？
★3を事前に取得していなければ★4を取得できないという関係ではありません。取引先から求められる段階と、自社の体制から判断します。
SECURITY ACTIONは宣言しておくべきですか？
6か条と自社診断・基本方針は★3の準備の土台にもなるため、未宣言なら一つ星・二つ星から始めるのが現実的だとHVLは考えます。SECURITY ACTIONはSCS評価制度とは別の自己宣言の制度です。
SCS評価制度はいつから申請できますか？
2026年10月30日時点のIPAの公開情報では、★3・★4は2027年3月の受付開始に向けて整備中です。最新の状況はIPAのSCS評価制度のページで確認してください。
社内に専門家がいない場合はどうすればよいですか？
★3確認責任者は社内外のSCSセキュリティ専門家が担えるとされています。研修事業者は2026年12月末頃より公表予定です。
まとめ：6か条から順に整え、委託先との役割分担も確認する
SCS評価制度は、委託元と委託先の間で対策の水準を共通の物差しで示すための制度です。2026年10月28日時点のIPAの公開情報では、★3は26件、★4は43件の要求項目が公開され、受付は2027年3月の開始に向けて整備中です。
HVLは、取引先から求められる前に、6か条、自社診断、基本方針、適用範囲の決定、自己評価の順で整えておくことが、無理のない準備だと考えています。自社のシステムやWebサイトを外部に任せている場合は、開発・保守の委託先との役割分担の確認もあわせて進めてください。
自社の業務システムやWebサイトの開発・保守の体制、委託先との役割分担を見直したい場合は、HVLのシステム開発・保守（システムインテグレーション）にご相談ください。開発・保守の進め方をまとめた資料の請求や、お問い合わせも受け付けています。