SCS評価制度と企業のセキュリティ対応 第1回 / 全5回
SCS評価制度とは？ 2027年3月開始予定の制度と、企業間取引への影響
公開日
執筆：RobustEngine
制度情報：2026年9月時点
取引先から「SCS評価制度への対応を検討していますか」と聞かれたら、何を確認すればよいでしょうか。まず確かめたいのは、相手が★3・★4のどちらを、どの業務について、いつまでに求めているかです。
★3・★4は2027年3月の申請受付開始を予定しています。制度は任意で、すべての企業に一律の取得義務や期限が生じるものではありません。取引条件として求めるかは、個々の取引関係で決まります。12
SCS評価制度は、何を確認する仕組みか
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」。企業のセキュリティ対策の実施状況を評価し、取引先が確認できるようにする仕組みで、情報処理推進機構（IPA）が運営します。3
サプライチェーンとは、製品やサービスを届けるまでに関わる企業のつながりです。製造業の部品調達に加え、顧客情報の処理や自社システムの保守を外部へ委託する場合、取引先とデータをやり取りする場合も関係します。委託先の業務が止まれば自社のサービスに影響し、共有した情報の漏えいや、保守会社が使うアカウントを悪用した不正侵入も起こり得ます。
発注企業が取引先の対策を確認しようとしても、どんな基準で判断するかが課題になります。受注企業にも、顧客ごとに異なる質問票へ回答する負担があります。SCS評価制度は、必要な対策と実施状況を共通の基準で確認することを目指しています。取引内容によっては追加の確認も必要ですが、自社がどの対策を実施しているかを整理しておくと、取引先へ説明しやすくなります。4
★3と★4は、対策水準と確認方法が異なる
表は横にスクロールできます。
| 比較する点 | ★3 | ★4 |
|---|---|---|
| 対策の水準 | 管理体制やシステムの対策を整え、一般的な脅威に備える | ★3に加え、被害拡大の防止や業務の継続、取引先管理などの対策を強化する |
| 確認方法 | 専門家が内容を確認する自己評価 | 評価機関による第三者評価 |
| 要求事項数 | 26件 | ★3を含む43件 |
| 有効期間 | 1年 | 3年。毎年の自己評価等も必要 |
★3では、まず自社で対策の実施状況を評価します。その内容を制度に登録されたセキュリティ専門家が確認し、署名します。経営層が組織の責任で基準を満たしていると宣言（自己適合宣言）し、登録を申請します。更新時も、専門家の確認・助言を受けた自己評価を提出します。8
各要求事項の下には具体的な評価基準があり、取得にはそのすべてを満たす必要があります。要求事項の件数だけで作業量を判断せず、どのシステムに、どんな条件で対策が必要かまで確認します。9
IPAの「SECURITY ACTION」二つ星の自己宣言と、SCS★3の登録も別のものです。10
SCS対応に向けて、受注企業・発注企業が準備すること
受注側は、求められる★の段階、対象業務・システム、時期、追加条件を取引先に確認します。「対応予定を知りたい」のか「取得を契約条件にしたい」のかでも、社内で決めることは変わります。
そのうえで、取引に使う情報の保存先、アクセスする人、外部に任せている運用を整理します。営業担当と情報システム担当が一緒に対象業務を確かめると、取引先の依頼に答えるために何を調べるかを決めやすくなります。
発注側は、事故が起きた場合の自社への影響から、取引先に求める対策を考えます。単発の備品購入先と、顧客情報を預ける委託先、自社システムの設定を変更できる保守会社では、事故が起きた際の影響が異なります。企業規模だけで判断せず、供給が止まった場合の影響や、扱う情報を確かめます。データ連携の内容や、取引先が自社システムで何を操作できるかも確認し、必要な対策、対応する期限、それまでの進め方を話し合います。11
同じ企業が、顧客に対しては受注者、委託先に対しては発注者になることもあります。SCS対応は、自社の対策と取引先管理の両方に関わります。
制度開始前に、自社の対策と運用状況を整理する
SCS対応とは、チェックシートを埋める仕事ではなく、自社のセキュリティ管理を説明可能な状態にすることである。
従業員50人の受託企業が、顧客資料を扱うクラウドサービスにMFAを設定しているとします。MFAは、パスワードと認証アプリなど、異なる種類の方法を組み合わせて本人かどうかを確かめる仕組みです。
担当者は「導入済み」と答えられます。しかし、部門が独自に契約したサービスでもMFAを使っているか、退職者のアカウントを誰が停止するかは分かりません。この場合は、使っているサービスを調べ、必要な設定がされているか、誰が管理しているかを確認する必要があります。
★3の公開基準には、重要な機密情報を扱うクラウドサービスでのMFA利用や、不要になったIDの削除・無効化が含まれます。サービスごとに設定と担当者を確認し、その結果を記録しておけば、取引先へ管理状況を説明できます。12
まずは取引先の依頼を集め、利用サービス、管理者、ルールや記録の保存先を一枚に整理してみてください。依頼がまだなければ、重要な取引で使う情報とシステムから始められます。証跡とは、設定や作業の実施を確かめる資料・記録です。新しく書類を作る前に、既存の承認記録や設定情報を探しましょう。
経営者は調査の責任者を決め、担当者が作業する時間を確保します。担当者は分からない点と、誰に確認するかを書き出します。複数の部署に確認し、設定や手順を直し、実際の業務で使えるかを確かめるには時間がかかるため、制度開始前から準備しておくことが大切です。
SCS★3に向けて、何から準備すればよいか迷っている方へ
自社がSCS★3に対してどの程度準備できているか分からない、取引先からの依頼にどう答えるか迷っている。そのような段階からご相談いただけます。RobustEngineでは、現在のIT環境と運用を確認し、要求事項に対して不足する対策と、優先して確認する点を一緒に整理します。最初のご連絡では、業務の概要と相談したいことをお知らせください。
規程や手順の整理に加え、AWS・SaaS・ID管理などの技術面の対応も、既存環境を踏まえて検討します。
次回は、★3の要求事項を「経営・運用・技術」に分けて読み解きます。
本記事は2026年9月時点の公表資料に基づきます。日程や詳細は変更される可能性があるため、準備・申請時には、最新情報をご確認ください。13