【2026年11月版】SCS評価制度の全体像 — ★3で何を求められ、いつまでに何をするのか

はじめに

情報処理安全確保支援士の松岡です。埼玉AI・ITガバナンス事務所として埼玉県内を中心に活動しており、SCS評価制度への対応支援に取り組んでいます。

自社の対応状況をまず確かめたい方には、★3の要求事項をもとにした**簡易診断**をご用意しています。診断結果の画面からそのままご相談いただけますし、直接のお問い合わせも歓迎です。

このコラムでは、経済産業省が構築を進めている新しい制度「SCS評価制度」の全体像を、公表されている一次資料に基づいて整理します。制度の目的から、★3で何を求められるのか、取得までの手順、期間と費用、そして何がまだ決まっていないのかまで、この一本で把握できることを目指します。

想定する読者は、中小企業の経営者と情報システム担当の方です。特に、次のような状況の方を念頭に書いています。

• 取引先から「★3を取得してほしい」という文書や打診が届き、どう返事をすべきか迷っている
• 「SCS評価制度」「★3」という言葉を最近知ったが、検索してもPDFの資料ばかりで、結局自社が何をすればいいのか分からない
• まだ何も言われていないが、大手企業との取引があり、いずれ求められる側になりそうだと感じている

こうした場面で慌てず、正確な情報をもとに判断できるようになっていただくことが、この記事のゴールです。

この制度ができた背景

そもそも、なぜこの制度が作られたのか。背景ははっきりしています。制度構築方針は現状をこう書いています。「近年、サプライチェーンを通じたセキュリティインシデントが頻発。委託先等、サプライチェーン全体のセキュリティ対策が求められる中」——つまり、自社を直接狙われるのではなく、取引先を経由して被害が広がる事故が増えたということです。

そこで委託元の企業は、委託先のセキュリティ対策を確認しようとします。しかし方針が指摘するとおり、「委託先におけるセキュリティ対策が可視化しづらく、要求事項（チェックリスト等）の適正性の担保も難しい」。何を聞けばいいのか、聞いた答えが妥当なのか、委託元の側にも判断がつかないのです。

一方、要求を受け取る委託先の側について、方針はこう書いています。

委託先企業：複雑なサプライチェーン下で様々な委託元から様々な要求事項を求められ、過度な負担につながっている(特に中小企業を中心に)

たとえば、ある取引先からはExcel、別の取引先からはPDF、また別の取引先からはWebフォームで質問が届く。そんな状況に心当たりのある方もいるのではないでしょうか。

SCS評価制度は、この「ばらばら」を共通の基準にそろえようという制度です。対策の水準を★という段階で示し、委託元はその段階を委託先に提示します。方針自身が、他制度と比べる中でこの制度の目的を「様々な取引先から様々な要求事項を求められる状況下における基準統一による企業の負担軽減」と書いています。ばらばらの要求に一社ずつ答える負担を、共通の基準で減らそうということです。

制度構築方針は、中小企業への効果をはっきり書いています。「特にサプライチェーンを構成する中小企業は、セキュリティ対策におけるリソースが限られていること／自社のリスクを踏まえてセキュリティ対策を行うことはハードルが高いことから、活用による効果が大きい」。

まず知っておいていただきたいのは、これが規制ではなく、基準をそろえて企業の負担を減らすことを狙った制度で、中小企業にとって効果が大きいと方針が書いているということです。

SCS評価制度とは何か

正式には「サプライチェーン強化に向けたセキュリティ対策評価制度」といいます。長いので、以下ではSCS評価制度と呼びます。

使われ方は具体的に決まっています。

２社間の取引契約等において、委託元が、委託先に適切な段階(★)を提示し、示された対策を促すとともに実施状況を確認することを想定

ポイントは「2社間の取引契約」です。国が全事業者に何かを義務づける制度ではありません。あくまで、取引をする2社の間で使う道具として設計されています。

なお、「委託」といっても業務委託に限りません。方針が想定するサプライチェーンには、物品調達や業務委託のほか、業務提携やAPI連携、クラウドなどの外部情報サービスの調達も含まれます。部品を納めている会社や、システムをつないでいる会社にも関係し得るということです。

ここで誤解が生まれやすいので、制度側が自分で否定していることを2つ挙げます。

ひとつ目。これは格付けではありません。方針の注記にこうあります。「事業者のセキュリティ対策レベルを競わせることを目的としたもの(格付け制度等)ではない」。★の数が多いほど優れた会社、という制度ではないということです。どの★を求められるかは、先ほどの引用にあったとおり、個々の取引の中で委託元から提示され、契約でどう扱うかを2社で話し合って決めるものです。

ふたつ目。規制ではありません。経済産業省のFAQは、★の取得が必須かという問いに対してこう答えています。「本制度として何らかの規制を課すものではありません」。

では誰が対象なのか。同じ経済産業省のFAQは、こう書いています。

業種や事業規模を問わず、幅広い事業者が対象となり得ます。サプライチェーンを構成する企業等を対象としていますが、取引先からの要請が無くても、各企業が自らのサイバーセキュリティ対策状況を可視化するために、マーク（★）を自主的に取得することも考えられます。

業種も規模も問わない。そして、取引先から言われなくても自分から取ることができる。この「自主的に取得することも考えられます」という一文は、地味ですが重要です。取引先に言われる前に自分から取ることも、制度は想定しているということです。方針は、取得する側の効果の一つに「発注企業等に対する、セキュリティ対策に係る説明の説得力向上」を挙げています。

申請する単位も決まっています。「評価取得の申請主体は、自社IT基盤を中心とした自社のセキュリティ対策の向上に責任を有する単位(原則として法人又は個人事業主単位)とする」。原則として会社単位です。個人事業主も申請できます。

最後に、期待しすぎないための一文も方針に書かれています。★を取ることは「セキュリティインシデントに対して完全なセキュリティが確保されていることを保証するものではない」。★3を取れば安全になる、という制度ではありません。あくまで、その時点で一定の水準を満たしていることを示すものです。

この節の要点は、SCS評価制度が「任意」「非規制」「非格付け」の制度であるということです。取引先から話が来たら、契約でどう扱うのかを落ち着いて確かめてください。

誰が制度を動かすのか

制度の話がややこしく感じるのは、登場人物が多いからです。先に整理しておきます。

制度運営機関は、独立行政法人情報処理推進機構、いわゆるIPAです。

表を見ていただくと分かるとおり、★3を目指す会社にとって直接関係があるのは上の2つだけです。評価機関や技術検証事業者が出てくるのは★4からです。社内で専門家を用意する場合は、研修事業者も関わります。

ここでは「★3で直接やりとりする相手は2つ」と覚えておけば十分です。

★3と★4は何が違うのか

制度には現在★3と★4の2つの段階があります。★5は検討中です。

★3が想定しているのは、ごく一般的な攻撃です。方針は「★３については、一般的なサイバー脅威に対処しうることを水準として規定」としています。方針がイメージとして挙げているのは、自社のIT基盤への最初の侵入や、侵入後に被害が広がることへの対策が講じられている状態です。

★4はもう一段上を見ています。「初期侵入の防御にとどまらず、内外への被害拡大防止・目的遂行のリスク低減によって取引先のデータやシステム保護に寄与する点」。「目的遂行」は、方針の別の箇所に「攻撃者による目的遂行」とあるとおり、攻撃者が狙いを果たしてしまうことです。侵入された場合でも、被害の広がりや攻撃者の狙いの達成を抑えられるか、という水準です。

違いを一枚にまとめます。「要求事項」は、制度が求める対策の項目のことです。

ひとつ誤解されやすい点があります。★3を取ってからでないと★4に進めない、という制度ではありません。方針は明記しています。「★3を事前に取得していなければ★4を取得できないという関係とはならない」。いきなり★4を目指すこともできます。

そして最も実務に効く違いが、評価のやり方です。★3は「専門家確認付き自己評価」、★4は「第三者評価」。

この差は大きいです。★3は自社で評価を書き、それをSCSセキュリティ専門家に確認してもらう形。★4は評価機関という外部の組織に審査を受ける形で、技術検証——外部から直接アクセスできるVPN装置やルータ、ファイアウォールなどを調べる検証——も関わります。かかる手間は相当に違うはずです。費用については後の節で触れますが、評価機関に払う金額は契約で決まるので、全体でどれだけ違うかは公表資料からは分かりません。

★5については、方針が「ISMS適合性評価制度との制度的整合性、★3・4との整合性も踏まえ、今後対策事項を検討」としているだけで、中身はまだ決まっていません。

私の考えでは、中小企業がまず見るべきは★3です。要求事項は26件で、自己評価をもとにするので、現実的な出発点になると思います。ただし、実際に求められる★は取引先との話で決まります。

★3では何を求められるのか

いちばん知りたいところだと思います。ここは制度構築方針に大分類ごとの整理があり、★3で求められる項目が名指しで挙げられています。7つの分類を順に見ていきます。

表にあるのは方針が名指ししている項目です。★3の全項目は、要求事項26件と、それぞれにひも付く確認の基準である「評価基準」81件です。すべて、公開されている「アセスメントシート」（自己評価に使う様式）で確認できます。

ここまで読んで、どう感じられたでしょうか。

私の見方を書くと、★3の多くは、新しい技術の導入というより、整理と運用の徹底です。担当者を決める、資産を洗い出す、手順を紙にする、パスワードとアップデートをきちんとやる。ただ、社内ネットワークとインターネットの境目の防御や監視のように、設備や体制の手当てが要る項目もあります。どこに負担が出るかは、会社によって違うはずです。

製品については、経済産業省のFAQに問答があります。「EDR や資産管理システムなど、特定のセキュリティ対策製品を導入しなければならないのですか」という問いへの答えは、「特定のセキュリティ対策製品の導入を求めるものではありません」です。EDRは、パソコンやサーバーの不審な動きを検知して対処するためのセキュリティ製品のことです。条件になっているのは特定の製品ではなく、求められた対策を実施していることです。

参考までに、★4になると「重要な取引先等の対策状況把握」が加わります。重要な取引先について、対策の状況を把握することが求められるわけです。再委託先まで制度の影響が及ぶとしたら、この項目を通じてです。方針も、直接の取引先が★4対象の場合には「重要な機密情報が提供されている再委託先等にも一定の適用が期待される」としています。★4を取った会社がその先の取引先に確認を求める、という形で広がり得るわけです。

ここを読んで「うちはもうやっている」と思った項目と「やっていない」と思った項目を、分けてみてください。

★3を取るまでの流れ

手順は4段階です。

自己評価を書く → SCSセキュリティ専門家が確認・署名 → 経営層が自己適合を宣言して申請 → 台帳に登録・公開

1. 登録希望組織（★を取ろうとする会社の、制度上の呼び名です）が、★3の要求事項・評価基準に基づいて自己評価を記入する
2. SCSセキュリティ専門家が内容を確認し、必要に応じて助言を行い、了承した場合に署名する
3. 登録希望組織が、経営層による自己適合宣言を行い、登録を申請する
4. 制度運営機関が、申請内容に問題が認められない場合には台帳に登録し、公開する

手順1の「評価基準」は、先ほど触れたとおり、要求事項の一つひとつにひも付く、達成を確認するための基準です。番号も要求事項の番号の下に枝番で振られています。

自己評価には、公開されたアセスメントシートという様式を使います。評価基準ごとの適合基準（どうなっていれば満たしたと言えるか）もこのシートに載っています。

注意していただきたい点が4つあります。

ひとつ目は、経営層の関与が必須だということです。手順3にある「経営層による自己適合宣言」がそれです。基本規程は、自己適合宣言を「経営層が当該組織の責任において宣言することをいう」と定めています。方針の注記はさらに踏み込んでいて、この制度でいう自己評価には「組織内のセキュリティを担当する担当者や部門が独自に実施する評価は含まれない」と書かれています。情シスが一人で完結させることはできません。具体的には、アセスメントシートの自己適合宣言の欄に、宣言者が役職と氏名を署名または記名して宣言します。経営層が内容を理解している必要があります。

ふたつ目は、虚偽への措置です。「自己評価結果に虚偽、その他の不正が発覚した場合、取得した★の取消し等の措置を受ける場合がある」。自己評価だからと甘く書いても、発覚すれば★を失うことがあります。

3つ目は、登録が公開されるということです。基本規程はこう定めています。「制度運営機関は、申請内容に不備を認めないときは、登録組織台帳に登録し、遅滞なく公表する」。取得したことは登録組織台帳に載り、公表されます。取引先から確認できるようになる一方で、公表された以上、その水準を維持することも問われます。

4つ目は、専門家の署名があっても、記載内容の責任は自社に残るということです。★3の確認は「アセスメントシート等に回答された対策等が実際に講じられているかを確かめることまでを求めるものではなく」、原則として記載された情報だけで妥当性を確かめるものです。そして「アセスメントシート等に記載された情報の真実性については、登録希望組織が責任を負う」とされています。

確認の責任者（★3確認責任者。SCSセキュリティ専門家がこの役割を担います）が妥当性を確認できなければ、署名はされません。その場合は「必要に応じて別の★3 確認責任者に確認を依頼することができる」とされています。署名または記名が済んだシートはPDFにしてハッシュ値を算出し、登録組織がPDFとハッシュ値を保管します。ハッシュ値は「データの指紋」とも呼ばれる文字列で、制度運営機関が調査をするときに、登録後にシートが改変されていないかを照合するために使います。ハッシュ値は制度運営機関にも提出します。

★3は情シスだけでは完結しません。経営層が自社の責任で宣言するものだということを、最初に押さえてください。

期間と費用

★は取ったら終わりではありません。

まず期間です。

基本規程にはこうあります。「★3 の有効期間は、登録完了の旨を通知した日から起算して 1 年間とし、有効期限はその翌年同日までとする」。★3は毎年です。

★4は3年ですが、放っておけるわけではありません。「登録組織は、有効期間中は 1 年ごとに自己評価を実施し、その結果を評価機関へ提出しなければならない」。3年ごとに第三者評価を受け、その間も毎年自己評価を出す必要があります。この提出が、登録から1年・2年を基準に前後3か月以内に行われないと、登録が取り消される場合があるとされています。

次に費用です。制度に払う登録料は公表されました。

料金は税込で、どの料金が適用されるかは申請日で決まります。SCSセキュリティ専門家の登録料は無料です。社内の有資格者がSCSセキュリティ専門家になる道もありますが（後の節で説明します）、研修の料金に制度上の定めは無いので、その場合は研修事業者の案内を確認する必要があります。

ひとつ、資料の間で揃っていない点があります。基本規程6.5は「登録希望組織は、制度運営機関に対し、登録の申請に要する申請料及び登録に要する登録料を支払わなければならない」と定めていますが、2026年9月18日の料金表に登録希望組織の申請料は載っていません。無料なのか別途定められるのかは書かれていないので、登録申請の手引が出たら確認が必要です。

予算を立てるなら、「制度への支払い（登録料。申請料の扱いは要確認）」「専門家や評価機関にかかる費用（社内で用意するなら研修費）」「対策の実施費用」の3つに分けて考えてください。そして★3は毎年かかる費用だという前提で。

いつまでに何が決まるのか

2026年の夏から秋にかけて、大きな資料が相次いで公開されました。まだ出ていないものもあるので、分けて整理します。

受付開始は予定で、確定日ではありません。基盤整備が遅れた場合は「運営審議委員会に相談の上、受付開始時期の見直しを行う」とされています。運営審議委員会は、制度の規程やガイドなどを審議・決定する組織です。

いちばん大きな変化は、「どの程度やれば要求事項を満たしたことになるのか」が読めるようになったことです。評価用ガイドは3種類ありますが、★3の会社がまず読むのは「★3・★4自己評価等ガイド」です。実施方法と適合基準はこのガイドに、取得単位や適用範囲の考え方、対策の留意点は解説書にあります。

要求事項・評価基準そのものも少し変わりました。修正されたのは3つの評価基準で、要求事項と評価基準の件数は変わっていません。読者に関係が深いのは、アップデートの期限です。★3では、重大な脆弱性を直すアップデートを、リリースから14日以内に適用することが求められています。この点は変わっていません。

変わったのは、やむを得ず14日以内に適用できないときの説明の置き場所です。具体的な対策は評価基準の本文から外れ、「自己評価等ガイド及び解説書で説明」する形になりました。ガイドによると、対応計画を作ったうえで、すでに攻撃が観測されている脆弱性なら、機能の無効化やネットワークからの分離などの対策を取ります。攻撃が観測されていない脆弱性なら「アップデート適用に係る対応計画を、完了するまで管理、記録すること」が対策になります。自社でやることとしては、ベンダーやIPAなどから脆弱性情報を集め、14日の期限を管理し、間に合わないものは計画を残す、ということです。

これを緩和と受け取るのは早計です。運営審議委員会の委員からは「修正により評価基準を緩和したと誤解されるおそれがある」として、解説書とあわせて確認するよう周知すべきだという意見が出ています。14日以内にアップデートするという評価基準の本文は残っています。

いまは、公開されたガイドを見て自社の適合状況を確認し、自己評価を進められる段階です。制度側もその動きを想定しています。一方で、申請書の出し方は手引を待つ必要があります。

ISMSやSECURITY ACTIONとの関係

すでに何かに取り組んでいる会社は、「今やっていることは無駄になるのか」が気になると思います。

結論から言うと、どちらも制度の中で位置づけが示されています。ただし、ISMSを持っていれば★3の評価が簡略化される、といった定めは、公開資料には見当たりません。

SECURITY ACTIONは、IPAが実施している、中小企業がセキュリティ対策への取り組みを自ら宣言する制度です。宣言の段階として一つ星・二つ星があります（名前は似ていますが、SCS評価制度の★3・★4とは別物です）。これについて方針ははっきり「★３・４取得の準備段階」としています。解説書も、一つ星・二つ星の取組は「本制度の基礎となるセキュリティ対策の実践につながる」としています。

ISMS（情報セキュリティマネジメントシステム）は、組織が情報セキュリティを管理する仕組みを国際規格に基づいて運用していることを、第三者の審査で証明する制度です。方針は「国際標準であるISMS適合性評価制度等と相互補完的な制度として発展することを目指す」とし、「ISMS取得後★を取得／★取得後ISMSを取得のいずれもあり得る」と書いています。

両者の考え方の違いも説明されています。経済産業省のFAQによれば、SCS評価制度の★3・★4は「代表的な脅威を参考に、効果の高い管理策を抽出するベースラインアプローチを採用しています」。

方針の比較表では、ISMSは「リスクアセスメント結果に基づき、組織自らが適切な管理策を決定」するもの、★3・★4は「具体的な対策や範囲が決められているため、何をするか迷うことが少ない」ものとされています。かみくだくと、ISMSは自社のリスクを分析して必要な対策を自分で決めるやり方で、SCS評価制度はよくある脅威に効く対策があらかじめ決まっているやり方です。

SECURITY ACTIONは★3・★4の準備段階です。ISMSとは置き換えの関係ではなく、どちらが先でもあり得ます。どちらを持っていても、★を取るには評価基準をすべて満たす必要があります。

「今すぐ取らないと」には注意

ここは書いておかなければならない話です。

制度が動き出す前から、それを騙る営業活動が報告されています。経済産業省と内閣官房国家サイバー統括室は、2026年4月27日に注意喚起を出しました。報告されているのは、こういう営業です。

「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」といった営業活動による製品・サービスの勧誘が報告されている。

しかも、これは過去の話ではありません。2026年10月のIPAのメールニュースは「一時期落ち着いていた不適切な営業活動が、制度開始が近づくにつれて再び活発になっているとの報告があります」と伝えています。

まず「商取引が規制される」のほうは、事実ではありません。この記事でここまで見てきたとおり、制度は任意であり、規制を課すものではありません。

もう一方の「入札から除外される」はどうか。IPAのFAQは「入札要件になるかどうかは、調達を行う機関の判断によるところです」としています。制度として一律に決まっているわけではないので、「入札から除外される」と言い切る営業には根拠がありません。

取引契約での扱いについて、経済産業省のFAQはこう書いています。「契約当事者同士で円満に合意されるべきものであり、独占禁止法上及び取適法上適切に本制度を活用することが求められます」。取適法は中小受託取引適正化法で、いわゆる下請法の後継です。経済産業省と公正取引委員会は、独占禁止法・取適法上「問題とならない」想定事例も作成しています。★の取得を求める立場の会社は、こうした資料を確認して話し合うのが安全だと思います。

判断材料はこうです。「取らないと商取引が規制される」「入札から除外される」と言い切る相手の説明は、制度と合っていません。

一方で、個々の契約や入札で★が条件になることはあり得ます。それは相手ごとの話なので、誰が、いつまでに、どの★を求めているのかを確かめてください。制度として全事業者に課している取得期限はありません。

申請の受付開始は2027年3月の予定で、評価機関の指定もこれからです。取引先から★の取得を求める文書がいま届いても、慌てて何かを買う必要はありません。まだ誰も★を取れない段階だと取引先に伝え、時期と水準を話し合うところからです。

★3は自己評価だが、自分だけでは完結しない

ここまで読んで、「★3は自己評価なら、うちの情シスがやればいいのでは」と思われたかもしれません。

経済産業省のFAQの回答は、次のとおりです。

★3 の取得にあたっては、「セキュリティ専門家」による確認が必要です。単に社内の情報システム担当者であれば良いというものではありません。

では、そのSCSセキュリティ専門家とは誰なのか。方針は資格を指定しています。

情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISM、CISA、ISO27001主任審査員をセキュリティ専門家の資格として設定する。

この6つです。公認情報セキュリティ監査人は情報セキュリティ監査の資格、CISSP・CISM・CISAは海外の団体が認定するセキュリティや監査の資格、ISO27001主任審査員はISMSの審査員の資格です。社内に持っている人がいないか、確かめてみてください。

方針は、必要な力量を「ITSSレベル4以上又はそれに相当する力量」としています。ITSSというのは経済産業省がまとめたITスキル標準のことで、レベル4は専門分野を確立した高度IT人材の水準にあたります。情報処理安全確保支援士は「ITSSレベル4に位置づけられる」、他の5資格は「ITSSレベル4に相当する力量を有すると考えられる」と整理されています。

ただし、資格を持っているだけでは足りません。方針にはこう書かれています。

セキュリティ専門家には力量の保持/維持と研修の受講に係る要件を課す。

制度が定める研修を受けることが要件になっています。その研修の提供は2027年1月以降の予定で、研修事業者によって時期が異なります。研修事業者の指定・公表は2026年12月下旬の予定で、SCSセキュリティ専門家の登録手続も同じ頃に公表される予定です。

基本規程はSCSセキュリティ専門家を、資格を有し「研修事業者が提供する研修を受講し、制度運営機関に登録している者」と定めています。研修の提供はこれからなので、現時点では、資格を持っていても制度上のSCSセキュリティ専門家にはなっていません。

社内に該当者がいない場合は、外部に頼むことになります。方針もそれを前提にしています。

社内にいない場合、社外のセキュリティ専門家に確認を依頼し、適宜助言を得る。

★3は「自己評価」という名前ですが、SCSセキュリティ専門家の確認が必ず要ります。社内で用意するのか外部に頼むのかを考えておくと、研修や登録の案内が出たときに動きやすくなります。

埼玉で、会って進められること

ここからは、この記事を書いている私自身の話です。制度の説明ではありませんので、分けて書きます。

埼玉AI・ITガバナンス事務所の松岡 慧と申します。情報処理安全確保支援士（登録番号 第030402号）です。

前の節で挙げた6つの資格のうちの1つを持っている、ということになります。ただし先ほど書いたとおり、資格だけでは制度上のSCSセキュリティ専門家にはなりません。制度が定める研修を受けて登録したうえで、★3の確認から登録申請までを一か所で受けられる体制にしていく、というのが現時点で言えることのすべてです。

もうひとつ、埼玉に事務所を構えていることについて。

私の実感として、県内の中小企業には首都圏の大手と取引している会社が多く、★を提示される側になりやすいのではないかと考えています。これは統計に基づく話ではなく、あくまで日々お会いしている範囲での見立てです。

ただ、地元にいることの利点ははっきりしています。会って話せるということです。

セキュリティの話、特に「うちの資産は何か」「社内ネットワークとインターネットの境目はどこか」といった話は、画面越しよりも実際に現場を見たほうが早いことがあります。サーバーがどこに置かれているか、誰がどの端末を使っているか、そういうことは、行けばすぐ分かるのに、オンラインだと聞き取りに時間がかかることがあります。

★3の要求事項には、情報資産の把握やネットワークの把握が含まれています。この手の作業は、伺って一緒に手を動かすほうが確実だと思っています。

埼玉県内であれば、お伺いします。まずは現状を見せていただくところからで構いません。

よくある質問

経済産業省とIPAが公表しているFAQや解説書から、特に多そうなものを取り上げます。単に「FAQ」と書いたものは経済産業省のFAQ（2026年3月）です。

Q. 取らないと取引を切られますか

A. 制度としてそう定めているわけではありません。FAQは「★取得をどのような要件として契約上扱うかは、契約当事者同士で円満に合意されるべきもの」としています。契約でどう扱うかは2社の合意次第です。IPAのFAQも「全ての要求事項・評価基準を満たしていないことを理由に、直ちに取引停止等が求められるものではありません」としています。同じFAQは、独占禁止法上及び取適法上適切に活用することも求めています。

Q. 中小企業だけが対象ですか

A. いいえ。FAQは「中小企業だけでなく、大企業も評価対象とすることが可能なように制度を設計しています」としています。規模による限定はありません。

Q. 取得したことは公開されますか

A. 公開されます。FAQによれば「★3 や★4 を取得した企業については、制度オーナーである独立行政法人情報処理推進機構（IPA）の WEB サイトで公開することを予定しています」。

Q. EDRなどの製品を買う必要がありますか

A. 特定の製品を買うことは条件ではありません。FAQは「特定のセキュリティ対策製品の導入を求めるものではありません」と明言しています。マルウェア対策や監視など、求められる対策そのものは必要です。特定製品の購入を条件に★の取得を勧めてくる営業には注意してください。

Q. チェックリストや適合基準はどこにありますか

A. IPAのサイトで公開されています。IPAのFAQは「要求事項・評価基準への適合については、登録希望組織の方は「★3・★4自己評価等ガイド」を確認ください」としています。評価基準ごとの適合基準は、ガイドの別紙とアセスメントシートに載っています。★を取るには「★3・★4で定められたすべての要求事項・評価基準を満たしている必要があります」。一部だけ満たせばよい制度ではありません。

Q. 在宅勤務の機器や個人所有の端末も対象ですか

A. 対象です。要求事項・評価基準を適用する範囲を「適用範囲」といい、解説書は「役員又は従業員が在宅勤務等で利用する機器は、登録希望組織が支給したものであるかを問わず適用範囲に含める」としています。業務に使う個人所有の端末も含まれますが、業務上の通話、SMS、多要素認証のためだけに使う機器は除けます。委託先が所有する端末は含めなくてよいものの、取り扱いの条件を定めて、守られているかを確認する必要があります。インターネットに公開しているWebサーバやメールサーバは、必ず適用範囲に含めます。

Q. 公共事業の入札要件になりますか

A. 調達する機関次第です。IPAのFAQは「入札要件になるかどうかは、調達を行う機関の判断によるところです」としています。「取らないと入札で必ず不利になる」といった断定には注意してください。

Q. ISMSを持っていたらどうなりますか

A. 互いの代わりにはなりません。FAQは「ISMS（情報セキュリティマネジメントシステム）とは相互補完的な制度と位置づけています」としています。方針の比較表では、審査の観点が、ISMSは管理の仕組みの構築・運用、★3・★4は具体的な対策の実装とされています。ISMSを持っていれば評価が簡略化される、といった定めは公開資料には見当たりません。

Q. ★3の有効期間は1年ですが、取引が1年を超えるときは

A. FAQは「当該契約の満了までは、必要な★の評価を維持し続けることを求める等の運用が考えられます」としています。契約期間中は★を維持し続けることが想定されている、ということです。

Q. 取得を支援するサービスはありますか

A. 実証事業が始まっています。サイバーセキュリティお助け隊サービスというのは、中小企業向けのセキュリティ支援サービスの既存の枠組みで、「新類型」はそこに加わる新しい種類のことです。FAQは「サイバーセキュリティお助け隊サービス（新類型）は、★3 や★4 の取得支援を目的としたサービスです」とし、内容は「セキュリティポリシー策定などの組織的対策の支援」の予定としています。現在は実証の段階で、採択された15事業者がサービスを提供し、参加は無償です。募集状況は事業者ごとに異なります。

まとめ — まず自社を照らしてみる

長くなったので、要点をまとめます。

• SCS評価制度は、サプライチェーンのセキュリティ対策を★という共通のものさしで示す制度です
• 任意であり、規制でも格付けでもありません
• 段階は★3と★4。★3は要求事項26件で、専門家確認付き自己評価です
• ★3の対象は組織の整理から技術的な対策まで幅があり、すべての基準を満たす必要があります。特定製品の購入は条件ではありません
• 経営層の自己適合宣言が必要で、情シスだけでは完結しません
• 有効期間は★3が1年。登録料は2028年3月31日まで1万円／年、以降は2万円／年です
• 申請の受付開始は2027年3月の予定。適合の判断基準を示す評価用ガイドと解説書は公開済みです
• 「取らないと商取引が規制される」「入札から除外される」と言い切る営業には注意してください。実際の条件は取引先ごとに確かめます

そのうえで、いま何をするか。

要求事項を見て、自社がどこまでできているかを照らしてみることです。

★3はすべての基準を満たす必要があるので、軽い要求ではありません。ただ、私の見方では、「担当者を明確にする」「情報資産を把握する」「対応手順を作る」といったことが、日々の業務の中で後回しになっている会社は少なくないと思います。どこができていて、どこができていないか。それが見えるだけで、次の一手が決まります。

適合の判断基準はすでに公開されています。自社の現在地を知る作業は今日からできます。いきなり全基準を読み込むより、まず大まかな棚卸しをしておくと、ガイドのどこから読めばいいかが見えてきます。

そこで、★3の要求事項をもとにした簡易診断をご用意しました。設問に答えていくだけで、自社の対応状況がひととおり見える形にしています。

▶ 簡易診断はこちら

診断が終わると結果が表示されます。その画面からそのままご相談いただけます。結果は自動で問い合わせ内容に入るので、書き写していただく必要はありません。「この項目はうちの場合どう考えればいいのか」「どこから手をつけるべきか」といったご相談に、結果を見ながらお答えします。

診断を挟まずに直接ご連絡いただいても構いません。その場合は結果が付きませんので、いま気になっていることを少し詳しめに書いていただけると話が早いです。

埼玉県内であれば、お伺いして現場を拝見することもできます。まずは現状を見せていただくところから始めましょう。

この記事について

この記事は、2026年11月1日時点で公表されている資料に基づいています。おもな出典は、経済産業省の制度構築方針および同FAQ、IPAの制度規程（SCS-100 基本規程ほか）、要求事項・評価基準、評価用ガイド、解説書、料金設定のお知らせ、FAQ、メールニュースです。各資料へのリンクは、次の「参考」にまとめました。

SCS評価制度はまだ具体化の途中にあります。登録申請の手引、評価機関の顔ぶれ、SCSセキュリティ専門家の登録手続は、これから公表される予定です。新しい資料が出た時点で、この記事も更新します。

参考

本文の根拠にした一次資料です。

• サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（経済産業省、2026年3月・PDF）
• SCS評価制度 よくあるお問い合わせ（FAQ）（経済産業省、2026年3月・PDF）
• SCS-100 基本規程（IPA、2026年8月28日公開・施行・PDF）
• ★3・★4 要求事項・評価基準 Ver.1.1（IPA、2026年10月28日・Excel）
• ★3・★4 自己評価等ガイド（IPA、2026年10月28日・PDF）
• ★3・★4 要求事項・評価基準 解説書（IPA、2026年10月28日・PDF）
• 料金設定のお知らせ（IPA、2026年9月18日・PDF）
• よくある質問（IPA、2026年10月30日更新）
• 不適切な勧誘に関する注意喚起（経済産業省・内閣官房国家サイバー統括室、2026年4月27日）

制度の最新情報は、IPAのSCS評価制度サイトと経済産業省の特設サイトで公表されます。