【2026年9月版】SCS評価制度の全体像 — ★3で何を求められ、いつまでに何をするのか

はじめに

情報処理安全確保支援士の松岡です。埼玉AI・ITガバナンス事務所として埼玉県内を中心に活動しており、SCS評価制度への対応支援に取り組んでいます。

自社の対応状況をまず確かめたい方には、★3の要求事項をもとにした簡易診断をご用意しています。診断結果の画面からそのままご相談いただけますし、直接のお問い合わせも歓迎です。

このコラムでは、経済産業省が構築を進めている新しい制度「SCS評価制度」の全体像を、公表されている一次資料に基づいて整理します。制度の目的から、★3で何を求められるのか、取得までの手順、期間と費用、そして何がまだ決まっていないのかまで、この一本で把握できることを目指します。

想定する読者は、中小企業の経営者と情報システム担当の方です。特に、次のような状況の方を念頭に書いています。

• 取引先から「★3を取得してほしい」という文書や打診が届き、どう返事をすべきか迷っている
• 「SCS評価制度」「★3」という言葉を最近知ったが、検索してもPDFの資料ばかりで、結局自社が何をすればいいのか分からない
• まだ何も言われていないが、大手企業との取引があり、いずれ求められる側になりそうだと感じている

こうした場面で慌てず、正確な情報をもとに判断できるようになっていただくことが、この記事のゴールです。

この制度ができた背景

そもそも、なぜこの制度が作られたのか。背景ははっきりしています。制度構築方針は現状をこう書いています。「近年、サプライチェーンを通じたセキュリティインシデントが頻発。委託先等、サプライチェーン全体のセキュリティ対策が求められる中」——つまり、自社を直接狙われるのではなく、取引先を経由して被害が広がる事故が増えたということです。

そこで委託元の企業は、委託先のセキュリティ対策を確認しようとします。しかし方針が指摘するとおり、「委託先におけるセキュリティ対策が可視化しづらく、要求事項（チェックリスト等）の適正性の担保も難しい」。何を聞けばいいのか、聞いた答えが妥当なのか、委託元の側にも判断がつかないのです。

その結果どうなるか。各社が独自のチェックリストを作り、それぞれ委託先に送りつけます。受け取る側から見ると、こうなります。

委託先企業：複雑なサプライチェーン下で様々な委託元から様々な要求事項を求められ、過度な負担につながっている(特に中小企業を中心に)

A社からは50項目のExcel、B社からは30項目のPDF、C社からは独自のWebフォーム。聞かれていることは似ているのに、書式も粒度もばらばら。心当たりのある方は多いのではないでしょうか。

SCS評価制度は、この「ばらばら」を一本化しようという制度です。共通のものさしを作り、★という段階で示す。委託元は「★3をお願いします」と言えば済む。方針自身が、他制度と比べる中でこの制度の目的を「様々な取引先から様々な要求事項を求められる状況下における基準統一による企業の負担軽減」と書いています。ばらばらの要求に一社ずつ答える負担を、共通の基準で減らそうということです。

制度構築方針は、中小企業への効果をはっきり書いています。「特にサプライチェーンを構成する中小企業は、セキュリティ対策におけるリソースが限られていること／自社のリスクを踏まえてセキュリティ対策を行うことはハードルが高いことから、活用による効果が大きい」。

まず知っておくべきなのは、これが「大企業向けの新しい規制」ではなく、むしろ中小企業の負担を減らすために設計された制度だということです。

SCS評価制度とは何か

正式には「サプライチェーン強化に向けたセキュリティ対策評価制度」といいます。長いので、以下ではSCS評価制度と呼びます。

使われ方は具体的に決まっています。

２社間の取引契約等において、委託元が、委託先に適切な段階(★)を提示し、示された対策を促すとともに実施状況を確認することを想定

ポイントは「2社間の取引契約」です。国が全事業者に何かを義務づける制度ではありません。あくまで、取引をする2社の間で使う道具として設計されています。

ここで誤解が生まれやすいので、制度側が自分で否定していることを2つ挙げます。

ひとつ目。これは格付けではありません。方針の注記にこうあります。「事業者のセキュリティ対策レベルを競わせることを目的としたもの(格付け制度等)ではない」。★の数が多いほど優れた会社、という制度ではないということです。どの★を求められるかは、先ほどの引用にあったとおり、個々の取引の中で委託元が提示して決まるものです。

ふたつ目。規制ではありません。経済産業省のFAQは、★の取得が必須かという問いに対してこう答えています。「本制度として何らかの規制を課すものではありません」。

では誰が対象なのか。FAQはこう書いています。

業種や事業規模を問わず、幅広い事業者が対象となり得ます。サプライチェーンを構成する企業等を対象としていますが、取引先からの要請が無くても、各企業が自らのサイバーセキュリティ対策状況を可視化するために、マーク（★）を自主的に取得することも考えられます。

業種も規模も問わない。そして、取引先から言われなくても自分から取ることができる。この「自主的に取得することも考えられます」という一文は、地味ですが重要です。取引先に言われてから慌てるのではなく、先に取っておいて営業材料にする、という使い方が制度側の想定に入っているということです。

申請する単位も決まっています。「評価取得の申請主体は、自社IT基盤を中心とした自社のセキュリティ対策の向上に責任を有する単位(原則として法人又は個人事業主単位)とする」。原則として会社単位です。個人事業主も申請できます。

最後に、期待しすぎないための一文も方針に書かれています。★を取ることは「セキュリティインシデントに対して完全なセキュリティが確保されていることを保証するものではない」。★3を取れば安全になる、という制度ではありません。あくまで、その時点で一定の水準を満たしていることを示すものです。

この節の要点は、SCS評価制度が「任意」「非規制」「非格付け」の制度であるということです。取引先との会話で焦る必要はありません。

誰が制度を動かすのか

制度の話がややこしく感じるのは、登場人物が多いからです。先に整理しておきます。

制度運営機関は、独立行政法人情報処理推進機構、いわゆるIPAです。

表を見ていただくと分かるとおり、★3を目指す会社にとって直接関係があるのは上の2つだけです。評価機関や技術検証事業者が出てくるのは★4からです。

ここでは「★3なら登場人物は2つだけ」と覚えておけば十分です。

★3と★4は何が違うのか

制度には現在★3と★4の2つの段階があります。★5は検討中です。

★3が想定しているのは、ごく一般的な攻撃です。方針は「★３については、一般的なサイバー脅威に対処しうることを水準として規定」としています。広く知られた脆弱性を突かれる、パスワードを破られる、といった攻撃を防げる状態です。

★4はもう一段上を見ています。「初期侵入の防御にとどまらず、内外への被害拡大防止・目的遂行のリスク低減によって取引先のデータやシステム保護に寄与する点」。侵入されることを前提に、そこから被害が広がるのを止められるか、という水準です。

違いを一枚にまとめます。

ひとつ誤解されやすい点があります。★3を取ってからでないと★4に進めない、という制度ではありません。方針は明記しています。「★3を事前に取得していなければ★4を取得できないという関係とはならない」。いきなり★4を目指すこともできます。

そして最も実務に効く違いが、評価のやり方です。★3は「専門家確認付き自己評価」、★4は「第三者評価」。

この差は大きいです。★3は自社で評価を書き、それをSCSセキュリティ専門家に確認してもらう形。★4は評価機関という外部の組織に審査を受ける形で、技術検証——外部から接続できるシステムに危険な脆弱性がないかを実際に調べる検証——が加わることもあります。かかる手間は相当に違うはずですが、費用がどれだけ違うかは、制度の料金がまだ公表されていないので分かりません。

★5については、方針が「ISMS適合性評価制度との制度的整合性、★3・4との整合性も踏まえ、今後対策事項を検討」としているだけで、中身はまだ決まっていません。

中小企業がまず見るべきは★3です。要求事項26件、自己評価ベース。ここが現実的な出発点になります。

★3では何を求められるのか

いちばん知りたいところだと思います。ここは制度構築方針に大分類ごとの整理があり、★3で求められる項目が名指しで挙げられています。7つの分類を順に見ていきます。

ここまで読んで、どう感じられたでしょうか。

私の見方を書くと、★3で求められているのは、新しい技術ではなく整理です。担当者を決める、資産を洗い出す、手順を紙にする、パスワードとアップデートをきちんとやる。多くはお金より手間の問題です。

そしてこれは制度側もはっきり言っています。FAQに「特定のセキュリティ対策製品の導入を求めるものではありません」とあります。EDR（パソコンやサーバーの不審な動きを検知して対処するためのセキュリティ製品）を入れないと★3が取れない、といったことはありません。

参考までに、★4になると「重要な取引先等の対策状況把握」が加わります。自社の取引先のセキュリティ状況を把握することが求められるわけです。再委託先まで制度の影響が及ぶとしたら、この項目を通じてです。方針も、直接の取引先が★4対象の場合には「重要な機密情報が提供されている再委託先等にも一定の適用が期待される」としています。★4を取った会社がその先の取引先に確認を求める、という形で広がり得るわけです。

★3の中身は「基礎の整理」です。ここを読んで「うちはもうやっている」と思った項目と「やっていない」と思った項目を、分けてみてください。

★3を取るまでの流れ

手順は4段階です。

自己評価を書く → SCSセキュリティ専門家が確認・署名 → 経営層の宣誓を添えて提出 → 台帳に登録・公開

1. 登録希望組織（★を取ろうとする会社の、制度上の呼び名です）が、★3の要求事項・評価基準に基づいて自己評価を記入する
2. SCSセキュリティ専門家が内容を確認し、必要に応じて助言を行い、了承した場合に署名する
3. 登録希望組織が、経営層による自己適合宣誓を含めて評価結果を提出する
4. 制度運営機関が、申請内容に問題が認められない場合には台帳に登録し、公開する

手順1に「評価基準」という言葉が出てきました。要求事項が「何をすべきか」を示す項目（★3では26件）で、評価基準はその一つひとつにひも付く、達成を確認するための基準です。番号も要求事項の番号の下に枝番で振られています。

注意していただきたい点が3つあります。

ひとつ目は、経営層の関与が必須だということです。手順3にある「経営層による自己適合宣誓」がそれです。方針の注記はさらに踏み込んでいて、この制度でいう自己評価には「組織内のセキュリティを担当する担当者や部門が独自に実施する評価は含まれない」と書かれています。情シスが一人で完結させることはできません。経営層が内容を理解し、宣誓する必要があります。

ふたつ目は、虚偽への措置です。「自己評価結果に虚偽、その他の不正が発覚した場合、取得した★の取消し等の措置を受ける場合がある」。自己評価だから甘く書いておこう、という運用は成り立ちません。

3つ目は、登録が公開されるということです。基本規程はこう定めています。「制度運営機関は、申請内容に不備を認めないときは、登録組織台帳に登録し、遅滞なく公表する」。取得したことは登録組織台帳に載り、公表されます。営業上のメリットにもなりますが、取得している以上その水準を維持する責任も生じる、ということでもあります。

★3の取得は「情シスの作業」ではなく「経営の意思決定」です。ここを最初に押さえてください。

期間と費用

★は取ったら終わりではありません。

まず期間です。

基本規程にはこうあります。「★3 の有効期間は、登録完了の旨を通知した日から起算して 1 年間とし、有効期限はその翌年同日までとする」。★3は毎年です。

★4は3年ですが、放っておけるわけではありません。「登録組織は、有効期間中は 1 年ごとに自己評価を実施し、その結果を評価機関へ提出しなければならない」。3年ごとに第三者評価を受け、その間も毎年自己評価を出す必要があります。

次に費用です。ここは、はっきりしていることとしていないことがあります。

有料であることは確定しています。基本規程6.5に「登録希望組織は、制度運営機関に対し、登録の申請に要する申請料及び登録に要する登録料を支払わなければならない」とあります。申請料と登録料、2種類です。

金額は決まっていません。同じ条文が「詳細については別途定める」と続けています。

予算を立てるなら、「制度への支払い（金額未公表）」「専門家への依頼に関わる費用（定めは未公表）」「対策の実施費用」の3つに分けて考えてください。そして★3は毎年かかる費用だという前提で。

いつまでに何が決まるのか

ここは制度を追いかけるうえでいちばん混乱しやすいところです。「もう始まっている」ものと「まだ何も出ていない」ものが混在しているためです。

上の2行が「もう決まっていること」です。運用開始は「2027年3月頃」という予定が示されている段階で、確定日ではありません。下の3行は「まだ決まっていないこと」です。

制度規程については、基本規程をはじめとする7つの文書が出そろっています。この記事で引用している有効期間や費用の話は、すべてこの規程に基づいています。

まだ決まっていないもののうち、★3を目指す会社にとって最も影響が大きいのが評価用ガイドと解説書です。「どの程度やれば要求事項を満たしたことになるのか」という判断基準が、まだ世に出ていません。評価機関についても、FAQは「現時点では、指定・公表は行われていません」としています。

いま動けるのは「要求事項を見て自社を照らすこと」までです。「合格するための作り込み」は、評価用ガイドが出てからでないと空振りになる可能性があります。この線引きが大事です。

ISMSやSECURITY ACTIONとの関係

すでに何かに取り組んでいる会社は、「今やっていることは無駄になるのか」が気になると思います。

結論から言うと、無駄にはなりません。

SECURITY ACTIONは、IPAが実施している、中小企業がセキュリティ対策への取り組みを自ら宣言する制度です。宣言の段階として一つ星・二つ星があります（名前は似ていますが、SCS評価制度の★3・★4とは別物です）。これについて方針ははっきり「★３・４取得の準備段階」としています。★3への助走として扱われているということです。

ISMSについては、方針が「国際標準であるISMS適合性評価制度等と相互補完的な制度として発展することを目指す」としています。

両者の考え方の違いも説明されています。FAQによれば、SCS評価制度の★3・★4は「代表的な脅威を参考に、効果の高い管理策を抽出するベースラインアプローチを採用しています」。

かみくだくと、ISMSが「自社のリスクを自分で分析して、必要な対策を自分で決める」やり方であるのに対し、SCS評価制度は「よくある脅威に対して効く対策をあらかじめリストにしておいたので、これをやってください」というやり方です。後者のほうが、リソースの限られた会社には取り組みやすい。制度が中小企業を意識して設計されている、というのはこういうところに表れています。

すでにSECURITY ACTIONを宣言している、あるいはISMSを持っている会社は、それを土台にできます。ゼロからではありません。

「今すぐ取らないと」には注意

ここは書いておかなければならない話です。

制度が動き出す前から、それを騙る営業活動が報告されています。経済産業省と内閣官房国家サイバー統括室は、2026年4月27日に注意喚起を出しました。報告されているのは、こういう営業です。

「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」といった営業活動による製品・サービスの勧誘が報告されている。

まず「商取引が規制される」のほうは、事実ではありません。この記事でここまで見てきたとおり、制度は任意であり、規制を課すものではありません。

もう一方の「入札から除外される」はどうか。FAQは「政府機関等や重要インフラ事業者等における調達等での活用は、今後検討してまいります」としています。検討段階です。「入札から除外される」と言い切れる根拠は、現時点でどこにもありません。

取引契約での扱いについても、FAQは冷静な線を引いています。「契約当事者同士で円満に合意されるべきものであり、独占禁止法上及び取適法上適切に本制度を活用することが求められます」。★の取得を一方的に押し付けることは、独占禁止法や取適法（中小受託取引適正化法。いわゆる下請法の後継です）の観点から問題になり得るということです。委託元の立場にある会社にとっては、これも押さえておくべき点です。

判断材料はこうです。「今すぐ」「取らないと不利になる」と急かしてくる相手は、制度を正確に説明していません。運用開始は2027年3月頃で、合格基準を示す評価用ガイドすらまだ出ていないのですから。取引先から★の取得を求める文書がいま届いたとしても、返事を急いだり慌てて何かを買ったりする必要はありません。まだ誰も★を取れない段階だと取引先に伝え、時期と水準を話し合うところからです。

★3は自己評価だが、自分だけでは完結しない

ここまで読んで、「★3は自己評価なら、うちの情シスがやればいいのでは」と思われたかもしれません。

そこは制度側が明確に否定しています。FAQの回答です。

★3 の取得にあたっては、「セキュリティ専門家」による確認が必要です。単に社内の情報システム担当者であれば良いというものではありません。

では、そのSCSセキュリティ専門家とは誰なのか。方針は資格を指定しています。

情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISM、CISA、ISO27001主任審査員をセキュリティ専門家の資格として設定する。

この6つです。方針にはそれぞれの力量を整理した表があり、そこで情報処理安全確保支援士だけは「ITSSレベル4に位置づけられる」と書かれています。ITSSというのは経済産業省がまとめたITスキル標準のことで、レベル4は専門分野を確立した高度IT人材の水準にあたります。他の5資格が「相当する力量を有すると考えられる」という書き方であるのに対し、支援士は国家資格として位置づけが確定している、という違いです。

ただし、資格を持っているだけでは足りません。方針にはこう書かれています。

セキュリティ専門家には力量の保持/維持と研修の受講に係る要件を課す。

制度が定める研修を受けることが要件になっています。そしてその研修を提供する研修事業者は、これから公募が始まる段階です。加えて、SCSセキュリティ専門家の要件を定める規程そのものが、まだ公表されていません。

つまり現時点では、どの資格保持者も「制度上のSCSセキュリティ専門家」にはなっていません。全員がこれから研修を受ける立場です。

社内に該当者がいない場合は、外部に頼むことになります。方針もそれを前提にしています。

社内にいない場合、社外のセキュリティ専門家に確認を依頼し、適宜助言を得る。

★3は「自己評価」という名前ですが、外部の専門家が必ず関わります。誰に確認を頼むのかを、早めに考えておく必要があります。

埼玉で、会って進められること

ここからは、この記事を書いている私自身の話です。制度の説明ではありませんので、分けて書きます。

埼玉AI・ITガバナンス事務所の松岡 慧と申します。情報処理安全確保支援士（登録番号 第030402号）です。

前の節で挙げた6つの資格のうちの1つを持っている、ということになります。ただし先ほど書いたとおり、資格だけでは制度上のSCSセキュリティ専門家にはなりません。制度が定める研修を受けたうえで、★3の確認から登録申請までを一か所で受けられる体制にしていく、というのが現時点で言えることのすべてです。運用開始が2027年3月頃ですので、それに間に合わせる形で準備を進めています。

もうひとつ、埼玉に事務所を構えていることについて。

私の実感として、県内の中小企業には首都圏の大手と取引している会社が多く、★を提示される側になりやすいのではないかと考えています。これは統計に基づく話ではなく、あくまで日々お会いしている範囲での見立てです。

ただ、地元にいることの利点ははっきりしています。会って話せるということです。

セキュリティの話、特に「うちの資産は何か」「どこがネットワークの境界か」といった話は、画面越しよりも実際に現場を見たほうが早いことがあります。サーバーがどこに置かれているか、誰がどの端末を使っているか、そういうことは行けば5分で分かるのに、オンラインだと1時間聞いても分からなかったりします。

★3の要求事項には、情報資産の把握やネットワークの把握が含まれています。この手の作業は、伺って一緒に手を動かすほうが確実だと思っています。

埼玉県内であれば、お伺いします。まずは現状を見せていただくところからで構いません。

よくある質問

経済産業省が公表しているFAQから、特に多そうなものを取り上げます。

Q. 取らないと取引を切られますか

A. 制度としてそう定めているわけではありません。FAQは「★取得をどのような要件として契約上扱うかは、契約当事者同士で円満に合意されるべきもの」としています。契約でどう扱うかは2社の合意次第です。一方的な押し付けは、独占禁止法や取適法の観点から問題になり得ます。

Q. 中小企業だけが対象ですか

A. いいえ。FAQは「中小企業だけでなく、大企業も評価対象とすることが可能なように制度を設計しています」としています。規模による限定はありません。

Q. 取得したことは公開されますか

A. 公開されます。FAQによれば「★3 や★4 を取得した企業については、制度オーナーである独立行政法人情報処理推進機構（IPA）の WEB サイトで公開することを予定しています」。取得は営業材料として使えます。

Q. EDRなどの製品を買う必要がありますか

A. ありません。FAQは「特定のセキュリティ対策製品の導入を求めるものではありません」と明言しています。特定製品の購入を条件に★の取得を勧めてくる営業には注意してください。

Q. チェックリストや合格基準はどこにありますか

A. 要求事項と評価基準そのものは、すでに公開されています。ただし判定方法は別です。FAQは「詳細な評価方法は、来年度の制度具体化の過程で IPA から公表予定です」としています。このFAQの最終更新は令和8年3月27日、つまり2026年3月です。だからここでいう「来年度」は令和8年度、2026年4月から2027年3月までのことを指します。運用開始（2027年3月頃）までに出てくる予定、と読んでください。合格基準はまだ出ていません。

Q. 在宅勤務や出向者の環境も対象ですか

A. まだ決まっていません。FAQは「詳細な評価対象の範囲については、令和８年度の制度具体化の過程において、制度開始までに IPA から公表します」としています。テレワーク環境をどこまで含めるかは、今後の公表を待つ必要があります。

Q. 公共事業の入札要件になりますか

A. 現時点では未定です。FAQは「政府機関等や重要インフラ事業者等における調達等での活用は、今後検討してまいります」としています。「入札で不利になる」という営業トークには根拠がありません。

Q. ISMSを持っていたらどうなりますか

A. 無駄にはなりません。FAQは「ISMS（情報セキュリティマネジメントシステム）とは相互補完的な制度と位置づけています」としています。置き換えではなく、補い合う関係です。

Q. 有効期間は1年ですが、取引が1年を超えるときは

A. FAQは「当該契約の満了までは、必要な★の評価を維持し続けることを求める等の運用が考えられます」としています。契約期間中は★を維持し続けることが想定されている、ということです。

Q. 取得を支援するサービスはありますか

A. 用意される予定です。サイバーセキュリティお助け隊サービスというのは、中小企業向けのセキュリティ支援サービスの既存の枠組みで、「新類型」はそこに加わる新しい種類のことです。FAQは「サイバーセキュリティお助け隊サービス（新類型）は、★3 や★4 の取得支援を目的としたサービスです」とし、内容は「セキュリティポリシー策定などの組織的対策の支援」の予定としています。

まとめ — まず自社を照らしてみる

長くなったので、要点をまとめます。

• SCS評価制度は、サプライチェーンのセキュリティ対策を★という共通のものさしで示す制度です
• 任意であり、規制でも格付けでもありません
• 段階は★3と★4。中小企業がまず見るべきは★3（要求事項26件、専門家確認付き自己評価）です
• ★3の中身は「基礎の整理」。特定製品の購入は求められません
• 経営層の自己適合宣誓が必要で、情シスだけでは完結しません
• 有効期間は★3が1年。有料ですが、金額は未公表です
• 運用開始は2027年3月頃。合格基準を示す評価用ガイドはまだ出ていません
• 「今すぐ取らないと不利になる」という営業には注意してください

そのうえで、いま何をするか。

要求事項を見て、自社がどこまでできているかを照らしてみることです。

★3の26件は——これは私の見方ですが——決して手の届かない要求ではありません。ただ、「担当者を明確にする」「情報資産を把握する」「対応手順を作る」といったことが、日々の業務の中でつい後回しになっているだけ、という会社が多いはずです。どこができていて、どこができていないか。それが見えるだけで、次の一手が決まります。

合格基準はまだ出ていませんが、自社の現在地を知る作業は今日からできます。むしろ、基準が出てから慌てるより、先に棚卸しをしておいたほうが確実です。

そこで、★3の要求事項をもとにした簡易診断をご用意しました。設問に答えていくだけで、自社の対応状況がひととおり見える形にしています。

▶ 簡易診断はこちら

診断が終わると結果が表示されます。その画面からそのままご相談いただけます。結果は自動で問い合わせ内容に入るので、書き写していただく必要はありません。「この項目はうちの場合どう考えればいいのか」「どこから手をつけるべきか」といったご相談に、結果を見ながらお答えします。

診断を挟まずに直接ご連絡いただいても構いません。その場合は結果が付きませんので、いま気になっていることを少し詳しめに書いていただけると話が早いです。

埼玉県内であれば、お伺いして現場を拝見することもできます。まずは現状を見せていただくところから始めましょう。

この記事について

この記事は、2026年9月時点で公表されている資料に基づいています。おもな出典は、経済産業省の制度構築方針および要求事項・評価基準、同FAQ、IPAの制度規程（SCS-100 基本規程ほか）です。各資料へのリンクは、次の「参考」にまとめました。

本文中で繰り返し触れたとおり、SCS評価制度はまだ具体化の途中にあります。評価用ガイドや解説書、申請料・登録料の金額、評価機関の顔ぶれは、これから公表されます。新しい資料が出た時点で、この記事も更新します。

参考

本文の根拠にした一次資料です。

• サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（経済産業省、2026年3月・PDF）
• SCS評価制度 ★3・★4 要求事項及び評価基準（別添）（経済産業省、2026年3月・Excel）
• SCS評価制度 よくあるお問い合わせ（FAQ）（経済産業省、2026年3月・PDF）
• SCS-100 基本規程（IPA、2026年8月28日公開・施行・PDF）
• 不適切な勧誘に関する注意喚起（経済産業省・内閣官房国家サイバー統括室、2026年4月27日）

制度の最新情報は、IPAのSCS評価制度サイトと経済産業省の特設サイトで公表されます。