SCS評価制度ガイドを公開しました
制度の最新情報、立場別の「やるべきこと」、かんたん判定をまとめた情報サイトを公開しました。制度に関する記載は一次情報を確認して作成しています。
サプライチェーン強化に向けたセキュリティ対策評価制度
SCS評価制度で、
自社が何をやるべきかを整理する。
制度が動き出すと、まず困るのは「結局うちは何をすればいいのか」です。 このサイトは、発注元・受注側・中小企業・情シス・経営層それぞれの立場から、 着手すべきことを順番に整理します。
判定の入力内容はブラウザ内でのみ処理され、サーバーには送信されません。
いま分かっていること
使われ方
2社間の取引契約等において、委託元が委託先に適切な段階（★）を提示し、 示された対策を促すとともに実施状況を確認することが想定されています。
段階
要求事項が定められているのは ★3（26件）と★4（43件）。 ★1・★2 は既存の「SECURITY ACTION」を参照、★5 は検討中です。
時期
★3・★4 は2027年3月頃の運用開始予定。申請方法と取得ガイドは2026年10月頃、 評価機関は2026年12月末頃に公表予定です。
今できること
要求事項・評価基準はすでに公開済みです。 ギャップ分析は今日から始められます。SECURITY ACTION も制度開始を待つ必要はありません。
出典：経済産業省・内閣官房国家サイバー統括室「制度構築方針」（2026年3月27日）、IPA「SCS評価制度」。 詳しくは要求事項の公開についてをご覧ください。
立場別に、やるべきことを整理する
同じ制度でも、発注する側と受注する側では、やることがまったく違います。
調達／購買／ベンダーマネジメント
発注元・調達部門
制度は「委託元が委託先に適切な★を提示し、対策を促して実施状況を確認する」ことを想定しています。提示する側の設計が先です。
受注側の事業部門・品質保証・情報システム部門
受注側（元請・中堅以上）
制度が対策の実施主体として想定しているのは受注者側です。同時に、自社の再委託先に対しては提示する側にもなります。
経営者、総務・情報システム兼任担当
中小企業・小規模事業者
IPA は、リソースが限られる中小企業こそ制度の活用効果が大きいとしています。支援策も中小企業向けに用意されます。
情報システム部門、CSIRT、セキュリティ推進
情報システム部門・セキュリティ担当
要求事項・評価基準は Excel で公開済みです。まずギャップ分析ができます。証跡が出せるかが勝負どころです。
経営者、役員、事業責任者
経営層
★3 の申請には経営層による自己適合宣誓が必要です。これは実務担当者に委ねきれない手続きです。
評価レベル（★1〜★5）
- ★☆☆☆☆★1（SECURITY ACTION）制度構築方針では「★1・★2 については、IPA が運営する『SECURITY ACTION』を参照されたい」とされています。SCS評価制度として要求事項が定められているのは ★3 以降です。
- ★★☆☆☆★2（SECURITY ACTION）★1 と同じく「SECURITY ACTION」を参照する段階とされています。SCS評価制度として独自の要求事項は定められていません。
- ★★★☆☆★3一般的なサイバー脅威に対処しうることを水準として規定した段階。要求事項は26件、評価は「専門家確認付き自己評価」、有効期間は1年とされています。
- ★★★★☆★4サプライチェーン企業等が標準的に目指すべき水準。要求事項は43件、評価機関による第三者評価と技術検証が入り、有効期間は3年とされています。
- ★★★★★★5より高度なサイバー攻撃への対応を想定した段階。要求事項・評価基準、評価スキーム、開始時期はいずれも現在検討中とIPAが公表しています。
判断に迷ったら、相談してください
「どの水準を目指すべきか」「取引先から来た質問票にどう答えるか」など、 自社の状況に即した相談を受け付けています。