制度を知る
評価レベル（★1〜★5）
セキュリティ対策の水準を★の数で表す段階評価です。★1・★2 は既存の自己宣言制度「SECURITY ACTION」を参照する扱いで、SCS評価制度として要求事項・評価基準が定められているのは ★3 以降です。
★3 を経由せずに ★4 を目指せます。上位の段階は、それ以下の段階で求められる事項を包括します。制度構築方針には 「★3を事前に取得していなければ★4を取得できないという関係とはならない」と明記されています。 なお ★5 は、要求事項・評価スキーム・開始時期のいずれも検討中です。
- ★☆☆☆☆
★1（SECURITY ACTION）
一次情報で確認済み制度構築方針では「★1・★2 については、IPA が運営する『SECURITY ACTION』を参照されたい」とされています。SCS評価制度として要求事項が定められているのは ★3 以降です。
主な想定対象：これからセキュリティ対策に着手する中小企業
- ★★☆☆☆
★2（SECURITY ACTION）
一次情報で確認済み★1 と同じく「SECURITY ACTION」を参照する段階とされています。SCS評価制度として独自の要求事項は定められていません。
主な想定対象：基本的な対策に着手済みの中小企業
- ★★★☆☆
★3
一次情報で確認済み一般的なサイバー脅威に対処しうることを水準として規定した段階。要求事項は26件、評価は「専門家確認付き自己評価」、有効期間は1年とされています。
主な想定対象：全てのサプライチェーン企業（最低限実装すべき水準として位置づけ）
- ★★★★☆
★4
一次情報で確認済みサプライチェーン企業等が標準的に目指すべき水準。要求事項は43件、評価機関による第三者評価と技術検証が入り、有効期間は3年とされています。
主な想定対象：供給停止や情報漏えいがサプライチェーンに大きな影響を及ぼす企業
- ★★★★★
★5
一次情報で確認済みより高度なサイバー攻撃への対応を想定した段階。要求事項・評価基準、評価スキーム、開始時期はいずれも現在検討中とIPAが公表しています。
主な想定対象：未知の攻撃を含む高度なサイバー攻撃を想定する必要がある組織