- 主な想定対象
- 供給停止や情報漏えいがサプライチェーンに大きな影響を及ぼす企業
- 評価方法
- 第三者評価（評価機関による審査＋技術検証、有効期間3年）
水準の考え方
★4 は、初期侵入の防御にとどまらず、内外への被害拡大防止・目的遂行のリスク低減によって取引先のデータやシステムの保護に寄与すること、サプライチェーンにおける自社の役割に適合したサプライチェーン強靭化策が講じられていることを水準としています。
- 想定される脅威：供給停止等によりサプライチェーンに大きな影響をもたらす企業への攻撃
- 想定される脅威：機密情報等、情報漏えいにより大きな影響をもたらす資産への攻撃
- 対策の基本的な考え方：組織ガバナンス・取引先管理、システム防御・検知、インシデント対応等の包括的な対策を実施し、実地審査および技術検証を含む評価によって実施状況を確認する
要求事項・評価基準
- 要求事項：43件（★3・★4 要求事項・評価基準の全件）
- 評価基準：153件
- 取得には、★4 で定められたすべての要求事項・評価基準を満たす必要があります
要求事項は「ガバナンスの整備」「取引先管理」「リスクの特定」「攻撃等の防御」「攻撃等の検知」「インシデントへの対応」「インシデントからの復旧」の7つの大分類に整理され、NIST CSF の機能（統治・識別・防御・検知・対応・復旧）に対応づけられています。
評価の進め方
★4 は第三者評価です。評価機関が要求事項について審査し、あわせて技術検証が行われます。
- 指定委員会が、評価機関・技術検証事業者を指定する
- 取得希望組織が、★4 要求事項・評価基準に基づき自己評価を記入する
- 取得希望組織が、評価機関に検証・評価を依頼する
- 評価機関が検証・評価を実施する（検証は評価機関から委託された技術検証事業者が行う場合もある）
- 評価機関が、取得希望組織に評価報告書を提供する
- 取得希望組織が、事務局に ★4 の登録を申請する
- 事務局が、申請内容に問題が認められない場合に台帳へ登録し、公開する
★4 では、評価機関および技術検証事業者が、文書確認に加えて実地審査および技術検証を行います。評価は、取得希望組織が決定した適用範囲の中から対象をサンプリングして実施することが想定されています。
★3 を経由する必要はありません
上位の段階は下位の段階の事項を包括するため、★3 を事前に取得していなくても ★4 を目指せます。
参考にされた既存の枠組み
- 自工会・部工会ガイド Lv2〜3（Lv3 は一部の項目）
- 分野別ガイドライン 等
出典
経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日、PDF）
IPA「SCS評価制度の詳細情報」
IPA「要求事項・評価基準」
IPA「よくある質問」
本ページの解説文は、上記の一次情報をもとに当サイトが要約・再構成したものです。正確な表現は原典をご確認ください。
出典：経済産業省 / IPA最終確認：