経理ドリブン

セキュリティ対策評価制度（SCS評価制度）とは、企業のセキュリティ対策状況を共通の基準で評価・可視化する、サプライチェーン全体のセキュリティ強化を目的とした制度です。
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、SCSは「Supply Chain Security」の略です。
業種や企業規模を限定した制度ではなく、サプライチェーンを構成する企業を広く対象としており、今後は取引先から一定のセキュリティ水準を求められる場面が増えることも想定されています。

サプライチェーンを狙ったサイバー攻撃が増える中、経済産業省と内閣官房国家サイバー統括室が中心となって制度の構築が進められてきました。
検討の場となったのは「産業サイバーセキュリティ研究会ワーキンググループ1」内に設置されたサブワーキンググループで、有識者や産業界の代表が継続的に議論を重ねてきた経緯があります。
2025年4月の中間取りまとめを経て、2025年12月に公表された「制度構築方針（案）」には、パブリックコメントとして93者から569件の意見が寄せられました。
それらを踏まえて、2026年3月27日に正式な「制度構築方針」が公表されています。

※参考資料：経済産業省「「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）を公表しました」

SCS評価制度創設の背景

サプライチェーンを構成する企業を踏み台にしたサイバー攻撃が増加する中、委託元企業は取引先のセキュリティ対策状況を客観的に把握しにくく、一方で委託先企業は取引先ごとに異なるセキュリティチェックへの対応を求められるなど、双方に大きな負担が生じていました。
IPA（独立行政法人情報処理推進機構）の「情報セキュリティ10大脅威」でも、サプライチェーンや委託先を狙った攻撃は8年連続で選出され、近年は毎年上位に位置づけられています。

今後も機密情報の漏えいや部品・部材の供給遅延・停止、取引先を踏み台にした自社システムへの不正侵入などのリスクが想定されます。
こうした影響は情報システム部門だけでなく、事業継続や取引関係にも及ぶため、経理・IT部門としても制度の背景を理解しておくことが重要です。

※参考資料：IPA（独立行政法人 情報処理推進機構）「情報セキュリティ10大脅威 2026」

制度の目的・位置付け

SCS評価制度は企業の優劣を競わせるものではありません。
あくまでセキュリティ対策レベルを共通の基準とし、委託元が委託先に求める対策水準や、その実施状況を確認するための制度です。
経理・購買部門にとっては、取引先評価や契約条件を検討する際の共通基準になる制度と考えると、実務に落とし込みやすいでしょう。

この制度を活用することで、受注側は取引先ごとに異なるチェックシートへの対応負担を軽減でき、発注側も統一した基準で取引先のセキュリティ対策状況を把握しやすくなります。
もっとも、「格付け」を目的とした制度ではないものの、対応状況が新規取引や契約更新の判断材料として活用される可能性はあります。
対応が遅れれば、取引条件の見直しを求められることも考えられるため、早めに準備を進めることが重要です。

ISMSとの違い

ISMSは情報セキュリティマネジメントシステムの国際規格（ISO/IEC 27001）に基づく認証制度です。
一方、SCS評価制度はサプライチェーンにおける共通の評価基準として設けられる制度であり、目的や評価方法が異なります。

クラウドで守る安心の情報セキュリティ対策

PCパトロール for Cloud

専門知識不要で手軽に導入できるクラウド型サービス。PC操作の記録やIT資産管理、USB利用制限、Webフィルタリングにより、情報漏えいとサイバー攻撃のリスクをまとめて低減します。

詳しく見る

SCS評価制度では、セキュリティ対策の水準を「★」で示します。
既存のSECURITY ACTIONを活用する★1・★2に加え、新たに制度化される★3・★4、今後検討される★5を含め、全体像は次のように整理されています。 それぞれのレベルの概要を確認していきましょう。

★1・★2とSECURITY ACTIONとの関係

★1・★2は、IPAが以前から運用している自己宣言制度「SECURITY ACTION」を活用した区分です。
中小企業が「情報セキュリティ5か条」への取り組みや情報セキュリティ基本方針の策定・公表を自ら宣言するもので、あまり費用をかけずに取り組める入り口として位置づけられています。
また、SCS評価制度全体の裾野を広げる役割も担っています。まだ何も手を付けていない企業は、まず★1・★2の宣言から始めてみるのもよいでしょう。

※参考資料：IPA（独立行政法人 情報処理推進機構）「SECURITY ACTION セキュリティ対策自己宣言」

★3・★4の要求事項と評価方法の違い

今回新たに制度化されるのは★3・★4で、★5については今後検討される予定です。

• ★3：
  すべてのサプライチェーン企業が最低限実装すべき対策。 2026年3月公表の制度構築方針では26項目の要求事項が示されており、専門家の確認を経た自己評価によって認定を受ける（有効期間は1年間の想定）。
• ★4：
  サプライチェーンにおいて重要な役割を担う企業（ITベンダーや重要インフラ関連企業など）が対象。★3の要求事項に、取引先管理や継続的改善、多層防御などを加えた43項目が対象となり、第三者評価機関による審査が必要。
• ★5：
  未知の攻撃も想定した高度なサイバー攻撃への対応を求める水準。詳細は今後検討される予定。

ここでいう「専門家の確認」とは、情報処理安全確保支援士（登録セキスペ）など、制度で定める要件を満たしたセキュリティ専門家が、自己評価の内容を第三者の立場から確認するものです。
単なる自己申告ではなく、一定の外部による確認を受けるため、対外的な説明力の向上にもつながります。

※参考資料：経済産業省「「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）を公表しました」

制度の対象範囲

制度の対象となるのは、Webサーバーやメールサーバー、PC、クラウドサービスなど、サプライチェーンを構成する企業のIT基盤です。
一方で、工場の製造設備を制御するOT（Operational Technology）システムや、取引先に提供する製品などは、現時点では対象外とされています。

クラウドで守る安心の情報セキュリティ対策

PCパトロール for Cloud

専門知識不要で手軽に導入できるクラウド型サービス。PC操作の記録やIT資産管理、USB利用制限、Webフィルタリングにより、情報漏えいとサイバー攻撃のリスクをまとめて低減します。

詳しく見る

SCS評価制度は段階的に導入される予定であり、企業には早い段階からの準備が求められます。
評価対象の整理や現状把握、体制整備、費用の見積もりなど、経理担当者とIT部門が連携して進めるべきポイントを確認していきましょう。

想定スケジュールと準備

★3・★4について、経済産業省は2026年度末頃の申請受付開始を目指しています。
ただし、制度の正式な運用開始前であっても、発注企業の調達方針や契約条項に、★の取得や要求事項への対応が盛り込まれる可能性があります。
取引先からセキュリティ対策の状況を尋ねられた際に慌てないよう、早めに準備を進めておくことが重要です。

なお、経済産業省は、このスケジュールについて「制度運営基盤の整備状況等により変更となる可能性がある」と付記しています。
今後の変更に対応できるよう、ホームページなどで継続的に情報を確認することも大切です。

準備の進め方

準備は以下の流れで進めるとよいでしょう。

• 現状把握と目標設定：
  自社のIT資産や運用ルール、インシデント対応フローを確認し、どの★の取得を目標とするかを決める
• 課題の整理と優先順位付け：
  目標とする★の要求事項と現状を項目ごとに照らし合わせ、対応の優先順位を決める
• 体制整備と実行：
  必要な対策を実施し、評価取得に向けた体制を整える

中小企業が★3・★4を取得することを支援する目的で、「サイバーセキュリティお助け隊サービス」（新類型）といった支援策も準備されています。
「サイバーセキュリティお助け隊サービス」では、制度の要件項目ごとの対策状況の診断や、診断結果に基づくITツールなどを活用した支援を、比較的低コストで受けることができます。
IT対策に何から手を付ければよいかわからない中小企業では、このような支援制度の活用も有効な選択肢となるでしょう。

受注側・発注側の当面の対応事項

自社が受注側か発注側かによって、優先して取り組むべき事項は異なります。

受注側

まずは、自社がどの★の取得を目指すのかを社内で合意し、取引先からセキュリティ対策の状況や取得予定について確認された際に、速やかに説明できる体制を整えておくことが重要です。

発注側

既存の取引先のIT環境を評価する際に、SCS評価制度の★をどのように評価基準へ組み込むかを検討する必要があります。
また、新規取引や契約更新時に、どの★を求めるかについても整理しておくとよいでしょう。

なお、多くの企業は受注側と発注側の両方の立場を担っています。
そのため、どちらか一方ではなく、双方の立場を想定して準備を進めることが重要です。

SCS評価制度が取引条件に組み込まれる場合のコストへの影響

経理・IT部門として特に意識したいのが、SCS評価制度が取引条件や契約書に組み込まれた場合のコストへの影響です。

継続的な運用コストの発生

★3・★4の取得・維持には、専門家確認や第三者評価にかかる費用に加え、取得・維持に伴う運用コストが継続的に発生します。
特に★4は、有効期間は3年間ですが、毎年自己評価を提出する必要があります。
そのため、一度基準を満たせば終わりではなく、継続的に基準を維持する必要があり、対応コストや専門家費用についても複数年度にわたって発生します。

コストを見積もる際のポイント

見積もりの際は、専門家や評価機関への費用だけでなく、社内での確認作業や証跡管理などに要する時間的コストも含めて試算することが重要です。
また、自社が受注側・発注側のどちらの立場となるかや、契約書などで求められるセキュリティ対策の水準によって、必要となる対応やコストは変わります。
取引条件を踏まえて、どのような対応が必要になるかを整理しておきましょう。

予算計画への反映

SCS評価制度への対応は、一時的な費用ではなく、取得・維持・更新を通じて継続的にコストが発生します。
そのため、★の取得・更新にかかる費用は、中長期的な視点で予算計画へ適切に組み込むことが重要です。

セキュリティシステムの活用

SCS評価制度の要求事項には、情報機器の状況把握やネットワーク監視など、継続的な運用が求められる項目も含まれています。
こうした対策を自社だけで実施・運用することが難しい場合は、セキュリティ関連の製品・サービスを活用することも有効な選択肢です。
例えば、MJSの「PCパトロール for Cloud」は、PCやインターネットの利用状況の記録や、USBメモリなど外部デバイスの利用制限などに対応しており、社内のセキュリティ対策の運用を支援しています。

制度への対応は、一度対策を導入して終わりではなく、継続的な運用が重要です。
自社の状況に応じて、こうしたツールやサービスの活用も検討するとよいでしょう。

※本記事の内容は掲載日時点での情報です。

クラウドで守る安心の情報セキュリティ対策

PCパトロール for Cloud

専門知識不要で手軽に導入できるクラウド型サービス。PC操作の記録やIT資産管理、USB利用制限、Webフィルタリングにより、情報漏えいとサイバー攻撃のリスクをまとめて低減します。

詳しく見る