結論: 受付開始は 2027 年 3 月の予定、取得は義務ではない
この記事は、取引先の説明会や営業メールで「★3」「★4」という言葉を聞き、自社も対応が必要なのかを調べている方に向けて書いています。経済産業省の方針に基づいて IPA が運営する「サプライチェーン強化に向けたセキュリティ対策評価制度 (SCS 評価制度)」は、開始時期や要求事項の数が記事によってばらばらに書かれています。資料の公表時期ごとに予定が変わってきたためです。
- ★3・★4 は、IPA が 2027 年 3 月に申請受付を始める予定です (IPA の FAQ、第 3 回運営審議委員会の資料)
- 取得は義務ではありません。発注者が取引ごとに求める段階を示し、受注者がそれに応じる使い方を想定しています
- ISMS を ★ の代わりにできる定めは見当たりません。ただし ISMS で整えた資料は準備に使えます
内容は 2026 年 10 月 23 日時点で確認した公式資料に基づきます。要求事項・評価基準の解説書と申請方法はまだ公開されていません。公開後は、評価基準の読み方などがこの記事の説明から変わる可能性があります。取引先から ★ を求められていて、何から手を付けるかを決めたい場合は、情報セキュリティコンサルタント で現状の棚卸しから相談を受けています。FIXIT は SCS セキュリティ専門家・評価機関ではないため、★ の確認や評価は行いません。
SCS 評価制度 (セキュリティ対策評価制度) とは
正式名称と運営体制
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」、略称は「SCS 評価制度」、英語名は「Supply Chain Security Assessment Program (SCS-AP)」です。経済産業省と内閣官房国家サイバー統括室が 2026 年 3 月 27 日に公表した 制度構築方針 に基づき、両者の監督のもとで IPA が運営します (IPA「SCS 評価制度の詳細情報」)。
運営の役割分担は次のとおりです。
| 担い手 | 役割 |
|---|---|
| IPA (事務局) | ★3・★4 の登録と公表、ガイド類の作成、問い合わせ対応 |
| 指定委員会 | 評価機関・技術検証事業者・研修事業者の指定と監督 |
| SCS セキュリティ専門家 | ★3 の自己評価結果の確認と助言、★4 の評価責任者 |
| 評価機関・技術検証事業者 | ★4 の第三者評価 (文書確認・実地審査) と技術検証 (脆弱性検査) |
何のための制度か
方針は、制度ができた背景として 2 つの課題を挙げています。方針の用語では、発注する側を「委託元」、受注する側を「委託先」と呼びます。1 つは、委託元から委託先の対策状況が見えにくく、自社で作ったチェックリストが適切かどうかも判断しにくいことです。もう 1 つは、委託先が取引先ごとに違う要求事項を求められ、特に中小企業の負担が大きいことです。以降、この記事では委託元を発注者、委託先を受注者と書きます。
そこで制度は、取引先へのサイバー攻撃による事業の停止、機密情報の漏えい、受注者を踏み台にした侵入に備える対策を、★ の段階として共通化しました。IPA の 情報セキュリティ 10 大脅威 2026 でも、組織向けの 2 位に「サプライチェーンや委託先を狙った攻撃」が入っています (詳しくは 個人情報漏えいの発表はなぜ相次ぐのか)。
方針は、この制度が企業同士を競わせる格付けではないことと、★ の取得がインシデントに対する完全な安全を保証するものではないことを、注記で明記しています。
対象は社内の IT 基盤
評価の対象は、クラウドで運用するものを含む自社の IT 基盤です。Web サーバーやメールサーバーなどのインターネット公開サーバーは、適用範囲に必ず含めます。工場の制御 (OT) システムや、発注者に納める製品は対象外で、別の制度やガイドラインで対策する想定です (方針 p8〜p9)。
SCS 評価制度はいつから？ 記事によって時期が違う理由
開始時期は、資料の公表時期によって表現が変わってきました。
| 公表日 | 資料 | 開始時期の書き方 |
|---|---|---|
| 2026 年 3 月 27 日 | 制度構築方針 | 令和 8 年度 (2026 年度) 下期の制度開始を目指す |
| 2026 年 4 月 21 日 | IPA の FAQ (5 月 29 日更新) | ★3・★4 は 2027 年 3 月頃の運用開始を予定 |
| 2026 年 9 月 11 日 | 第 3 回運営審議委員会 | ★3・★4 は 2027 年 3 月より IPA が申請受付開始予定 |
| 2026 年 9 月 18 日 | IPA の料金設定 | 2027 年 3 月以降に受付を開始する予定 |
「2026 年度下期」は、方針が出た時点の表現です。「2026 年度末頃」は、第 3 回運営審議委員会の資料が経済産業省の案内として紹介している表現です。「2026 年 10 月開始」と書く記事もありますが、10 月は評価用ガイド類や申請方法の公開予定時期で、申請受付の開始ではありません。
第 3 回運営審議委員会の資料は、準備が遅れた場合は運営審議委員会に相談したうえで受付開始時期を見直す、とも書いています。
★3 と ★4 の違い
| 項目 | ★3 | ★4 |
|---|---|---|
| 想定する水準 | 広く知られた脆弱性を突く一般的な攻撃に対処できる | 被害の拡大防止、取引先の管理、事業継続まで含めた標準的な対策 |
| 要求事項 | 26 件 | 43 件 (★3 の 26 件を含む) |
| 評価方法 | 専門家確認付き自己評価 | 第三者評価 |
| 確認・評価する人 | SCS セキュリティ専門家 (社内外) | 指定された評価機関 |
| 評価の中身 | 自己評価の書類の確認 | 文書確認・実地審査・技術検証 |
| 有効期間 | 1 年 | 3 年 |
| 更新 | 毎年、専門家の確認を経た自己評価を提出 | 毎年の自己評価を評価機関へ提出し、3 年ごとに第三者評価 |
要求事項・評価方法・有効期間は方針 p13 と p23〜p24、更新の手続は 基本規程 3.1.2・3.2.2 によります。要求事項は 7 つの分類 (ガバナンスの整備、取引先管理、リスクの特定、攻撃等の防御、攻撃等の検知、インシデントへの対応、インシデントからの復旧) に分かれます。
★3 は専門家確認付き自己評価
★3 は、取得したい会社が自分で要求事項・評価基準に沿って自己評価し、SCS セキュリティ専門家がその内容を確認して署名します。経営層の自己適合宣言を添えて IPA に申請し、問題が無ければ台帳に登録・公表されます。
SCS セキュリティ専門家になるには、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO/IEC 27001 主任審査員のいずれかを持ち、制度の研修を受けて IPA に登録します。専門家は社内の人でも社外の人でも構いません。
★4 は第三者評価
★4 は、自己評価と自己適合宣言のあと、指定を受けた評価機関に第三者評価を依頼します。評価機関は書類を確認する文書確認に加え、相対的に重要な対策について証跡を確認する実地審査と、技術検証を行います。技術検証は、インターネットに公開している VPN 装置やルーターなど、侵入の入口になりやすい機器への脆弱性検査です。方針は、実地審査と技術検証の所要期間をそれぞれ 1〜2 日程度と想定しています。
★3 を経ずに ★4 を取得できる / 合格はすべての基準に適合すること
方針と IPA の解説は、上位の段階が下位の段階の事項を含むため、★3 を取得していなくても ★4 を取得できる、としています。合格の基準は ★3・★4 ともに、原則としてすべての評価基準に適合することです (IPA の FAQ A3-2)。不適合が見つかっても、是正して専門家や評価機関の了承を得れば取得できます。★4 の是正報告の期限について、方針は「評価機関からの指摘事項が通知されてから 1 ヶ月以内」を例に挙げています。
SCS 評価制度の対象企業: 義務ではなく、取引先が段階を示す
方針は、制度の対象を「全てのサプライチェーン企業」としたうえで、2 社間の取引契約などで発注者が受注者に求める段階 (★) を示す使い方を想定しています。公式資料に取得を義務とする記載は無く、方針は自らを任意制度と位置づけています。発注者からの要請が無くても、自主的に取得することも考えられるとしています。
発注者が ★4 と ★3 を割り当てる考え方
発注者がどちらの段階を求めるかについて、方針 p15 は判断の例を示しています。前提は、受発注など重要な業務の多くが IT 基盤に頼っている取引先であることです。
flowchart TD
A["業務の多くが IT 基盤に<br/>依存している取引先"] --> B{"取引先の事業が止まると、<br/>自社の重要な業務に<br/>許容できない遅れが出るか"}
B -- "はい" --> S4["★4 を求める"]
B -- "いいえ" --> C{"取引先が攻撃を受けると、<br/>自社の機密情報の管理に<br/>重大な影響が出るか"}
C -- "はい" --> S4
C -- "いいえ" --> S3["★3 を求める"]方針は、★3 では足りない場合に ★4 を求めたり、個別の対策を上乗せしたりする調整も想定しています。単発の調達や、市販品のように代わりがききやすい調達は、この判断の対象から外すことも考えられるとしています。
受注者から見ると、取引先の重要な業務を止めうる立場か、取引先の機密情報やシステムに触れる立場かで、求められる段階が変わります。システムの開発・保守、SaaS の提供、業務の委託を受けている会社は、両方に当てはまることがあります。
★4 の会社は取引先の対策状況を毎年確認する
★4 の要求事項 2-1-3 は、重要な機密情報を共有する取引先や、事業継続に重要な取引先などについて、対策状況を年 1 回以上確認することを求めています。確認の方法として、★ の取得状況の回答を受ける、訪問して点検する、チェックシートに回答してもらう、などが例示されています。
このため、★4 を取った発注者から、受注者である自社に対策状況の確認の依頼が届くことがあります。自社が仕事の一部をさらに再委託している場合、その再委託先にまで制度を適用するかは、元の発注者ではなく自社が判断する、と方針 p14 は整理しています。
対策の費用は価格交渉の対象にできる
経済産業省と公正取引委員会は、この制度に基づく対策の要請について、独占禁止法・取適法上「問題とならない」想定事例と解説を作っています (方針 p36、IPA「関連制度・施策」)。取適法は、旧下請法を改めた「製造委託等に係る中小受託事業者に対する代金の支払の遅延等の防止に関する法律」の通称です (公正取引委員会「取適法」)。想定事例では、セキュリティ対策が価格交渉の対象になることを発注者が取引先に周知し、受注者が対策のコストについて価格交渉を行う流れが示されています。
FIXIT取引先に言われたら断れないよね。じゃあ実質、義務ってこと？
Shiori整理すると、制度は任意です。ただ、取引の条件にされたら、その取引では前提になります。
FIXITそれなら、まず何を確認すればいいの？
Shioriどの取引で、どちらの段階を、いつまでに求められているかです。そこから準備の量が決まります。
ISMS を持っていれば足りるのか
リスクベースの ISMS と、ベースラインの ★3・★4
方針 p28 は、ISMS 適合性評価制度と本制度を比べています。
| 項目 | ISMS | ★3・★4 |
|---|---|---|
| 対象 | ISMS を運用する組織 (範囲は組織が決める) | インターネットに接続している自社の IT 基盤 |
| 管理策 | リスクアセスメントの結果から、組織が必要な管理策を決める | 代表的な脅威をもとに、効果の高い管理策を制度が決めておく |
| 審査の観点 | 規格の要求事項に沿った ISMS が構築・運用されているか | 各段階で求める具体的な対策が実装されているか |
方針は両者を「相互補完的な制度」と位置づけています。まだ検討中の ★5 については、ISMS 適合性評価制度との整合に配慮して検討するとしています。
ISMS を ★ の代わりにする定めは無い。資料は点検に使える
方針・基本規程・IPA の FAQ を確認した範囲では、ISMS 認証で ★3・★4 の評価を免除したり、代わりにしたりする定めはありません。ISMS は自社のリスク評価で管理策を選ぶため、★ の評価基準が求める具体的な設定 (たとえば多要素認証の範囲) を採っていないこともあります。
一方で、ISMS で作った情報セキュリティ方針、情報資産台帳、アクセス管理の手順、インシデント対応手順は、★ の自己評価でそのまま根拠になります。ISMS を持っている会社は、評価基準を 1 行ずつ既存の規程と記録に照らし、足りない設定や手順だけを足す進め方が現実的です。
取引先から ISMS も求められている場合や、ISMS の取得も視野に入っている場合は、ISMS 側の手順と期間を ISMS 取得費用の相場と内訳 で確認してください。P マークも必要なら ISMS と P マークの併用取得ガイド も参考にしてください。
SECURITY ACTION・TICS との関係
IPA は、中小企業がセキュリティ対策に取り組むことを自ら宣言する SECURITY ACTION を、★3・★4 の準備段階としています。★1・★2 という段階は本制度の登録対象ではなく、SECURITY ACTION を参照する位置づけです。
技術情報管理認証 (TICS) との使い分けについて、方針 p31 は、顧客の重要な技術情報を受ける場合は TICS か ★4、第三者認証が必要ない場合は ★3 を例に挙げています。
SCS 評価制度の費用
IPA に払う登録料
IPA は 2026 年 9 月 18 日に 料金設定 を公表しました。料金は税込で、申請日を基準に適用されます。
| 段階 | 2028 年 3 月 31 日までの申請 | 2028 年 4 月 1 日以降の申請 |
|---|---|---|
| ★3 | 10,000 円 (1 年分) | 20,000 円 (1 年分) |
| ★4 | 60,000 円 (3 年分) | 60,000 円 (3 年分) |
基本規程 6.5 は登録希望組織が申請料と登録料を払うと定めていますが、公表された料金表に登録希望組織の申請料は載っていません。SCS セキュリティ専門家の登録料は無料です。
専門家・評価機関への費用は契約で決まる
外部の SCS セキュリティ専門家 (★3) と評価機関 (★4) に払う費用は、それぞれとの契約で決まると基本規程 6.5 が定めています。公的な目安は公表されていません。見積もりを比べられるのは、評価機関と専門家が公表されたあとになります。
2027 年 3 月の受付開始までにやること
第 3 回運営審議委員会の資料 (p4・p7) と IPA の FAQ をもとに、受付開始までの予定と、取得したい会社の想定スケジュールをまとめると次のとおりです。
| 時期 | IPA 側の予定 | ★3 を目指す会社 | ★4 を目指す会社 |
|---|---|---|---|
| いま (ガイド類の公開前後) | 評価用ガイド類 (10 月下旬)、解説書・取得ガイド・申請方法 (10 月頃) の公開 | 取引先の要求の確認、適用範囲の決定、要求事項での点検、ガイド類で自己評価 | 同左 |
| 2026 年 12 月下旬以降 | 評価機関などの指定と公表 (12 月下旬)、制度研修と専門家の登録・公表 (1 月以降)、システムの稼働 (1 月中旬) | 社内の有資格者が研修を受ける、または社外の専門家と契約 | 公表された評価機関と契約 |
| 専門家・評価機関が決まり次第 | ★4 の第三者評価の開始 (2027 年 2 月からの想定) | 専門家による自己評価結果の確認 | 第三者評価 |
| 2027 年 3 月以降 | ★3・★4 の申請受付開始 | IPA に登録申請 | 第三者評価が終わり次第、IPA に登録申請 |
解説書・取得ガイド・申請方法の時期は、IPA の FAQ と要求事項・評価基準のページによります。いずれも 2026 年 10 月 23 日時点では公開されていません。
取引先が求める段階と時期を確認する
最初に、どの取引先が、どちらの段階を、いつまでに求めているかを確認します。要請の文書や説明会の資料があれば、根拠として手元に残しておきます。求められている段階が分からないまま準備を始めると、★3 で足りる会社が ★4 の準備まで抱えることになります。
適用範囲を決める
申請の単位は、原則として法人または個人事業主です。適用範囲の妥当性を専門家 (★3) または評価機関 (★4) が確認すれば、事業部単位やグループ単位でも申請できます (方針 p12)。
そのうえで、全社で取るか、事業部単位で取るかを決めます。範囲を絞る場合も、インターネット公開サーバーは必ず含め、範囲の内外の通信はファイアウォールなどで必要最小限に絞ります (方針 p9)。クラウドサービスや親会社が提供するネットワークは、責任共有モデルに基づき、自社で対策するか、提供者の対策状況 (ISMAP 登録や SOC 2 レポートなど) を確認します。
要求事項・評価基準の Excel をチェックリストにして自己点検する
IPA の 要求事項・評価基準のページ で公開されている Excel が、自己点検のチェックリストになります。方針 p12 も、発注者が取引先に配るチェックリストとして要求事項・評価基準を使うことを挙げています。公式の Excel の行を数えると、★3 の評価基準は 81 行、★4 で加わる行が 72 行 (★4 は計 153 行) です。
点検は、評価基準の行ごとに「満たしている」「一部満たしている」「満たしていない」と、根拠になる規程・記録・設定画面の場所を書き込んで進めます。「満たしていない」行は、規程を作れば済むものか、設定変更や機器の更新が要るものかを分けておくと、受付開始までの作業量を見積もれます。
補足
解説書と取得ガイドは 2026 年 10 月頃の公開予定で、まだ出ていません。また、2026 年 9 月 11 日の運営審議委員会で、要求事項・評価基準の軽微な修正に合意しています。評価基準にある例外の扱いを解説書に移す方針で、修正版はまだ公開されていません。修正の範囲は、評価基準の段階 (★3・★4) や分類を変えない範囲に限るとされています。評価基準の読み方に迷う行は、判断を決めつけずに保留として残し、解説書の公開後に見直してください。
受託開発・SaaS の会社が見落としやすい評価基準
システムの開発・保守や SaaS の提供を請けている会社では、次の評価基準が業務の形と直接関わります。番号は公式の Excel の評価基準 No. です。
| 評価基準 No. | 段階 | 求めていること |
|---|---|---|
| 2-1-1-1 | ★3 | 顧客やクラウド事業者などが管理し、自社の資産が接続しているシステムを把握する仕組みを整える |
| 3-1-3-1 | ★3 | 外部情報サービスのセキュリティ要件を定め、利用時に要件を満たしているか確認する |
| 4-1-2-4 | ★3 | 開発環境を使う人が、本番環境で開発環境の管理者権限を使って操作できないようにする |
| 4-1-3-2 | ★3 | 重要な機密情報を扱うクラウドサービスには、常に多要素認証でアクセスする |
| 4-4-3-1 | ★4 | ファイアウォール・プロキシ・認証サーバーのログを 6 ヶ月保管する (クラウドサービスの利用も含む) |
| 4-4-4-3 | ★4 | インターネットとの境界にあるネットワーク機器に、CVSS 基本値 7.0 以上の脆弱性を残さない |
4-4-4-3 は、★4 の技術検証で確認する評価基準とされています (方針 p23)。顧客の環境に接続する保守用のアカウントや、プロジェクトごとに契約したクラウドサービスは、台帳から漏れやすい部分です。
確認してくれる専門家・評価機関を手配する
★3 は、社内に情報処理安全確保支援士などの有資格者がいる場合は、2027 年 1 月以降に研修を受け、修了試験を経て IPA に登録すると、社内で確認を担えます。いなければ社外の専門家と契約します。★4 は、2026 年 12 月下旬に公表される予定の評価機関と、2027 年 1 月以降に契約します。
公式の情報は、IPA の SCS 評価制度サイト にまとまっています。同じページからメールニュースにも登録できます。経済産業省と内閣官房国家サイバー統括室は 2026 年 4 月 27 日に、この制度に係る勧誘についての注意喚起を出しており、IPA のサイトのお知らせにも載っています。営業の案内で「いつまでに取らないといけない」と言われたら、上の公式資料と照らし合わせてください。
FIXIT が手伝える範囲 — ★ の確認・評価は行わず、準備の棚卸しと規程づくりを支援する
第 3 回運営審議委員会では、委員から「評価機関が登録希望組織に代わって不適合の改善策を決めたり実施したりすること、特定の製品の導入を求めることは認められない旨を、制度として発信してほしい」という意見が出ています。決定事項ではありませんが、評価と支援の線引きを確認する目安になります。コンサルの類型と費用は 情報セキュリティコンサルの選び方 で整理しています。
FIXIT は、SCS セキュリティ専門家としての登録も、評価機関としての指定も受けていません。そのため ★3 の確認や ★4 の評価は行わず、★ の取得を約束することもできません。
手伝えるのは、その手前の準備です。要求事項・評価基準に沿った現状の棚卸しと、足りない規程や体制の整備を、AI 駆動開発のクリエイティブスタジオとして開発と運用に携わってきた目線から支援します。取引先から ISMS も求められている場合は、ISMS の取得もあわせて進められます。確認や評価は、公表された SCS セキュリティ専門家・評価機関に依頼していただく形になります。
受付開始まで、ガイド類の公開や評価機関の公表が続きます。まずは取引先がどの段階をいつまでに求めているかを確認し、公式の Excel で自社の点検を始めてください。
点検で「満たしていない」行が多く、どこから手を付けるか決められない場合は、情報セキュリティコンサルタント で棚卸しと優先順位づけから伴走します。取引先から ISMS も求められている場合は ISMS 取得サポート をご覧ください。状況が固まっていない段階でも、お問い合わせ からご相談いただけます。