SCS評価制度とは？中小企業が今すぐ「星3」を目指すべき理由と対策ステップ

取引先から「セキュリティ対策をどのように確認していますか」と聞かれたとき、社内の実施状況を説明できるでしょうか。SCSは「Supply Chain Security」の略です。制度の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です（IPAの制度説明）。企業のセキュリティ対策を共通の基準で確認し、その結果を登録・公表するために準備が進められています。

この記事は、2026年9月30日に確認したIPAの制度説明と経済産業省の制度構築方針・FAQをもとに、制度の仕組みと準備の進め方を整理しています。

SCS評価制度は何を確認する制度か

発注企業が取引先の対策状況を把握しにくく、受注企業も取引先ごとに異なる確認項目への回答を求められる課題を受け、共通の評価基準が設けられます。制度の運営はIPAが担います。

対象企業と義務化の考え方

IPAの制度説明は、サプライチェーンを構成する企業に幅広く活用される制度としています。製造業や建設業など、特定の業種だけに限定した制度ではありません。ただし★の取得は任意であり、取得していないという理由だけで取引が法律上禁止されるわけではありません。取引契約でどの水準を求めるかは発注側と受注側の話し合いによります。自社にとっての優先度は、取引先からの要請や事業上の役割を確認して判断します。

評価の対象は、企業の業務を支えるIT基盤です。自社のどの拠点、端末、サーバー、クラウドサービスなどを評価の範囲に含めるかを先に整理する必要があります。例えば、インターネットに接続するWeb・メールの仕組み、従業員の端末、社内ネットワーク、IT基盤を構成するクラウドサービスが検討対象になります。クラウドサービスでは、提供会社に任せる部分と自社で設定・管理する部分を分けて確認します。個別の製造設備などは、制度の共通基準の直接の対象とは分けて扱われます。詳しくは制度構築方針をご確認ください。

SECURITY ACTIONの星1・星2とは別の制度

「星1から星5までを順番に取得する」と理解すると誤ります。SECURITY ACTIONの一つ星・二つ星は、中小企業が対策への取り組みを自ら宣言する仕組みです。IPAが対策状況を認定するものではありません。一方、この記事で扱うSCS評価制度の★3・★4は、公開された基準に沿って評価結果を確認し、登録する仕組みです。SECURITY ACTIONの宣言が、そのままSCSの★3取得になるわけではありません。基本対策から始める場合は、情報セキュリティ6か条の進め方をご覧ください。

★3と★4は何が違うのか

★3を先に取得しないと★4に進めない、という順番ではありません。★5は要求事項や評価方法、開始時期を検討中です。今準備を進める際は、公開されている★3・★4の情報を確認してください。詳しい評価方法はIPAの制度詳細に掲載されています。

IPAは★3・★4の要求事項と評価基準を公開しています。どちらも、該当する要求事項と評価基準をすべて満たす必要があります。簡易チェックで「何項目できている」と数えただけでは、取得できるかは判定できません。

星3の26項目、星4の43項目は何を含むか

制度構築方針に示された要求事項数は、星3（★3）が26件、星4（★4）が43件です。項目は、①ガバナンスの整備、②取引先管理、③リスクの特定、④攻撃等の防御、⑤攻撃等の検知、⑥インシデントへの対応、⑦インシデントからの復旧、という七つの領域に分かれます。「バックアップがある」「ウイルス対策ソフトがある」だけで終わる確認ではありません。

例えば、担当者と役割を決める、保有する端末やサービスを把握する、アクセス権限と更新を管理する、異常に気づく方法を設ける、事故時の連絡・復旧手順を整える、といった対策を一つの体系として確認します。ここに挙げたものは概要です。実際の確認にはIPAが公開する要求事項・評価基準の原本を使い、各基準に照らして不足を判断してください。

登録料はいくらか

IPAが2026年9月18日に公表した料金表では、2028年3月31日までの申請に適用する登録希望組織の登録料は、★3が１年分１万円、★4が３年分６万円です。いずれも税込です。これは制度への登録料であり、評価を受ける費用、社内の対策費用、製品の利用料を含む総額ではありません。取得にかかる総費用は、必要な対策と評価方法を確認して見積もる必要があります。

制度と対策を社内で検討するための資料を用意しています。評価基準と申請条件の最新情報は、IPAの公式ページでも確認してください。

SCS評価制度の解説資料をダウンロードする（フォーム入力）

中小企業が今進めたい準備

以下の「残すもの」は、自社の現状を整理するための例です。制度が提出書類として指定しているという意味ではありません。

現状整理の記入例

次は自社の検討に使う表の記入例です。架空の状況であり、制度の自己評価表や適合判定の代わりにはなりません。

自社の対策範囲や必要な機能について相談できます。★3・★4の取得可否は、製品の導入だけでは決まりません。

SCSへの準備に関する相談・サービス構成を見る

★3の申請から登録・更新までの流れ

いつから申請できるか

2026年9月30日時点のIPAのお知らせと申請に関するFAQを整理すると、次の状況です。予定は変わり得るため、申請前に公式情報を確認してください。

準備を終えた後の星3（★3）の流れも把握しておくと、必要な社内作業と外部に依頼する作業を分けやすくなります。IPAの制度詳細は、次の手順を示しています。具体的な提出方法や書式は、公開後の申請案内と取得ガイドで確認してください。

取得後も更新が必要か

はい。2026年3月の制度構築方針では、有効期間を★3は１年、★4は３年としています。★3は年次で専門家の確認・助言を経た自己評価を更新し、★4は有効期間中も１年ごとに自己評価を行う想定です。評価対象や対策方法に大きな変更がある場合は、再確認や再評価が必要になる想定です。実際の更新手続きは、運用開始時の規程で確認してください。

使えるデータプロテクトで支援できること

使えるデータプロテクトは、クラウドバックアップ、復元、端末のセキュリティ対策、パッチ管理などを組み合わせて利用できるサービスです。自社の課題に合わせて機能を選び、バックアップや端末管理の運用を進める際に役立ちます。

上の準備手順では、バックアップと復元、端末の保護や更新の運用に使えます。一方、評価する範囲の決定、社内ルールの作成、実施記録の整備、専門家による確認は各社で進める作業です。

ただし、使えるデータプロテクトの契約や導入は、★3・★4の取得を保証しません。 必要な機能と設定は会社の環境や選ぶプランによって異なり、社内ルール、担当体制、実施記録、その他の対策も確認が必要です。まずIPAの要求事項と自社の現状を照らし、不足している領域を明らかにしてから、サービスの利用範囲をご相談ください。

よくある質問

SCS評価制度の★3は、すべての企業に必須ですか？

いいえ。SCS評価制度は任意です。取引先との契約でどの水準を求めるかは、当事者間で決めます。★3を取得していないことだけを理由に、法律で取引が禁止される制度ではありません。

製品を導入すれば★3を取得できますか？

いいえ。経済産業省は、特定のセキュリティ製品の導入を必須としていません。自社が選ぶ評価範囲に対し、公開された要求事項と評価基準を満たすことが必要です。製品は、そのための対策の一部を支える手段です。

ウイルス対策ソフトとバックアップがあれば星3に足りますか？

それだけでは判断できません。星3（★3）の要求事項には、担当体制、取引先との取り決め、保有するIT資産の把握、防御、検知、事故対応、復旧などが含まれます。IPAの要求事項・評価基準を評価対象に当てはめ、運用と確認記録まで見てください。

EDRを導入すれば★3に対応できますか？

EDRは端末の不審な動きの検知や調査を助ける技術の一つですが、導入だけで★3の適合は決まりません。IPAの要求事項・評価基準は、会社の体制から事故後の復旧まで幅広く確認します。自社の評価範囲と不足する基準を先に整理し、必要な対策と製品を選んでください。

SCS対応の支援先や製品は、どう比較すればよいですか？

まずIPAの要求事項・評価基準と自社の実施状況を照らし、不足する対策を明らかにします。そのうえで、制度に登録された専門家による評価内容の確認、対策を整えるための支援、製品の提供を分けて比較してください。対象となる端末・サービス、導入後に自社で行う運用、初期費用・継続費用、評価費用が別かどうかを確認します。製品の「おすすめ」やランキングだけでは、自社が★3の基準を満たすか判断できません。経済産業省のFAQも、特定の製品導入を必須とはしていません。

いつから申請できますか？

IPAが2026年9月18日に公表した資料では、登録希望組織の申請受付は2027年3月以降に開始予定です。★3・★4の運用開始も2027年3月頃の予定です。日程は変更される可能性があるため、IPAの公式ページで最新情報をご確認ください。