SCS評価制度とは？★3・★4の要件と受注側中小企業の準備

「お世話になっております。弊社サプライチェーン管理の一環として、貴社のセキュリティ対策状況について、添付のチェックシートにご回答をお願いいたします」——。

こうしたメールが元請や発注元から届き、総務や経理を兼任する担当者が数十問のチェックシートを前に固まってしまう。取引先ごとに様式も設問も違うので、毎回ゼロから調べて回答する。私（真下）はAIG損害保険の横浜支店で法人向けのリスクコンサルティングに携わっていた時期に、この光景を何度も見てきました。回答する側にとっては「本業ではないのに、断れない仕事」です。

国もこの状況を課題として認識しています。経済産業省と内閣官房国家サイバー統括室は2026年3月、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の制度構築方針を公表しました。企業のセキュリティ対策状況を★3〜★5の段階で評価・可視化し、バラバラだったチェックシートを国の共通の物差しに置き換えていく仕組みです。本記事では、この新制度を「発注する大企業側」ではなく、調査票を受け取る側＝受注側の中小企業の目線で読み解きます。

SCS評価制度とは——「格付け」ではなく「共通の物差し」

制度構築方針によれば、背景にあるのは次の2つの課題です。

委託元（発注側）の課題：委託先のセキュリティ対策が外から見えず、自社が配るチェックリストの内容が適正かどうかの担保も難しい。
委託先（受注側）の課題：複雑なサプライチェーンの中で、様々な委託元から様々な要求事項を求められ、特に中小企業を中心に過度な負担につながっている。

SCS評価制度は、この両方を解くために「サプライチェーンにおける立ち位置に応じて満たすべき対策」を国が段階（★）として提示し、企業の対応状況を可視化するものです。具体的には、2社間の取引契約等において、委託元が委託先に適切な★の段階を提示し、対策を促すとともに実施状況を確認するという使われ方が想定されています。制度の運営主体（スキームオーナー）は、経済産業省の監督のもと、IPA（独立行政法人情報処理推進機構）が担います。

ここで押さえておきたいのは、制度構築方針が明記している次の一文です。本制度は企業の対応状況を可視化するものであり、「事業者のセキュリティ対策レベルを競わせることを目的としたもの（格付け制度等）ではない」。★が少ないから劣った会社だ、という序列づけの制度ではなく、取引のリスクに応じて「この取引ならこの水準」を合意するためのコミュニケーションの道具です。受注側は、必要以上に身構える必要はありません。

もう一点、対象範囲も確認しておきます。本制度が対象とするのは、企業のIT基盤（メールサーバ・Webサーバ等の公開サーバ、認証基盤、パソコン等のエンドポイント、クラウドサービスを含む）です。製造現場の制御（OT）システムや、発注元に納める製品そのもののセキュリティは直接の対象外で、別の制度・ガイドラインで手当てする整理になっています。工場をお持ちの製造業の方は、「この制度＝工場の制御系まで審査される」わけではない点を押さえておくと、過剰な負担感なく向き合えます。

★の階段——★1・★2は、実はもう始まっている

本制度で新たに具体化されたのは★3と★4です（★5は2026年度以降に検討）。では★1・★2はどこにあるのか。制度構築方針は、★1・★2についてはIPAが運営する「SECURITY ACTION」を参照すると整理しています。SECURITY ACTIONは、中小企業が「情報セキュリティ対策に取り組む」ことを自己宣言する既存の制度で、一つ星・二つ星の区分があります。つまり——

★3・★4の中身を、制度構築方針の記載に沿って整理します。

★3の評価スキームは「専門家確認付き自己評価」で、経営層による自己適合宣誓を含めて事務局に提出し、問題がなければ台帳に登録・公開されます。ここで実務上大きいのは、評価結果に不適合が見つかっても、適切に是正してセキュリティ専門家の了承を得られれば★3を取得できると整理されている点です。「一発合格でなければ終わり」の試験ではなく、直しながら登れる設計です。

そして取得企業は、法人名・所在地・適用範囲・有効期限などが台帳に登録され、Web上で検索・開示される仕組みが予定されています。取得した★は自社だけの内部資料ではなく、対外的に確認可能な信用情報になるということです。

発注元はどう★を割り当てるか——建設・製造・警備に波及する理由

制度構築方針は、発注者が取引先に★3・★4のどちらを求めるかの判断フロー例も示しています。要約すると2つの問いです。

①その取引先の事業が止まったとき、自社の事業継続上、重要な業務に許容できない遅延が生じ得るか（事業継続リスク）。
②その取引先がサイバー攻撃を受けたとき、自社の機密情報の管理に重大な影響が生じ得るか（情報管理リスク）。

どちらかがYESなら★4、いずれもNOなら★3、という考え方です。専属の協力会社として発注元の工程に深く組み込まれている建設の協力会社、発注元の設計情報・図面を預かる製造の受託加工業、施設や情報資産の警備を通じて発注元の内部情報に触れる警備業——キールが主にお付き合いする業種は、まさにこのフローで「YES」が付きやすい位置にいます。

さらに見落とせないのが再委託への波及です。★4の要求事項には「事業継続リスク及び情報管理リスクの観点から自社に影響を及ぼす可能性のある取引先のセキュリティ対策状況を把握すること」（要求事項2-1-3）が含まれています。つまり、一次請けが★4を取れば、一次請けは自社の重要な協力会社——二次請け・三次請け——の対策状況を年1回以上把握する立場になります。元の発注者から直接要請されなくても、階段状に要請が降りてくる構造が制度に組み込まれているのです。

受注側の準備——今からできる3ステップ

ステップ1：SECURITY ACTIONを宣言する（★1・★2相当）

制度の申請受付開始（2026年度末頃を想定）を待つ必要はありません。IPAのSECURITY ACTIONは、中小企業がセキュリティ対策への取り組みを自己宣言する制度で、費用はかかりません。★3・★4取得の準備段階として制度上も位置づけられています。宣言は「ロゴを貼って終わり」にせず、宣言に伴う自社点検を実際にやることに意味があります（キールが宣言時に何をどう点検したかは、本シリーズの次回で自社の実例としてお話しする予定です）。

ステップ2：★3の26項目を「ものさし」に、自社のIT基盤を棚卸しする

★3の要求事項は、ガバナンスの整備（セキュリティ担当の明確化・対応方針の策定）、取引先との機密情報の取扱いの明確化、情報資産やネットワークの把握、ID・パスワード管理、ネットワーク境界の分離・保護、ソフトウェアのアップデート、マルウェア対策、インシデント対応手順の作成、復旧の備え——といった基礎項目26件で構成されます。特別な高額投資を前提とした項目群ではなく、「自社に何があり、誰が責任者で、何かあったらどう動くか」を文書と運用で示せるか、が中心です。まずは要求事項の一覧（経産省サイトで公開されています）と自社の現状を突き合わせ、できている・できていないの地図を作ることが出発点になります。

ステップ3：一人で抱えず、国の支援メニューを知っておく

中小企業向けの支援策も同時に整備が進んでいます。★3の「専門家確認」を担うセキュリティ専門家（情報処理安全確保支援士＝登録セキスペ等）とのマッチングのため、IPAは「中小企業向けサイバーセキュリティ対策支援者リスト」を公開しています。また、★3・★4取得を支援する新しい類型の「サイバーセキュリティお助け隊サービス」の創設も予定されています。対策の実装から評価まで、自前で全部やる前提の制度ではありません。

費用は「価格交渉の対象」——泣き寝入りしない制度設計

受注側として最も気になるのは「結局、費用は下に押し付けられるのではないか」でしょう。この点、経済産業省と公正取引委員会は、SCS評価制度に基づくセキュリティ対策の要請を想定した独占禁止法・取適法（中小受託取引適正化法）上の整理を公表しています。そこでは、セキュリティの経費が物件費や人件費などの間接経費として計上されること、そして発注元は★取得に伴う価格交渉に積極的に対応する必要があることが明示されています。

もちろん、現実の交渉が常に円満とは限りません。しかし「セキュリティ対応はコストであり、価格交渉の正当な対象である」と国が文書で整理していることは、受注側にとって交渉の足場になります。要請を受けたら、対応に要するコストを把握・記録し、価格の話とセットで協議する——この姿勢を最初から持っておくことが大切です。

ISO 31000の視点——この制度は「低減」の共通言語

キールはリスクマネジメントの国際規格ISO 31000を仕事の背骨にしています。その枠組みでは、リスクへの対応は大きく「回避・低減・移転・保有」に整理されます（詳しくはリスクへの4つの対応、およびISO 31000の基礎をご覧ください）。

SCS評価制度の★3・★4は、この整理でいえば「低減」のベースラインを国が共通言語として示したものです。まず★3の26項目で攻撃を受けにくく・被害を広げにくくする。事業が止まった場合の備え——復旧手順や事業継続の取り組み——は★4で厚くなり、これはBCP（事業継続計画）の議論と地続きです。そのうえで、どれだけ低減しても残るリスク（残余リスク）に対しては、移転——たとえばサイバー関連の保険——という手段も選択肢に入ります。ただし順序を間違えてはいけません。先に来るのは常に「避ける・減らす」であり、保険は残ったリスクに対する最後の手当てです。★3の26項目に向き合うことは、それ自体が保険よりも先にやるべきリスク対応そのものです。

まとめ——調査票は「脅威」ではなく「現在地を知る機会」

取引先からセキュリティ調査票が届くこと、あるいは今後★の対応を求められることは、面倒な宿題に見えて、実は自社のリスク管理の現在地を知る機会でもあります。国の共通の物差しができることで、取引先ごとにバラバラだった要求はいずれ収れんし、一度きちんと取り組めば、その成果は複数の取引先への説明に使い回せる資産になります。向かい風に見える要請を、自社の信用力という推進力に変える——キールはその伴走をします。

よくあるご質問

出典（一次資料）

• 経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月）
• 経済産業省「『サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針』（SCS評価制度の構築方針）を公表しました」（2026年3月27日）
  https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html
• IPA「SECURITY ACTION セキュリティ対策自己宣言」 https://www.ipa.go.jp/security/security-action/
• IPA「中小企業向けサイバーセキュリティ対策支援者リスト」 https://www.ipa.go.jp/security/sme/shien/list.html