SCS評価制度とは｜中小企業が★3取得に向けて今やるべき対策【2026年版】
社会インフラ系企業の情シス10年目・中小企業診断士が、SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）を解説。★1〜★5の違い、★3取得の26項目、お助け隊サービス（新類型）の活用法、2027年運用開始までの準備ロードマップをまとめました。
最近、取引先の大手企業から「セキュリティ対策の状況を確認させてほしい」という連絡が来るケースが増えているのではないでしょうか。
経済産業省が主導するSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の準備が着々と進んでいるからです。2026年度末には制度が正式に運用開始される予定で、今まさに「備える時期」に来ていると思います。
本記事では、SCS評価制度の全体像と、中小企業がまず目指すべき★3の取得方法について書いてみようと思います。
想定読者
- サプライチェーンの一員として大手企業と取引している中小企業の経営者・担当者の方
- セキュリティ対策を「何から始めればいいか分からない」と感じている方
- SCS評価制度について基礎から理解したい方
この記事で得られること
- SCS評価制度の全体像と、なぜ中小企業に関係があるのか
- ★1〜★5の段階の違いと、自社が目指すべきレベル
- ★3取得に必要な具体的対策と評価の流れ
- 「サイバーセキュリティお助け隊サービス（新類型）」の最新動向（2026年2月更新）
- 明日から始められる準備チェックリスト
私が現職で見ている「サプライチェーンの両側」の温度差
私は現職で、社会インフラ系企業（従業員約5,000名規模）の情報システム部に10年目になります。中小企業診断士の立場で見ると、SCS評価制度は 「発注側」と「受注側」のどちらに立つかで景色が180度変わる制度 だと感じています。
現職では大手企業として 取引先（中小企業）にセキュリティ対策状況の確認をお願いする立場 にもなりますし、自社が他の発注元から 同じ確認をされる立場 にも回ります。両側を経験して痛感しているのは、「制度開始までまだ1年あるから大丈夫」と思って動かなかった企業から順に、取引先選定の俎上から外れていくという現実です。
中小企業診断士としても、製造業・小売業の支援先で「大手取引先から急に情報セキュリティチェックシートが来たけど、何を書けばいいか分からない」という相談を受ける場面が増えてきました。本記事では、こうした現場感を踏まえて ★3取得を最短で目指すための具体策 を解説します。
【基礎知識】そもそも「SCS評価制度」とは何か？
「SCS評価制度」の正式名称はサプライチェーン強化に向けたセキュリティ対策評価制度です。SCSは「Supply Chain Security」の略称で、経済産業省と内閣官房国家サイバー統括室が主導して制度設計を進めています。
ひと言でいえば、「企業のセキュリティ対策を、国が決めた共通のものさしで評価し、見える化する仕組み」です。
2025年12月26日に制度構築方針（案）が公表され、パブリックコメントも完了しました。2026年度末（2027年1月〜3月頃）の制度運用開始を目指して、いま急ピッチで準備が進んでいます。
なぜ今、この制度が必要なのか？
ここ数年、大企業ではなく「取引先の中小企業を踏み台にして侵入する」タイプのサイバー攻撃が急増しています。IPA（情報処理推進機構）が毎年発表する「情報セキュリティ10大脅威」でも、サプライチェーンを狙った攻撃は8年連続でランクインしており、2025年・2026年ともに第2位に選ばれています。
実際に、2025年にはランサムウェア攻撃によって大手企業のシステムが暗号化され、出荷が止まったことで、取引先の飲食チェーンやコンビニにまで影響が波及した事例がありました。
つまり、「自社が攻撃されると、取引先にも迷惑がかかる時代」になっています。
graph TD
A["🏭 大企業<br/>（発注側）"] -->|取引| B["🏢 中小企業A<br/>（受注側）"]
A -->|取引| C["🏢 中小企業B<br/>（受注側）"]
B -->|再委託| D["🏠 小規模事業者"]
E["🔓 サイバー攻撃"] -->|侵入| D
D -->|被害拡大| B
B -->|影響波及| A
style E fill:#c0392b,stroke:#922b21,color:#ffffff
style D fill:#e74c3c,stroke:#c0392b,color:#ffffff
style B fill:#f39c12,stroke:#e67e22,color:#ffffff
style A fill:#f39c12,stroke:#e67e22,color:#ffffff
style C fill:#27ae60,stroke:#1e8449,color:#ffffffSCS評価制度は、こうした課題に対し「サプライチェーン全体のセキュリティを底上げする共通の評価基準」として登場しました。これまで発注企業ごとにバラバラだったセキュリティ要件が統一されることで、受注側の中小企業にとっても「何をすればいいのか」が明確になるわけです。
正直なところ、大企業との取引を維持・拡大していくためには、この制度への対応は避けて通れません。逆に言えば、いち早く対応すれば、競合との差別化にもなると考えています。
【全体像】SCS評価制度の★1〜★5の5段階
SCS評価制度では、セキュリティ対策のレベルを**★1から★5の5段階**で示します。ただし、★1・★2と★3〜★5では、制度の枠組みが異なります。
graph TD
subgraph SECURITY_ACTION["SECURITY ACTION<br/>（IPA既存制度・自己宣言）"]
S1["⭐ ★1<br/>情報セキュリティ5か条に<br/>取り組むことを宣言"]
S2["⭐⭐ ★2<br/>自社診断＋<br/>基本方針の策定・公開"]
end
subgraph SCS["SCS評価制度<br/>（経産省 新制度）"]
S3["⭐⭐⭐ ★3 Basic<br/>基礎的な防御策と体制整備<br/>専門家確認付き自己評価<br/>要求事項：26項目"]
S4["⭐⭐⭐⭐ ★4 Standard<br/>包括的な対策<br/>第三者評価<br/>要求事項：56項目"]
S5["⭐⭐⭐⭐⭐ ★5 Advanced<br/>リスクベースの高度対策<br/>第三者評価<br/>詳細は今後検討"]
end
S1 --> S2
S2 --> S3
S3 --> S4
S4 --> S5
style S1 fill:#475569,stroke:#64748b,color:#f1f5f9
style S2 fill:#475569,stroke:#64748b,color:#f1f5f9
style S3 fill:#2563eb,stroke:#3b82f6,color:#f1f5f9
style S4 fill:#7c3aed,stroke:#8b5cf6,color:#f1f5f9
style S5 fill:#dc2626,stroke:#ef4444,color:#f1f5f9
style SECURITY_ACTION fill:#334155,stroke:#475569,color:#f1f5f9
style SCS fill:#1e40af,stroke:#2563eb,color:#f1f5f9★1・★2：「SECURITY ACTION」（既存制度）
★1と★2は、IPAが運営する「SECURITY ACTION（セキュリティアクション）」という既存制度の枠組みです。いずれも自己宣言方式で、費用をかけずに始められます。
| 段階 | 内容 | 取り組む内容 |
|---|---|---|
| ★1 | 自己宣言 | IPAの「情報セキュリティ5か条」に取り組む |
| ★2 | 自己宣言 | 「5分でできる！情報セキュリティ自社診断」で現状把握し、情報セキュリティ基本方針を策定・公開 |
「情報セキュリティ5か条」とは、①OSやソフトウェアの最新化、②ウイルス対策ソフトの導入、③パスワードの強化、④共有設定の見直し、⑤脅威や攻撃の手口を知る、という5つの基本的な対策です。
★3（Basic）：多くの中小企業がまず目指すべき段階
★3は、サプライチェーンに関わる全ての企業が最低限実装すべきセキュリティ対策として位置づけられています。
評価方法は「専門家確認付き自己評価」です。自社でチェックシートに回答し、その内容をセキュリティの専門家（社内の有資格者でも可）に確認してもらう方式で、要求事項は26項目（評価基準は83項目）です。
大がかりな外部監査は不要ですが、「経営層による自己適合宣誓」が必要な点がポイントです。社長自らが「うちの会社はこのレベルのセキュリティ対策をやっています」と宣言するわけですから、経営層の関与が不可欠になるわけです。
★4（Standard）：重要な取引先に求められる段階
★4は、サプライチェーンの中で特に重要な役割を担う企業が目指す段階です。ITベンダーや重要インフラに関わる企業などが該当します。
評価方法は「第三者評価」で、認定された評価機関による審査（文書確認・実地審査・技術検証）が必要です。要求事項は56項目（評価基準は157項目）で、有効期間は3年です。
★5（Advanced）：到達点としての高度対策
★5は国際規格に基づくリスクベースアプローチを前提とした最も高度な段階です。ただし、★5の詳細な対策基準や評価方法は2026年度以降に検討される予定で、現時点では具体的な要件は公開されていません。
ポイント
「★は順番に取る必要はない」。制度構築方針（案）には、★3を事前に取得していなければ★4を取得できないという関係ではないと明記されています。自社の状況に応じて、いきなり★4から取得することも可能です。
【なぜ★3か】中小企業は「まず★3」を目指すべき理由
多くの中小企業にとって、現実的な第一歩は★3の取得だと思います。その理由を整理してみましょう。
1. 大企業からの要請に備える
制度が始まると、発注企業が「本取引では★3以上の取得対応をお願いします」と要請するケースが増えることが予想されます。経済産業省と公正取引委員会が「取引条件としてセキュリティ対策を要請することは独占禁止法上問題にならない」とする事例集も公表済みです。
つまり、★3を取得していなければ、取引の選定から外される可能性があります。
2. コストと実現性のバランスが良い
★3は自己評価ベースであり、★4のような外部評価機関による審査は不要です。セキュリティ専門家の確認は必要ですが、社内の有資格者でも対応できます。中小企業のリソースでも十分に対応可能な範囲かと思います。
3. 「お助け隊サービス（新類型）」で支援を受けられる
2026年2月19日、経済産業省は「サイバーセキュリティお助け隊サービス（新類型）」の実証事業ページを更新しました。このサービスは、中小企業が★3・★4を安価かつ簡便に取得するための支援策です。実証事業は2026年8月頃から約1年間の予定で、参加企業は国の支援のもと無料でセキュリティ対策を受けられるチャンスがあります。
【具体的な対策】★3で求められる7つの分類
★3の要求事項は、NIST（米国国立標準技術研究所）のサイバーセキュリティフレームワーク（CSF）をベースに、7つの分類で整理されています。
graph TD
subgraph 7CATEGORIES["★3 要求事項の7分類"]
G["🏛️ ガバナンスの整備<br/>経営層の関与・体制づくり"]
I["🔍 リスクの特定<br/>IT資産の把握・リスク認識"]
P["🛡️ 攻撃等の防御<br/>アクセス管理・認証強化"]
D["👁️ 攻撃等の検知<br/>不審な通信の監視"]
R["🚨 インシデントへの対応<br/>緊急時の連絡体制"]
RC["🔄 インシデントからの復旧<br/>バックアップ・事業継続"]
SC["🤝 取引先管理<br/>委託先のセキュリティ確認"]
end
G --> I
I --> P
P --> D
D --> R
R --> RC
RC --> SC
style G fill:#1a5276,stroke:#154360,color:#ecf0f1
style I fill:#1a6e4e,stroke:#145a3e,color:#ecf0f1
style P fill:#7d3c98,stroke:#6c3483,color:#ecf0f1
style D fill:#b7950b,stroke:#9a7d0a,color:#ffffff
style R fill:#c0392b,stroke:#922b21,color:#ecf0f1
style RC fill:#2e86c1,stroke:#2874a6,color:#ecf0f1
style SC fill:#ca6f1e,stroke:#af601a,color:#ecf0f1
style 7CATEGORIES fill:#1c2833,stroke:#17202a,color:#ecf0f1IT・セキュリティの専門家でない方にもイメージしやすいように、「日常のたとえ」を交えて説明してみます。
1. ガバナンスの整備（経営層の関与）
セキュリティ担当者を決めて、経営層がセキュリティ対策に責任を持つ体制を作ります。たとえるなら「火事が起きたとき、誰が消防車を呼ぶか決まっていますか？」というのと同じです。方針の策定方法は情報セキュリティポリシーの作り方で詳しく解説しています。
2. リスクの特定（IT資産の把握）
社内にあるPC、サーバー、スマートフォン、ソフトウェアなどの「IT資産」をすべて洗い出し、どこに重要なデータがあるかを把握します。たとえるなら「会社の金庫に何が入っているか、誰が鍵を持っているか」を把握するのと同じです。具体的な進め方はIT資産管理の始め方で解説しています。
3. 攻撃等の防御（アクセス管理・OS更新など）
OSやソフトウェアを最新の状態に保つ、ウイルス対策ソフトを導入する、パスワードを適切に管理するなど、基礎的な防御策を実施します。リモートワーク用のVPN機器を利用している場合は、脆弱性管理やパッチ適用が評価基準に含まれるため、対策が必須です。VPNからゼロトラスト型のリモートアクセスへ移行する方法は「VPN脱却ガイド」で解説しています。
4. 攻撃等の検知（異常の監視）
不審な通信やアクセスを検知する仕組みを導入します。具体的にはログ（通信記録）を取得・保管することが求められます。
5. インシデントへの対応（緊急時の体制）
サイバー攻撃を受けたときの連絡体制や対応手順を整備します。「どこに連絡するか」「何を最優先で対処するか」を事前に決めておくことが重要です。
6. インシデントからの復旧（バックアップ）
データのバックアップを定期的に取得し、システムが停止しても事業を継続できる体制を整えます。
7. 取引先管理
自社の委託先（外注先）に対しても、セキュリティ対策状況を確認する仕組みを設けます。
【取得の流れ】★3取得までの4ステップ
★3の取得プロセスを4つのステップで整理します。
graph TD
STEP1["📝 STEP1<br/>自己評価<br/><br/>★3要求事項に基づき<br/>対策状況評価シートに記入<br/>（社内外の専門家の<br/>支援を受けることも可能）"]
STEP2["🔎 STEP2<br/>専門家の確認・助言<br/><br/>セキュリティ専門家が<br/>記入内容を確認<br/>必要に応じて修正を助言<br/>了承後に署名"]
STEP3["✍️ STEP3<br/>経営層の適合宣誓<br/><br/>経営層が<br/>自己適合宣誓書を作成<br/>「対策を実施している」<br/>ことを宣言"]
STEP4["📤 STEP4<br/>登録機関へ提出<br/><br/>評価結果を<br/>登録機関（制度事務局）<br/>に提出<br/>→台帳に登録・公開"]
STEP1 --> STEP2
STEP2 --> STEP3
STEP3 --> STEP4
style STEP1 fill:#1a5276,stroke:#154360,color:#ecf0f1
style STEP2 fill:#1a6e4e,stroke:#145a3e,color:#ecf0f1
style STEP3 fill:#7d3c98,stroke:#6c3483,color:#ecf0f1
style STEP4 fill:#b7950b,stroke:#9a7d0a,color:#ffffffここでのポイントは、★3は外部の監査機関に審査してもらう必要がないということです。自社で評価を行い、セキュリティの専門知識を持った人に内容を確認してもらい、社長が「対策しています」と宣言すれば申請できます。
「セキュリティ専門家」は社外の人でも、社内の情報処理安全確保支援士（登録セキスペ）などの有資格者でも構いません。
【2026年2月最新】お助け隊サービス（新類型）と実証事業
2026年2月19日、経済産業省は「サイバーセキュリティお助け隊サービス（新類型）」の詳細情報を更新しました。これは中小企業にとって非常に重要な動きだと思います。
お助け隊サービス（新類型）とは
従来の「サイバーセキュリティお助け隊サービス」は、24時間の異常監視、緊急時の駆け付け支援、相談窓口、簡易サイバー保険などをワンパッケージで安価に提供する国認定のサービスです。
「新類型」は、これをさらに発展させ、SCS評価制度の★3・★4取得を直接支援するサービスとして設計されています。
具体的には2つのステップで支援されます。
- STEP1：セキュリティ対策状況の評価：サービス提供事業者が、中小企業の現在の対策状況を★3または★4の要求事項に沿って評価します。
- STEP2：未達成項目の達成支援：評価の結果、まだ達成できていない項目について、ITツールの導入や人的支援によって達成をサポートします。
実証事業の概要
実証期間は2026年8月頃〜2027年9月頃（約1年間）で、参加する中小企業は国の支援のもと、実証期間中は無料でセキュリティ対策を受けられる見込みです。
私としては、この実証事業はコストをかけずに専門家の支援を受けながら★取得の準備ができる、非常に価値の高い機会だと思っています。対象になりそうな企業は積極的に情報を追いかけるべきではないでしょうか。
【ユースケース】業種別に見る「うちの会社はどうすべき？」
ケース1：従業員30名の製造業（大手メーカーの部品供給）
状況：主要取引先の大手メーカーから「来年度以降、セキュリティ対策の評価を確認させてほしい」と打診があった。
推奨対応：★3の取得を目指す。まずIT資産の棚卸しから着手し、工場にある古いPC（Windows 10のまま更新されていないもの）の対応を優先する。
ケース2：従業員10名のIT企業（受託開発）
状況：複数の顧客企業のシステムにリモートアクセスして開発を行っている。
推奨対応：顧客のネットワークに直接アクセスする立場のため、★4の取得も視野に入れるべき。ただし、まずは★3で基礎を固めてから段階的に進めるのが現実的です。
ケース3：従業員5名の建設業（元請けの下請け）
状況：パソコンは3台、ITに詳しい社員はいない。セキュリティ対策は「ウイルス対策ソフトを入れている」程度。
推奨対応：まずSECURITY ACTIONの★1・★2を宣言する。その上で「お助け隊サービス（新類型）」の実証事業に参加を検討する。
ケース4：従業員50名のサービス業（複数の大企業と取引）
状況：すでにISMS（情報セキュリティマネジメントシステム）の認証を取得済み。
推奨対応：ISMSの取り組みがあれば★3の多くの項目をカバーできている可能性が高い。ただし、SCS評価制度はISMSと異なり「具体的な対策の実装」を重視するため、技術的な対策の棚卸しが必要です。
【スケジュール】制度開始までのロードマップ
graph TD
subgraph NOW["📍 今ここ（2026年2月）"]
N1["制度構築方針（案）<br/>パブコメ完了"]
end
subgraph PHASE1["2026年 春〜夏"]
P1["方針の成案化"]
P2["お助け隊（新類型）<br/>実証事業開始<br/>（8月頃〜）"]
P3["評価機関の指定<br/>手続き開始"]
end
subgraph PHASE2["2026年 秋〜2027年初"]
P4["運用システム構築"]
P5["ガイダンス資料<br/>（自己評価ガイド等）<br/>の公表"]
end
subgraph PHASE3["2027年 1月〜3月"]
P6["🎯 ★3・★4<br/>制度運用開始"]
end
N1 --> P1
P1 --> P2
P2 --> P3
P3 --> P4
P4 --> P5
P5 --> P6
style N1 fill:#c0392b,stroke:#922b21,color:#ecf0f1
style P1 fill:#2874a6,stroke:#21618c,color:#ecf0f1
style P2 fill:#2874a6,stroke:#21618c,color:#ecf0f1
style P3 fill:#2874a6,stroke:#21618c,color:#ecf0f1
style P4 fill:#1a6e4e,stroke:#145a3e,color:#ecf0f1
style P5 fill:#1a6e4e,stroke:#145a3e,color:#ecf0f1
style P6 fill:#b7950b,stroke:#9a7d0a,color:#ffffff
style NOW fill:#922b21,stroke:#7b241c,color:#ecf0f1
style PHASE1 fill:#1b4f72,stroke:#154360,color:#ecf0f1
style PHASE2 fill:#145a3e,stroke:#0e4030,color:#ecf0f1
style PHASE3 fill:#7d6608,stroke:#6d5807,color:#ecf0f1運用開始まで約1年の準備期間があります。「まだ先だから大丈夫」と思いがちですが、セキュリティ体制の整備やルールの策定・社内浸透には思った以上に時間がかかります。今から準備を始めることをお勧めします。
【チェックリスト】明日から始める★3取得準備
以下のチェックリストで、自社の現状を確認してみてください。チェックがつかない項目が「今後の対応ポイント」です。
ガバナンス・体制
- セキュリティの担当者（責任者）が決まっている
- 経営層がセキュリティ対策の重要性を認識している
- サイバー攻撃を受けたときの連絡先・対応フローが決まっている
IT資産の把握
- 社内のPC・サーバー・スマホなどの一覧表がある
- 使っているソフトウェアとそのバージョンを把握している
- 重要なデータが「どこに」「どんな形で」保管されているか分かっている
基本的な防御策
- OS（WindowsやmacOS）を最新の状態に更新している
- ウイルス対策ソフトを導入し、パターンファイルを自動更新している
- パスワードは8文字以上で推測されにくいものを使っている
- 退職者のアカウントは速やかに削除している
検知・ログ管理
- ファイアウォールのログを取得している
- 不審なアクセスやメールに気づく仕組みがある
バックアップと復旧
- 重要データのバックアップを定期的に取得している
- バックアップデータは、本体とは別の場所に保管している
取引先管理
- 業務委託先のセキュリティ対策状況を確認する仕組みがある
このチェックリストは、★3の要求事項を簡略化したものです。全項目にチェックがつく企業は、★3取得にかなり近い状態と言えます。
よくある質問（FAQ）
Q1. SCS評価制度の取得は義務ですか？
A. 現時点では義務ではありません。ただし、今後、大企業が取引条件として★の取得を求めるケースが増えることが強く予想されています。義務化される前に自主的に対応しておくことで、取引上の優位性を確保できると思います。
Q2. 費用はどのくらいかかりますか？
A. ★3であれば、大きな費用をかけずに取得できる可能性があります。主な費用は、不足しているセキュリティツールの導入費と、専門家への確認依頼費になります。お助け隊サービス（新類型）の実証事業に参加できれば、実証期間中は支援を無料で受けられる見込みです。
Q3. ISMSを取得していればSCS評価制度は不要ですか？
A. ISMSの取り組みは★取得の準備として活用できますが、それだけでは不十分です。ISMSは「マネジメントの仕組み」を評価するのに対し、SCS評価制度は「具体的な対策の実装」を重視します。
Q4. ★3と★4、どちらを目指すべきですか？
A. まずは★3から始めることをおすすめします。取引先のネットワークに直接アクセスする場合や、機密情報を預かる立場であれば★4を視野に入れるべきですが、多くの中小企業にとっては★3が現実的な第一歩かと思います。
Q5. 社内にセキュリティの専門家がいません。どうすればいいですか？
A. 社外の専門家に依頼することも可能です。★3の「専門家確認」は、外部のセキュリティコンサルタントやサービス事業者に依頼できます。また、お助け隊サービス（新類型）を活用すれば、評価から不足対策の支援までワンパッケージで受けられます。
Q6. OT（工場の制御システム）も対象ですか？
A. 現時点では対象外です。SCS評価制度の対象はIT基盤（メールサーバー、Webサーバー、PCなどのクラウド環境含む）であり、OTシステムは含まれていません。
【まとめ】セキュリティは「守り」であり「攻め」でもある
本記事の内容をまとめると、こんな感じになります。
- SCS評価制度は、企業のセキュリティ対策を★1〜★5で見える化する共通基準
- 多くの中小企業がまず目指すべきは★3（専門家確認付き自己評価・26項目）
- 2026年度末の制度運用開始に向けて、今から準備を始めることが重要
- 2026年8月頃から「お助け隊サービス（新類型）」の実証事業が開始され、無料でセキュリティ対策支援を受けられるチャンスがある
- セキュリティ対策は「コストのかかる守りの投資」だけでなく、「取引先からの信頼を高める攻めの投資」でもある
まず今日できることは、この記事のチェックリストで自社の現状を確認することだと思います。そして、まだSECURITY ACTIONに取り組んでいなければ、IPAのサイトから★1・★2の宣言を行うことです。小さな一歩ですが、その一歩が1年後の制度開始時に「準備ができている企業」と「慌てる企業」の違いを生みます。
中小企業の発展こそ、日本経済の基盤です。守りを固めてこそ、攻めのDX・IT活用も生きてきます。ぜひ、この機会にセキュリティ対策への一歩を踏み出してみてください。★3の要件に含まれるMFA、アクセス権限管理、ログ監視を体系的に進めたい方は「ゼロトラストセキュリティ入門」で段階的な導入ロードマップを解説しています。DX推進の現在地を把握したい方は、DX成熟度のセルフ診断もあわせてご覧ください。
以上となります。
最後まで読んでいただき、ありがとうございました。
参考：