取引先へ「SCSの★4を取ってください」と一文送れば、セキュリティ調達が完成するわけではありません。顧客名簿へ接続する保守会社、図面を受け取る加工会社、社内ポータルを運営するSaaS事業者では、侵害時の影響も守る範囲も違います。制度の星は、その違いを話す共通言語であって、発注者のリスク判断を代行する点数ではありません。
サプライチェーン強化に向けたセキュリティ対策評価制度、略称SCS評価制度は、経済産業省と内閣官房国家サイバー統括室が構築方針を示し、IPAがスキームオーナーとなる制度です。一般的なサイバー脅威へ対処する★3と、被害拡大防止やサプライチェーンでの役割に応じた強靱化を含む★4が設けられ、★5は今後の具体化とされています。
2026年9月8日時点で、★3・★4の運用開始は2027年3月頃の予定です。要求事項や基本規程が公表されても、申請、専門家・評価機関、提出様式、取得ガイドの最新情報はIPAで更新されます。開始前の調達仕様へ「取得済み」を必須と書くと、応募できる会社が存在しない時期が生じます。
SCSの導入順序は全委託先へ同じ星を要求することではなく、業務停止と情報流出の影響を分類し、その役割に必要な水準を契約へ翻訳することです。
本記事は2026年9月8日に経済産業省とIPAの制度ページ、詳細、FAQ、制度構築方針、SECURITY ACTIONを確認しました。制度開始時期、規程、評価機関、費用は更新される可能性があるため、調達実施時にIPAの最新版を確認してください。
星を付ける前に委託先を五行で分類する
業務、情報、接続、時間、再委託から影響を見ます。
一行目は業務です。製造、物流、コールセンター、クラウド運用、開発、保守など、止まると自社の何が止まるかを書きます。二行目は情報です。個人情報、営業秘密、認証情報、設計、公開情報のどれを扱うか。三行目は接続です。社内ネットワーク、VPN、管理者権限、API、ファイル授受だけかを分けます。
四行目は時間です。停止を4時間、24時間、3日許容できるか。五行目は連鎖です。再委託先、クラウド、海外拠点を含め、事故がどこまで波及するかを書きます。売上額や社員数だけで重要委託先を選ぶと、小規模でも管理者権限を持つ保守会社を落とします。
分類結果にA・B・Cなど自社の業務重要度を付け、その後にSCSの水準を検討します。重要度Aだから自動的に★4とせず、要求事項の範囲、委託先のIT基盤、契約上の責任を照合します。
制度は主に、各企業の組織内で業務に利用するIT基盤を対象とします。一般にIT基盤へ該当しない製造環境等のOTシステムや、委託元へ提供する製品そのものは直接対象とせず、別の制度・ガイドラインによる対策を想定しています。
工場の制御装置や納入するIoT製品へSCSの星を示すだけでは対象を取り違えます。組織のIT基盤、OT、製品を別表にします。
★3は担当者の自己採点だけではない
専門家確認、経営宣誓、運用証拠を準備します。
★3は、取得希望組織が要求事項・評価基準に沿って自己評価し、所定の要件を満たすセキュリティ専門家が内容を確認・助言し、最終提出内容へ署名する「専門家確認付き自己評価」が想定されています。経営層の自己適合宣誓も含みます。
専門家には、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISM、CISA、ISO27001主任審査員等の資格に加え、制度所定の研修を受ける要件が想定されています。資格名だけで依頼先を決めず、IPAが示す正式要件と登録状況を確認します。
自己評価だから証拠が不要という意味ではありません。規程、資産台帳、アカウント一覧、バックアップ記録、教育記録、脆弱性対応、インシデント連絡、委託先管理など、要求事項へ適合した事実を説明できる資料が必要です。
発注者が★3を求める場合、取得予定日だけでなく、専門家の選定、ギャップ評価、是正、経営宣誓、申請の工程を聞きます。開始直後に専門家が不足すれば、計画どおり進まない可能性も契約へ織り込みます。
★4は評価機関へ丸投げできない
第三者評価後の是正と変更責任を自社に残します。
★4は第三者評価機関による評価を基本とし、★3より広い範囲と対策を含みます。初期侵入を防ぐだけでなく、侵入後の内外への被害拡大防止、攻撃目的の遂行リスク低減、サプライチェーン上の役割に応じた強靱化を見ます。
★3を先に取得しなければ★4へ申請できない段階制ではありません。ただし★4が下位の要求を内包する考え方なら、基礎統制の証拠が弱い会社がいきなり評価機関へ依頼しても、準備工数は減りません。
第三者評価は委託先の責任を評価機関へ移す契約ではありません。発見された不適合を誰が、いつ、どのシステムで直すか、例外承認を誰が行うか、取得後に重大事故や組織変更が起きた時の報告を決めます。
評価機関の公表や具体の運用はIPAの最新情報を確認します。制度開始前に「経産省公認の★4コンサル」などの営業を受けた場合、公式の指定・研修・評価機関一覧と一致するかを検証します。
調達仕様書は「星＋四つの証拠」で書く
取得、範囲、例外、運用を検収条件へ入れます。
第一の証拠は取得状況です。取得済み、申請中、取得予定、対象外を分け、台帳公開または正式書類で確認します。第二は対象範囲です。会社全体、国内拠点、特定事業、委託業務を支えるIT基盤のどこまで評価したかを聞きます。
第三は例外です。要求事項のうち代替統制、未対応、適用外とした項目、その理由と残余リスクを確認します。第四は運用記録です。取得時点の規程ではなく、教育、バックアップ復元、アカウント棚卸し、事故演習、脆弱性対応が続いている証拠を契約更新で見ます。
仕様書には、必要水準、取得期限、対象範囲、確認資料、未取得時の改善計画、重大変更・事故の報告、再委託、更新・失効時の措置を書きます。「SCSに準拠すること」だけでは、何をもって検収するか決まりません。
発注前の市場調査で、候補会社が現在どの段階にいるかを匿名集計します。必須化で応札が一社になるなら、契約開始時はギャップ評価、12か月以内に取得など段階条件を設ける選択があります。
星の表示だけで終わらせず、委託業務に関係する要求事項と継続運用の証拠をひも付けます。
調達で確認するのは星の画像ではなく、誰のどのIT基盤が評価され、例外を含む対策が委託業務で機能しているかです。
特定製品の購入リストを先に作らない
要求事項の目的から運用と責任者を決めます。
経済産業省は、評価基準を達成するために特定のセキュリティ製品の導入を必須としていないと案内しています。EDR、UTM、SIEM、MFAなどの製品名をそろえても、資産範囲、運用担当、監視時間、対応手順が欠ければ対策は機能しません。
要求事項ごとに、目的、対象資産、現状、証拠、責任者、期限を書きます。例えばバックアップなら「導入済み」ではなく、対象データ、世代、オフライン・不変性、復元テスト、目標復旧時間、直近の結果を残します。
中小企業が製品を選ぶ場合も、制度取得のためだけに買い切らず、既存のクラウド設定、OS更新、アカウント削除、委託契約、教育で満たせる範囲を先に確認します。運用できない多機能製品は、取得後の証拠を弱くします。
サイバーセキュリティお助け隊サービスの新類型など支援策は、対象、品質・価格要件、提供事業者を公式案内で確認します。SCSの星を販売する商品と誤解せず、ギャップを埋める支援として使います。
SECURITY ACTION・ISMS・JC-STARと混ぜない
対象と評価主体が違う制度を対応表で整理します。
SECURITY ACTIONは、中小企業が情報セキュリティ対策へ取り組むことを自己宣言する制度です。SCSの★3・★4取得と同じ評価ではありません。既に宣言している会社は、基本方針や自己診断を準備材料にできますが、SCS取得済みとは表示しません。
ISMSは情報セキュリティマネジメントシステムの認証で、組織が定めた適用範囲とリスク管理を審査します。SCSと重なる証拠はあっても、認証名を置き換えて同一と扱いません。どの要求事項へ既存証拠を再利用できるか対応表をつくります。
JC-STARはIoT製品のセキュリティ要件適合評価・ラベリング制度です。組織のIT基盤を中心にするSCSとは対象が違います。IoT機器を調達し、そのメーカーへも業務委託する場合は、製品ラベルと組織の水準を二本立てで確認します。
制度名を並べる資格コレクションにせず、対象、評価主体、評価範囲、有効期間、公開情報、事故時の扱いを一表にします。
再委託先は星の連鎖ではなく経路で見る
データと権限がどこへ渡るかを追います。
一次委託先が★4でも、データ処理を無評価の再委託先へ渡せば、発注者のリスクは残ります。再委託の業務、国・地域、データ、接続、クラウド、管理者権限を申請・承認制にします。
すべての再委託先へ同じ星を求めると、小規模な専門会社を排除し、実態を隠す動機を生みます。重要な再委託には同水準または同等統制、低リスクな再委託には限定アクセス、暗号化、ログ、監督など、経路に応じた条件を置きます。
インシデント連絡は「速やかに」だけでなく、検知から第一報までの時間、伝える項目、更新頻度、証拠保全を契約へ書きます。星の取得は、契約上の通知義務を自動生成しません。
発注者側も、委託先から第一報を受ける窓口、夜間連絡、事業継続判断、顧客通知を整えます。要求だけ厳しくても、受け取る側が週明けまでメールを見なければ連鎖を止められません。
取得日ではなく更新日を契約台帳へ入れる
組織・システム変更後も評価範囲を照合します。
評価はある時点の状態を示します。組織再編、M&A、クラウド移行、主要拠点追加、事故、再委託変更で、取得時の範囲と現在の委託業務がずれることがあります。契約台帳に取得日、対象範囲、次回更新、変更通知日を置きます。
年次レビューでは、星の継続だけでなく、前回例外の是正、重大インシデント、脆弱性対応日数、復元テスト、退職者アカウント、教育受講、再委託先変更をサンプル確認します。全資料を毎月集めず、リスクの高い証拠へ絞ります。
契約終了時は、アカウント停止、VPN・API鍵失効、データ返却・削除、バックアップ残存、ログ・証拠の保管、再委託先への終了通知を確認します。取得済みの委託先でも、終了管理が契約外ならアクセスが残ります。
取得時点の星を保管するだけでなく、変更と例外を契約更新の判断へ戻します。
委託先管理の出口は取得証明の回収ではなく、アクセス終了とデータ削除まで証拠で閉じることです。
開始前の六か月は証拠の穴を埋める
日常運用の記録を要求事項へ対応させます。
制度開始を待ってから準備すると、専門家・評価機関の予約、証拠不足、是正に時間がかかります。最初の月に対象IT基盤と資産、二か月目にアカウント・権限、三か月目にバックアップ・復元、四か月目に脆弱性・監視、五か月目に教育・演習、六か月目に再委託・契約を点検します。
発注者は、2027年3月を一律の契約解除日とせず、公式開始日、申請混雑、既存契約満了、代替調達期間を合わせます。高リスク委託先へは先行ギャップ評価を求め、低リスク先は質問票を簡素化できます。
委託先は、制度要求だけの新しい証拠を量産せず、日常運用の記録を再利用します。チケット、クラウド設定履歴、復元結果、教育記録、取締役会議事録、契約台帳を要求事項へ対応させると、取得後も続けやすくなります。
セキュリティサービスの選び方、JC-STARのIoTラベル、サイバーレジリエンス法への日本企業対応、AIエージェントの非人間ID管理、DORAを踏まえたSaaS契約も併せると、組織、製品、ID、契約の対象差を整理できます。
星を要求しない判断にも根拠を残す
会社規模ではなく委託経路から例外を決めます。
公開情報だけを使う単発の委託、社内ネットワークへ接続せず成果物を受け取る低影響業務では、SCS取得を必須にしない判断もあり得ます。その場合も、不要とした理由、最低限の秘密保持、データ削除、事故連絡を残します。
反対に、小規模会社だから免除するのではありません。従業員三人でも本番環境の管理者権限を持つなら、停止・漏えいの影響は大きくなります。会社規模ではなく業務経路で水準を決めます。
SCS評価制度がもたらす一番の変化は、取引先ごとに異なる質問票を星一つへ省略することではありません。委託元と委託先が、守る範囲、必要な水準、確認証拠を同じ言葉で交渉できることです。調達側が自社の影響分類を持たなければ、その利点は生かせません。
星を求めるか否かのどちらにも、委託業務、データ、接続、停止許容時間、再委託という五つの根拠を残します。
参考情報
制度範囲、評価方法、運用予定を支える公式資料です。
以下は2026年9月8日に内容と到達性を確認した一次情報です。
よくある質問
気になる質問を開くと、本文の重要点を短く確認できます。
QSCSの★3・★4取得は法律上の義務ですか？
A制度自体は任意です。委託元と委託先の取引契約で必要水準を決めることが想定されるため、特定の取引では契約条件になる可能性があります。
Q★4を取る前に★3取得が必要ですか？
AIPAは、上位段階が下位の要求を包括するものの、★3を事前取得しなければ★4を取得できない関係ではないと説明しています。準備状況と必要水準で申請計画を決めます。
Qウイルス対策製品を導入すれば星を取得できますか？
A特定製品の導入だけを必須とする制度ではありません。資産、権限、バックアップ、教育、監視、事故対応など、要求事項に対する運用と証拠をそろえます。
QISMS認証があればSCS評価は不要ですか？
A対象範囲と評価基準が同じではありません。ISMSの規程・監査記録を再利用できる項目を対応付け、SCS固有の要求と不足を確認します。
Q2026年中に取得証明を提出できますか？
A2026年9月8日時点では、★3・★4の運用開始は2027年3月頃の予定です。開始日、申請受付、評価機関の最新状況をIPAで確認し、開始前は準備計画を条件にします。
Q小規模な再委託先にも同じ星が必要ですか？
A規模だけで一律に決めません。扱う情報、アクセス権、停止影響に応じ、同水準の取得または限定アクセス・暗号化・監督など同等統制を契約へ置きます。
