SCS評価制度とは？2026年度に開始の仕組みと今すべき準備

取引先の担当者から「セキュリティ対策の状況を教えてください」「SECURITY ACTIONの宣言はされていますか？」——そのようなお問い合わせを受けたことはないでしょうか。
インターネットを通じた業務連携が当たり前の今、サプライチェーンに参加する企業のセキュリティ対策は、自社だけの問題ではなくなっています。
近年、サプライチェーンを狙ったサイバー攻撃が急増しています。IPA（独立行政法人 情報処理推進機構）が毎年発表する「情報セキュリティ10大脅威 2026」では、「サプライチェーンや委託先を狙った攻撃」が組織編の第2位に位置付けられており、8年連続でランクインしています。セキュリティ対策が手薄になりがちな中堅・中小企業が攻撃の入口となり、サプライチェーン全体に甚大な被害をもたらす事例が後を絶ちません。
こうした状況を受け、経済産業省は「セキュリティ対策評価制度（SCS評価制度）」の構築を発表しました。本コラムでは、このSCS評価制度の概要・各評価レベルの内容・2026年度末（2027年1月～3月頃）の制度開始に向けて今すぐ進めるべき準備を解説いたします。
参考：
経済産業省：「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）を公表しました（2026年3月）

セキュリティ対策のご相談はこちらから

1.SCS評価制度（セキュリティ対策評価制度）とは？

SCS評価制度とは、サプライチェーン全体の強化を目的に、企業のセキュリティ対策への取り組みを★1〜★5の5段階で客観的に評価・可視化する仕組みです。「SCS」は「Supply Chain Security」の略称で、経済産業省が推進する制度です。
そのうち「★3：三つ星」「★4：四つ星」については2026年度末頃の制度開始が予定されており、「★1：一つ星」「★2：二つ星」については既存のSECURITY ACTION制度が継続・拡充される形で運用されます。

1-1.制度が設けられた背景

SCS評価制度が設けられた背景には、サプライチェーンを狙ったサイバー攻撃の深刻化があります。
2022年には大手自動車メーカーのサプライヤーがランサムウェア攻撃を受け、国内14工場の生産ラインが停止する事態が発生しました。また2024年には帳票印刷大手会社が攻撃を受け、自治体関連の個人情報が大量に流出するインシデントが起きています。昨年2025年の大手飲料メーカーが受けた大規模なサイバー攻撃とその影響は記憶に新しいことでしょう。
IPAの「2024年度 中小企業における情報セキュリティ対策に関する実態調査」によると、サイバーインシデントの被害を受けた企業975件のうち、約7割が「取引先に影響があった」と回答しています。このデータは、セキュリティ対策がもはや自社のみの課題ではなく、サプライチェーン全体の課題であることを如実に示しています。
委託事業者側では、取引先にセキュリティ要件をチェックリストで提示するケースが増えましたが、各社で基準が異なり、複数の委託先を持つ中小受託企業にとって大きな負担となっていました。そこで国が統一基準を設け、サプライチェーン全体の底上げを図ることとなったのが、SCS評価制度の出発点です。

参考：
経済産業省：「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）を公表しました

関連コラム
「うちの会社は大丈夫」では済まない。数億円の損失リスクを孕むインシデントを事例から学ぶ

1-2.制度の目的

SCS評価制度の最大の目的は、サプライチェーン全体のセキュリティレベルの底上げにあります。
評価を通じて中小受託事業者に適切なセキュリティ対策の実施を促し、サービス停止・情報漏えい・不正侵入などのインシデントリスクを低減します。委託事業者側にとっても、取引先のセキュリティ対策状況を評価レベルで一元的に把握できるため、自社のセキュリティリスク管理が効率化されます。つまりSCS評価制度は、受託・委託双方にとってメリットのある仕組みです。

2.評価レベル：★1〜★5の内容

SCS評価制度は★1から★5まで5段階の評価で構成されています。★1：一つ星・★2：二つ星は既に設定されている既存のSECURITY ACTION、★3〜★5が新設されるSCS評価制度に相当します。なお、★3〜★5は上位互換のため、★4：四つ星を取得する際に★3：三つ星を経由する必要はありません。

2-1.SECURITY ACTION（★1：一つ星・★2：二つ星）

SECURITY ACTIONとは、中堅・中小企業がセキュリティ対策に取り組むことを自己宣言する制度で、IPA（独立行政法人 情報処理推進機構）が運営しています。
★1：一つ星は「情報セキュリティ6か条」への取り組みを宣言するもので、実際の対策実施前でも申し込み可能です。★2：二つ星は、25項目のセキュリティ対策状況に関する問いに回答し、情報セキュリティ基本方針を策定・公開することが求められます。
SECURITY ACTIONはすでに開始されており、各種補助金の受給要件になっているケースもあります。未宣言の場合は、まずこちらから着手しましょう。なお、2026年4月には新システムが公開され、申込から管理まで行えるようになりました。

参考：
IPA（独立行政法人 情報処理推進機構）：SECURITY ACTION セキュリティ対策自己宣言

2-2.★3：三つ星－最低限のセキュリティ対策

ここからが新たに設定されるランクです。
★3：三つ星とは、「全てのサプライチェーン企業が最低限実装すべきセキュリティ対策」として位置付けられた評価レベルです。
83項目について自社で評価した上で、認定を受けたセキュリティ専門家が内容を確認します。有効期限は1年間です。主な評価対象は、すでに広く認知されているサイバー攻撃への基礎的な対策が十分かどうかです。専門家確認付き自己評価であるため、第三者審査を伴います。
★4：四つ星と比べると導入ハードルは低めです。
自動車業界のサプライチェーンセキュリティガイドライン（日本自動車工業会・日本自動車部品工業会）における「レベル1」に相当する内容となっています。

2-3.★4：四つ星－標準的なセキュリティ対策

★4：四つ星とは、「サプライチェーン企業等が標準的に目指すべきセキュリティ対策」として位置付けられた評価レベルです。
157項目について、認証を受けた評価機関が評価します。有効期限は3年間です。★3：三つ星との最大の違いは、文書確認に加えて評価機関による実地審査・技術検証が行われる点です。三つ星では対象外だった「取引先企業の管理」「システムへの侵入検知」「インシデント対応」などの包括的な対策も評価されます。
前述の自動車業界ガイドラインにおける「レベル2（一部レベル3を含む）」に相当します。

関連コラム
今、セキュリティ強化は最重要課題！認証技術の最前線

2-4.★5：五つ星－到達目標としてのセキュリティ対策

★5：五つ星とは、「サプライチェーン企業等が到達点として目指すべき対策」として位置付けられた最上位の評価レベルです。
2026年3月時点では、評価基準や評価スキームの検討が進められている段階です。今後、ISMS（Information Security Management System：情報セキュリティマネジメントシステム）認証など既存の評価制度との整合性を取りながら詳細が決定される予定です。

2-5.スケジュール

2026年3月時点でのスケジュールは以下の通りです。
三つ星と四つ星の制度開始のタイミングは決まっておりますが、五つ星は開始のタイミングが決まっていない状況です。

セキュリティ対策のご相談はこちらから

3.評価に向けて今すぐ進めるべき3つのステップ

★3：三つ星・★4：四つ星の評価を受けるには、数カ月〜半年程度かかることが想定されます。制度開始後にスムーズに評価を受けるためにも、今から次の3つのステップで準備を進めましょう。

3-1.ステップ1：三つ星・四つ星の概要を理解する

まず、三つ星と四つ星それぞれの違いを把握することが重要です。評価の深度が大きく異なり、四つ星では実地審査・技術検証が伴います。それにより有効期間も異なるため、他に自社で運用しているISO認証等も加味したうえで、ステップを検討することをおすすめします。

3-2.ステップ2：目指すレベルを決定する

経済産業省のサブワーキンググループ事務局は、「事業継続リスク」と「情報管理リスク」の観点からレベルを決定することを推奨しています。
以下のいずれかに該当する場合は、★4：四つ星の取得を検討しましょう。

• 取引先の事業中断により、自社の事業継続上重要な業務に許容できない遅延が生じ得る場合

• 取引先へのサイバー攻撃により、自社の機密情報の管理に重大な影響が生じ得る場合

どちらか迷う場合は、将来的な取引先からの要求に備え、★4：四つ星を目指すことをおすすめします。★4：四つ星の評価項目は★3：三つ星の内容を包含しており、将来的に★5：五つ星を目指す際にも四つ星の取得が近道となります。

関連コラム
ECサイトで診断の義務化も!?増加するサイバー攻撃からビジネスを守る

3-3.ステップ3：必要なセキュリティ対策を検討する

目指すレベルが決まったら、取得に必要なセキュリティ対策を洗い出し、予算と実装スケジュールを検討します。
評価の適用範囲として、以下の3つが必ず含まれることが発表されています。

評価基準は、米国立標準技術研究所（NIST）のサイバーセキュリティフレームワーク「NIST CSF 2.0」の6つのコア機能に基づいています。

参考：
米国国立標準技術研究所：サイバーセキュリティフレームワーク（CSF）2.0

4.まとめ

本コラムでは、2026年度に開始が予定されているセキュリティ対策評価制度（SCS評価制度）の概要・各レベルの内容・今から進めるべき準備についてご紹介してきました。
サプライチェーンを狙ったサイバー攻撃が深刻化する中、自社単独のセキュリティ対策だけでなく、サプライチェーン全体での取り組みが不可欠な時代に突入しています。SCS評価制度への対応は、取引先からの信頼を守るためだけでなく、自社のビジネスを継続・発展させるためにも欠かせない取り組みです。
制度開始まで時間的な余裕はあるように見えても、評価の準備には数カ月〜半年を要することを踏まえると、今すぐ動き出すしても早すぎることはありません。まずはSECURITY ACTIONへの宣言から始め、★3：三つ星・★4：四つ星の取得に向けたロードマップを描いてみましょう。
もし、セキュリティ対策を含め、アプリやWebの運用などでお困りの際は、ぜひお気軽にクロス・コミュニケーションまでご相談ください。
本コラムが、貴社のサービスをより確かなものにするための一助となれば幸いです。

セキュリティ対策のご相談はこちらから

お問い合わせはこちら