SCS評価制度とは？★3〜★5の3段階認証と今すぐできるレベル確認の方法｜ハチマルヤ合同会社（808）

SCS（サプライチェーンセキュリティ）評価制度の★3・★4・★5の3段階を解説。自社が「今どのレベルにいるか」をチェックリストで確認し、取引継続のために2026年以降に向けて何をすべきかわかる記事です。

---

「SCS評価制度への対応が必要だと言われたが、何をすればいいかわからない」——2026年以降、こうした声が製造業・IT業界を中心に急増しています。

SCS評価制度（サプライチェーンセキュリティ評価制度）は、取引先のセキュリティレベルを可視化・認証するための仕組みです。大手企業が調達先に対してSCS評価の取得を要件として求める動きが広がっており、「対応していない企業との取引を見直す」という動向も出始めています。

この記事では、SCS評価制度の基本的な仕組み・★3〜★5の3段階の内容・自社のレベルを確認する方法を、ハチマルヤ合同会社（808）が解説します（後編では25項目の全リストとロードマップを解説しています）。

---

SCS評価制度とは何か

SCS評価制度（サプライチェーンセキュリティ評価制度）とは、企業のサイバーセキュリティ対策の水準を第三者機関が審査・認証する制度です。

サプライチェーン攻撃（取引先・委託先経由でのサイバー攻撃）が急増するなか、大手企業は自社だけでなく「調達先のセキュリティ」も管理する責任を問われるようになりました。その結果、取引先に対してSCS評価制度の認証取得を求める流れが生まれています。

なぜ今、対応が急がれるのか

取引条件としての要件化が進んでいる
製造業・IT・防衛産業・インフラ関連企業を中心に、SCS評価（または同等のセキュリティ基準への適合）が取引継続・新規契約の条件となるケースが増えています。

2026年が最初の判断分岐点
業界によって異なりますが、調達要件としてSCS評価が本格的に動き出すタイミングとして、2026年の1〜3月が一つの節目とみられています。取得には通常6ヶ月〜1年以上かかるため、「来年になってから動く」では間に合わない可能性があります。

---

3段階の認証レベル：★3・★4・★5

SCS評価制度は、セキュリティ対策の成熟度に応じて3つのレベルが設定されています。

まず目指すべきは**★3の取得**です。★3は「基本的な対策ができている状態」の証明であり、多くの取引先との関係維持に求められる最低ラインになっています。

★4以上は、より高度な情報（設計データ・個人情報・防衛関連情報など）を取り扱う企業や、大手企業の中核サプライヤーとして位置づけられる企業が対象となります。

---

自社は今どのレベルか——★3・★4のセルフチェック

取得を検討する前に、「現在地」を把握することが重要です。以下のチェックポイントで自社のレベルを確認してください。

★3（ベーシック）の主な要件

以下の項目がすべて実施できていれば、★3の取得要件を概ね満たしています。

組織・ルール面

• 情報セキュリティポリシー（基本方針）が文書化されている
• セキュリティ担当者が任命されている
• 新入社員向けのセキュリティ教育を実施している
• インシデント発生時の報告ルートが定められている

技術・運用面

• OSやソフトウェアを定期的に更新している
• 多要素認証（MFA）を主要なシステムに導入している
• 重要データのバックアップを定期的に取得している
• ウイルス対策ソフトが全端末に導入されている

上記のチェックボックスで「できていない」項目が複数ある場合、★3の取得前にまず基本対策の整備が必要です。

★4（スタンダード）の主な要件（追加分）

★3の全要件を満たしたうえで、さらに以下が必要です。

組織・ルール面

• サプライチェーン（取引先・委託先）のセキュリティリスク管理の仕組みがある
• リスクアセスメントを定期的に実施している
• セキュリティ対策の実施状況を経営層に定期報告している

技術・運用面

• EDR（エンドポイント検知・対応ツール）またはSIEMを導入している
• ネットワークのセグメント分離（特にIT/OT分離）が実施されている
• ペネトレーションテストまたは脆弱性診断を定期的に実施している
• インシデント対応計画（BCP）が文書化され、訓練を実施している

---

取得に向けたスケジュールの考え方

SCS評価の審査には、準備から認証取得まで一般的に以下の期間がかかります。

2026年の取引条件適用を念頭に置くと、2025年中に動き出すことが実質的なリミットです。まず現状把握から着手し、不足対策を洗い出すことが最初のステップになります。

---

SCS評価制度とISMS（ISO27001）の関係

「うちはすでにISMS認証を持っている。SCS評価は不要か？」という疑問も多く寄せられます。

結論として、ISMSとSCS評価は別物であり、ISMSがあればSCS評価が不要とはなりません。

ただし、ISMSを保有している企業は、SCS評価の審査において多くの要件をすでに満たしていることが多く、★4〜★5の取得が比較的スムーズに進む傾向があります。

一方、ISMS未取得の企業は★3から着実に対策を積み上げていくアプローチが現実的です。

---

まとめ

• SCS評価制度は、サプライチェーンセキュリティの水準を認証する制度。★3〜★5の3段階がある。
• 取引条件としての要件化が進んでおり、2026年が一つの判断分岐点。準備期間を考えると今すぐ動き出す必要がある。
• まず目指すべきは**★3の取得**（基本対策の実施と文書化）。
• 取得まで6〜11ヶ月かかるため、逆算したスケジュール管理が重要。
• ISMS取得企業はSCS評価でも有利だが、別途の取得が必要。
• 後編では、SCS評価の全25項目リストとレベル別対策ロードマップを解説しています。

---

ハチマルヤ合同会社（808）では、SCS評価制度への対応を専門チームがサポートしています。現状のセキュリティレベルの診断（ギャップ分析）から、対策の実施支援・審査対応まで、まずはお気軽にご相談ください。

---

参考資料・出典

※1 経済産業省「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年）
https://www.meti.go.jp/policy/netsecurity/mng_guide.html

※2 IPA（情報処理推進機構）「中小企業の情報セキュリティ対策ガイドライン 第3.1版」（2023年）
https://www.ipa.go.jp/security/guide/sme/about.html