RESOURCE

SCS評価制度の★1〜★5とは？自社の現在地セルフチェック｜ハチマルヤ合同会社（808）

2026.01.23

「SCS評価制度への対応が必要だと言われたが、自社が今どのレベルにいるのかわからない」——2026年に入り、こうした声が製造業・IT業界を中心に急増しています。

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、企業のセキュリティ対策状況を★の数で可視化する経済産業省主導の制度です。取引先に対して評価取得を求める動きが今後広がると見込まれており、まず「自社の現在地」を知ることが対応の第一歩になります。

この記事では、★1〜★5の評価体系と、自社の現在地を確認するセルフチェックの方法を、IPAが公開している公式の要求事項に基づいてハチマルヤ合同会社（808）が解説します。[※1]

SCS評価制度とは何か

SCS評価制度とは、企業のサイバーセキュリティ対策の水準を統一基準で評価・可視化する制度です。経済産業省と内閣官房国家サイバー統括室が連携して創設を進め、IPA（情報処理推進機構）が実施機関を担います。[※1]

サプライチェーン攻撃（取引先・委託先経由でのサイバー攻撃）が急増するなか、大手企業は自社だけでなく「調達先のセキュリティ」も管理する責任を問われるようになりました。この制度によって、取引先のセキュリティ水準を「★の数」という共通言語で確認できるようになります。

制度の全体像・対象企業については、以下の記事で詳しく解説しています。

SCS評価制度の評価レベルは、次の5段階で構成されています。[※1]

レベル	位置づけ	評価方式
★1・★2	既存の「SECURITY ACTION」（中小企業の自己宣言制度）を取り込んだ入口レベル	自己宣言
★3	一般的なサイバー脅威への対処	要求事項26件・専門家確認付き自己評価
★4	被害拡大防止・サプライチェーン強靭化	要求事項43件（★3を含む）・第三者評価＋技術検証
★5	高度なサイバー攻撃への対応	国際規格ベース（詳細は今後具体化予定）

多くの企業がまず目指すことになるのは★3です。★4は、★3の26件を含む43件の要求事項に対応したうえで、第三者評価機関による審査と技術検証を受ける、より高い水準です。

どのレベルを目指すべきかは、サプライチェーン上の位置（階層）ではなく、取引先からの要請・自社の役割・扱う情報のリスクで決まります。この点は誤解が多いため、以下の記事で詳しく整理しています。

★3の要求事項26件は、7つの大分類で構成されています。[※1] 大分類ごとに「自社ができているか」を確認できるチェックリストにしました。まず現在地の把握に使ってください。

チェックの目安: 「できていない」項目が複数ある場合、★3取得前にまず基本対策の整備が必要です。特に「攻撃等の防御」は13件と最多のため、ここのチェック漏れが対応工数を左右します。

※正式な評価は公式の評価基準（★3は83の評価基準）に基づいて行われます。上記は現在地把握のための簡易チェックです。[※1]

各要求事項の詳しい中身と、着手の優先順位は、以下の記事で解説しています。

要求事項ごとに、より細かく自社の状況を確認したい場合は、以下のチェックリストもご活用ください。

★4では、★3の26件に加えて17件の要求事項が追加され、合計43件になります。追加分の主な内容は以下の通りです。[※1]

組織・ルール面 – 法令等を考慮した社内ルールの策定・周知 – サイバー攻撃・予兆の監視・分析体制の整備 – セキュリティ対策推進計画の策定と経営層への定期報告 – 取引先のセキュリティ対策状況の把握 – 契約終了時の機密情報の回収・破棄 – リモートワークのルール整備

技術・運用面 – 脆弱性の管理体制・管理プロセスの整備 – データの暗号化・保管ルール – サポート期限切れOS・ソフトウェアの利用停止 – ログの取得と定期的なレビュー – 情報機器・ソフトウェアの挙動監視

★4は評価方式も変わり、第三者評価機関による審査と技術検証が加わります。

SCS評価制度は2026年度末（2027年初頭）に開始される見込みです。申請受付の具体的な時期は、IPAからまだ公表されていません。[※1] 取得までは、準備状況にもよりますが一般的に以下の期間がかかります。