サプライチェーン強化に向けたセキュリティ対策評価制度（サプライチェーンきょうかにむけたセキュリティたいさくひょうかせいど、略称：SCS評価制度）は、経済産業省と国家サイバー統括室が主導し策定した、国家レベルのサイバーセキュリティ対策の共通指標・評価枠組みである。
本制度は、企業のサイバーセキュリティ対策の実施状況を星の数で客観的に可視化し、サプライチェーン全体における評価コストの削減とサイバーレジリエンスの向上を目的としている。適用範囲はサプライチェーンを構成する企業等のIT基盤であり、2026年度末頃（2027年3月頃）の本格運用開始に向け、独立行政法人情報処理推進機構（IPA）が制度を維持管理するスキームオーナーとして実務を統括している。
SCS評価制度は、企業間取引における客観的な品質保証として機能することが期待されているが、個社間の商取引に対して法的な規制措置を講じるものではない任意の制度である。類似の概念として情報セキュリティマネジメントシステム（ISMS）があるが、ISMSが情報資産全般の管理体制を評価するのに対し、本制度は外部からのサイバー攻撃に対する技術的な防御・検知・復旧能力に主眼を置いている点で異なる。
背景 現代のサイバー空間において、攻撃者の標的は極めて明確な変化を見せている。堅牢なセキュリティ防御網を構築している大企業や重要インフラ事業者を直接狙うのではなく、相対的にセキュリティリソースが乏しい中小企業や海外子会社、委託先企業を最初の侵入経路として悪用する「サプライチェーン攻撃」が常態化している。情報処理推進機構（IPA）の調査においても、2023年度にサイバーインシデントの被害を受けた企業の約7割が「取引先にも影響が及んだ」と回答しており、単一組織のインシデントがビジネスエコシステム全体を機能不全に陥れるリスクが顕在化している。
このような脅威情勢を背景に、発注元企業は取引先に対して厳格なセキュリティ要件を求めるようになった。しかし、ここで構造的な課題が生じている。委託先企業は、複数の取引先からそれぞれ異なるフォーマットのチェックリストや独自のセキュリティ要件への対応を求められ、その回答作業や個別要件への適応に膨大なリソースを奪われる「チェックリスト疲れ」に直面している。一方の発注元企業においても、自社が提示する要求水準が客観的に妥当であるかを証明しづらく、委託先からの自己申告ベースの回答だけでは実態を正確に把握できないというジレンマを抱えていた。
こうしたサプライチェーン全体に横たわる情報の非対称性と評価コストの増大という課題を解消するため、経済産業省と国家サイバー統括室が主導し、国家レベルの共通指標として策定されたのが「サプライチェーン強化に向けたセキュリティ対策評価制度（略称：SCS評価制度）」である。本制度は、企業のサイバーセキュリティ対策の実施状況を共通の指標（★の数）で客観的に可視化することで、取引先ごとの個別調査を削減し、社会全体のサイバーレジリエンスを底上げすることを目的としている。
2026年3月27日には「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」が正式に公表され、2026年度末頃（2027年3月頃）の本格運用開始に向けた準備が進行している。本制度は、事業者のセキュリティレベルを競わせる格付け制度ではなく、自社の立ち位置に応じた適切な対策水準を提示し、その実施を証明するための可視化の枠組みとして位置づけられており、個社間の商取引に対して法的な規制措置を講じるものではない任意の制度である。
適用範囲 本制度の適用範囲は、サプライチェーンを構成する企業等の「IT基盤（クラウド環境で運用するものを含む）」に焦点が当てられている。従業員が利用するPCやスマートデバイス、他社と責任を共有するクラウドサービス、外部ネットワークとの接続境界を構成するファイアウォールやVPN装置などがこれに該当する。一方で、個別環境ごとに共通化が難しい製造環境等の制御（OT）システムや、発注元に提供するIoT機器などの製品そのものについては、直接の対象外とされ、防衛調達や自動車業界などの各業界ガイドラインに基づき別途対策を行うことが想定されている。
制度の運営ガバナンスは、高い客観性と信頼性を担保するために多層的な体制が構築されている。経済産業省および国家サイバー統括室が制度全体の監督と方針策定を担い、独立行政法人情報処理推進機構（IPA）が制度を維持管理するスキームオーナー（事務局）として実務を統括する。
2026年8月28日には、IPAからSCS評価制度の「基本規程（SCS-100）」など7本の規程が公開され、制度運営の法的な骨格が確定した。IPA内には運営審議委員会が設置され、制度に関する文書類の策定や運営方針の審議が行われるほか、指定委員会が設けられ、上位評価を担う評価機関や技術検証事業者、専門家向けの研修事業者の厳格な審査・指定と監督を行う体制となっている。
特筆すべきは、基本規程に設けられた免責および秘密保持の枠組みである。規程では、制度運営機関（IPA等）は登録組織のセキュリティの完全性やインシデント回避について法的責任を負わないとする免責規定が明記されている。すなわち、★の取得は規定された対策要件の実施状況を確認した証左であって、絶対的な安全の保証ではないというサイバーセキュリティの原理原則が制度上も担保されている。同時に、評価に携わるすべての関係者には厳格な秘密保持義務が課せられ、審査の過程で開示される企業の内部情報や脆弱性情報が不当に漏洩しないよう法的な保護措置が講じられている。
評価段階 SCS評価制度は、企業のセキュリティ成熟度やサプライチェーンにおける役割に応じて、対策水準を5段階で評価する。このうち、★1および★2はIPAが以前から普及を推進している自己宣言制度「SECURITY ACTION（一つ星・二つ星）」がそのまま位置づけられており、連続性を持った体系となっている。2026年度末から新たに運用が開始されるのは、より高度な要件を伴う★3および★4の区分である。上位の段階は下位の段階の要求事項を包含する設計となっており、事前段階を踏まずに直接上位の★を申請することも可能である。
評価段階 対策の基本的な考え方と位置づけ 評価対象と想定される脅威 評価手法と有効期間 ★1・★2 既存の「SECURITY ACTION」。情報セキュリティへの取り組みの自己宣言。 基礎的な意識向上と最低限のルール整備。 自己宣言（運用中） ★3 (Basic) 全てのサプライチェーン企業が最低限実装すべきセキュリティ対策。基礎的な組織的対策とシステム防御を中心に実施。 広く認知された脆弱性等を悪用する一般的なサイバー攻撃。 専門家確認付き自己評価有効期間：1年 ★4 (Standard) サプライチェーン企業等が標準的に目指すべきセキュリティ対策。多層防御、検知・対応、取引先管理を含む包括的対策を実施。 供給停止によりサプライチェーンに甚大な影響をもたらす企業への攻撃、機密情報漏洩。 第三者評価（技術検証含む）有効期間：3年 ★5 (Advanced) 到達点として目指すべき高度な対策。国際規格等のリスクベースの考え方に基づくベストプラクティスの実施。 未知の攻撃を含む高度なサイバー攻撃（APTなど）。 第三者評価2026年度以降に詳細検討
★3（Basic） ★3は、サプライチェーンに参加する全ての企業が共通して備えるべきベースライン（26件の要求事項、81項目の評価基準）として定義されている。ここでは、OSの迅速な更新、ウイルス対策ソフトの導入、多要素認証（MFA）の適用といった技術的対策に加え、インシデント初動対応体制の整備といった組織的対策が求められる。
この★3では、専門家確認付き自己評価というスキームを採用している。取得希望組織は自己評価シートを作成した後、制度が認定したセキュリティ専門家による詳細な確認・助言を受け、その専門家の署名を得た上で、最終的に経営層が自己適合宣言を行わなければならない。
セキュリティ専門家の要件を満たす資格として明示されているのが、以下の6つの公的・国際的セキュリティ資格である。
情報処理安全確保支援士（登録セキスペ） 公認情報セキュリティ監査人（CAIS） CISSP CISM CISA ISO/IEC 27001 主任審査員
これら資格保有者が、さらに情報処理推進機構（IPA）が指定する「制度指定研修」を受講し、事務局へ登録を行うことで、はじめてSCS評価制度の専門家として活動することが可能となる。また、専門家の監督下で実際の確認作業を補助する「作業従事者」という役割も定義されており、こちらも所定の研修受講が求められるさらに、企業が★3取得のために専門家を探す手段として、情報処理推進機構（IPA）は「中小企業向けサイバーセキュリティ対策支援者リスト」を整備・公開している。
★4（Standard） ★4は、重要インフラ事業者やサプライチェーンの中核を担う企業、あるいは他社の機密情報を大量に保有する企業が目指すべき水準である。43件（評価基準として約153項目）の要求事項が設定されており、単なる防御を超えて、侵入されることを前提とした検知、対応、復旧の能力、すなわちサイバーレジリエンスの確立が強く求められる。
★4の評価は、IPAの指定を受けた評価機関による実地審査や書類審査と、技術検証事業者によるVPN機器等への脆弱性診断等の技術検証を伴う非常に厳格なプロセスを経る。要求事項には、SIEM等を用いたログの長期保存と分析、ゼロトラストアーキテクチャの要素導入、CSIRT体制の構築と年1回以上の訓練実施などが含まれ、高度な統制活動が不可欠となる。
既存認証制度との関係 SCS評価制度は、ISMSやプライバシーマークとは根本的に性質が異なる。ISMSが「企業自身が定めた適用範囲（スコープ）における情報資産全般の管理体制」を評価するのに対し、SCS評価制度は「外部からのサイバー攻撃に対する技術的な防御・検知・復旧能力」に主眼を置いている。したがって、ISMSを取得済みの企業であっても、SCS評価制度の対象範囲となるIT基盤とのギャップを埋める追加の対応が必要となる。
また、防衛装備品調達基準（NIST SP 800-171相当）や自工会・部工会ガイドラインとも関連が深い。★3は自工会ガイドラインのレベル1から一部レベル2に相当し、★4はレベル2からレベル3の一部をカバーする水準に設定されている。ただし、防衛調達基準が特定の機密情報（CUI）の保護に特化し約110項目の細かい管理策を求めるのに対し、SCS評価制度は情報の機密区分を企業判断に委ねつつ、より広範なIT基盤のレジリエンスを評価する構造となっている点に違いがある。
評価フレームワーク SCS評価制度の要求事項は、アメリカ国立標準技術研究所（NIST）が策定したサイバーセキュリティフレームワーク（CSF）のコア機能（統治、識別、防御、検知、対応、復旧）を基盤としている。しかし、本制度の独創的な点は、これら6つの機能に日本特有のビジネス構造を反映させた「取引先管理」という独自の7つ目の分類を追加していることである。
大分類（7分類） 要求事項の概要と技術的・組織的対応（★3〜★4） ガバナンスの整備 (GV) 経営層の関与、CISO等セキュリティ責任者の明確化、セキュリティ対応方針の策定、定期的な経営層への報告体制の構築。 取引先管理 (独自追加) クラウド等外部情報サービスの安全利用管理、委託先へのセキュリティ要求の提示、機密情報共有先の把握、インシデント時の役割分担明確化。 リスクの特定 (ID) 適用範囲内のIT資産（PC、サーバー、ネットワーク機器等）の正確な一覧化と管理、脆弱性情報の継続的な収集と管理プロセスの確立。 攻撃等の防御 (PR) 多要素認証（MFA）の導入、不要な通信ポートの遮断、マルウェア対策（EDR等）、適切なネットワーク分離、データの暗号化。 攻撃等の検知 (DE) ネットワーク上の異常通信の監視、エンドポイントの挙動監視、SIEM等を活用したログの長期保存と迅速な異常検知体制の構築。 インシデントへの対応 (RS) CSIRT等対応体制の構築、インシデント対応手順書の策定、関係各所への報告プロセス、年1回以上の実践的な対応訓練の実施。 インシデントからの復旧 (RC) ランサムウェア攻撃を想定したイミュータブルバックアップの取得、目標復旧時間・復旧ポイントを定めたリストア手順書の整備と定期的な復元テスト。
特に取引先管理およびインシデントからの復旧への重点化は、近年の脅威動向を色濃く反映している。自社単体での堅牢化だけでは不十分であり、ビジネスエコシステム全体のリスクを管理する責任を企業に課すとともに、データが暗号化された最悪の事態からいかに早く事業を再開できるかという実戦的なレジリエンスが評価の中核に据えられている。
脚注
関連項目
情報処理安全確保支援士 情報処理推進機構（IPA）