「SCS評価制度」とは？経営者が知っておくべき新指標と対応の第一歩
2026年度末頃から開始される「SCS評価制度」について、すでに耳にした方も多いのではないだろうか。
自社のセキュリティ対策状況を「★（星マーク）」という共通基準で評価し、取引先からも見えるようにする制度であり、すでに認証取得の準備に動き出している企業も少なくない。
一方で、「うちのような中小企業には荷が重すぎるのではないか」「星を取得しても、しょせん形だけの対策で終わるのではないか」と懸念し、「取引先から明確な要請があってから動けばいい」と様子見をしている企業もある。
しかし、この制度の背景や目的を十分に理解すれば、こうした考えには至らないかもしれない。実際の取引現場でこの制度がどう扱われ始めているかを知ることで、企業が対応する意義は大きく変わってくる。
本記事は、2026年6月24日にSCSKサービスウェア株式会社とEGセキュアソリューションズ株式会社が共催したオンラインセミナー『情報セキュリティ10大脅威から読み解く国の新指針 2026年開始「SCS評価制度」の全貌と、今やるべきこと』での講演内容をもとに構成している。
登壇したのは、EGセキュアソリューションズ株式会社でマーケティング部長を務め、中小企業診断士および情報処理安全確保支援士でもある坂田英彦氏である。
SCS評価制度は一体どのようなもので、企業のセキュリティやビジネスにおいてどんな意味を持つのか。そして、限られた準備期間の中で何から手をつければよいのか。本記事では、SCS評価制度の全体像を順を追って解説する。
SCS評価制度誕生の背景：サイバー攻撃の変遷と「攻撃連鎖」の実態
IPA（独立行政法人情報処理推進機構）が毎年発表している「情報セキュリティ10大脅威」の2026年版で、1位はランサムウェア攻撃、2位はサプライチェーンや委託先を狙った攻撃が占めた。
この組み合わせが1・2位を占め続けているのは4年連続、ランサムウェア攻撃単独では6年連続の首位となる。
実は今の攻撃の主流は、ランサムウェア攻撃とサプライチェーン攻撃が合体したものだと捉えられている。
では、二つの脅威はなぜいつもセットで上位を占め続け、「SCS評価制度」誕生にまでつながっているのか。坂田氏は、サイバー攻撃の変化と、攻撃が拡大する仕組みの両面から、その背景を解き明かす。
かつての標的は、情報を大量に持つ組織だった
2015年ごろまで、攻撃者は重要な情報を大量に持っていそうな組織にターゲットを絞り込み、そこに侵入して情報を盗み出していた。世に標的型攻撃と呼ばれる手口である。
例えば、2015年に大きな問題となった日本年金機構の大規模情報流出も、この手口によるものだった。ネットワークに侵入した攻撃者は大量の個人情報を盗み出した。
当時、大きな組織や重要な情報を大量に持つ組織が狙われるものだという見方が一般的だった。
今は、企業の規模を問わず狙われる
今主流になっているランサムウェア攻撃は、組織への侵入までは標的型攻撃と同じだが、その先で重要なデータを盗むだけでなく、そのデータを暗号化して使えない状態にし、復旧と引き換えに身代金を要求する。
ランサムウェア攻撃で狙われるかどうかを分けるのは、「どれだけ情報を持っているか」ではなく、「業務を止められて困るか」だ。
しかし、業務を止められて困らない企業などない。だからこそ、規模や業種を問わず、すべての企業が攻撃の対象になっている。
防御の弱い組織を突破口に、大企業を陥落させる「攻撃連鎖」
とはいえ、企業によって防御能力には差がある。攻撃者が最初に侵入するのは、防御の弱い組織であることが多い。脆弱なVPN機器や強度の低いパスワードを使っている組織は、それだけで攻撃者にとって入りやすい入り口になる。
さらに、侵入した攻撃者は、そこに留まらない。ネットワーク内を探り、重要なデータを見つけて盗み出す。そして、その盗み出した情報の中に、取引先や委託元など、より規模の大きい企業のシステムに入るためのIDやパスワード、あるいは直接つながるVPNの経路がないかを探る。見つかれば、そこを足がかりに、さらに大きな組織へと侵入範囲を広げていく。
企業間のIT連携が密になるほど一つの弱い結節点への侵入がサイバードミノのように他社へ広がり、サプライチェーン全体に被害が及ぶ状況になっている。だからこそランサムウェア攻撃とサプライチェーン攻撃は、常にセットで脅威ランキングの上位を占め続けているのだ。
２つの事例から見る、攻撃連鎖の現実
この連鎖による被害は、日本国内でも度々報告されている。その一例が、アスクルのケースだ。
取引先が攻撃を受け、その取引先が持っていた、VPN経由でアスクルのシステムに入るためのIDとパスワードが盗まれたことがきっかけとなり、アスクルは情報流出とサービス停止に見舞われた。完全復旧までにはおよそ4ヶ月を要したとされる。
同様の被害は、医療の現場でも起きている。大阪急性期・総合医療センターでは、委託先の給食業者が攻撃を受け、そこと一部つながっていたネットワークの認証情報を使われて、裏側から侵入された。この結果、同センターは新規患者の受け入れを止めざるを得なくなり、地域住民の命に関わりかねないほどの大きな影響が生じた。
サイバーセキュリティは1社の問題から、国家の課題へ
攻撃対象がすべての企業へと広がったことに加え、日本企業間のIT連携が密接であるがゆえに、一つの弱点からサプライチェーン全体へと被害が波及していく構造がある。国外を中心とするサイバー攻撃は、こうした構造を突く形で、日本経済に打撃を与えている。
だからこそセキュリティは、産業全体で取り組むべき、そして国家的な課題になっている。こうした状況を受け、経済産業省はSCS評価制度を創設した。
SCS評価制度は、何を、どこまで求めているのか
SCS評価制度が目指しているのは、企業のセキュリティ対策状況を発注側・受注側が同一基準で確認できるようにすることだ。個々の企業がこの基準を満たしていくことで、サプライチェーン全体のセキュリティ水準が徐々に引き上げられ、ひいては社会全体のセキュリティレベルの向上にもつながることが期待されている。
SCS評価制度の対象は？
対象となる会社は、サプライチェーンを構成するすべての企業、つまりBtoBで企業間取引を行うすべての会社である。大企業への納品の有無にかかわらず、企業間取引をしていればこの制度の対象になる。
対象となる資産も、組織が利用する社内外のITシステム基盤全般である。工場の制御システムなど、いわゆるOT(オペレーショナルテクノロジー)領域だけが除かれる。
星3・星4・星5は、それぞれ何を求めているのか
SCS評価制度は、大きく3段階で示される。もっとも低い段階が星3で、その上に星4、星5と続く。
これらはゼロから作られたものではなく、すでにある「SECURITY ACTION」という制度の星1・星2の上に積み上げる形で設定されている。星1・星2は心構えや準備段階を示すものであり、星3以降がSCS評価制度として新たに求める実質的な対策レベルにあたる。
星3は、広く知られた脆弱性を悪用する一般的なサイバー攻撃に対応できるレベルであり、すべてのサプライチェーンに最低限求められる基準にあたる。自己申告だけでは認められず、専門家が対策状況を確認したうえで署名し、申請して初めて取得できる。
星4は、供給が止まればサプライチェーンへの影響が大きい企業や、重要な情報を扱う企業に求められる、より高い水準である。国が認定した機関による技術的な検証と実地審査を経て、初めて認められる。
最上位の星5は、未知の攻撃にも対応できる高度なレベルと位置づけられているが、基準は現在も議論が続いており、詳細は明らかになっていない。
認定取得のプロセス
登録から認定取得までのプロセスは、大きく4段階に分かれる。
まず、星3であれば26項目、星4であれば43項目と定められた要求事項を満たす状態を作る。
満たしたら、星3は専門家の確認と署名、星4は第三者機関による実地審査と技術検証を受ける。星4の審査はサンプリング方式で行われ、一部だけを整えておけばよいわけではなく、全体が実際にできているかどうかを確認される。
審査を通過し、IPAに申請する。
すると、星3・星4を取得した企業の一覧がウェブサイト上で公開される。取引先はこの一覧を見て、安心して取引できる会社かどうかを判断する材料として活用する。
取得した認定は、取っただけで終わらない。星3は毎年、星4は3年に1回、評価機関による再審査を受けて更新する必要がある。
ISMSやPマークを取っていても、SCS評価制度は必要か
ISMSやPマークをすでに取得している企業にとって、SCS評価制度に対応する必要があるのか、疑問に思う向きもあるだろう。
だがSCS評価制度はISMSやPマークとは、守る対象も、対応する脅威の範囲も異なる。
ISMSやPマークが守るのは、Pマークであれば個人情報、ISMSであればすべての情報資産であり、外部からのサイバー攻撃だけでなく、内部不正や不慮の事故まで対象に含む。
SCS評価制度が守るのはサプライチェーン全体であり、対応する脅威も外部からの攻撃に絞り込まれている。
SCS評価制度は、ISMSとはアプローチも異なる。
ISMSは、自社が持つ情報資産がどの程度脆弱で、失われた場合にどれだけ事業に影響するかを踏まえて対策を積み上げる、リスクベースアプローチをとる。適用範囲も、自社が守りたい部分を自分で決められる。
SCS評価制度は、一般的な攻撃手法に対してどう守れば防御が固くなるかをあらかじめ列挙し、それを満たしているかどうかを確認する、ベースラインアプローチをとる。適用範囲も、社内外のITシステム基盤全般とあらかじめ決まっている。
こうした違いがあるからこそ、「ISMSを取得しているからSCS評価制度は不要」とは言えない。 経済産業省も、ISMSとSCSの「星4」の両方を取得するような使い方を促している。
SCS評価制度を実際に導入すると、何が変わるのか
この共通の物差しが導入される前は、発注企業ごとに異なる基準でセキュリティチェックシートが送られてきており、受託企業はその対応に追われていた。また、発注側も自社の基準だけで本当に十分な水準かどうかを判断しきれない、あいまいな状況が続いていた。
物差しが共通化されることで、基準が明確になり、セキュリティレベルは上がりやすくなる。回答する側の負担も大幅に軽減され、判断する発注側も公平に評価できるようになる。
「義務ではない」SCS評価制度が、実は経営の武器になる
国はSCS評価制度を義務づけてはいないが、発注企業の間では、この制度を取引条件に組み込む動きがすでに広がっている。実際、こうした市場の動きは、セキュリティ対策そのものの位置づけを変えつつある。
「義務ではない」制度が、なぜ取引条件になるのか
もっとも、SCS評価制度は「義務ではないし、企業間で競わせるつもりもない」というのが国の公式な立場だ。
これに便乗し、「これを取らなければ取引がなくなる」といった煽り文句で売り込むセキュリティベンダーも見られたという。国はこうした動きを問題視し、強く注意を呼びかけている。
だが、「義務ではない」ことは、「対応しなくてもいい」ことを意味しない。国自身がこの制度の業界浸透を望んでいるように見える。
実際、あわせて改定された「中小企業向け情報セキュリティ対策ガイドライン」の付録には、委託先を評価する基準として、「星3・星4に登録されている会社であることを確認する」という規定の雛形が示されている。
大手IT企業のアンケート結果(2026年発表)では、発注側が星を取引条件に組み込む意向を持つ企業は7割以上に上り、そのうち半数以上が星4以上を要求する予定だ。
取引先を十分に把握できていない発注側が、これを取引条件に組み込もうとしている姿勢もうかがえる。取引先の選定にこの物差しが利用されていく可能性は高い。
セキュリティ対策は、コストから経営武器に変わる
坂田氏は、セキュリティ対策に対する見方そのものを変えていくべきではないかと考えている。
これまでセキュリティ対策は、情報システム部門が担うもの、利益を生まないコストだと見なされることが多かった。しかし国が共通の物差しを用意した以上、今後は価格や品質と同じように、セキュリティ対策ができていることが取引をするうえで当たり前の基準になっていく。
セキュリティ対策は、コストではなく、国の統一基準によって価格や品質と並ぶ経営の武器になっていく。
今、SCS評価制度対応に何から始めればいいのか
セキュリティ対策が経営の武器になるとはいえ、それは一朝一夕に築けるものではない。では、今から具体的に何を始めればいいのか。
まずは、経営層のコミットメントから始める
まずは、経営層が主体的に関与することだ。これは一部門任せの仕事ではなく、全社で取り組むトップダウンのプロジェクトだと経営層自らが位置づけ、役割・予算・推進体制を割り当てることを意味する。そのうえで全部門に協力を要請し、取引先とも対話を重ねていく。
現状把握からギャップ分析、そして「証跡」の記録へ
ステップ1：現在地の把握
SCS評価制度は一般的な攻撃手法への対策を列挙するベースラインアプローチを採用しており、星3で26項目、星4で43項目と、到達すべきゴールが明確に決まっている。この基準と自社の現状を比較することで、ギャップを可視化できる。
ステップ2：効率的な投資でギャップを埋める
ギャップを埋めるための施策を検討する。ITツールの導入で複数の要求事項を同時に満たせる場合があるから、費用対効果を意識した対策を実行し、必要な規程も整えていく。
ステップ3：運用の継続と証跡の記録
対策を実行するだけでなく、実際に運用することが欠かせない。とりわけ星4の審査では証跡の提出が求められるため、日々の運用を記録として残しておくことが重要になる。
ステップ4：そのうえで、認定の申請に進む
実際に必要なのは、技術的対策と組織体制のバランス
実際の要求内容について★3を例にとると、技術的な対策がおよそ6割、組織的な対策がおよそ4割を占めている。技術面だけでも組織面だけでも不十分であり、両者をバランスよく進めていく必要がある。
内訳では、
技術的な対策である攻撃の防御・検知が53.8%、インシデント対応が7.7%で、この二つを合わせておよそ6割。
残りのおよそ4割が、ガバナンスの整備やリスクの特定など、組織としてのルールづくりにあたる。
技術面では、ID・アクセス管理、マルウェア対策、バックアップの実施に加え、社内外のネットワーク境界やPC・サーバーといったエンドポイントを対象に、不正アクセスをリアルタイムに検知して遮断する継続的監視の仕組み(XDRやEDRなど)の導入が求められる。
組織面では、社内の役割分担やセキュリティポリシーの整備、取引先との役割分担、IT資産やクラウドサービスの利用状況の把握、セキュリティ教育・訓練、インシデント発生時に復旧できる体制やルールの整備などが求められる。
残された時間は長くない、今から動こう
審査が本格化する2027年3月頃までに一定の準備を終えておくには、まず現状把握とギャップ分析を早めに済ませ、そこから対策の実行に移り、星4を目指す場合は運用実績の蓄積へと進んでいく必要がある。
評価機関の指定・公表は2026年12月頃を予定しており、それまでにある程度の準備ができていることが望ましい、と坂田氏は思っている。星4を目指すのであれば、今がスタートを切るタイミングだという。
SCS評価制度対応で迷った時
SCS評価制度への対応は一足飛びに終わるものではない。何から手をつければよいか迷ったときや、自社だけでの対応に不安がある場合は、専門家に相談しながら進めるのも一つの方法だ。本セミナーに登壇した坂田氏が所属するEGセキュアソリューションズが、SCS評価制度への対応を伴走支援している。気になる点があれば、気軽に相談してほしい。
まとめ
今のサイバー攻撃は、業種や規模を問わず、すべての企業が対象になる。自社と取引先のセキュリティを守るために生まれたのがSCS評価制度であり、この共通の物差しによる評価を取得しておくことは、安心して取引できる企業であることを示し、信頼関係を強化することにつながる。
セキュリティ対策が今後、価格や品質と並ぶ「経営の武器」になり、これを強化していくことがサプライチェーンの中で選ばれる企業になることにつながっていく。
あわせて読みたい
▼「SECURITY ACTION」の★1・★2に未着手の方は、まずこちらの記事からゼロベースで整理してみよう
▼技術者・経営者、両方の視点からサイバーセキュリティ事件やセキュリティ技術の裏側を読み解くマガジン
▼デジタル時代を安全に過ごすための、身近な豆知識集
補足情報・参照資料
経済産業省／IPAの公式発表(SCS評価制度全般):
「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」(2026年3月27日)
※★3は26要求事項・83評価基準(有効期間1年)、★4は43要求事項・157評価基準(有効期間3年)、 ★5は基準を今後検討中。独立行政法人情報処理推進機構(IPA)の公式発表
「情報セキュリティ10大脅威 2026」(2026年1月29日決定)アスクル社の公式報告書：
ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（ランサムウェア攻撃によるシステム障害関連・第 13 報）
地方独立行政法人大阪府立病院機構の公式発表:
「情報セキュリティインシデント調査委員会報告書概要版」
