SCS評価制度とは——国による5段階のセキュリティ格付け
SCS評価制度は、企業のサイバーセキュリティ対策の実施状況を★1〜★5の5段階で「見える化」する国の制度です。経済産業省と内閣官房が2026年3月27日に制度構築方針を公表し、IPA（情報処理推進機構）が実務を担う形で、2026年度末ごろの運用開始を目指して準備が進んでいます。取得は義務ではなく任意です。
現時点で詳細が公表されているのは★3と★4です。
| 項目 | ★3（基本レベル） | ★4（標準レベル） |
|---|---|---|
| 位置づけ | 全ての企業が最低限実装すべき基礎的対策 | サプライチェーン企業が標準的に目指す水準 |
| 要求事項 | 26項目 | 43項目 |
| 評価方法 | 専門家確認付きの自己評価 | 評価機関による第三者評価＋技術検証 |
| 有効期間 | 1年 | 3年 |
★5は国際規格に基づく高度なレベルとして2026年度に詳細が検討される予定です。評価ガイドは2026年度下期に公表予定のため、最新情報は経済産業省・IPAの公式ページで確認してください。
なぜ今この制度なのか——狙われているのは「鎖の弱い輪」
背景にあるのは、サプライチェーンを経由したサイバー攻撃の急増です。攻撃者はセキュリティ投資の厚い大企業を正面から狙わず、取引先や委託先の中で対策の弱い企業を入口にします。実際、近年の大規模な情報漏えいでは、本体ではなく委託先やグループ会社が侵入口になった事例が相次いでいます（大企業の情報漏洩に学ぶ3つの教訓で詳しく解説しています）。
つまり全体の安全は「鎖の一番弱い輪」で決まります。これまで発注側の大企業は、取引先のセキュリティ水準を個別のチェックシートで確認してきましたが、書式がバラバラで、受注側は取引先ごとに何十枚もの調査票に回答する負担がありました。SCS評価制度は、この確認を共通の★マークに一本化する狙いがあります。
中小企業にどう関係するか——「任意」でも実質は取引条件になり得る
取得は任意ですが、楽観はできません。過去の類似制度（プライバシーマークやISMS）がそうだったように、発注側が取引条件や入札要件として★を求めるようになれば、受注側にとって実質的な必須要件になります。特に大手製造業のサプライチェーンに入っている企業、重要インフラ関連の取引がある企業は、早い段階で対応を求められる可能性があります。
- リスク面：★を持たないことが、新規取引の見送りや既存取引の見直し理由になり得る
- 負担面：取引先ごとに異なるセキュリティ調査票への回答業務が★の提示に置き換わり、むしろ事務負担は減る可能性がある
- 機会面：早期に取得すれば「セキュリティ対策済みの取引先」として競合との差別化材料になる
重要なのは、これを「また増えた負担」と捉えるか「対策を進める良い締め切り」と捉えるかです。制度の有無にかかわらず、求められている対策自体は自社を守るために必要なものです。
今から準備できること——★3の方向性はすでに見えている
評価ガイドの公表前でも、★3（基本レベル）が求める方向性は公表資料から読み取れます。いずれも特別な投資より先に、自社のITを把握し管理する基本動作です。
- ①IT資産の棚卸し：自社にあるPC・サーバー・クラウドサービス・ソフトウェアを一覧にする。「何があるか分からない」状態では何も守れない
- ②アカウント管理：誰がどのシステムにアクセスできるかを整理し、退職者アカウントを停止する。共有IDをやめる
- ③更新（パッチ）の管理：OSやソフトウェアの更新を自動化し、サポート切れ製品を洗い出す
- ④ログの保全：主要システムの操作記録が残る設定になっているか確認する
- ⑤バックアップ：基幹データを本体と切り離して定期バックアップする
また、中小企業向けには国の「サイバーセキュリティお助け隊サービス」など低コストの支援メニューの拡充も進められています。まずは上の5項目を自社でどこまでできているか、チェックリストにして確認することから始めてください。
まとめ：セキュリティの見える化は、業務の仕組み化と同じ道
SCS評価制度は、企業のセキュリティ対策を★の数で見える化し、サプライチェーン全体の底上げを狙う制度です。2026年度末の開始予定に向けて、評価ガイドなど詳細はこれから順次公表されます。断片的な情報で慌てる必要はありませんが、★3が求める基本対策は制度と無関係に今すぐ価値があるものばかりです。
IT資産の棚卸し、アカウントと権限の整理、更新の自動化——これらは弊社が業務自動化の構築時に必ず整理する項目と重なります。効率化とセキュリティは別の仕事ではなく、同じ「仕組み化」の両面です。取引先から★を聞かれる日が来る前に、足元の整理から始めることをおすすめします。
セキュリティの「仕組み化」も業務改善と一緒に進められます
IT資産の把握、アカウント管理、更新の自動化——SCS評価制度が求める基本対策の多くは、業務の仕組み化と同じ作業です。いまの状況を1行入力するだけで、効率化と安全対策を両立する構成案をその場でお見せします。
AIに30秒で試す →よくある質問
Q. SCS評価制度の取得は義務ですか？
義務ではなく任意の制度です。ただし、発注側の企業が取引条件や入札要件として★の取得を求める可能性があり、サプライチェーンに入っている企業にとっては実質的に必要になる場面が出てくると考えられます。プライバシーマークやISMSが取引要件として定着した経緯と似た広がり方をする可能性があります。
Q. いつから始まりますか？今すぐ何かすべきですか？
2026年度末ごろの運用開始を目指して準備が進められており、評価ガイドは2026年度下期に公表予定です。今すぐ申請などの手続きは発生しませんが、★3が求める方向性（IT資産の把握、アカウント管理、更新管理、ログ、バックアップ）は公表済みのため、この基本5項目の整備を先に進めておくと、制度開始後の対応がスムーズになります。
Q. 中小企業には負担が大きくないですか？
★3（基本レベル）は専門家確認付きの自己評価方式で、第三者機関の実地審査を受ける★4より負担が抑えられた設計です。要求される対策も、IT資産の棚卸しやアカウント管理など、高額な製品導入より運用の整備が中心です。また、取引先ごとに異なるセキュリティ調査票に回答してきた企業にとっては、★の提示に一本化されることで事務負担がむしろ減る可能性もあります。