SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）とは？★3・★4の違いと26の要求事項・2027年度の運用開始に向けて中小企業がやるべきこと

取引先から「セキュリティ対策のレベルを示してほしい」と求められる場面が、これから一気に増えます。その根拠になるのが、経済産業省が整備を進めているSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）です。

結論から言うと、中小企業がまず見るべきなのは「★3」の26項目です。★3は専門家の確認を受けたうえでの自己評価で取得でき、多くの企業にとって当面の目標水準になります。★4は第三者評価が必要で、重要インフラや防衛関連の供給元など、限られた企業向けです。

スケジュールも動いています。2026年3月27日に「制度構築方針」が公表され、2026年度下期（2026年10月〜2027年3月）に評価用ガイド等が公表され、その後＝2027年度（2027年4月以降）に運用開始が想定されているという段取りです。一見まだ先に見えますが、★3で問われるのは運用した記録なので、実際に動き出すべきタイミングはすでに来ています。

この記事では、制度の全体像、★1〜★5の違い、★3の26項目で何を求められるか、中小企業がつまずきやすい項目、そして「26項目を満たすには実際に何を用意すればいいのか」を、費用の目安と補助金の使い方まで含めて解説します。

SCS評価制度とは？

SCS評価制度は、企業のセキュリティ対策レベルを★1〜★5の5段階で評価し、取引先に対して客観的に示せるようにする国の制度です。「Supply Chain Security」の頭文字をとってSCS評価制度と呼ばれます。

項目	内容
正式名称	サプライチェーン強化に向けたセキュリティ対策評価制度
略称	SCS評価制度
所管	経済産業省・内閣官房国家サイバー統括室
運営（事務局）	独立行政法人情報処理推進機構（IPA）
評価レベル	★1〜★5の5段階
最初に始まるレベル	★3・★4（★5は今後検討）
主な対象	BtoB取引の受注者側。業種・規模を問わない
取得後	★3・★4を取得した企業は制度事務局のWebページ等で公表される予定

ポイントは、これが「認証を取らないと営業できなくなる」種類の規制ではないことです。法律で義務づけられるわけではありません。ただし発注側の企業が取引条件として「★3以上」を求めるようになれば、実質的に取引の前提条件になっていくという性質の制度です。

なぜこの制度がつくられた？

狙われる場所が変わったからです。大企業は年々守りを固めており、正面から突破するのは簡単ではありません。そこで攻撃者は、対策が手薄な取引先の中小企業を踏み台にして、本命の大企業に入り込むという経路を使うようになりました。

この場合、被害を受けるのは踏み台にされた中小企業だけではありません。取引先全体に影響が及び、部品供給が止まる、生産ラインが停止する、といった形でサプライチェーン全体が巻き込まれます。1社の対策不足が、取引網全体のリスクになる——これが制度がつくられた背景です。

そのため制度は、大企業だけでなく「情報のやり取りをするほぼすべての企業」を視野に入れています。「うちは小さいから関係ない」が最も通用しないテーマだと考えてください。

▶ 関連記事：中小企業はなぜサイバー攻撃の標的になりやすいのか？

▶ 関連記事：サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例・取引停止や損害賠償のリスクと対策

いつから始まる？

制度づくりは段階的に進んでいます。現時点で公表されている流れは次のとおりです。

時期	内容
2025年4月14日	「制度構築に向けた中間取りまとめ」を公表
2025年度	実証事業の実施と評価基準の確定
2026年3月27日	「制度構築方針」を公表（経済産業省・内閣官房国家サイバー統括室）
2026年度 上期（4〜9月）	制度の詳細化と、運用開始に向けた準備（業務プロセスの整理、試行的な実証検討など）
2026年度 下期（10〜3月）	評価用ガイド等の公表／★5の基準・評価スキームの検討
それ以降（2027年度〜）	運用開始（想定）と、取得企業の公表

ここは誤解が多いところなので補足します。2026年度下期に公表されるのは「評価用ガイド等」であって、運用開始そのものではありません。IPAが公表しているスケジュールでは、運用開始はガイド公表の「以降」に置かれており、実質的には2027年度（2027年4月以降）が想定時期です。なお、これはあくまで想定であり、制度運営基盤の整備状況によって変わる可能性があるとされています。

注意したいのは、「制度が始まってから準備を始めても間に合わない」という点です。★3で求められるのは仕組みを入れることだけでなく、運用した記録（ログや点検の証跡）です。記録は後からさかのぼって作れません。「半年前から毎月点検していた証拠」が必要になる以上、動き出しが遅れた分がそのまま取得時期の遅れになります。

★1〜★5は何が違う？

5段階のうち、最初に運用が始まるのは★3と★4です。この2つの違いが、実務上いちばん重要になります。

項目	★3	★4	★5
想定する脅威	一般的なサイバー攻撃	サプライチェーンへの影響が大きい攻撃	未知の高度な攻撃
要求事項の数	26項目	43項目（★3を含む）	今後検討
評価の方法	専門家確認付き自己評価	第三者評価 （文書確認・実地審査・技術検証）	今後検討
有効期限	1年（年次更新）	3年（毎年の自己評価は必要）	今後検討
主な対象	一般的なBtoB取引の受注者	重要インフラ関連、防衛関連の供給元、重要な機密情報を扱う企業	未定
中小企業との距離	ここを目指すのが基本	取引先から個別に要請された場合	当面は対象外

★3の「専門家確認付き自己評価」とは

言葉が分かりにくいので整理します。これは「自己申告だけでもなく、ISMSのようなフル監査でもない」中間の方式です。自社で26項目を点検したうえで、その内容をセキュリティの専門家に確認してもらう、という形をとります。

自社だけで「できています」と言い切る方式ではないため、点検の根拠になる記録が残っているかどうかが実質的な合否の分かれ目になります。

★4の「第三者評価」とは

こちらはISMS（ISO 27001）の審査に近いイメージで、評価機関による文書確認・実地審査・技術検証まで行われます。準備の負荷も費用も★3とは大きく変わるため、取引先から明確に求められていないうちは、まず★3を固めるのが合理的です。

見落とされがちな「有効期限」

★3は有効期限が1年で、毎年の更新が必要です。★4は3年ですが、毎年の自己評価は求められます。つまり取得して終わりではなく、毎年繰り返す運用コストが発生する制度です。一度きりの対応として予算を組むと、翌年から回らなくなります。

自社はどのレベルを目指せばいい？

判断の目安は次のとおりです。

• 取引先から特に指定がない → まず★3。多くの中小企業にとってここが当面のゴールです。
• 重要インフラ（電力・ガス・水道・鉄道・金融・通信など）に納入している → ★4を求められる可能性があります。
• 防衛関連の供給網に入っている → ★4が前提になると考えてください。
• 取引先の重要な機密情報や大量の個人情報を預かっている → ★4を求められる可能性があります。

迷った場合は、主要な取引先に「御社は今後どのレベルを求める予定か」を先に聞くのが最短です。制度の運用が始まってから通知が来ると、対応期間が確保できません。

▶ 関連記事：取引先から「セキュリティ対策の証明を求められた」ときの対応法

★3の26項目では何を求められる？

26の要求事項は、さらに細かい「評価基準」に分解されます。IPAが公開している「★3・★4 要求事項・評価基準」（Excel）を数えると、★3は要求事項26件に対して評価基準81件、★4は要求事項43件に対して評価基準153件です。つまり「26項目」は答える項目の数ではなく、実際には81項目に回答することになります。

要求事項は7つの大分類に整理されており、それぞれNIST CSFの6機能（統治・識別・防御・検知・対応・復旧）に対応づけられています。分野ごとの件数は次のとおりです。

大分類	★3の要求事項	★3の評価基準	★4の評価基準（合計）
1. ガバナンスの整備	3件	8件	19件
2. 取引先管理	3件	4件	7件
3. リスクの特定	4件	11件	29件
4. 攻撃等の防御	13件	48件	82件
5. 攻撃等の検知	1件	3件	8件
6. インシデントへの対応	1件	6件	6件
7. インシデントからの復旧	1件	1件	2件
合計	26件	81件	153件

「4. 攻撃等の防御」だけで評価基準48件＝★3全体（81件）の約6割を占めます。ここは資産管理・修正プログラムの適用・アクセス制御・ウイルス対策・ログ・バックアップ・教育といった日々の運用そのものなので、規程を書けば終わる分野ではありません。ツールで自動化しておかないと、有効期限1年の更新のたびに人手で証拠を集め直すことになります。

なお要求事項・評価基準のExcelはすでに公開されていますが、その解説書は2026年10月頃に公開予定とされています。各項目をどこまでやれば適合と判断されるのかは、解説書の公開を待って確定するのが安全です。

大きくは次の領域をカバーする内容です。

領域	求められることの例
ガバナンス・体制	責任者の明確化、セキュリティポリシーの策定、経営層による監督
資産管理	PC・サーバー・ソフトウェアの把握、持ち出し機器の管理
脆弱性・更新管理	脆弱性情報の収集、修正プログラムの計画的な適用
アクセス制御・ID管理	権限の最小化、多要素認証、退職者アカウントの停止
マルウェア対策	ウイルス対策ソフトの導入と稼働確認
ログ管理・監視	ログの取得・保管と、定期的な点検
教育・訓練	従業員へのセキュリティ教育の実施と記録
インシデント対応	対応手順の整備、連絡体制、事後の振り返り
バックアップ・復旧	バックアップの取得と、復旧できることの確認
取引先管理	委託先のセキュリティ状況の確認

見ていただくと分かるとおり、目新しい要求はほとんどありません。すでにやっている会社も多いはずです。差がつくのは「やっているか」ではなく、「やっていることを記録として示せるか」という点です。

★3で中小企業がつまずきやすいのはどこ？

実証事業などで「準拠が難しい」と指摘されやすいのは、導入そのものより、継続的な運用を求められる項目です。中小企業でとくに引っかかりやすい4つを挙げます。

つまずきやすい項目	何が難しいのか	解き方
修正プログラムの計画的な適用	「何日以内に適用する」という基準を満たすには、全端末の適用状況を把握し続ける必要がある。手作業では追えない	IT資産管理ツールで適用状況を自動収集し、未適用端末を可視化する
ログの保管と定期点検	取得するだけでなく、一定期間の保管と、定期的に見ている記録が必要。「保存しているが誰も見ていない」は不可	EDRやSOC付きサービスで、点検を仕組みとして回す
取引先のセキュリティ評価	委託先に毎年確認する運用が必要。相手の協力が要るため社内だけで完結しない	チェックシートを定型化し、契約更新のタイミングに組み込む
脅威情報の収集	最新の攻撃情報を継続的に集めて社内に反映する。専任者がいないと形骸化しやすい	IPAやJPCERT/CCの情報を定期購読し、MDR等で外部の目を借りる
サポート終了製品の把握	古いOSやソフトが残っていると、更新管理の項目を満たせない	IT資産管理で棚卸しし、EOL（サポート終了）の期限を管理する

共通しているのは、いずれも「人が毎月やり続ける」タイプの作業だという点です。情報システム担当が1〜2名、あるいは兼任という体制では、まず続きません。★3を狙うなら、これらを人の頑張りではなく仕組みに置き換えられるかが現実的な分かれ目になります。

▶ 関連記事：Windows Server 2016のサポート終了は2027年1月12日｜ESU費用と移行までの守り方

▶ 関連記事：セキュリティログの保持期間は6か月で十分？主要製品のデフォルト保持期間と延長オプションを徹底比較

26項目を満たすには、何を用意すればいい？

制度の解説だけでは実務は進みません。要求事項を「実際に何を導入すれば満たせるのか」に翻訳したのが次の表です。費用は税別の目安で、既存の環境によって変わります。

要求される領域	必要な打ち手	代表的な手段	費用の目安（税別）
資産管理／更新管理	PC・サーバーとソフトの棚卸しと、修正プログラム適用状況の可視化	IT資産管理ツール（LANSCOPE／ISM CloudOne）	初期30,000円＋1台 月360〜600円
マルウェア対策／ログ管理	ウイルス対策とEDR、ログの取得・保管・点検	EDR＋SOC付きサービス（SentinelOne データお守り隊 ほか）	初期0円＋1台 月1,000円〜
監視・インシデント対応	24時間365日の監視と、事故発生時の対応体制	マネージドサービス（Sophos MDR／SentinelOneデータお守り隊）	初期60,000円＋月9,800円〜
アクセス制御・ID管理	多要素認証、権限の最小化、退職者アカウントの確実な停止	IDaaS／多要素認証（GMOトラスト・ログイン ほか）	無料プランあり／1ID 月300円〜
教育・訓練	従業員教育と標的型メール訓練の実施＋受講記録の保管	eラーニング＋訓練サービス（セキュリオ）	初期100,000円＋50名以下 月18,000円
バックアップ・復旧	バックアップの取得と、復旧できることの定期確認	クラウドバックアップ（Acronis）	100GB 月3,000円
ガバナンス・体制	セキュリティポリシーの策定と、経営層による承認・見直し	社内規程の整備（外部支援の活用も可）	自社対応なら費用は人件費のみ

全部を一度に揃える必要はありません。すでに入っているものを洗い出し、抜けている領域だけを足すのが正しい順序です。多くの中小企業では「ウイルス対策は入っているが、ログ管理と教育記録がない」という形で穴が空いています。

どの製品を選べばいい？

★3の要求事項をカバーするうえで、中小企業から選ばれやすい製品を比較します。

項目	LANSCOPE エンドポイントマネージャー	SentinelOne データお守り隊	セキュリオ
主にカバーする領域	資産管理・更新管理・操作ログ	マルウェア対策・EDR・ログ	教育・訓練
初期費用	30,000円／契約	0円	100,000円
月額（税別）	1台 500円〜	1台 1,000円〜	50名以下 18,000円
24時間365日の監視	—	◎ SOCが標準で付属	—
記録・証跡の残しやすさ	◎ 操作ログを標準2年保存	◎ 検知と対応の記録が残る	◎ 受講記録が残る
サイバー保険	—	最大50万円が付帯	—
無料で試せるか	60日間の体験版	デモ対応	あり
詳細	詳細を見る	詳細を見る	詳細を見る

選ぶときの視点は「記録が自動で残るかどうか」です。SCS評価制度では運用の証跡が問われるため、担当者が手作業でExcelに記録するやり方は、続かないうえに評価のときに苦労します。導入するだけで記録が積み上がる製品を選ぶと、翌年以降の更新がぐっと楽になります。

▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方

▶ 関連記事：セキュリティ運用は外部に任せられる？MSS・SOC・MDRの違いと費用相場・選び方

SECURITY ACTIONやISMSとは何が違う？

似た仕組みが複数あるため、混乱しやすいところです。整理すると次のようになります。

項目	SECURITY ACTION	SCS評価制度（★3）	ISMS（ISO 27001）
性質	自己宣言	専門家確認付き自己評価	第三者による認証
費用	無料	評価にかかる費用が発生（詳細は今後公表）	審査費用＋維持費用（年数十万円〜）
審査	なし	専門家による確認	あり（初回審査・年次審査）
主な用途	補助金の申請要件、最初の一歩	取引先への対策レベルの提示	国際規格としての信頼性の証明
取得の負荷	小さい	中	大きい
中小企業での位置づけ	まずここから	次の目標	必要に応じて

これらは競合するものではなく、段階的に積み上げていくものです。まだSECURITY ACTIONを宣言していない場合は、そこから始めてください。無料で、デジタル化・AI導入補助金の申請要件でもあるため、やらない理由がありません。SECURITY ACTIONで整えた基本対策は、そのまま★3の土台になります。

▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方

費用はどれくらいかかる？

★3の取得にかかる費用は、大きく3つに分かれます。

費用の種類	内容	目安
対策そのものの費用	足りない領域のツール導入・サービス契約	30名規模で年30万〜80万円程度
評価にかかる費用	専門家による確認の費用（★3の場合）	制度側から今後公表される見込み
毎年かかる費用	ツールの継続利用料と、年次更新の対応工数	初年度費用の7〜8割程度が継続

見落としやすいのが3つ目の「毎年かかる費用」です。★3は有効期限が1年なので、取得したら毎年更新が必要になります。単年度の予算ではなく、継続的な運用コストとして計上しておくことをおすすめします。

▶ 関連記事：法人向けセキュリティソフトの料金・月額相場はいくら？費用の内訳と補助金で抑える方法

補助金は使える？

使える可能性があります。SCS評価制度への対応で導入するツールの多くは、デジタル化・AI導入補助金2026（旧・IT導入補助金）の対象になり得ます。

• 補助額は最大450万円、補助率は原則2分の1（小規模事業者は要件を満たすと最大5分の4）
• セキュリティ対策推進枠は5万〜150万円、小規模事業者は3分の2、中小企業は2分の1。サービス利用料を最大2年分まとめて補助対象にできる
• 交付申請までに SECURITY ACTION の自己宣言ID が必要
• 申請には GビズID（プライムまたはメンバー）が必要
• 登録された IT導入支援事業者 を通じて申請する

あわせて、SCS評価制度に関連して「サイバーセキュリティお助け隊サービス」の新しい類型を創設する方針も示されています。中小企業が★3に対応しやすくするための支援策が今後出てくる可能性があるため、最新の公募要領は必ず確認してください。

補助金は交付決定の前に発注すると対象外になります。「先に契約して、あとから申請」はできません。★3の準備と補助金の申請は、順番を含めて同時に設計する必要があります。要件は年度によって変わるため、詳細は公募要領の確認と専門家への相談をおすすめします。

▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ

いつまでに、何をすればいい？

運用開始は2027年度（2027年4月以降）の想定ですが、★3を狙うなら逆算すると余裕はありません。現実的な進め方は次のとおりです。

ステップ	やること	目安の期間
① 現状把握	PC・サーバー・ソフトの棚卸しと、いま入っている対策の洗い出し	2〜4週間
② ギャップ分析	★3の26項目と現状を突き合わせ、足りない領域を特定する	2〜4週間
③ 体制と規程の整備	責任者の明確化、セキュリティポリシーの策定・承認	1〜2か月
④ 不足分の導入	足りないツール・サービスの導入（補助金を使うなら申請と並行）	1〜3か月
⑤ 運用と記録	毎月の点検を回し、証跡を蓄積する	最低でも数か月は必要
⑥ 評価の申請	専門家確認付き自己評価を受ける	制度の運用開始後

この表でいちばん重要なのは⑤です。①〜④は費用と段取りでどうにかなりますが、運用記録だけは時間を買うことができません。「毎月ログを点検している」「教育を実施した」という証跡を積み上げるには、それだけの月数が必要です。今すぐ①から始めても、余裕があるとは言えない状況です。

▶ 関連記事：セキュリティポリシーの作り方｜中小企業向けテンプレート解説

▶ 関連記事：従業員へのセキュリティ教育、何からはじめればいい？

よくある質問

Q. 結局、いつから申請できるのですか？

A. IPAが公表しているスケジュールでは、2026年度下期（2026年10月〜2027年3月）に評価用ガイド等が公表され、運用開始はその「以降」＝2027年度（2027年4月以降）が想定とされています。「2026年度中に運用開始」と紹介している記事もありますが、下期に予定されているのはガイドの公表です。なお想定時期であり、制度運営基盤の整備状況によって変わる可能性があるとされています。

Q. SCS評価制度は義務ですか？

A. 法律上の義務ではありません。取得しなくても罰則はありません。ただし発注企業が取引条件として「★3以上」を求めるようになれば、実質的に取引の前提条件になっていきます。義務かどうかよりも、主要な取引先が求めてくるかどうかで判断してください。

Q. 中小企業でも★3は取れますか？

A. 取れます。★3は専門家の確認を受けたうえでの自己評価で、ISMSのような大掛かりな審査ではありません。求められる26項目も、内容としては基本的な対策が中心です。ただし「やっている」だけでなく「記録が残っている」ことが必要なので、早めに運用を回し始めることが重要です。

Q. ISMSを取得していれば★3は免除されますか？

A. 自動的に免除されるわけではありません。ただしSCS評価制度は、ISMSやSECURITY ACTIONなど既存の制度と整合性を高めて相互補完的に発展させる方針が示されています。ISMSで整備済みの体制や記録は、★3の準備に大きく流用できます。具体的な読み替えの扱いは、今後公表される評価用ガイドで確認してください。

Q. SECURITY ACTIONとどちらを先にやるべきですか？

A. SECURITY ACTIONが先です。無料で、審査もなく、デジタル化・AI導入補助金の申請要件にもなっています。SECURITY ACTIONで求められる基本対策は★3の土台にもなるため、先に宣言しておくと後の作業が楽になります。

Q. IT担当者がいなくても対応できますか？

A. 対応できますが、進め方を変える必要があります。★3でつまずきやすいのは「毎月やり続ける」タイプの項目なので、人の作業として抱えると続きません。ログの点検や監視はSOC付きのサービスに任せ、資産管理や更新状況の把握はツールで自動化する、という形にすると担当者が1名でも回せます。

Q. 費用はどのくらい見ておけばいいですか？

A. すでに入っている対策によって大きく変わりますが、30名規模で不足分を補う場合、年間30万〜80万円程度が一つの目安です。これに評価そのものの費用が加わります（金額は今後公表される見込み）。デジタル化・AI導入補助金を使えば負担を抑えられる可能性があります。

Q. 取引先から急に★3を求められたら、どのくらいで対応できますか？

A. 現状の対策レベルによりますが、棚卸しから運用記録の蓄積まで含めると半年程度は見ておく必要があります。記録の蓄積は短縮できないため、要請が来てから動くと間に合わない可能性があります。主要な取引先には、先に方針を確認しておくことをおすすめします。

▶ 関連記事：ISMS・Pマーク・SECURITY ACTION・SCS評価制度はどれを取るべき？4制度の違いと費用・期間・有効期限の比較【中小企業向け】

▶ 関連記事：取引先から求められたセキュリティ対策の費用は誰が払う？2026年1月施行の取適法（旧・下請法）と、価格交渉を申し入れる7つの手順

まとめ

SCS評価制度は、企業のセキュリティ対策レベルを★1〜★5で評価し、取引先に客観的に示せるようにする経済産業省の制度です。
運営は情報処理推進機構（IPA）が担い、2026年3月27日に制度構築方針が公表され、2026年度下期（2026年10月〜2027年3月）に評価用ガイド等が公表、その以降＝2027年度（2027年4月以降）に運用開始が想定されています。
「2026年度下期に運用開始」と書かれた解説を見かけますが、下期に公表されるのは評価用ガイドであり、運用開始はその後です。
最初に運用が始まるのは★3と★4で、★3は26項目・専門家確認付き自己評価・有効期限1年、★4は43項目・第三者評価・有効期限3年です。
多くの中小企業にとっての当面の目標は★3で、★4は重要インフラや防衛関連の供給元など、取引先から個別に求められた場合に検討する水準です。
★3の26項目は内容としては基本的な対策が中心ですが、つまずきやすいのは「毎月やり続ける」項目——修正プログラムの適用状況の把握、ログの保管と定期点検、取引先の評価、脅威情報の収集です。
これらは人の頑張りではなく、IT資産管理ツールやSOC付きサービスといった仕組みに置き換えられるかどうかが分かれ目になります。
そして最も重要なのは、運用記録だけは時間を買えないということです。「毎月点検していた証拠」は後からさかのぼって作れません。運用開始が2027年度でも、そこから逆算すると2026年内には現状の棚卸しとギャップ分析を終えておきたい時期です。
費用面では、デジタル化・AI導入補助金2026を活用できる可能性があります。ただし交付決定の前に発注すると対象外になるため、申請と導入の順番には注意が必要です。

アーデントでは、現状の棚卸しと★3の26項目とのギャップ分析、不足している対策の選定、補助金の活用、導入後の運用までをまとめてご支援しています。「何から手をつければいいか分からない」という段階からで構いませんので、お気軽にご相談ください。

▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告と2026年10月施行のサイバー対処能力強化法

▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト

▶ 関連記事：脆弱性診断・脆弱性管理サービスの費用相場と選び方