経済産業省と内閣官房国家サイバー統括室は、2026年3月に「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の制度構築方針を公表しました。
制度はIPA（情報処理推進機構）が運営し、★3と★4の登録の受付は、2027年3月に始まる予定です。
取引先にセキュリティ対策を求めるとき、これまでは発注する側が独自のチェックシートを作り、受注する側はその都度答えていました。
SCS評価制度は、求める水準を★の段階でそろえ、受注する企業が自社の対策を客観的に示せるようにするものです。
取得は任意ですが、制度が始まれば、取引の条件として★3や★4を求められる場面が出てくると考えられます。
この記事では、2026年11月時点で公開されている資料をもとに、制度のしくみと要求事項、取得までの流れを整理し、ネットワークに関わる要求事項を当社の視点で読み解きます。
| 目的 | 発注する側が、取引先の対策の状況を登録の結果で確かめやすくすること。受注する側が、登録に向けた取組を通じて対策を高め、それを示せるようにすること。 |
|---|---|
| 評価の対象 | 会社全体ではなく、登録を希望する企業が決めた適用範囲の「IT基盤」です。サーバー、パソコンやスマートデバイス、クラウドサービスや親会社が提供するネットワークなど責任を共有するもの、ファイアウォール、ルーター、VPN機器などのネットワーク機器が含まれます。 |
| 段階 | ★3と★4の2段階で始まります。より高い水準の★5は、要求事項や開始時期を含めて検討中です。 |
| 運営 | 経済産業省と内閣官房国家サイバー統括室の監督のもと、IPAが運営し、登録した企業を台帳に載せて公表します。★4の評価は、IPAが指定する評価機関と技術検証事業者が行います。 |
| 取得 | 任意です。国の調達などで入札の条件にするかどうかは、それぞれの調達機関が判断します。 |
★3は、すべてのサプライチェーン企業が最低限実装すべき対策、★4は、標準的に目指すべき対策という位置づけです。
| 項目 | ★3 | ★4 |
|---|---|---|
| 想定する攻撃 | 広く知られた脆弱性などを悪用する、一般的なサイバー攻撃 | 供給の停止などでサプライチェーンに大きな影響をもたらす、企業への攻撃 |
| 対策の水準 | 一般的な脅威への対処。基礎的な組織の対策と、システムの防御 | 入口の防御にとどまらず、被害を内外に広げないこと、サプライチェーンを強くする対策まで |
| 要求事項 | 26件（評価基準81件） | 43件（評価基準153件。★3の分を含む） |
| 評価の方法 | 専門家の確認付きの自己評価 | 評価機関による第三者評価と、技術検証 |
| 評価の内容 | 文書の確認 | 文書の確認、実地審査（ヒアリング、記録や設定画面の確認。遠隔もあり）、技術検証（適用範囲の機器やシステムの脆弱性診断） |
| 有効期間 | 1年。毎年、専門家の確認を受けて自己評価を更新 | 3年。毎年の自己評価を評価機関に提出し、3年ごとに第三者評価 |
| 登録料（税込） | 1万円（2028年3月までの割引。以降は2万円）／年 | 6万円／3年 |
どちらも、原則としてすべての評価基準に適合することが求められます。★4を取るのに、先に★3を取っておく必要はありません。
制度として決まっている料金は、IPAへの登録料だけです。登録料は台帳に登録して公表するための料金で、毎年の監査の費用ではありません。年会費のような料金や、特定のツールやサービスを使う義務もありません。
★3は、毎年の自己評価を専門家に確認してもらう必要があります。社外の専門家に頼む場合はその費用がかかりますが、資格を持つ人が社内にいれば、外部に払うのは登録料だけで済みます。専門家の登録は無料ですが、研修の受講料はまだ公表されていません。
★4は、3年ごとに評価機関の第三者評価と技術検証を受ける必要があり、その費用は評価機関に払います。金額は、評価機関などが公表される2026年12月下旬以降に明らかになる見込みです。
要求事項は、米国NISTのサイバーセキュリティフレームワーク（CSF：Cybersecurity Framework）2.0の「統治、識別、防御、検知、対応、復旧」に沿って、7つの大分類と16の中分類に整理されています。分野ごとの件数は次のとおりです。
| 大分類 | 中分類 | ★3 | ★4 |
|---|---|---|---|
| ガバナンスの整備 | 組織の状況、役割・責任・権限、ポリシー、監督 | 3 | 6 |
| 取引先管理 | サプライチェーンのリスク管理 | 3 | 5 |
| リスクの特定 | 資産管理、リスクアセスメント | 4 | 6 |
| 攻撃等の防御 | IDの管理・認証・アクセス制御、意識の向上と訓練、データのセキュリティ、プラットフォームのセキュリティ、技術インフラのレジリエンス | 13 | 21 |
| 攻撃等の検知 | 継続的な監視、有害な事象の分析 | 1 | 3 |
| インシデントへの対応 | インシデントの管理 | 1 | 1 |
| インシデントからの復旧 | 復旧計画の実行 | 1 | 1 |
| 合計 | 26 | 43 |
★3は防御の分野が半分を占め、パスワードや管理者のIDの管理、バックアップ、パッチの適用など、基本の対策が中心です。★4では、社内ルールと推進計画、ネットワーク図、ログの取得と監視の体制、取引先の対策状況の把握などが加わります。
要求事項の中から、ネットワークに関わるものを抜き出すと、次のようになります。表現は要約です。正確な内容は、IPAの「★3・★4要求事項・評価基準」で確認してください。
| ネットワークの把握 | ★3：ネットワークごとの所在地と用途、ネットワーク機器ごとの製造元、モデル、保守事業者を把握する。 ★4：ネットワーク図を作り、年1回以上点検する。 |
|---|---|
| 境界の防護 | ★3：すべてのファイアウォールとルーターで、初期の管理パスワードを変えるか、リモートからの管理を無効にする。認証されていない内向きの通信を遮断し、ルールを定め、不要になったルールはすぐに消す。インターネット経由でルールを変えるときは、多要素認証か接続元のIPアドレスの制限をかける。 ★4：パソコンとサーバーのソフトウェアファイアウォールを有効にする。社外に公開するサーバーと、重要な機密情報を扱うサーバーを、それぞれ専用のネットワークに置き、出入りする通信を最小限にする。 |
| 認証 | ★3：重要な機密情報を扱うクラウドサービスに、多要素認証をかける。パスワードは8文字以上にする。 ★4：インターネットから社内に接続するとき（VPNなど）、管理者がインターネット経由でシステムを操作するときにも、多要素認証をかける。 |
| 通信の監視 | ★3：境界か端末で、インターネットから社内への通信と、社内から不正なサーバーへの通信の両方について、不正なアクセスをリアルタイムに検知して遮断する仕組みを入れる。アラートを速やかに出し、ログとアラートを分析して、インシデントに当たるかを判断する。 |
| ログ | ★4：ファイアウォール、プロキシ、認証サーバーのログを6か月保管する。ログの保管先へのインターネット経由のアクセスには多要素認証をかけ、認証のログは月1回以上確認して、不審なログインの試みを見つける。 ★4：脅威情報やログの相関分析で、攻撃の予兆やインシデントの発生に気づける体制を整える。 |
| バックアップと復旧 | ★3：重要な機密情報は、遠隔地にもバックアップを取り、戻す手順書を整える。事業の継続に欠かせないシステムは、目標とする復旧の水準を決めて備える。 ★4：目標の復旧時間の中で、手順書どおりにバックアップを戻せることを確かめる。 |
★3の「通信の監視」は、ルーターやUTMのIPS（侵入防止システム）とDNSフィルタリングで満たしやすい要求事項です（ホテルの記事で詳しく紹介）。ただし、アラートを誰が見て判断するかまで求められています。
★4のログの保管と監視の体制は、中小企業が自社だけで整えるのは負担が大きいところです。ログをSIEMに集め、監視を外部のNOCやSOCに任せる方法があります。VPNの多要素認証は、ゼロトラストネットワークアクセスに置き換えると、入口の機器をインターネットに出さずに済みます。
★3は、次の流れで登録します。
登録する範囲のIT基盤を決め、IPAのアセスメントシートで評価基準ごとに適合しているかを確かめます。
SCSセキュリティ専門家が、自己評価の内容が妥当かを確かめ、署名します。専門家は社内の人でも社外の人でもかまいません。
すべての評価基準に適合していることを、経営層が宣言します。
申請に不備がなければ台帳に登録されて公表され、ロゴマークが発行されます。
★4は、自己評価と自己適合宣言をしたうえで、評価機関に第三者評価を依頼します。文書の確認、実地審査、技術検証（脆弱性診断）を受け、評価報告書で適合とされたら、IPAに登録を申請します。指摘された不適合は、一定の期間（例えば1か月）のうちに直して報告します。
SCSセキュリティ専門家になれるのは、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISM、CISA、ISO/IEC 27001の主任審査員のいずれかを持ち、IPAと研修事業者の研修を受けてIPAに登録した人です。
| 時期 | 内容 |
|---|---|
| 2026年3月 | 経済産業省と内閣官房国家サイバー統括室が制度構築方針を公表 |
| 2026年4月 | IPAが制度のWebサイトを開設し、★3・★4の要求事項と評価基準を公開 |
| 2026年10月 | 要求事項・評価基準Ver.1.1、自己評価や第三者評価、技術検証のガイド、解説書を公開 |
| 2026年11月末頃 | 登録申請の手引を公表（予定） |
| 2026年12月下旬 | 評価機関、技術検証事業者、研修事業者と、専門家の登録の手続きを公表（予定） |
| 2027年1月以降 | SCSセキュリティ専門家の研修と登録が始まる（予定） |
| 2027年3月 | ★3・★4の登録の受付を開始（予定） |
| 2027年4月以降 | 取得した企業の公表を開始（予定） |
2026年11月時点のIPAの公表による予定です。最新の予定は、IPAのSCS評価制度のWebサイトで確認してください。
主な取引先がどちらを求めそうかを確かめます。迷う場合は、まず★3を目標にします。
取引先とやり取りする業務と、それを支えるIT基盤から範囲を決めます。範囲が広すぎると、対策と評価の負担が大きくなります。
IPAが公開している自己評価のアセスメントシートで、いまの対策と評価基準の差を洗い出し、直す順番を決めます。
ネットワーク機器の製造元、モデル、保守事業者、ファームウェアの版を一覧にし、構成図を作ります。管理基盤を使えば、台帳を自動で作れます。
★3の確認には、SCSセキュリティ専門家が必要です。社内に資格を持つ人がいるか、社外に頼むかを決めておきます。
ISMS（ISO/IEC 27001）の認証を持っている場合も、SCS評価制度は別の制度です。IPAは両者を補い合う制度と位置づけていて、ISMSで整えた規程や記録は、★の準備にも生かせます。
当社は、ネットワークの台帳と構成図の整備から、ファイアウォールとルーターの設定の見直し、IPSとDNSフィルタリングの導入、ゼロトラストネットワークアクセスへの移行、ログの集約と監視の体制づくりまで、★3・★4のネットワークに関わる要求事項への対応を、企業の規模と予算に合わせて支援しています。