しまなみシステムサービス株式会社 尾道・福山・府中・三原
取引先から「セキュリティ対策の状況を教えてください」と言われる日に、備えておく。
2026年度末、国の新しい制度「SCS評価制度」の運用が始まります。自社の対策状況を、取引先に共通の物差しで示すための仕組みです。専任の担当者がいない会社でも、今から準備できることがあります。
自社の状況を3分で診断する※本制度は企業が任意で取り組むものです。国が取引を規制したり、取得を義務づけたりするものではありません。
確認は、取引の流れをさかのぼって届きます
大企業が直接狙われるのではなく、つながりのある中小企業が侵入口にされる事例が続いています。だからこそ、確認は下流まで届きます。
SCS評価制度とは
SCS評価制度は、正式には「サプライチェーン強化に向けたセキュリティ対策評価制度」といいます。経済産業省と内閣官房国家サイバー統括室が2026年3月に制度構築方針を公表し、IPA（情報処理推進機構）が運営します。
目的は、企業のセキュリティ対策の状況を、国が示した共通の基準で確認し、★の段階で分かりやすく示すことです。これまでは、取引先ごとに違うチェックシートに回答し、そのたびに説明が必要でした。共通の物差しができれば、一度整えた対策を、どの取引先に対しても同じ形で示せるようになります。
背景にあるのは、取引先を足がかりにした攻撃の広がりです。大企業が直接狙われるのではなく、つながりのある中小企業が侵入口にされる事例が続いています。自社の対策が、取引全体の安全に関わるという考え方です。
★1から★5までの段階
★1・★2はIPAの「SECURITY ACTION」が対応します。SCS評価制度として新設されるのは★3以上です。
- 制度
- SECURITY ACTION
- 確認
- 自己宣言
- 費用
- 無料
- 制度
- SECURITY ACTION
- 確認
- 自己宣言
- 費用
- 無料
- 制度
- SCS評価制度
- 要求事項
- 26件
- 確認
- 専門家確認付き
自己評価 - 有効期間
- 1年
- 制度
- SCS評価制度
- 要求事項
- 43件
- 確認
- 第三者評価
＋技術検証 - 有効期間
- 3年
- 制度
- SCS評価制度
- 要求事項
- 今後検討
- 確認
- 第三者評価
- 有効期間
- 今後検討
★3は、一般的なサイバー攻撃に対処できる水準です。要求事項は26件で、自社で自己評価を記入し、セキュリティ専門家の確認を受けて申請します。有効期間は1年です。
★4は、侵入を防ぐことに加えて、被害の拡大を防ぎ、取引先のデータやシステムを守ることまで求められます。要求事項は43件で、評価機関による審査に加えて、インターネットに公開している機器（VPN装置やルーターなど）への技術的な検証も行われます。有効期間は3年です。
★5は、より高度な攻撃への対応を想定した段階で、内容は今後具体化される予定です。
上の段階は下の段階の内容を含むため、★3を取ってからでないと★4に進めない、という関係ではありません。
★3の26件・★4の43件が具体的にどんな内容かは、IPA「要求事項・評価基準」で公開されています。
SECURITY ACTION、ISMSとの違い
SECURITY ACTION（★1・★2）との違い
SECURITY ACTIONは、費用をかけずに自社で宣言できる制度です。第三者の確認はありません。これに対して★3以上は、セキュリティ専門家や評価機関による確認が入ります。宣言から、確認を受ける段階に進む、というイメージです。
ISMS（ISO/IEC 27001）との違い
ISMSは、情報を守るための「仕組みとルールが回っているか」を評価します。SCS評価制度は、それに加えて「実際にどう実装されているか」を確認します。★4では、機器への脆弱性検査まで行われます。ISMSを取得済みでも、技術面の整備は別に必要になる場合があります。
表は横にスクロールできます →
| SECURITY ACTION（★1・★2） | SCS評価制度 ★3 | SCS評価制度 ★4 | |
|---|---|---|---|
| 確認する人 | なし（自己宣言） | セキュリティ専門家 | 評価機関（＋技術検証） |
| 求められること | 情報セキュリティ5か条ほか | 要求事項26件 | 要求事項43件 |
| 有効期間 | ― | 1年 | 3年 |
| 費用 | 無料 | 今後公表 | 今後公表 |
いつから始まるのか
これからの準備で間に合います。
2026年3月
制度構築方針の公表
経済産業省・内閣官房が方針を公表。★3・★4の要求事項と評価基準が示されました。
2026年度 上期（4〜9月）いま
制度の詳細化と運用準備
運営規程などが順次公表。会社側は、この時期に自社の現状を把握しておくと動きやすくなります。
2026年度 下期（10〜3月）
評価用ガイドの公表
自己評価の進め方や、要求事項の解説書が公表される予定です。評価機関も公表されます。
2026年度末（2027年3月）以降
運用開始（予定）
申請の受付が始まり、取得した企業が台帳に登録・公開されます。
準備にかかる時間を見込んでおく
バックアップの取り直し、多要素認証の導入、古い機器の入れ替えは、決めてから終わるまでに数か月かかることがあります。ガイドの公表を待つより、今のうちに現状を確かめておくほうが、慌てずに進められます。
任意の制度なのに、なぜ今から準備するのか
取得は義務ではありません。それでも準備を始める会社が増えているのは、次のような理由からです。
- 取引先から聞かれる機会が増える 制度は、発注側が受注側に「この段階の対策をお願いしたい」と示す使い方が想定されています。求められてから動き出すと、対策が間に合わないおそれがあります。
- 「聞かれて答えられない」こと自体が評価につながる 対策そのものより、自社の状況を説明できないことが問題になる場面があります。何が守られていて、何がまだなのかを把握していれば、その場で答えられます。
- 対策の中身は、制度のためだけのものではない 求められるのはバックアップ、多要素認証、機器の更新、事故が起きたときの手順など、被害を防ぐための基本です。制度の有無にかかわらず、事業を止めないために必要な備えです。
御社は、早く求められる側かもしれません
制度は任意ですが、取引先から確認を求められる時期は、業種によってかなり違います。次のいずれかに当てはまる場合は、早い側だと考えておいたほうが安全です。
- 自動車部品の製造・加工をしている ★3・★4の対策項目は、自工会・部工会ガイドラインのLv1〜Lv3を参照して抽出されています。この業界では、すでに取引先から自己評価シートが回ってきている会社があります。
- 造船・鉄鋼など、大手の構内で作業する、または図面を預かる仕事がある 預かったデータが漏れると相手の損害になるため、確認が下りてきやすい立場です。
- 官公庁や医療機関を取引先に持つ 調達の条件として、対策状況の提示を求められる場面が想定されます。
- 親会社・元請けから、セキュリティに関するチェックシートを受け取ったことがある 制度の名前が出ていなくても、すでに同じことが始まっています。
最後の項目に心当たりがあれば、次に来るのは「対策状況を示してください」という依頼です。そのときに答えられる状態かどうかが分かれ目になります。
中小企業がつまずくところ
何から手をつければいいか分からない
要求事項には、多要素認証、ログの管理、脆弱性への対応、事故が起きたときの手順といった項目が並びます。自社に何が足りていないかを判断するには、ある程度の知識が要ります。総務の方が他の業務と兼任している会社では、そこで止まりがちです。
そもそも社内のことが分からない
パソコンが何台あるか、どのクラウドサービスを契約しているか、バックアップがどこに取られているか。導入した業者に任せきりで、社内の誰も把握していない。よくある状態です。対策を考える前に、まず現状を知るところから始める必要があります。
大手向けの提案は規模に合わない
複数のツールをそろえる提案は、従業員10人・20人の会社には費用が見合いません。必要なのは、今ある環境で何ができるかを見極め、優先順位をつけることです。
★3では何が求められるのか
★3の要求事項は、次の7つの分類で整理されています。
- ガバナンスの整備
- 取引先管理
- リスクの特定
- 攻撃等の防御
- 攻撃等の検知
- インシデントへの対応
- インシデントからの復旧
内容を平たく言えば、「誰が責任を持つかを決める」「何を持っているかを把握する」「侵入を防ぐ」「おかしいと気づく」「起きたときに動く」「元に戻す」ということです。
要求事項と評価基準の一覧は、IPAのサイトでExcelファイルとして公開されています。★3の26件・★4の43件が、上の7分類に沿って並んでいます。実際にご覧いただくと、求められている水準の具体度が分かります。
読み方の分かりにくい項目が出てきた場合は、当社にお尋ねください。なお、内容をかみ砕いた解説書は2026年10月頃の公開が予定されており、より具体的な進め方はそこで示される見込みです。
しまなみシステムサービスにできること
当社は、尾道・福山・府中・三原を中心に、地元の中小企業のIT環境を支援しています。SCS評価制度への準備では、次のようなお手伝いができます。
現状の把握
パソコン・ネットワーク機器・クラウドサービスの一覧をつくり、どこに穴があるかを整理します。機器の管理を業者任せにしてきた会社ほど、ここで発見があります。
対策の実装
バックアップの見直し、多要素認証の設定、ルーターやVPN機器のファームウェア更新、共有設定の整理。要求事項に沿って、実際に手を動かします。
規程づくり
IPAの「中小企業の情報セキュリティ対策ガイドライン」には、SCS評価制度に対応した規程類のひな型が用意されています。これを自社の実情に合わせて整えます。
補助金の活用
IT導入補助金など、対策費用に使える制度の申請を支援しています。
継続的な見直し
★3の有効期間は1年です。一度整えて終わりではなく、毎年の見直しが必要になります。近くにいて、継続して見ていける体制があります。
まずは、自社がどこまでできているかを知るところから
制度の内容を読んでも、自社に当てはめないと動き出せません。当社では、セキュリティ対策の状況を16の質問で確認できる無料の診断をご用意しています。3分ほどで、5つの分野の対策状況と、優先して取り組みたいことが分かります。
よくある質問
取得しないと取引できなくなりますか。
費用はどのくらいかかりますか。
★3を取ってからでないと★4に進めませんか。
SECURITY ACTIONは宣言済みです。何から始めればいいですか。
「SCS評価制度の認証を代行します」という営業を受けました。
まずは、自社の状況を確かめてみてください
何から手をつけるべきかは、会社の規模も、今使っている機器も、予算も違えば変わります。診断にご回答いただくと、5つの分野の対策状況と、優先して取り組みたいことが分かります。そのうえでご相談いただければ、東部広島の中小企業を見てきた立場から、御社に合った順番をご提案します。
出典
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」制度構築方針（2026年3月27日公表）
- IPA「SCS評価制度の詳細情報」
- IPA「要求事項・評価基準」
- IPA「SECURITY ACTION」
本ページの内容は2026年9月時点で公表されている情報にもとづいています。制度の詳細は今後変更される可能性があります。最新の情報は各公式サイトでご確認ください。本診断および本ページは、SECURITY ACTIONの宣言可否や、SCS評価制度★3・★4の取得・適合を判定または保証するものではありません。