話題のSCS評価制度　～『★』取得のための逆算プラン～

エムオーテックス株式会社
サイバーセキュリティ本部 シニアエキスパート
小関 直樹

　このところ、私の周辺も「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の話題で騒がしくなってきました。CSIJの今年の公開シンポジウムでも、本制度に関連したテーマが選定されています[1]。

　意外なことに、本コラムでこれまで本制度が取り上げられたことはなかったようです。そこで今回はこのSCS評価制度について書いてみたいと思います。

　SCS評価制度は、経済産業省と内閣官房が主導し、2026年度末の本格運用開始に向けて準備が進められている公的なセキュリティ評価制度の枠組みです。制度の目的は、サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化し、サプライチェーン全体のセキュリティ水準の底上げを図ることにあります。

　紙面の都合上、制度の詳細な説明は省きます。経済産業省[2]やIPA[3]のページをご参照ください。

　この制度のポイントは、企業のセキュリティ対策の成熟度に応じて、★3・★4・★5の3段階で評価される点です。シンプルで分かりやすいだけに、外部から短絡的に判断される恐れもあり、その影響は大きそうです。それだけに、どの★をいつまでに取得すればよいのか、迷いや不安を感じている企業も多いことでしょう。

　では、仮に2026年度末の本格運用開始までに★を取得するとすれば、今（2026年7月）からどのように準備を進めればよいのでしょうか。以下に、期限から逆算したモデルプランの一例（①～⑥）を示します。

① ゴールの設定（7月）
　初めに目指す★を決めます。
　制度の趣旨を考えれば、まずは顧客（発注元・委託元）の要請に応えるべきです。顧客の意向を確認しましょう。複数の顧客を抱えている場合は、最も高い要請に合わせてゴールを設定します。顧客から特に要請がない状況で自主的に★取得を目指す場合は、自社の事業内容等を考慮し、任意で決めてかまいません。参考情報として、「SCS評価制度が開始された初年度に、取引先へ最低限求めたい対策水準」として★3を挙げる企業が最も多いというデータもあります [4]。
　なお、★5の評価スキームはまだ検討中であり、本格運用開始の時点で取得できるのは★3か★4のみです。

② ギャップ分析（7月～8月）
　★3・★4の要求事項・評価基準と自社の対策状況を照らし合わせて、適合項目と不適合項目を明確にします。
　要求事項・評価基準を見ても、具体的に何ができていればよいのかが分からず、適合／不適合が判断しづらいかもしれません。自身で判断できるようにするための取得ガイドが公表される予定ですが、時期は10月頃とまだ先です。取得ガイド公表前にギャップ分析を行う場合は、本制度が参考としている「自工会/部工会 サイバーセキュリティガイドライン」[5]も参照するとよいでしょう（★3ならLv1、★4ならLv2～3（Lv3については一部の項目））。

③ 対策ロードマップ作成（8月）
　不適合項目を改善するための計画を策定します。
　この時点で不適合項目が多すぎる場合は、本格運用開始時点での★取得は断念し、より現実的で長期的なロードマップとせざるを得ない可能性もあります。また、来年度以降の本格対応に向けて予算確保だけをしておくというケースもあるでしょう。

④ 不適合項目への対策（9月～12月）
　対策ロードマップに従い、セキュリティ対策の改善を進めます。不適合項目の数によって、必要な工数や費用が大きく異なってきます。
　多くの改善は、ルール等を定め、体制や枠組みを構築し、手順やマニュアルを作成し、運用を確立する、という流れになります。ルールを作成するだけでなく、それが確実に遵守されるような枠組みを設けることが重要です。
　１月以降は確認や評価のフェーズに入るため、改善は年内でほぼ終える必要があります。

⑤ 自己評価の実施と、確認／評価の依頼（1月～2月）
　★3・★4の要求事項・評価基準についての自己評価を実施します。②ギャップ分析と同様の作業ですが、この時点では不適合項目は解消されているはずです。
　自己評価の結果をもとに、★3であればセキュリティ専門家に自己評価結果の確認を、★4であれば評価機関に第三者評価を依頼します。これらの確認／評価の結果、セキュリティ専門家の署名または評価機関の評価報告書が得られます。

⑥ 登録申請（3月）
　IPAに対し、★の登録を申請します。
　申請内容に問題がなければ、台帳に登録され、公開されます。これでゴール達成となります。

　いかがでしょうか。制度には未確定の事柄も多く、苦労しそうだ、あるいは時間が足りなさそうだと思われた方もいらっしゃるかもしれません。SCS評価制度は任意の制度であり、何らかの規制があるものではありません。現時点で顧客から明確に要請を受けていない限りは、制度の確立や浸透を待ってから、落ち着いて対応するのも合理的な選択と言えます。

　もちろん、それでも最短での★取得に挑戦したいという皆様を、私たちCSIJメンバーは応援します。支援が必要な際はぜひご相談ください。

【参考文献】
[1] サイバーセキュリティイニシアティブジャパン（CSIJ）, 『CSIJ公開シンポジウム2026』, 2026年6月
　　https://www.csi-japan.org/event/260716symposium

[2] 経済産業省, 『サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）』, 2026年5月
　　https://www.meti.go.jp/policy/netsecurity/scs.html

[3] 独立行政法人 情報処理推進機構（IPA）, 『サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）』, 2026年4月
　　https://www.ipa.go.jp/security/scs/

[4] エムオーテックス株式会社, 『大企業の8割超が「SCS評価制度」※への対応を開始・検討　取引先に求める水準は「星3相当」が中心、将来的には「星4相当」への期待も』, 2026年6月
　　https://www.motex.co.jp/news/news_topics/2026/release0610/

[5] 一般社団法人 日本自動車工業会, 『自動車産業サイバーセキュリティガイドライン』, 2020年3月
　　https://www.jama.or.jp/operation/it/cyb_sec/cyb_sec_guideline.html