取引先からセキュリティ対策を求められたら？中小企業が知っておきたいSCS評価制度

「取引先からセキュリティ対策の状況を確認された」
「今後、セキュリティ評価の取得が必要になると聞いた」
「SCS評価制度という言葉を見かけたけれど、自社にも関係があるのだろうか」

このような疑問を持つ企業もあるのではないでしょうか。

近年、サイバー攻撃による被害は、攻撃を受けた企業だけでなく、その取引先や委託元にも影響を及ぼすようになっています。そのため、自社だけでなく、取引先を含めたサイバーセキュリティ対策の重要性が高まっています。

こうした背景から整備が進められているのが、**SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）**です。

この制度は、企業のセキュリティ対策状況を共通の基準で評価・可視化し、取引先同士が必要な対策を確認しやすくすることを目的としています。

この記事では、SCS評価制度の概要や★3・★4の違い、取引先から対応を求められた場合に確認しておきたいこと、中小企業が今から準備できることを解説します。

SCS評価制度とは？

SCS評価制度は、サプライチェーンを構成する企業のサイバーセキュリティ対策状況を、共通の基準で評価・可視化するための制度です。

正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。

制度は経済産業省と内閣官房国家サイバー統括室の監督のもと、独立行政法人情報処理推進機構（IPA）が運営します。

なぜ、このような制度が必要なのか

企業の業務は、自社だけで完結しているとは限りません。

例えば、次のような関係があります。

• 商品や部品を供給する取引先
• 業務システムを管理する外部事業者
• Webサイトやサーバーの保守を担当する会社
• 顧客情報や業務データを取り扱う委託先
• クラウドサービスなどの外部サービス提供事業者

こうした企業やサービスがネットワークでつながることで、業務を効率化できる一方、どこか一社でセキュリティ上の問題が発生すると、ほかの企業にも影響が広がる可能性があります。

例えば、取引先が不正アクセスを受け、共有していた情報や業務システムに影響が及ぶケースも考えられます。

そのため、発注する企業は取引先の対策状況を把握する必要があります。一方、受注する企業も、複数の取引先から異なるセキュリティ対策を求められることがあります。

SCS評価制度は、こうした双方の負担を軽減し、共通の基準で対策状況を確認できるようにする仕組みです。

すべての企業に取得義務があるわけではない

最初に理解しておきたいのは、SCS評価制度そのものが、すべての企業に★の取得を義務付ける制度ではないという点です。

制度上、★の取得は任意です。

ただし、取引先との契約や調達条件によって、特定の評価段階やセキュリティ対策の実施状況を求められる可能性はあります。

そのため、「任意制度だから自社には関係ない」と判断するのではなく、取引先との関係や自社の事業内容を踏まえて考えることが大切です。

★3と★4は何が違う？

SCS評価制度では、セキュリティ対策の水準に応じて段階が設けられています。

2026年11月時点で具体化されているのは★3と★4です。

それぞれ想定する脅威や求められる対策、評価方法が異なります。

★3：一般的なサイバー攻撃への基本的な対策

★3は、広く知られている脆弱性などを悪用する一般的なサイバー攻撃への対策を想定しています。

サプライチェーンを構成する企業が、まず実施すべき基本的なセキュリティ対策を中心とした段階です。

主な特徴は次のとおりです。

• 要求事項：26項目
• 評価方法：専門家確認付き自己評価
• 有効期間：1年間

企業自身が要求事項に沿って対策状況を確認し、その結果についてSCSセキュリティ専門家の確認・助言を受けます。

その後、経営層による自己適合宣言を行い、制度運営機関へ登録を申請する流れです。

★4：サプライチェーンへの影響を考慮した、より包括的な対策

★4は、供給停止などによってサプライチェーンに大きな影響を与える企業への攻撃や、機密情報など重要な情報資産への攻撃を想定しています。

★3よりも広い範囲で、組織的な管理や技術的な対策が求められます。

主な特徴は次のとおりです。

• 要求事項：43項目
• 評価方法：第三者評価
• 有効期間：3年間

企業自身による自己評価に加え、指定された評価機関による第三者評価を受けます。

また、文書確認だけでなく、実地審査や技術検証（脆弱性検査）も含まれます。

★3・★4の比較

比較項目	★3	★4
想定する脅威	一般的なサイバー攻撃	サプライチェーンに大きな影響を及ぼす攻撃など
対策の位置づけ	最低限実装すべき対策	標準的に目指すべき対策
要求事項	26項目	43項目
評価方法	専門家確認付き自己評価	第三者評価
有効期間	1年間	3年間

※有効期間や評価方法は、制度の公表資料に基づくものです。最新の手続きや更新条件はIPAの公式情報をご確認ください。

なお、★3を取得していなければ★4を取得できないという仕組みではありません。自社に必要な段階を検討して申請することになります。

SCS評価制度では何を確認するのか？

SCS評価制度では、特定のセキュリティ製品を導入しているかどうかだけを確認するわけではありません。

企業の組織的な管理から、システムの防御、問題が発生した際の対応まで、幅広い観点から対策状況を確認します。

主な評価項目は、次の7つの分野に整理されています。

1. ガバナンスの整備

経営層がセキュリティ対策の重要性を理解し、社内の管理体制や方針を整備しているかを確認します。

例えば、次のような項目です。

• 情報セキュリティに関する基本方針
• 社内の責任者や担当者
• セキュリティ対策に関する社内ルール
• 経営層による管理・確認

2. 取引先管理

自社だけでなく、取引先や委託先など、外部との関係におけるセキュリティリスクを管理できているかを確認します。

• 取引先や委託先の把握
• 外部事業者との契約内容
• 外部に提供する情報やアクセス権限
• 委託先のセキュリティ対策状況

3. リスクの特定

自社が保有する情報やシステムを把握し、どのようなリスクがあるのかを確認します。

• 重要な情報資産の一覧
• サーバーやパソコンなどのIT資産
• 利用しているクラウドサービス
• 情報資産に関するリスクの把握

4. 攻撃等の防御

不正アクセスやマルウェア感染などを防ぐための対策です。

• OSやソフトウェアの更新
• アカウントやアクセス権限の管理
• パスワードや多要素認証
• ネットワークやシステムの保護

5. 攻撃等の検知

不審なアクセスやセキュリティ上の異常を早期に発見するための対策です。

• ログの記録と確認
• 不審なアクセスの把握
• セキュリティ上の異常を検知する仕組み

6. インシデントへの対応

情報漏えいや不正アクセスなどが発生した場合に、適切に対応できる体制を整えているかを確認します。

• 緊急時の連絡体制
• インシデント発生時の対応手順
• 関係者への報告
• 被害状況の確認

7. インシデントからの復旧

被害が発生した場合でも、業務を再開できるように準備しているかを確認します。

• バックアップの取得
• データやシステムの復旧手順
• 復旧に必要な担当者や連絡先
• 事業継続に向けた準備

このように、SCS評価制度では、日頃のセキュリティ対策だけでなく、問題が発生した後の対応や復旧まで含めて確認します。

取引先からセキュリティ対策を求められたら？確認したい5つのこと

実際に取引先からSCS評価制度への対応を求められた場合、すぐに評価取得の準備を始めるのではなく、まずは相手が何を求めているのかを確認しましょう。

1. 何を求められているのか確認する

まずは、取引先からの要請内容を具体的に確認します。

例えば、次のような違いがあります。

• SCS評価制度の★3取得を求められている
• ★4の取得を求められている
• 現在のセキュリティ対策状況を回答してほしい
• 社内のセキュリティ管理体制を説明してほしい
• 取引先独自のチェックシートへの回答を求められている

これらは同じものではありません。

制度の取得を求めているのか、現状の対策状況を確認したいだけなのかによって、必要な対応は変わります。

2. 要求されている段階と期限を確認する

★3と★4では、必要な対策や評価方法が異なります。

また、いつまでに対応する必要があるのかも重要です。

次の項目を確認しておきましょう。

• 必要とされる評価段階
• 取得が必要な時期
• 申請受付開始までに準備できること
• 取得できなかった場合の取り扱い
• 契約更新や継続取引への影響

特に、制度開始前の段階では、取得そのものと事前の対策状況の確認を分けて考える必要があります。

3. 要求されている理由や契約条件を確認する

取引先がなぜセキュリティ対策を求めているのかも確認しましょう。

例えば、顧客情報を取り扱う業務を委託している場合と、一般的な商品を購入している場合では、必要な対策の考え方が異なることがあります。

また、契約書や取引条件にセキュリティ要件が記載されている場合は、その内容も確認が必要です。

SCS評価制度は任意の制度ですが、取引先との契約上の条件として特定の対策を求められる可能性はあります。

不明な点があれば、取得の必要性や対応期限について、取引先と話し合うことが大切です。

4. 自社のセキュリティ対策状況を整理する

要求内容が分かったら、自社の現状を確認します。

例えば、次のような情報を整理しておくとよいでしょう。

• 管理しているパソコンやサーバー
• 利用しているクラウドサービス
• 管理者アカウントとアクセス権限
• OSやソフトウェアの更新状況
• バックアップの取得状況
• 情報セキュリティに関する社内ルール
• 外部事業者や委託先との契約・管理状況
• インシデント発生時の連絡先や対応方法

すべてを一度に改善する必要はありません。

まずは、現在どのような対策を実施していて、何が不足しているのかを把握することが重要です。

5. 必要に応じて専門家や支援事業者に相談する

SCS評価制度の要求事項を確認しても、自社だけでは判断が難しい項目が出てくる可能性があります。

その場合は、セキュリティの専門家や、IT環境の管理を支援する事業者への相談も検討しましょう。

特に、次のような場合は外部の支援が役立ちます。

• 社内に情報システムの担当者がいない
• 自社のIT資産を十分に把握できていない
• セキュリティ対策の優先順位が分からない
• 取引先に提出する資料の整理が難しい
• 技術的な対策の実施状況を判断できない

ただし、SCS評価制度の★3・★4に関する正式な確認や評価は、制度で定められた専門家や評価機関の役割です。一般的なIT支援と制度上の評価業務は区別して考えましょう。

中小企業が今から準備できること

★3・★4の登録申請受付は、2027年3月の開始が予定されています。

制度開始までに、すべての対策を完了させなければならないというわけではありません。

まずは、自社の現状を把握し、できることから段階的に進めていくことが大切です。

情報資産と利用サービスを整理する

最初に取り組みたいのは、自社がどのような情報やシステムを管理しているのかを把握することです。

例えば、次のようなものがあります。

• 顧客情報や取引先情報
• 社内の業務データ
• メールやファイル共有サービス
• Webサイトやサーバー
• 会計・販売管理などの業務システム
• 社員が利用するパソコンやスマートフォン

普段利用しているサービスでも、誰が管理しているのか、どのような情報を保存しているのかが明確になっていないことがあります。

まずは一覧にして、管理状況を確認しましょう。

アカウントとアクセス権限を見直す

業務で利用するアカウントの管理も重要です。

特に、次のような点を確認しておきましょう。

• 退職者のアカウントが残っていないか
• 管理者権限を必要以上に付与していないか
• 複数人で同じアカウントを共有していないか
• 多要素認証を利用できているか
• 外部事業者に付与した権限を把握しているか

アカウントの管理が不十分だと、不正アクセスが発生した際に被害が広がる可能性があります。

更新とバックアップを確認する

OSやソフトウェア、WordPressなどを適切に更新することも基本的な対策です。

古いバージョンを使い続けると、既知の脆弱性を悪用される可能性があります。

また、バックアップを取得しているだけでなく、必要なときに復旧できるかどうかも確認しておきましょう。

社内の対応ルールを整える

技術的な対策だけでなく、社内のルールや連絡体制も重要です。

例えば、次のような内容を整理しておきます。

• 情報セキュリティの担当者
• アカウントの発行・削除のルール
• 情報の持ち出しや共有に関するルール
• 不審なメールやアクセスを発見した場合の連絡先
• 情報漏えいが発生した場合の初動対応

担当者が変わっても対応できるように、必要な情報を文書に残しておくことが大切です。

SECURITY ACTIONも活用する

中小企業がセキュリティ対策を始める際には、IPAが運営する「SECURITY ACTION」も参考になります。

SECURITY ACTIONは、中小企業などが情報セキュリティ対策への取り組みを自己宣言する制度です。

一つ星と二つ星の段階があり、自社の状況に合わせて取り組みを進められます。

SCS評価制度とは別の制度ですが、情報セキュリティ対策に取り組むための入口として活用できます。

IPAも、SCS評価制度の準備段階としてSECURITY ACTIONの活用を案内しています。

制度の詳細は、SECURITY ACTION公式サイトをご確認ください。

SCS評価制度に関するよくある疑問

Q. 中小企業は必ず★3や★4を取得しなければなりませんか？

いいえ。SCS評価制度自体は任意の制度であり、すべての企業に一律の取得義務があるわけではありません。

ただし、取引先との契約や調達条件によって、取得や特定のセキュリティ対策を求められる場合があります。

Q. ★を取得しないと取引を停止されますか？

制度上、★を取得していないことだけを理由に、直ちに取引停止が求められる仕組みではありません。

取得状況を取引条件としてどのように扱うかは、契約当事者間で決定されます。

取引先から要請があった場合は、必要な対応や期限、契約上の取り扱いを確認しましょう。

Q. ★3を取得してから★4を取得する必要がありますか？

いいえ。★3を取得していなければ★4を申請できないという関係ではありません。

自社の事業やサプライチェーンにおける役割、取引先から求められる対策水準などを踏まえて検討します。

Q. 特定のセキュリティ製品を導入する必要がありますか？

特定の製品の導入が一律に求められているわけではありません。

企業の規模やシステム構成などに応じて、要求事項・評価基準を満たす対策を検討します。

Q. いつから申請できますか？

IPAの公表情報では、★3・★4の登録申請受付は2027年3月開始予定です。

受付開始までに、自社の情報資産や管理体制を整理し、必要な対策を進めておくとよいでしょう。

まとめ｜まずは自社のセキュリティ対策状況を把握することから

SCS評価制度は、サプライチェーン全体のセキュリティ対策状況を共通の基準で評価・可視化するための制度です。

中小企業にとっても、取引先からセキュリティ対策状況の説明や評価取得を求められる機会が増える可能性があります。

ただし、制度の開始に合わせて、すべての対策を一度に整える必要はありません。

まずは、次のことから始めてみましょう。

1. 取引先から求められている内容を確認する
2. 自社の情報資産や利用サービスを整理する
3. アカウントやアクセス権限を見直す
4. 更新・バックアップなどの基本対策を確認する
5. 必要に応じて専門家や外部事業者に相談する

セキュリティ対策は、評価を取得することだけが目的ではありません。

日頃から自社の情報やシステムを適切に管理し、問題が発生した場合にも対応できる体制を整えておくことが重要です。

取引先との信頼関係を維持するためにも、この機会に自社のセキュリティ対策を見直してみてはいかがでしょうか。