IPAがサプライチェーン向けセキュリティ評価制度のガイドを公開、企業に求められる対策とは

IPA（情報処理推進機構）は2026年10月28日、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）について、★3・★4の取得に向けた評価用ガイドや解説書を公開しました。

今回公開されたのは、自己評価や第三者評価、技術検証の進め方を説明する資料です。あわせて、★3・★4の要求事項・評価基準も更新されています。

SCS評価制度は、取引先や委託先を含むサプライチェーン全体のセキュリティ対策水準を高めることを目的とした制度です。今後、取引先からセキュリティ対策の状況や評価取得について確認される機会が増える可能性があります。

ただし、すべての企業に★の取得が義務付けられるわけではありません。制度の内容を理解し、自社に必要な対策を整理しておくことが大切です。

この記事では、今回IPAが公開した資料の内容と、★3・★4の違い、中小企業が今から確認しておきたいポイントを紹介します。

SCS評価制度とは？

SCS評価制度は、正式には「サプライチェーン強化に向けたセキュリティ対策評価制度」といいます。

経済産業省と内閣官房国家サイバー統括室の監督のもと、IPAが制度を運営します。

この制度の目的は、企業のセキュリティ対策状況を共通の基準で評価し、取引先同士が必要なセキュリティ水準を確認しやすくすることです。

なぜサプライチェーン全体の対策が必要なのか

企業の業務は、自社だけで完結しているとは限りません。

例えば、次のような企業やサービスと連携して事業を行っているケースがあります。

• システム開発会社やWeb制作会社
• クラウドサービスやレンタルサーバー事業者
• 顧客情報や業務データを取り扱う委託先
• 商品の製造・物流を担う取引先
• 社内システムの保守・運用を担当する会社

こうした取引先や委託先のいずれかでセキュリティ事故が発生すると、情報漏えいやシステム停止などの影響が、ほかの企業にも広がる可能性があります。

そのため、自社のセキュリティ対策だけでなく、取引先を含めた対策状況を把握することが重要になっています。

SCS評価制度では、企業が自社の役割や取引関係に応じたセキュリティ対策を進められるよう、段階的な評価基準を設けています。

★3と★4は何が違う？

SCS評価制度では、★3・★4・★5などの段階が設けられています。

2026年11月2日時点で、★3と★4について具体的な要求事項・評価基準や評価方法が公表されています。

★3と★4は、単純に対策の数が違うというものではありません。想定する脅威や、評価で確認する内容にも違いがあります。

★3：一般的なサイバー脅威への対策

★3は、一般的なサイバー脅威に対処できる水準を目指すものです。

広く知られている脆弱性を悪用する攻撃など、一般的なサイバー攻撃への対策を整備し、実施できているかを確認します。

取得を希望する企業は、要求事項・評価基準に基づいて自己評価を行います。その結果について、SCSセキュリティ専門家による確認・助言を受ける仕組みです。

つまり、企業が自ら対策状況を整理し、専門家による確認を経て登録を目指す方式です。

★4：より高い水準の対策と第三者評価

★4は、初期侵入を防ぐだけでなく、侵入後の被害拡大や攻撃者による目的遂行のリスクを低減し、取引先のデータやシステムを保護することも重視しています。

また、サプライチェーンにおける自社の役割に応じた対策を講じていることが求められます。

★4では、自己評価に加えて、評価機関による第三者評価を受けます。

文書の確認だけでなく、実地審査や技術検証も評価に含まれます。技術検証では、インターネットに公開されている機器のうち、脆弱性を悪用された場合に組織内部への侵入につながるリスクが高い機器などを対象に、脆弱性検査を実施する仕組みです。

★3・★4の主な違い

比較項目	★3	★4
目指す水準	一般的なサイバー脅威への対処	被害拡大の防止やサプライチェーン強靭化も重視
要求項目数	26件	43件
評価方法	専門家確認付き自己評価	第三者評価
文書確認	あり	あり
実地審査	なし	あり
技術検証	なし	あり

※要求項目数はIPAが公表している★3・★4要求事項・評価基準に基づきます。

なお、★4を取得するために、先に★3を取得しておく必要はありません。上位の段階は、それ以下の段階で求められる事項を包括する仕組みです。

IPAが2026年10月28日に公開したガイド・解説書

今回、IPAは★3・★4の取得を目指す企業や評価機関などに向けて、4つの資料を公開しました。

これまで公表されていた要求事項・評価基準について、実際にどのように自己評価し、どのような手順で確認を受けるのかが、より具体的に示されています。

1. ★3・★4 自己評価等ガイド

★3・★4の取得を希望する企業が、自己評価を進めるための手続きを説明した資料です。

主に、次の内容が示されています。

• 評価を受ける組織や取得単位の決定
• 評価の対象となる適用範囲の設定
• 要求事項・評価基準に基づく自己評価
• ★3確認責任者などによる確認手続き

自己評価に使用するアセスメントシートも、Excel形式で公開されています。

自社のどの部門やシステムを評価対象にするのかを整理し、対策状況を項目ごとに確認する際に活用できます。

2. ★4 第三者評価ガイド

★4の取得に向けて、評価機関が実施する第三者評価の手続きを説明した資料です。

企業が行った自己評価をもとに、評価機関が要求事項への適合状況を確認します。

第三者の立場から確認を受けることで、企業自身の判断だけでは見落としやすい問題についても、評価の対象となります。

3. ★4 技術検証ガイド

★4で実施される技術検証について、評価機関や技術検証事業者、取得希望企業が確認すべき手続きを説明した資料です。

技術検証では、対象となる機器やシステムについて、既知の脆弱性などを確認するための検査が行われます。

企業側も、検証対象となる機器やシステムの情報を整理し、検査に対応できるようにしておく必要があります。

4. ★3・★4 要求事項・評価基準 解説書

★3・★4の要求事項や評価基準について、その考え方や注意点を説明した資料です。

要求事項・評価基準の一覧だけでは、具体的にどのような対策が求められているのか判断しにくい場合があります。

解説書では、取得単位や適用範囲の設定、自己評価を適切に進めるための考え方などが説明されています。

自社の対策状況を確認する際には、要求事項・評価基準とあわせて確認したい資料です。

要求事項・評価基準も更新

今回の資料公開にあわせて、★3・★4の要求事項・評価基準も更新されました。

2026年10月28日公開版はVer.1.1です。IPAは翌29日にも一部の記載を修正しており、資料の最新版を確認することが重要です。

これから制度への対応を検討する企業は、古い資料を使わず、IPAの公式ページから最新版を入手しましょう。

自己評価・第三者評価・技術検証の違い

今回公開された資料には、評価方法に関する説明も含まれています。

それぞれの役割を整理すると、次のようになります。

自己評価：自社の対策状況を確認する

自己評価は、企業自身が要求事項・評価基準に照らして、自社のセキュリティ対策状況を確認することです。

例えば、次のような項目を確認します。

• 情報資産を把握・管理できているか
• アカウントやアクセス権限を適切に管理しているか
• ソフトウェアの脆弱性に対応する体制があるか
• インシデント発生時の連絡・対応手順が決まっているか
• バックアップや復旧の準備ができているか

★3では、この自己評価の結果をSCSセキュリティ専門家が確認し、必要に応じて助言します。

第三者評価：外部の評価機関が確認する

第三者評価は、評価機関が企業の対策状況を確認するものです。

★4では、自己評価の内容だけでなく、対策の実施状況を文書やヒアリングなどによって確認します。

必要に応じて、実際の運用状況や証跡なども確認対象となります。

技術検証：システムや機器の技術的な状態を確認する

技術検証は、システムや機器に脆弱性などの問題がないか、技術的な検査を行うものです。

★4では、第三者評価の一部として技術検証が実施されます。

自己評価で「対策を実施している」と確認するだけでなく、実際のシステムや機器について技術的な状態を確認する点が特徴です。

中小企業や委託先企業への影響は？

SCS評価制度は、業種や企業規模を問わず、サプライチェーンを構成する幅広い事業者が対象となり得ます。

そのため、中小企業や取引先から業務を受託する企業も、制度と無関係ではありません。

例えば、大企業からシステム運用やデータ管理を委託されている企業では、委託元からセキュリティ対策の状況を確認される可能性があります。

今後、取引先がSCS評価制度を活用し、委託先に求めるセキュリティ水準を明確にすることも考えられます。

ただし、ここで注意したいのは、SCS評価制度そのものが、すべての企業に★の取得を義務付ける制度ではないという点です。

IPAのFAQでは、★の取得は任意とされています。取得を取引上の要件とするかどうかは、契約当事者間で決定されます。

つまり、制度によって一律に取得が義務化されるわけではありませんが、取引先との契約や調達条件によって、取得や対策状況の提示を求められる可能性があります。

また、★を取得していなくても、要求事項・評価基準を共通のチェックリストとして活用し、必要な対策の実施状況を確認することも想定されています。

中小企業が今から確認しておきたいこと

制度の申請受付は2027年3月に開始する予定です。

制度開始までに、すべての企業が評価取得を目指す必要はありませんが、自社のセキュリティ対策を整理しておくことは、取引先からの確認に備えるうえでも役立ちます。

まずは、次の項目から確認してみましょう。

1. 自社が管理している情報やシステムを把握する

顧客情報、従業員情報、取引先情報など、社内で取り扱っている情報を整理しましょう。

あわせて、次のようなシステムやサービスも把握しておくことが大切です。

• 企業のWebサイトや問い合わせフォーム
• WordPressなどのCMS
• メールやクラウドストレージ
• 顧客管理・販売管理システム
• 外部の業務委託先が管理するシステム
• レンタルサーバーやクラウドサービス

自社で直接管理していないサービスについても、どの会社が管理しているのか、どのような情報を取り扱っているのかを確認しておきましょう。

2. アカウントやアクセス権限を見直す

業務システムやWebサイトの管理アカウントについて、必要な人だけがアクセスできる状態になっているか確認します。

特に、管理者アカウントや外部委託先のアカウントは、定期的な見直しが重要です。

退職者や担当変更前のアカウントが残っていないか、必要以上の権限を付与していないかも確認しましょう。

3. ソフトウェアやシステムの更新状況を確認する

OS、業務システム、Webサーバー、CMS、プラグインなどを適切に更新しているか確認します。

脆弱性が公表された場合に、誰が情報を確認し、どのように修正を適用するのか、社内の対応手順を決めておくことも大切です。

WordPressを利用している場合は、本体・テーマ・プラグインの更新状況や、保守を担当する会社との役割分担も整理しておきましょう。

4. バックアップと復旧手順を確認する

データのバックアップを取得しているだけでなく、必要なときに復旧できる状態になっているかを確認します。

バックアップの保存場所や取得頻度、保存期間、復元方法を整理しておくと、障害や不正アクセスが発生した場合にも対応しやすくなります。

5. 委託先との役割分担を整理する

外部の会社にWebサイトやシステムの管理を委託している場合は、次の点を確認しましょう。

• どの範囲を委託しているか
• アカウントやデータを誰が管理しているか
• ソフトウェア更新は誰が担当するか
• セキュリティ事故が発生した場合の連絡先
• バックアップや復旧を誰が担当するか

委託先に任せているからといって、自社が管理状況を把握しなくてよいわけではありません。

契約内容や業務範囲を確認し、必要な情報を共有できる関係を整えておくことが重要です。

今後のスケジュール

IPAが公表している情報では、★3・★4の登録申請は2027年3月の受付開始を予定しています。

また、申請方法などを説明する「登録申請の手引」は、2026年11月末頃に公表予定とされています。

現時点では、制度の運用開始に向けて、申請手続きや評価を担う機関などの整備が進められています。

今後の主な予定は次のとおりです。

時期	内容
2026年10月28日	評価用ガイド・解説書を公開
2026年11月末頃	登録申請の手引を公表予定
2026年12月末頃	SCSセキュリティ専門家向け研修事業者を公表予定
2027年3月	★3・★4の登録申請受付開始予定

※公表済みの公式情報に基づく予定です。今後変更される可能性があるため、最新情報はIPAの公式ページをご確認ください。

なお、★5については、要求事項・評価基準や評価方法、開始時期などが引き続き検討されています。

まとめ：取引先から確認される前に、自社の対策状況を整理する

IPAは2026年10月28日、SCS評価制度の★3・★4に関する評価用ガイドや解説書を公開しました。

今回の資料公開によって、自己評価や第三者評価、技術検証の具体的な進め方が示され、制度開始に向けた準備が進んでいます。

SCS評価制度は、すべての企業に取得が義務付けられるものではありません。しかし、取引先や委託元がセキュリティ対策の確認に活用する可能性があります。

中小企業も、制度の開始を待つだけでなく、自社が管理している情報やシステム、アカウント、更新状況、委託先との役割分担などを整理しておくとよいでしょう。

まずは、IPAが公開した要求事項・評価基準や解説書を確認し、自社に関係する項目から対策を進めてみてください。

WebサイトやWordPressの管理についても、更新やバックアップ、アカウント管理、委託先との連携など、日頃の運用を見直すことが重要です。

North Riverでは、WordPressサイトの保守や更新、セキュリティ面の確認など、Webサイトの継続的な運用を支援しています。自社サイトの管理状況や委託先との役割分担に不安がある場合は、お気軽にご相談ください。

---

参考情報

• IPA｜サプライチェーン強化に向けたセキュリティ対策評価制度に関するガイド等を公開（2026年10月28日）
• IPA｜SCS評価制度 要求事項・評価基準
• IPA｜SCS評価制度の詳細
• IPA｜SCS評価制度 よくある質問（FAQ）
• 経済産業省｜サプライチェーン強化に向けたセキュリティ対策評価制度

※本記事は、2026年11月2日時点で確認できる公式情報をもとに作成しています。制度の詳細や申請スケジュールは変更される可能性があります。