「取引先から、今後の取引に備えてSCS評価制度の『★3』への対応を検討してほしいといわれた」
「ニュースでSCS評価制度という言葉を聞くが、自社にどのような影響があるのか全容が掴めない」
「セキュリティ担当者がいない中小企業でも、本当に対策できるのだろうか？」

制度開始を控え、中堅・中小企業の情報システム担当者や経営層の中には、自社への影響や必要な対策がわからず、不安を感じている方もいるのではないでしょうか。

経済産業省と内閣官房国家サイバー統括室が、2026年度末頃の制度開始（申請受付の開始）を目指して制度設計を進めている「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」。
この制度は、日本のビジネス環境、特に大企業と中小企業を結ぶサプライチェーンにおける企業間のセキュリティ確認のあり方に、大きな影響を与える可能性があります。

本記事では、SCS評価制度がなぜ誕生したのかという背景から、制度の全体像、そして、今後、中堅・中小企業が取引先から「★3」への対応を求められる可能性がある理由について、わかりやすく解説します。

制度開始後に慌てることがないよう、今からどのような準備を進めるべきかを確認していきましょう。

■アイエスエフネットは、現状の可視化からMicrosoft 365導入・ガバナンス整備までワンストップで伴走！
＞SCS評価制度★3取得支援パッケージ for Microsoft 365については、詳しくはこちら

SCS評価制度が設けられた主な背景の一つは、継続的に大きな脅威となっている「サプライチェーン攻撃」への強い危機感です。

「サプライチェーン」とは、製品やサービスの原材料調達から製造、流通、販売に至るまでの一連のつながり（供給網）を指します。現代のビジネスにおいて、一つの製品を作るために、数多くの部品メーカー、システム開発会社、物流業者などが複雑に連携しています。

大企業への直接攻撃に加え、相対的に対策が手薄な取引先や委託先を侵入口として狙う攻撃も問題となっています。攻撃者は取引先などへ侵入し、窃取した認証情報や正規の接続経路を悪用して、委託元企業へ攻撃範囲を広げることがあります。

独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」組織編では、「サプライチェーンや委託先を狙った攻撃」が2位に選ばれています。同項目は2023年から2026年まで4年連続で2位となっており、継続的に警戒すべき脅威と位置づけられています。

サプライチェーンを通じた攻撃では、被害が侵入された一社だけにとどまらず、委託元や接続先、顧客などへ波及するおそれがあります。つまり、自社のセキュリティ対策上の不備が、自社だけの被害にとどまらず、発注元である大企業の工場を停止させたり、社会インフラに多大な影響を与えたりする重大なインシデントに直結する時代になっているのです。

「自社は規模が小さいから狙われない」という考えは、もはや通用しません。中小企業であっても、取引先や委託元へ侵入するための足掛かりとして標的になる可能性があります。

サプライチェーン攻撃の脅威が高まる中、大企業（発注元）もただ指をくわえて見ていたわけではありません。これまで発注元企業の中には、取引先に対して独自の「セキュリティチェックシート（アンケート）」を送付し、対策状況を報告させることでリスクを管理しようとしてきました。

しかし、この従来型の委託先管理手法には、大きな限界がありました。

発注元（大企業）の課題：実態が見えない
チェックシートの回答は基本的に「自己申告」です。発注元としては、取引先が「対策を実施している」と回答していても、それが本当に実態を伴っているのか、技術的に妥当なのかを客観的に評価することが困難でした。また、質問の解釈や確認方法が企業ごとに異なるため、回答内容と実際の運用状況に差が生じる可能性もありました。

受注先（中小企業）の課題：対応負荷の増大
一方、業務を受託する中小企業にとっても、チェックシートへの対応は大きな負担となっていました。取引先ごとに独自の基準や異なるフォーマットが用いられるため、専任のIT担当者がいない企業では、その都度専門用語を読み解き、回答を作成する必要がありました。

このように、個別の企業ごとの努力だけでは、サプライチェーン全体のセキュリティ水準を効果的に底上げすることが難しい状況に陥っていたのです。

■アイエスエフネットは、現状の可視化からMicrosoft 365導入・ガバナンス整備までワンストップで伴走！
＞SCS評価制度★3取得支援パッケージ for Microsoft 365については、詳しくはこちら

こうした発注側・受注側双方の課題を解決し、国全体のサプライチェーンの安全性を確保するために、経済産業省と内閣官房 国家サイバー統括室が中心となって構築したのが「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」です。

本制度の主な目的は、「共通の評価基準」を国が示し、各企業のセキュリティ対策の到達度を客観的に「見える化（可視化）」することです。

これにより、発注元企業は、取引内容や取り扱う情報、事業への影響などに応じて、取引先に求めるセキュリティ対策の水準を共通の基準で示しやすくなります。一方の中小企業も、制度開始後にSCS評価制度の★3を取得し、評価結果が台帳に登録・公開されれば、制度の共通基準に沿って対策状況を確認したことを取引先へ示しやすくなります。ただし、取引内容によっては、委託元から追加の確認を求められる可能性があります。

SCS評価制度は、発注元と受注先が求めるセキュリティ水準を共有し、サプライチェーン全体の対策向上を図るための共通の枠組みです。

SCS評価制度では、まず★3と★4について、2026年度末頃の制度開始（申請受付の開始）を目指して準備が進められています。★5については今後検討されます。なお、★1・★2はSCS評価制度の評価段階ではなく、IPAが運用する既存の自己宣言制度「SECURITY ACTION」に設けられている区分です。

SCS評価制度は、SECURITY ACTIONなど既存の中小企業向け施策との連続性や相互補完を意識しながら、より客観的に対策状況を確認できる制度として設計されています。

SECURITY ACTIONとの関係、およびSCS評価制度の各段階は以下の通りです。

■ 参考：SECURITY ACTIONの ★1（一つ星）・★2（二つ星）
SECURITY ACTIONは、中小企業が情報セキュリティ対策への取り組みを自己宣言する既存制度です。一つ星では基本的な対策への取り組み、二つ星では情報セキュリティ基本方針の策定・公開や自社診断などを行います。第三者による評価や確認を受ける制度ではありません。

■ ★3（基礎対策レベル：専門家確認付き自己評価）
★3は、一般的なサイバー脅威に対応するために、サプライチェーンに参加する企業がまず整備すべき基礎水準として設けられています。広く認知された一般的なサイバー攻撃（ランサムウェアなど）から自社を守るための基礎的な対策が求められます。評価方法は自己評価ですが、制度が定める資格要件と研修受講要件を満たし、事務局に登録されたセキュリティ専門家が評価内容を確認します。専門家が提出内容を了承した場合に署名を行い、企業は経営層による自己適合宣誓とともに評価結果を事務局へ提出します。有効期間は1年間です。

■ ★4（標準対策レベル：第三者評価）
サプライチェーンの中で機密情報を取り扱ったり、自社のシステム停止が取引先に甚大な影響を与えたりする「重要なサプライチェーン企業」が目指すべき水準です。★3の内容に加え、取引先の管理状況や、高度な侵入検知・インシデント対応などが求められます。★4では、第三者評価機関による文書確認、実地審査、技術検証などが行われます。有効期間は3年間です。

■ ★5（今後検討される水準）
★5については、今後、要求事項・評価基準や評価スキームの具体化が検討される予定です。現時点では、具体的な評価方法や開始時期は示されていません。

制度開始後は、取引内容や調達方針に応じて、★3・★4の取得や対応状況の確認を進める企業が増える可能性があります。

■アイエスエフネットは、現状の可視化からMicrosoft 365導入・ガバナンス整備までワンストップで伴走！
＞SCS評価制度★3取得支援パッケージ for Microsoft 365については、詳しくはこちら

制度の全体像がわかったところで、最も重要な疑問に答えます。なぜ、中堅・中小企業では、取引先から提示される水準として★3が想定されるのでしょうか？

その理由は、★3が、一般的なサイバー脅威への対応を想定した基礎的な水準として設計されているためです。

取引先から基礎水準として提示される可能性がある「★3」

★3では、アカウント管理、認証、OS・ソフトウェアの更新、マルウェア対策、バックアップ、インシデント対応など、一般的なサイバー脅威への対策が求められます。

具体的な実装方法は、企業の環境や評価基準への対応の進め方によって異なります。これらは、企業規模を問わず優先的に取り組むべき基礎的なセキュリティ対策です。発注元企業にとっても、取引先の対策状況は、システム接続や情報の取り扱いに伴うリスクを判断する重要な材料になります。

今後は、取引内容や取り扱う情報の重要性に応じて、発注元企業が取引先に★3相当の対策や評価取得を求めるケースが生じる可能性があります。ただし、制度は任意であり、★3が一律に契約継続の条件となるわけではありません。

★4では★3より広い範囲の対策と第三者評価が求められる

では、さらに安全な「★4」を目指せばよいのではないかと思うかもしれません。ただし、★4では★3よりも広い範囲の対策と、第三者評価への対応が必要になります。

前述の通り、★4では、★3よりも広い範囲で継続的な管理や対応体制の整備が求められるため、社内の役割分担や外部専門家の活用を含めた体制づくりが重要になります。第三者評価や技術検証を伴うため、★3と比べて準備工数や評価に伴う負担が大きくなる可能性があります。

自社に必要な段階は、企業規模や業種だけでなく、取り扱う情報、システム停止時の影響、取引先からの要請などを踏まえて判断する必要があります。

また、★4の具体的な評価費用や期間については、制度開始後に評価機関が示す情報を確認する必要があります。

そのため、まずは自社の取引内容やリスク、取引先からの要請を確認し、★3への対応が必要かを判断したうえで、計画的に準備を進めることが重要です。

「★3なら基礎的な対策だから簡単に取得できるだろう」と考えるのは早計です。
実際に★3への対応を進める際、課題になりやすいものの一つが、IT・セキュリティを担当する人材や運用リソースの不足です。

★3では、チェック項目に回答するだけでなく、回答内容を裏付ける規程、設定状況、運用記録などを整理する必要があります。社内外の登録セキュリティ専門家は、ルールの整備状況だけでなく、実際の運用状況や評価内容を裏付ける証跡を確認します。

例えば、次のような観点について、実施状況と根拠を説明できる状態にしておく必要があります。

• 重要なアカウントに適切な認証対策を設定しているか
• 退職者や異動者のアカウントを適切なタイミングで変更・削除しているか
• 不審なアクセスやマルウェアを検知した際の対応手順と記録があるか

これらを実現するためには、単にウイルス対策ソフトを入れるだけでなく、デバイスの管理、アカウントの管理、ログの監視を継続的に行う仕組みが必要です。中堅・中小企業の中には、「ひとり情シス」や総務担当者がIT業務を兼任しているケースもあります。そのような状況下で、バラバラのベンダーから提供されるセキュリティ製品を複数導入して管理画面を行き来し、監査用のログを手動で集め続けることは、担当者の負担が増え、継続的な運用が難しくなる可能性があります。


■アイエスエフネットは、現状の可視化からMicrosoft 365導入・ガバナンス整備までワンストップで伴走！
＞SCS評価制度★3取得支援パッケージ for Microsoft 365については、詳しくはこちら

IT人材が不足している中堅・中小企業が、複数のセキュリティ機能をまとめて管理する方法の一つが、「Microsoft 365 Business Premium」を活用した統合型アプローチです。

個別のセキュリティ製品をそれぞれ導入する代わりに、業務基盤としてMicrosoft 365を利用している企業がMicrosoft 365 Business Premiumの機能を活用することで、以下のようなメリットが期待できます。

• 複数の技術的対策を統合しやすい

MFA、端末のマルウェア対策・EDR、デバイス管理、アクセス制御、監査ログなど、★3への対応を検討するうえで必要となる複数の技術的機能を一つの環境で管理しやすくなります。ただし、ライセンスの契約だけで★3を取得できるわけではなく、適切な設定・運用や社内規程の整備なども必要です。

• 運用負荷を軽減しやすい

Microsoftのクラウド環境上でID、端末、セキュリティ情報を連携させることで、複数の個別製品を利用する場合と比べて、対策状況を横断的に確認しやすくなります。また、設定内容や運用記録を証跡として整理しやすくなります。ただし、必要なログの種類、保存期間、抽出方法は事前に設計する必要があります。

• コストの最適化

現在利用している製品や契約内容によっては、複数製品を統合することでライセンスや運用にかかるコストを見直せる可能性があります。

★3への対応では、担当者の負荷を抑えながら、対策を継続して運用し、その記録を残せる仕組みを整えることが重要です。Microsoft 365 Business Premiumは、こうした技術的対策を統合する有力な選択肢の一つです。

なお、SCS評価制度では、特定のセキュリティ製品の導入が一律に必須とされているわけではありません。また、Microsoft 365 Business Premiumを導入するだけで★3を取得できるものでもありません。技術的な設定に加え、リスク管理、社内規程、従業員教育、インシデント対応手順、運用記録などを総合的に整備する必要があります。

SCS評価制度は、サプライチェーン全体をサイバー攻撃から守るための国を挙げた取り組みです。2026年度末頃に予定されている制度開始を見据え、取引先への対策要請や評価方法を検討する企業が増える可能性があります。

対応を後回しにした場合、取引先から対策状況の提示を求められた際に、必要な対策や証跡の整備が間に合わない可能性があります。制度自体は任意ですが、個別の契約や調達方針によって求められる対応は異なるため、早めに取引先の方針を確認しておくことが重要です。

まずは自社の現状を把握し、無理なく運用できるセキュリティ体制の構築に着手することが、ビジネスを守り抜くための第一歩です。

■アイエスエフネットが★3取得に向けた準備を支援します

しかし、自社だけで現状分析からツールの導入、専門家の確保までを行うのは非常に困難です。そこでアイエスエフネットでは、中堅・中小企業様に向けた「SCS評価制度★3取得支援パッケージ for Microsoft 365」をご提供しています。

アイエスエフネットのサービスは、以下の内容を通じて、お客様の★3取得に向けた準備を支援します。

「何から手をつけていいかわからない」「自社のIT担当者だけでは不安だ」という企業様は、ぜひアイエスエフネットにご相談ください。
Microsoft 365を軸にした統合アプローチで、サプライチェーンの信頼に応える強固なセキュリティ体制の構築を共に実現しましょう。

■アイエスエフネットは、現状の可視化からMicrosoft 365導入・ガバナンス整備までワンストップで伴走！
＞SCS評価制度★3取得支援パッケージ for Microsoft 365については、詳しくはこちら

※この記事は、公開時点の情報に基づいて作成しています。