セキュリティ対策評価制度とは。中小企業が今やること

この記事は、取引先から「セキュリティ対策評価制度に対応していますか」と聞かれた中小企業の方に向けたものです。セキュリティ対策評価制度は、取引先ごとに異なっていたセキュリティ対策の求め方を、共通の基準にそろえるための国の制度です。★の取得は任意で、申請の受付は 2027 年 3 月に始まる予定です。それより前に★は取得できません。まずは、何を求められているかと、自社の今の状態を確かめることから始めます。自社の今の状態は、無料の質問（最大 14 問・約 5 分）で整理できます。答えは送信も保存もしません。この質問は制度の要求事項の点検そのものではなく、★を取れるかも判定しませんが、どこから確かめればよいかが分かります。

セキュリティ対策評価制度とは

正式な名前は「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS 評価制度）です。経済産業省と内閣官房 国家サイバー統括室が 2026 年 3 月に制度の方針を公表し、IPA（情報処理推進機構）が運営します。

ねらいは、取引でつながる会社のセキュリティ対策を、共通の基準で確かめられるようにすることです。これまでは、発注する側は取引先の対策を外から判断しにくく、受ける側は取引先ごとに異なる対策の水準を求められ、それぞれのセキュリティチェックシートに答えてきました。取引先を足がかりにした攻撃（サプライチェーン攻撃）への対策として、取引先の対策の状況を、同じ物差しで示せるようにします。

経済産業省は、この制度は事業者のセキュリティ対策の水準を競わせることを目的とした格付けの制度ではない、としています。取引での立場や想定する危険に合わせて、求める水準を決めるための仕組みです。

★3 と★4 の違い

今決まっているのは★3 と★4 の 2 つです。より高い水準の★5 は、今後の検討とされています。

	★3（星3）	★4
目安	一般的なサイバー攻撃への対処を想定した水準	侵入の防御に加え、被害の拡大を防ぐ対策と、取引の中での自社の役割に合った対策を求める水準
確かめ方	自己評価を、SCS セキュリティ専門家が確認・助言する	評価機関による審査と、技術的な検証
要求事項	26 件	43 件
有効期間	1 年	3 年（毎年の自己評価と、3 年ごとの第三者評価）
登録料（税込）	20,000 円（2028 年 3 月 31 日までは 10,000 円）	60,000 円

登録料は IPA の料金のお知らせとよくある質問によるものです。★3 の専門家の確認や、★4 の評価機関の審査に、登録料のほかに費用がかかるかは、これらの資料には書かれていません。頼む先に確かめてください。

セキュリティ対策評価制度はいつから

IPA は、★3・★4 の登録申請の受付を 2027 年 3 月に始める予定としています（2026 年 10 月時点）。要求事項と評価の基準、評価用のガイドと解説書は、すでに IPA のサイトで公開されています。

今の時点で申請はできませんが、公開されている要求事項は、自社の点検の一覧として使えます。要求事項は IPA の要求事項・評価基準のページで読めます。

セキュリティ対策評価制度は中小企業も対象か

業種や規模を問わず、大企業も中小企業も対象になり得る制度として作られています。ただし、★の取得は任意です。取引の条件にするかどうかは、発注する側と受ける側の契約で決まります。

IPA のよくある質問では、すべての要求事項を満たしていないことを理由に、直ちに取引停止などが求められるものではない、としています。取得の有無だけでなく、要求事項をチェックリストとして使うことも想定されています。

IPA は中小企業向けの支援として、★3・★4 の取得を支援する「サイバーセキュリティお助け隊サービス（新類型）」を紹介しており、その実証事業が行われています。

取引先から求められたら、まずやる 3 つ

1. 何を求められているかを確かめる

「対応していますか」の中身は、取引先によって違います。次の 3 つを担当者に確かめてください。

• どの★を求めているか（★3 か★4 か）。★の取得を求めているのか、要求事項に沿ったセキュリティチェックシートへの回答でよいのか
• いつまでに求めているか。申請の受付は 2027 年 3 月からなので、それより前の期限なら、その時点で何を出せばよいかを確かめます
• 取引先が自社に何を預けているか（図面・顧客の情報・取引先のシステムへの接続など）。求められる★の水準を相談するときの材料になります

取得の前に返事をするなら、たとえば次のように返せます。

セキュリティ対策評価制度の★は、申請の受付が 2027 年 3 月からのため、まだ取得していません。求められている★と期限を教えていただけますか。それに合わせて、今できている対策と、足りない所を直す予定をお知らせします。

2. 自社の今の状態を整理する

★3 の評価基準には、たとえば、退職などで不要になったユーザ ID を速やかに削除・無効化すること（4-1-1-3）、重要な情報を扱うクラウドサービスで多要素認証を使うこと（4-1-3-2）、決めた対象と頻度でバックアップを取ること（4-3-4-1）があります。社外とつながる VPN 機器なども、評価の対象の範囲に入ります（IPA「★3・★4 要求事項・評価基準 解説書」）。製品を入れる前に、こうした基本の対策が今どうなっているかを書き出します。

担当者が答えられない所は「分からない」のままで構いません。分からない所こそ、最初に確かめる所です。無料の質問では、答えから「回答によるとできている所」「対応が要る所」「まだ確かめが要る所」を分けて表示します。制度の 26 件・43 件の要求事項を一つずつ点検するものではないので、点検には IPA の要求事項を使ってください。

3. 足りない所を、誰が・いつまでにやるか決める

足りない所が見つかったら、直す計画を示せばよいのか、期限までに対策を終えている必要があるのかを、取引先に確かめます。そのうえで、取引先と合意した期限に合わせて、直す順番・担当・期限を決めます。社内で決められないことは、パソコンやネットワークの保守をしている業者に、何を頼むかを文面にして相談します。

やらなくていいこと

• 取引先の求めを確かめないまま、高額なセキュリティ製品を買う
• 2027 年 3 月の申請受付の前に「★を取得済み」と答える（まだ取得できません）
• 要求事項を読まずに、取引先の別のセキュリティチェックシートへの回答を使い回す

SECUNOA でできること

SECUNOA は、SCS 評価制度の評価機関や SCS セキュリティ専門家ではありません。★の取得そのもの（専門家の確認や評価機関の審査）はできません。

できるのは、その手前の整理です。無料の質問で今の状態を整理し、取引先への回答や社内の計画の材料が要る場合は、セキュリティの現状整理（29,800 円・税込）で、大事な 5 つ（バックアップ、社外からの接続、辞めた人のアカウント、メールの二段階認証、振込先の確かめ方）を設定画面の写真で確かめ、現状の確認表・やることリスト・もしもの時の連絡表にまとめます。制度の要求事項すべてへの適合や、★を取れるかを判定するものではありません。

出典

• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS 評価制度）」https://www.meti.go.jp/policy/netsecurity/scs.html
• 経済産業省「SCS 評価制度の構築方針を公表しました」（2026 年 3 月 27 日）https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html
• IPA「SCS 評価制度の詳細情報」（2026 年 10 月 28 日更新）https://www.ipa.go.jp/security/scs/details.html
• IPA「よくある質問」（2026 年 10 月 30 日更新）https://www.ipa.go.jp/security/scs/faq.html
• IPA「料金設定のお知らせ」（2026 年 9 月 18 日）https://www.ipa.go.jp/security/scs/rcu1hd00000075om-att/pricelist.pdf
• IPA「★3・★4 要求事項・評価基準 解説書」（SCS-620 v1.0）https://www.ipa.go.jp/security/scs/rcu1hd0000007a2i-att/SCS-620-handbook-v1.0.pdf