SCS評価制度とは？取引先から★3・★4を求められたら中小企業がやること【2026年版】
「取引先から、セキュリティの評価制度に対応してほしいと言われた」「★3とか★4とか聞くが、何をすればよいのか分からない」。経済産業省が2026年度末ごろの開始を予定しているSCS評価制度は、発注元の企業が取引先にセキュリティ対策の水準を求める仕組みです。
この記事では、制度の概要と★3・★4の違い、開始時期、そして取引先から求められたときに中小企業が今から準備しておくことを解説します。制度の内容は公表資料（2026年11月時点）にもとづいており、今後変わる可能性があります。
- SCS評価制度は、取引先のセキュリティ対策の水準を★（星）の数で示す、経済産業省の制度
- ★3は自己評価に専門家の確認を受ける段階、★4は第三者による評価と技術的な検証を受ける段階
- 2026年度末ごろに制度を開始し、申請の受付を始める予定
- 今からできるのは、IT資産の把握・アカウント管理・バックアップ・規程づくりなど基本の整備
目次
SCS評価制度とは
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）とは、企業のセキュリティ対策の水準を★の段階で評価し、取引先などに示せるようにする経済産業省の制度です。発注元の企業が、委託先や取引先に対して「★3以上」などの水準を求め、サプライチェーン全体のセキュリティを高めることを目的としています。制度の運営はIPA（情報処理推進機構）が担うとされています。
背景には、取引先や委託先を経由した攻撃の増加があります。IPAの「情報セキュリティ10大脅威 2026」（組織編）でも、ランサム攻撃に次いで、サプライチェーンや委託先を狙った攻撃が2位に挙げられています。
★3と★4の違い
| ★3 | ★4 | |
|---|---|---|
| 位置づけ | 評価の基礎となる段階 | ★3より広い範囲と対策を求める段階 |
| 評価の方法 | 自己評価を行い、セキュリティの専門家の確認を受ける | 評価機関による第三者評価。脆弱性の検査などの技術的な検証も行う |
| 有効期間 | 1年（報道による） | 3年（報道による） |
| 主な対象 | 企業のIT基盤（サーバー、PC、クラウド環境など）。工場の制御システム（OT）や、発注元に納める製品そのものは直接の対象外 | |
★5は、今後検討するとされています。要求事項と評価基準は公表されており（★3・★4の要求事項・評価基準 Ver1.1、2026年10月28日版）、評価の手引き（評価ガイド）は2026年秋ごろの公表が予定されています。最新の資料は経済産業省とIPAのWebサイトで確認してください。
開始時期とスケジュール
| 時期 | 内容 |
|---|---|
| 2026年5月 | 制度の構築方針を公表 |
| 2026年10月 | ★3・★4の要求事項・評価基準 Ver1.1 を公表 |
| 2026年秋ごろ | 評価ガイドの公表（予定） |
| 2026年度末ごろ | 制度の開始、申請の受付開始（予定） |
中小企業向けには、「サイバーセキュリティお助け隊サービス」の新しい類型などによる支援も計画されています。
取引先から★を求められたら：今から準備すること
★3の評価は、会社として基本的な対策ができているかを確認するものです。制度の開始を待たずに、次の基本を整えておくと、評価にも、取引先からのチェックシートにも対応しやすくなります。
- IT資産を把握するPC・サーバー・クラウド・アカウントを一覧にする（IT資産台帳）
- アカウントと権限を管理する多要素認証、管理者の限定、退職者のアカウント停止
- 更新とウイルス対策OS・ソフトの更新、サポートの切れた製品の解消、ウイルス対策
- バックアップと復旧重要なデータのバックアップを、ネットワークから切り離した場所にも取り、復元を試す
- 規程と体制セキュリティの基本方針、事故が起きたときの連絡体制、委託先の管理
- 社員への教育不審なメール、パスワード、持ち出しのルールを周知する
関連記事IT資産台帳の作り方｜項目一覧とExcelの無料テンプレート
関連記事セキュリティポリシーの作り方｜社員30名の会社向けの雛形（Word）と運用のコツ
自社の今の状態を確かめたい場合は、取引先向けセキュリティ対策チェック｜SCS評価制度の★3相当の項目で自社の状態を確認（無料）で、分野ごとの目安を確認できます。
よくある疑問
すべての中小企業が★を取る必要がありますか？
制度は任意で、すべての企業に取得が義務づけられるものではありません。ただし、発注元が取引の条件として★を求めるようになれば、事実上の対応が必要になります。主要な取引先がどう考えているかを、早めに確認しておきましょう。
★3の取得にはどのくらいの費用がかかりますか？
評価そのものの費用は、制度の開始までに示される見込みです。それとは別に、足りない対策を整える費用がかかります。すでに基本ができている会社では小さく、資産の把握や規程づくりから始める会社では、外部の支援を含めて数十万円程度かかることもあります。
よくある質問
- SCS評価制度はいつから始まりますか？
- 経済産業省は、★3・★4について2026年度末ごろに制度を開始し、申請の受付を始める予定としています。時期は変更される可能性があるため、最新の情報を確認してください。
- ISMS（ISO/IEC 27001）を取得していれば、★は不要ですか？
- ISMSとSCS評価制度は別の制度です。ISMSの取り組みは★の準備にも役立ちますが、取引先がどちらを求めているかを確認しましょう。両者の関係は、今後公表される資料で確認してください。
- ★3の自己評価は、自社だけで行えますか？
- ★3は自己評価に加えて、セキュリティの専門家の確認を受ける仕組みとされています。自己評価の準備は自社で進められますが、確認の方法は今後の公表資料を確認してください。
まとめ
SCS評価制度は、取引先のセキュリティ対策の水準を★で示す経済産業省の制度で、2026年度末ごろに開始される予定です。★3は専門家の確認を受ける自己評価、★4は第三者による評価です。制度の開始を待たずに、IT資産の把握、アカウント管理、バックアップ、規程づくりといった基本から整えておきましょう。
この記事に関連するサービス
システム保守・運用
業務システムやWebシステムの監視、障害対応、セキュリティ更新、小さな修正を月額の定額制で行います。他社が開発したシステムも、引き継ぎ調査から対応します。 サービスの詳細を見る
