SCS評価制度とは？SECURITY ACTIONとの違いと、中小企業が今できる準備

取引先からセキュリティチェックシートへの回答を求められ、SECURITY ACTIONの宣言を済ませたばかりという事業者の方も多いのではないでしょうか。実はこれとは別に、IPA（独立行政法人 情報処理推進機構）がもう一段階踏み込んだ評価制度を新たに用意しています。名称は「SCS評価制度」（サプライチェーン強化に向けたセキュリティ対策評価制度）。まだ運用が始まっていない制度ですが、仕組みを知っておくと、取引先対応の先読みができます。

この記事では、SCS評価制度がどのようなものか、SECURITY ACTIONとは何が違うのか、そして中小企業が今の段階で何をしておけばよいのかを整理します。

SCS評価制度とは

SCS評価制度は、IPAが運営する新しいセキュリティ評価の仕組みです。★3・★4という段階があり、企業が自社のセキュリティ対策状況を評価し、その結果を対外的に示せるようにすることを目的としています。

2026年8月、制度の土台となる規程（SCS-100基本規程など）がIPAから公表・施行されました。運用開始は2026年度下期（10月〜2027年3月）を予定しており、今後さらに詳細が固まっていく段階です。

★3と★4は何が違うのか

★3は、自社のIT基盤への初期侵入や、侵入後の被害拡大への対応など、一般的なサイバー脅威への基本的な対策を対象とします。取得の流れも「専門家確認付き自己評価」というシンプルな形です。事業者自身が評価し、外部の専門家がその内容を確認する、という位置づけになります。

★4はさらに範囲が広く、被害拡大や攻撃者の目的遂行リスクの低減、サプライチェーン全体の強靭化まで含む、より包括的な対策が求められます。取得の流れも「第三者評価と技術検証」を伴う実地審査が必須とされており、★3より厳格です。

多くの中小企業がまず検討することになるのは、実務対応の負荷が現実的な★3の方だと考えられます。

「取得しないと不利になる」という営業トークにご注意ください

2026年4月、経済産業省と内閣官房国家サイバー統括室は、SCS評価制度を巡る不適切な勧誘について連名で注意喚起を出しています。「評価を取得していないと商取引が規制される」「今すぐ取得しないと入札から除外される」といった不安を煽る形で製品・サービスを売り込む営業活動が報告されている、という内容です。

公式の説明によれば、SCS評価制度はあくまで任意の制度であり、個社間の商取引を規制するものではありません。評価基準を満たすために特定のセキュリティ対策製品の導入が必須とされているわけでもありません。制度の詳細は今後IPAが構築・周知していくとされているため、不安を煽るような営業を受けた場合は、まずIPAの公式発表で内容を確認することをお勧めします。

SECURITY ACTIONとの違い

SECURITY ACTIONとSCS評価制度は、どちらもIPAに関わる制度ですが、性質が異なります。

SECURITY ACTIONは、事業者自身が「情報セキュリティ対策に取り組みます」と宣言する仕組みです。宣言する側が自己申告するだけで完了し、外部の第三者による確認は入りません。

一方でSCS評価制度の★3は、事業者が行った自己評価の結果を、外部の専門家が確認・助言するという工程を含みます。自己申告で終わるSECURITY ACTIONに対し、SCS★3は「専門家の目を通す」という一段階先の仕組みです。取引先から見れば、より客観性の高い評価として受け止められる可能性があります。

★3で求められる「専門家による確認」とは

IPAが公表している情報によると、SCS★3の要求事項は26項目あり、これを事業者自身がまず自己評価します。その結果を確認・助言するのが「セキュリティ専門家」です。

この専門家になるには、情報処理安全確保支援士（登録セキスペ）、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001主任審査員のいずれかの資格を保持したうえで、指定の研修を受講し、IPAに登録する必要があるとされています。資格を持っているだけでは足りず、研修受講が条件になっている点は押さえておきたいところです。

なお、この研修を提供する事業者の指定・公表は2026年12月末頃を予定しているとIPAは案内しています。つまり、現時点ではまだ研修そのものが始まっておらず、実際に★3の確認業務を行える専門家も存在しません。制度の骨組みは固まりつつありますが、運用の実態はこれから、という段階です。

★3取得の大まかな流れ

IPAが示す流れを整理すると、次のようになります。

1. 事業者が26項目の要求事項に沿って自己評価を記入する
2. セキュリティ専門家が内容を確認し、必要に応じて修正の助言を行う
3. 専門家が署名した評価結果をもとに、経営層の宣誓を含めて事務局へ申請する
4. 台帳に登録され、対外的に公開される

「専門家が確認する」という工程が入る分、SECURITY ACTIONの自己宣言よりも準備に時間がかかることが見込まれます。早めに自社の状況を整理しておくことが、いざ制度が始まったときの負担軽減につながります。

当事務所としてのサポート

当事務所は行政書士と情報処理安全確保支援士（登録セキスペ）の両方の資格を持っています。SCS★3の「専門家による確認・助言」は登録セキスペ等の限られた資格保持者にしかできない業務として制度上位置づけられており、行政書士としての規程整備支援と組み合わせられる点は、当事務所ならではの強みになり得ると考えています。

ただし、前述の通り研修事業者の指定はまだ先の話です。現時点では、研修の詳細が明らかになり次第すぐに対応できるよう準備を進めている段階とご理解ください。

中小企業が今できる準備

SCS評価制度はまだ運用開始前の制度のため、今すぐ何かを申請する必要はありません。ただし、SECURITY ACTIONの宣言は、SCS評価制度に取り組む際の土台になると考えられます。まずはSECURITY ACTIONの一つ星・二つ星から着手し、自社の対策状況を棚卸ししておくことが、結果的にSCS評価制度への備えにもつながります。

一つ星と二つ星の違いについては、SECURITY ACTIONの一つ星と二つ星の違いは？で詳しく解説しています。

本記事は2026年8月時点でIPA・経済産業省が公表している情報を前提としています。SCS評価制度は今後、評価ガイド（2026年秋頃公表予定）や研修事業者の情報が順次公表される見込みのため、内容が更新される可能性があります。最新情報はIPA・経済産業省の公式発表をご確認ください。

SECURITY ACTIONの宣言やセキュリティチェックシート対応について相談したい場合は、お気軽にお問い合わせください。

▶SECURITY ACTION・制度対応の無料診断はこちら