取引先から「御社のセキュリティ対策は、どの程度のレベルですか」と聞かれたとき、自信を持って答えられる中小企業は、決して多くありません。相手も同じように、取引先のセキュリティ対策を外から判断する手立てがなく、お互いに手探りの状態が続いてきました。
こうした状況を変えるため、経済産業省と内閣官房国家サイバー統括室は、2026年3月に「サプライチェーン強化に向けたセキュリティ対策評価制度」（通称：SCS評価制度）の構築方針を公表しました。2026年度末（2027年1〜3月頃）の運用開始を目指しており、対象は業種や企業規模を問わないとされています。
この記事では、SCS評価制度がどのような仕組みなのか、よく比較されるISO27001（ISMS）とは何が違うのか、★3・★4はそれぞれ具体的に何をすれば取得できるのか、どのくらいの費用がかかりそうなのか、事前準備として何が必要なのか、そして中小企業として、どのように対応していけばよいのかを整理します。
SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策の状況を、共通のものさしで評価し、外から見えるようにする仕組みです。発注する側の大手企業は、委託先である中小企業がどれくらいの対策をしているかを個別に確認する手間が省け、受注する側の中小企業も、取引先ごとに異なる要求にバラバラに対応する必要がなくなる、というのが狙いです。
評価は「★（スター）」の数で表され、現時点で公表されているのは★3と★4の2段階です（★5は最高水準として今後検討される予定です）。
要求事項は大きな柱として★3で26項目前後、★4で43項目前後にまとめられており、それぞれの柱の中にさらに細かい評価基準がぶら下がる構造になっています（細かい基準まで数えると、★3で80件前後、★4で150件前後にのぼるとされています）。★3・★4の要求事項の件数や細部は、制度の詳細化が進む中で今後変更される可能性があるため、正式な内容は経済産業省・IPAが公表する評価ガイドで確認することをおすすめします。
なお、これは国が企業を規制する制度ではなく、あくまで任意の制度です。取引先との契約の中で「★3以上を求める」といった形で使われることが想定されています。裏を返せば、直接の法的義務はなくても、実際の商取引の場面では「★がないと取引条件で不利になる」という状況が生まれうる、ということでもあります。
セキュリティに関する認証というと、「ISO27001（ISMS認証）」を思い浮かべる方も多いのではないでしょうか。すでにISO27001を取得している会社にとっては、「今さらSCS評価制度まで対応する必要があるのか」という疑問が出てくるところだと思います。両者は似ているようで、目的も評価の視点もかなり異なります。
目的の違いが、まず大きなポイントです。ISO27001は、業種や国を問わず世界共通で使われている国際規格で、「組織が情報セキュリティをどのように管理し、継続的に改善していく仕組みを持っているか」という、マネジメントの仕組みそのものを評価します。自社でリスクを洗い出し、自社に合った対応方針を決め、それをPDCA（計画・実行・点検・改善）のサイクルで回せているかが問われます。一方のSCS評価制度は、経済産業省が日本のサプライチェーンを念頭に作った制度で、「取引先企業が、どれだけ具体的なセキュリティ対策を実装しているか」を、7分野にわたる共通のチェックリストで見える化することが目的です。ゴールが「仕組みが機能しているか」なのか、「対策が実装されているか」なのかという違いがある、と捉えるとわかりやすいかもしれません。
評価の視点にも違いがあります。ISO27001の審査では、リスクアセスメントの手法や、社内規程の整合性、マネジメントレビューの実施状況など、いわば「経営の仕組みとしての完成度」が中心に見られます。対してSCS評価制度は、多要素認証を導入しているか、ログを一定期間保管し監視しているか、バックアップから実際に復元できるかといった、より具体的で技術寄りの対策項目を、一つひとつ確認していく形です。ISO27001のほうが自由度が高く自社に合わせて設計できる分、専門知識がないと何から手をつければよいか掴みにくく、SCS評価制度のほうは項目が具体的に決まっている分、何をすればよいかが分かりやすい、という違いも出てきます。
費用や期間の目安についても差があります。あくまで民間のコンサルティング会社が示している相場観であり、経産省・IPAが公表した公式な数字ではない点に注意が必要ですが、ISO27001は取得までに6か月〜1年程度、費用は100万円〜300万円程度かかることが多いとされ、取得後も3年ごとの更新に加えて毎年の維持審査（サーベイランス審査）が必要です。これに対してSCS評価制度の★3は、対象範囲が絞られている分、3〜6か月程度、50万円〜150万円程度で取得できるケースが多いとされており、比較的取り組みやすい水準だと言えます（前章で見たとおり、正式な制度費用自体はまだ公表されていません）。
どちらを取得すべきかという点については、IPA（独立行政法人情報処理推進機構）の担当者が、この制度について解説する中で「ISMSで間に合っているなら、無理に取る必要はない。リスク分析の手法が異なるので、自社に合うほうを選んでほしい」「両者は競合するものではなく、どちらか一方でも、組み合わせてもよい」という趣旨のコメントを寄せています。すでにISO27001を取得している中小企業であれば、そこで整備したセキュリティポリシーやリスクアセスメントの成果を土台にして、SCS評価制度が求める技術的な対策項目との差分だけを追加で確認していく、という進め方が効率的です。逆に、まだどちらの認証も持っていない中小企業にとっては、対象範囲が広く自由度も高いISO27001よりも、項目が具体的に定められているSCS評価制度の★3から着手するほうが、取り組みやすい入り口になりそうです。
要求事項は、次の7つの分野に整理されています。それぞれの分野について、★3で求められる「最低限の対策」と、★4でさらに加わる「一段踏み込んだ対策」を、できるだけ具体的に見ていきます。
★3では、セキュリティを統括する役員や担当部署を明確に決めておくこと、その体制を年1回以上点検すること、社員が守るべき情報管理ルール（守秘義務など）を整備し、周知しておくことが求められます。要は「誰が責任者で、何をルールとしているか」を、口頭ではなく形にしておくということです。
★4では、これに加えて、法令や取引先からの要求への対応を社内ルールに落とし込むこと、経営層が参加してセキュリティに関する意思決定を行う場を設けること、経営層への定期報告とその内容を踏まえた改善の仕組みまでが求められます。担当者任せではなく、経営レベルでセキュリティを扱う体制になっているかが問われる段階です。
★3では、自社のシステムやネットワークに接続している取引先を把握し、年1回程度点検すること、そして取引先と機密情報をやり取りする際には、情報の範囲・利用目的・保管方法・返還や廃棄の方法といった条件を、契約書などの形で取り決めておくことが求められます。
★4では、特に重要な取引先について、年1回以上セキュリティ対策の状況を確認すること（SCS評価制度の★取得状況の確認や、必要に応じた訪問点検を含む）、そして契約終了時に預かった情報をどう回収・廃棄するかの手順まで整備することが加わります。
★3では、パソコンやサーバー、導入しているソフトウェア、ネットワーク機器といった情報資産を洗い出して一覧にし、年1回程度更新すること、クラウドサービスを使っている場合はその事業者との間で機密情報の扱いについて合意しておくこと、情報を「重要度」に応じて区分し、区分ごとの取扱いルールを決めておくことが求められます。
★4では、リモートワークで使う機器や、そこで扱う機密情報についてもルール化すること、そしてソフトウェアの脆弱性（セキュリティ上の弱点）に関する情報を継続的に収集し、対応する体制とプロセスを確立しておくことが加わります。
★3では、セキュリティパッチ（修正プログラム）を適用する運用ルールを持つこと、すべての端末にウイルス対策ソフトを導入すること、ファイアウォールを設置すること、管理者アカウントには多要素認証（パスワードに加えてもう一段階の確認を求める仕組み）を使うこと、定期的なバックアップ、アクセス権限の適切な管理、そして社員向けの教育訓練の実施が求められます。日頃「基本」と言われている対策を、実際に運用として回せているかが見られる部分です。
★4では、サーバーを置く部屋の入退室管理、USBメモリなど可搬媒体の持ち込み制限、重要なデータの暗号化ルール、通信やログインの記録を一定期間（目安として半年程度）保管したうえで定期的にモニタリングすること、サポートが終了したOSやソフトウェアを使い続けないこと、教育訓練の対象を全社員に広げること、そしてネットワークを分割して被害が広がりにくい構造にすることまで求められます。
★3では、外部からの不正な侵入や、社内からの不審な通信をリアルタイムで検知し、遮断できる仕組みを持つこと、記録されたログを分析してインシデント（事故）かどうかを判断できること、異常を検知した際にすぐ関係者へ知らせる体制があることが求められます。
★4では、パソコンやサーバーそのものの状態や挙動を監視する仕組み（EDRと呼ばれる技術などが該当します）を導入すること、インシデントの深刻度をレベル分けし、レベルごとにどこまで対応するかをあらかじめ明確にしておくことが加わります。
★3では、実際にトラブルが起きたときの対応手順と体制を文書にまとめておくこと、そして新しく入った社員への教育や、年1回以上の訓練を実施し、その記録を残しておくことが求められます。
★4では、★3の内容を土台にしつつ、深刻度のレベルに応じて対応範囲を切り分けること、検知や監視の体制と連動させて、より組織的に対応できる状態にしておくことが求められます。
★3では、事業を続けるうえで特に重要なシステムについて、「止まってからどれくらいの時間で復旧させるか」という目標を決めておくこと、予備システムや代替手段を用意しておくこと、バックアップの対象・頻度・保管期間を決めて実施すること、遠隔地にもバックアップを保管すること、そして実際に復元する手順書を作成しておくことが求められます。
★4では、「どの時点のデータまで復元するか」という目標（RPO）に対応したバックアップ保管を行うこと、さらに手順書どおりに、決めた時間内で実際に復元できるかを訓練として確認しておくことまでが求められます。「手順書は作ったが、試したことはない」という状態から一歩進める段階です。
こうして並べてみると、★3は「基本的な対策を、属人的にではなく組織のルールとして整えること」、★4は「その基本を土台に、監視・検知・復旧の実効性を高め、経営層まで巻き込んだ体制にすること」という違いが見えてきます。いずれも、特別に目新しい対策というより、これまで「重要だとわかってはいるが、手が回っていなかった」項目を、体系立てて棚卸しし、記録として残していく作業に近いものです。
制度への対応を検討するうえで、多くの担当者が気になるのが費用です。現時点でわかっている情報を、「制度そのものにかかる費用」と「対応の準備にかかる費用」に分けて整理します。いずれも制度の詳細が固まりきっていない段階のため、あくまで現時点の目安として捉えてください。
制度そのものの申請料・審査料については、経済産業省・IPAからは2026年8月時点でまだ正式に公表されていません。★3の専門家確認や★4の第三者評価機関による審査にかかる費用も、評価ガイドや評価機関の一覧が公表される2026年秋〜年末にかけて、あわせて明らかになる見込みです。予算の確保が必要になることは間違いありませんが、具体的な金額は続報を待つ必要があります。
対応の準備にかかる費用については、コンサルティング会社やIT支援会社が示している目安として、自社の現状やどこまで社内で対応できるかによって総額は大きく変わり、複数の支援会社の情報を総合すると、50万円台で収まるケースから500万円程度に達するケースまで、かなり幅があるようです。
なお、情報資産の洗い出しや社内ヒアリングなど、社内の事情を一番よく知る担当者にしかできない作業も少なくありません。こうした部分は外部に丸ごと委託することが難しく、担当者自身の工数（時間的な負担）として発生する点も、費用感を考えるうえで見落とさないようにしたいポイントです。
中小企業の負担を軽くする選択肢もあります。既存の「サイバーセキュリティお助け隊サービス」は、ネットワークを一括で監視するタイプで月額1万円以下、端末ごとに監視するタイプで端末1台あたり月額2,000円以下という、比較的手頃な価格帯のサービスが用意されています。また、「IT導入補助金」の「セキュリティ対策推進枠」を利用すれば、5万円〜150万円の補助（小規模事業者は3分の2、中小企業は2分の1が補助される想定）を受けられる可能性があります。
SCS評価制度に対応した「サイバーセキュリティお助け隊サービス（新類型）」については、正式な料金はまだ確定していませんが、月額数万円〜十数万円程度のレンジで検討が進められているという情報があり、2026年10月頃に公表予定の解説書で詳細が明らかになる見込みです。実証事業への参加が認められれば、通常より割安に、場合によっては無料に近い形で★取得の支援を受けられる可能性もあるため、費用面が気になる中小企業ほど、この実証事業の動向を早めにチェックしておく価値があります。
現時点で公表されている流れは、次のとおりです。
2025年度に★3・★4の実証事業が行われ、評価基準の検討が進められてきました。2026年度に入ってからは制度の詳細化と運用準備が進められており、2026年秋頃には評価の進め方をまとめた「評価ガイド」が、2026年12月頃には評価を実施する機関の一覧が、それぞれ公表される見込みです。そのうえで、2026年度末（2027年1〜3月頃）に申請の受付が始まる予定とされています。
制度の申請受付が始まってから慌てて対応しようとすると、中小企業の体制では到底間に合いません。運用開始まで半年から1年ほどの猶予がある今のうちに、次のような準備を進めておくことをおすすめします。
現状とのギャップを把握することが最初の一歩です。自社が今どのような対策を行っていて、★3・★4それぞれの要求事項と比べて何が不足しているのかを、大まかにでも整理しておきます。すべてを自力で洗い出す必要はなく、後述するような外部の専門家の力を借りながら進めるのが現実的です。
取引先との関係を確認することも欠かせません。自社が大手企業の重要な委託先として、機密情報を預かっていたり、相手のネットワークと接続していたりする場合は、★4相当の対応を求められる可能性が高くなります。逆に、そこまで深い関わりがない取引が中心であれば、★3を目標とする、という判断もありえます。まずは自社が取引先からどの程度のレベルを期待されそうか、あたりをつけておくとよいでしょう。
社内のルールを文書として整理することも重要な準備です。「誰が」「どのような情報を」「どう扱うか」「トラブルが起きたときに誰が対応するか」といったルールは、口頭や暗黙の了解で運用されている会社が少なくありません。SCS評価制度では、こうしたルールが文書として明確になっていることそのものが評価の対象になるため、早めに言語化しておく価値があります。
予算を早めに確保することも忘れてはいけません。前章で見たとおり、専門家によるコンサルティング費用や、評価機関に支払う審査費用、必要なツールの導入費用などが発生します。制度の詳細が固まってから慌てて予算を組むのではなく、次年度の予算計画の中に、あらかじめ枠を用意しておくことが望まれます。
中小企業の情シス体制で、日々のヘルプデスク対応やシステム運用に追われながら、こうした新制度への対応まですべてを自前でこなすのは、現実的に難しいというのが実情でしょう。大手企業のように専門部署を新設して人員を割く、という選択肢を取れる中小企業は多くありません。
だからこそ、まず検討したいのが外部支援会社の活用です。社内の担当者だけで抱え込まず、外部のセキュリティ専門家やIT運用の支援会社と連携しながら準備を進めることが、現実的な選択肢です。ギャップ分析や社内ルールの文書化、必要な対策の優先順位づけといった作業は、専門知識を持つ第三者が入ることで、格段にスピードが上がります。ふだんのシステム運用を外部に任せている会社であれば、そのパートナーに今回の制度についても相談してみるとよいでしょう。
最後に大切なのは、いきなり★4のような高い水準を目指す必要はない、ということです。自社の取引実態に見合った水準を見極め、まずは★3の取得を目標に、できるところから一つずつ対応していく。そうした段階的な進め方のほうが、限られた人員と予算の中小企業にとっては、無理のない現実的なアプローチになります。
SCS評価制度は、2026年度末の運用開始に向けて、これから評価ガイドや評価機関の詳細が順次公表されていく段階にあります。任意の制度とはいえ、取引先から対応を求められる場面が今後増えていくことは十分に想定されます。
中小企業にとって、すべてを自社だけで準備するのは簡単なことではありません。まずは自社と取引先との関係を確認し、公的な支援策の情報を集めながら、必要に応じて外部の専門家の力を借りる。そうした形で早めに一歩を踏み出しておくことが、制度開始後にあわてないための、最も確実な備えになります。
SCS評価制度で気になることがある方、ご質問がある方は是非弊社までお問い合わせください。