SHORT ANSWER
結論
SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策水準を共通基準で確認し、取引先へ示しやすくする制度です。★3は専門家確認付き自己評価、★4は第三者評価＋技術検証。一律の取得義務ではありませんが、取引条件として求められる可能性があるため、今のうちに要求事項と自社の現状の差を確認しておく価値があります。
SCS評価制度とは
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。経済産業省と内閣官房国家サイバー統括室の監督のもと、IPAが制度を運営します。
背景にあるのは、取引先や委託先を経由したサイバー攻撃です。発注側は委託先の対策状況を判断しづらく、受注側は複数の取引先から異なるセキュリティチェックを求められています。SCS評価制度は、共通の「★」で必要な対策水準を示し、確認の重複や曖昧さを減らすことを狙っています。
★3と★4の違い
★3：一般的なサイバー脅威に対処する基礎水準
★3は、広く認知された脆弱性などを悪用する一般的なサイバー攻撃への対処を想定した水準です。取得希望組織が自己評価を行い、登録されたセキュリティ専門家が内容を確認・助言し、最終的な提出内容へ署名する「専門家確認付き自己評価」です。
★4：より重要な取引・情報を守る標準水準
★4は、供給停止や機密情報漏えいがサプライチェーンへ大きな影響を与える企業などを想定し、組織ガバナンス、取引先管理、防御・検知、インシデント対応などをより包括的に求めます。評価機関による第三者評価と技術検証が必要です。
なお、★4を取得するために★3を先に取得する必要はありません。自社の役割や取引先要求に応じて目標水準を判断します。
いつ始まるのか
IPAのFAQでは、★3・★4は2027年3月頃の運用開始予定です。★3・★4の要求事項・評価基準は2026年4月に公開済みで、申請方法は2026年10月頃に公開予定とされています。
さらに2026年8月末から9月2日にかけて、SCSの基本規程、制度運営機関規則、評価機関・技術検証事業者・研修事業者の指定規則などが公開・更新されました。制度開始に向け、評価を支える運営体制の具体化も進んでいます。
制度の細部は今後更新される可能性があります。社内資料や取引先説明で使う場合は、必ず最新のIPA・経済産業省の情報も確認してください。
取得は義務なのか
一律に全企業へ取得を義務付ける制度ではありません。ただし、制度では2社間の取引契約などで、委託元が委託先に適切な段階（★）を提示し、対策の実施状況を確認する利用が想定されています。
そのため実務では「法律上の義務か」だけでなく、主要顧客から取得や同等水準を求められるか、扱う情報の重要度は高いか、事業停止時の影響は大きいか、という観点で考える必要があります。
中小企業が今から準備する5ステップ
- 取引先要求を確認する：既にチェックシートやSCS取得の話が出ているかを確認します。
- 適用範囲を決める：会社全体、特定拠点、特定サービスなど、どこを対象にするかを整理します。
- 要求事項とのギャップを見る：規程、体制、IT設定、運用、記録の現状を確認します。
- 事故影響が大きいところから改善する：MFA、権限、端末、バックアップ、インシデント対応などを優先します。
- 実施した証拠を残す：設定結果、台帳、レビュー記録、教育履歴などを継続的に残します。
「SCSのためだけの対策」にしない
取得準備で最も避けたいのは、審査用の文書だけを整え、実際の設定や運用が変わらないことです。規程に「MFAを利用する」と書いてあっても、実際には例外アカウントが残っていれば対策の実効性は下がります。
AZWorkでは、SCS要求事項への対応を「ルール・設定・運用・記録」の4つで見て、文書と現場を一致させることを重視しています。