セキュリティ対策評価制度（★マーク）とは？★3・★4・★5の違い、いつから、費用、取引先に求められたときの動き方

01この記事でわかること（3行まとめ）

• ★3は全ての企業の最低限、★4は標準的に目指す水準です。★3は専門家確認付き自己評価（有効期間1年）、★4は第三者評価（有効期間3年）です。★5は検討中で、中身は未定です。
• 受付は2027年3月に始まる予定です。登録料は★3が年1万円（2028年3月31日まで。その後は2万円）、★4が3年6万円です。専門家や評価機関への費用は別で、金額は公表されていません。
• 取得は任意です。取引の要件にするかは当事者が決めます。求められたら、どの★を、いつまでに、どの範囲で必要なのかを聞きます。

02SCS評価制度とは：何のための★なのか

正式名は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。経済産業省と内閣官房国家サイバー統括室が2026年3月に公表した制度構築方針に基づいて作られ、両者の監督のもとIPAが運営します。

背景には2つの困りごとがあります。委託する側は、委託先の対策が見えにくく、チェックリストの適正さも担保しにくい。委託される側は、取引先ごとに違う要求を受けて、負担が過大になっている。そこで、委託元が委託先に適切な★を示し、対策を促し、実施状況を確かめる「共通のものさし」を作ります。

IPAは、この制度は事業者の対策レベルを競わせる格付けではないと説明しています。また、★はその時点で水準を満たすことを示すもので、完全な安全を保証するものではありません。★を取った会社はIPAのWebサイトで公開されます。

03★3・★4・★5の違い

要求事項は7の大分類、16の中分類で構成され、米国のNIST CSFの6つの機能に対応しています。IPAの概要説明資料には「上位の段階は下位で求められる事項をすべて含む」とあり、★3を取らずに★4を申請することもできます。登録に必要なのは、★ごとの全ての要求事項・評価基準を満たすことです。「8割できたから★3」とはなりません。

公開されている要求事項（Ver.1.1、2026年10月28日）の行を図鑑で数えると、評価基準は★3が81件、★4で追加されるものが72件でした。★3の中身を大分類で見ると、次の表のようになります。

04★3で具体的に求められること

「★3は最低限」と聞くと簡単そうですが、評価基準を読むと、中小企業には手間のかかる項目も入っています。次の表は、公開の要求事項（Ver.1.1）から主なものを短くしたものです。正確な条件は原文で確かめてください。

見ての通り、設定だけでなく「ルールを文書にする」「周知する」「記録を残す」「年1回点検する」が繰り返し出てきます。IPAも、★3にはポリシー策定などの組織的対策が多く含まれると説明しています。設定ができていても文書や記録がなければ、自己評価で満たしたとは言いにくくなります。自己評価等ガイドの別紙には、基準ごとの適合基準と自己評価の方法が書かれているので、迷った項目はそこを読みます。評価基準によっては、条件に合えば対象外にできるものもあり、★3確認責任者が妥当と認めた場合に限られます。

★4では、これらに加えて、セキュリティ対策推進計画、取引先のセキュリティ対策状況の把握、リモートワークのルール、脆弱性の管理体制、サーバー設置エリアの入退室管理、可搬媒体の制限、データの暗号化、ログの取得、挙動監視などの項目が増えます。★4が要るかどうかは、取引先が求める水準と、自社の供給が止まったときの影響の大きさで考えることになります。

05いつから始まるのか：日程と未定のこと

1. 2026年8月〜10月

   基本規程、制度基準、評価用ガイドを公開済み。要求事項はVer.1.1（2026年10月28日）

2. 2026年11月末頃

   ★3・★4「登録申請の手引」を公表する予定

3. 2026年12月下旬

   評価機関、技術検証事業者、研修事業者の公開。SCSセキュリティ専門家の登録手続きと公平性の要件の公表

4. 2027年1月以降

   専門家向け研修の提供と、SCSセキュリティ専門家の公開

5. 2027年3月

   ★3・★4の登録申請の受付開始。その後、取得企業を公表

6. 未定

   ★5の要求事項・評価基準、評価の枠組み、開始時期（経済産業省と国家サイバー統括室が検討中）

予定は変わることがあります。申請の具体的な手順は、11月末頃の手引を待って確かめてください。IPAはメールニュースを配信しているので、担当者が登録しておくと見落としが減ります。

06誰が受けるのか：対象と範囲

IPAのよくある質問によると、業種や企業規模を問わず幅広い事業者が対象になり得ます。大企業も対象です。中小企業は特に効果が大きいと想定されています。取引先に頼まれていなくても、自社の状況を見えるようにするために自主的に取ることもできます。

取得の単位は、原則として法人か個人事業主です。★3確認責任者や評価機関の確認を受ければ、事業部や企業グループを単位にすることもできます。プロジェクトのような期間限定の組織は単位にできません。

対象の範囲は、会社のIT基盤（クラウドも含む）と外部ネットワークとの境界です。メールやWebなどの公開サーバーは、すべて範囲に入っているか確かめられます。一方、製造現場の制御（OT）システムや、発注元に納める製品そのものは、直接の対象ではありません。自己評価等ガイドは、人事や営業など特定業務のシステムだけを範囲にすることはできないと説明しています。詳しくは解説書（SCS-620）の第3章にあります。

07取るまでの流れ：★3と★4

所要期間の想定は、文書確認が1〜2日程度です。★4はこれに実地審査と技術検証（脆弱性検査）が各1〜2日程度（事前準備と報告書作成を除く）加わります。ただしこれは評価の工程の話で、ルールづくりや設定の準備の期間は含みません。自社の状況によっては、準備のほうがずっと長くなります。

不適合が見つかっても、すぐ不合格とは限りません。★3は是正して専門家の了承を得れば取得できます。★4は、指摘から一定期間内（例：通知から1か月以内）に是正を報告し、了承されれば取得できます。更新は、★3が毎年の自己評価と専門家の確認、★4が毎年の自己評価の提出と3年ごとの第三者評価です。虚偽報告や情報隠蔽などの不正が確認されると、★が取り消されることがあります。

SCSセキュリティ専門家は、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISM、CISA、ISO27001主任審査員のいずれかの資格を持ち、研修を受けて登録した人です。IPAの説明では、★3確認責任者は社内にも社外にも置けます。社内に有資格者がいない会社は、外部に頼むことになります。IPAの「中小企業向けサイバーセキュリティ対策支援者リスト」の専門家とは要件が異なります。評価機関や専門家が取得の支援をするには、中立性・公平性の要件を満たす必要があります。

08費用はいくらかかるのか

確かめられたのは登録料だけです。IPAの料金設定のお知らせ（2026年9月18日）によると、金額は税込みで、適用時期は申請日が基準です。

IPAは、要求事項を満たすために特定の製品を入れる必要はないとしています。EDRや資産管理システムを必ず買う制度ではありません。IPAの「中小企業の情報セキュリティ対策ガイドライン」の付録5（規程サンプル）は★3・★4の要求事項に対応する形に見直され、無料で使えます。

中小企業向けには、IPAが15事業者で「サイバーセキュリティお助け隊サービス（新類型）」の実証を行っています。参加は無償で、実証期間は2026年10月〜2027年9月の予定です。課題の見える化、ITツールの導入、規程づくりや教育、申請の支援をまとめて提供します。IPAによると、今のお助け隊サービスを入れていても★3の要求事項の一部しか達成できません。「お助け隊を入れたから★3」とはならないので注意してください。

IPAは、実証事業者が参加費用を請求することはないと明記しています。実証後の継続は有償の案内があり得るとも書いています。「★が必ず取れる」「今すぐ契約が必要」といった売り込みを受けたら、話を止めて公式のページと照らし合わせましょう。

09取引先に求められたときにやること

1. 文書で内容を聞く。★3か★4か、いつまでか、どの会社・部署を単位にするのかを聞きます。
2. 任意の制度だと理解したうえで、相手の条件を確かめる。取引の要件にするかは当事者が決めます。「★がないと直ちに取引停止」とは制度が定めていません。IPAは、★の有無だけでなく要求事項を共通のチェックリストとして使うことも想定しています。
3. 自社の範囲を決める。全社か一部か、クラウドや公開サーバーはどこまでかを書き出します。
4. 要求事項のExcelで自己点検する。★3の26件を、できている・一部・できていないに分けます。アセスメントシートのひな形も公開されています。
5. 足りない項目の方法と費用を出す。規程で済むのか、機器が要るのか、外部に頼むのかを分けます。
6. 費用を取引先と話し合う。公正取引委員会と経済産業省の想定事例では、要請を受けた費用も価格交渉の対象として説明し、協議することが示されています。
7. 申請の時期を決める。受付は2027年3月の予定なので、手引と専門家の公表を待ちながら、できる対策から進めます。

チェックシートでの答え方は別の話です。ここでは制度の説明にとどめ、取引先との交渉で困ったら取引先から対策を求められたも見てください。要請の方法や内容によっては、独占禁止法や取適法の問題になることがあります。自社に当たるか迷ったら、下の相談先に聞きましょう。IPAのよくある質問によると、★3の有効期間は1年なので、長い契約では満了まで★の維持を求める運用も考えられます。契約書にどう書くかも話し合っておきます。

10費用の話し合い方：公取委と経産省の想定事例

公正取引委員会と経済産業省は、この制度に基づく要請を題材にした想定事例と解説を公開しています。題材は「4つ星」相当の対策を大企業が求める場面で、問題にならないと考えられる進め方を示したものです。

事例では、発注側の大企業が説明会を開き、必要性と対策の具体的な方法、費用の考え方を説明します。業務システムとパソコン30台を持つ中小企業は、IPAの教材とひな形で教育と規程づくりを費用なしで進め、システムの防御にはお助け隊サービスと補助金を使って、最初の2年間の費用を半額にしました。そのうえで、かかった費用について価格交渉を申し入れ、合意の結果を双方が書面に残しています。要請をしていない別の取引先にも、相談窓口の助言を受けて交渉を申し入れた、という流れです。

解説は、発注側が価格交渉の申出に応じる必要があるとする一方、対策が自社の利益にもつながる点や、その発注側からの仕入割合などを勘案して交渉することが考えられるとしています。費用の全額を相手が持つという話ではありません。実際の負担の割合は当事者の協議で決まるので、何にいくらかかったかを記録しておきましょう。

11SECURITY ACTIONとの違い

名前に星が付くので混同しやすいのですが、別の制度です。SECURITY ACTIONの「★一つ星」「★★二つ星」と、SCS評価制度の「★3」は、続き番号ではありません。

まだ何も始めていない会社は、順番としてSECURITY ACTIONからで問題ありません。IPAも、★3・★4の準備段階としてまず自己宣言から始めるよう案内しています。詳しくは用語のページと中小企業のセキュリティ対策の最低限をご覧ください。ISMSとの違いについて、IPAは★3・★4は代表的な脅威を参考に効果の高い管理策を抽出するベースラインアプローチで、ISMSとは相互補完的と位置づけています。ISMSがあるから★が自動的に取れるとは説明していません。

12今から準備できること

• 取引先に、方針を聞いておく。大口の取引先が★を求める予定かどうかを聞きます。
• 要求事項を読み、できていない項目に印を付ける。Excelは無料で公開されています。解説書は解釈に迷う点を説明しています。
• 役割を決める。★3の要求事項には、セキュリティを統括する役員と担当部署の役割の決定があります。
• 機器とサービスの一覧を作る。★3に含まれる資産管理の土台になります。
• パスワードや更新、バックアップから進める。費用のかかりにくい項目を先に片づけます。
• 図鑑のセキュリティレベル診断で目安を見る。編集部が作った18問の目安で、★の判定ではありません。
• IPAのメールニュースに登録する。手引や評価機関の公開を見逃さないようにします。

どこから手を付けるか迷うなら、お助け隊やコンサル・体制づくりの一覧から相談先を探せます。SCS評価制度の用語の説明も短くまとめています。

13まだ決まっていないことの一覧

2026年11月1日時点で、確かめた範囲では次のことが未定、または公表されていません。推測で判断せず、発表を待ってください。

• ★5の要求事項・評価基準、評価の枠組み、開始時期。
• ★3の確認を外部の専門家に頼む費用と、★4の第三者評価の費用の金額。
• 登録申請の具体的な手順（「登録申請の手引」は2026年11月末頃の公表予定）。
• 評価機関、研修事業者、SCSセキュリティ専門家の名前（2026年12月下旬以降に順次公開の予定）。
• お助け隊サービス（新類型）の正式な基準と価格（2027年度末までの制度化を目指す）。
• 公共調達の入札要件になるかどうか（調達を行う機関の判断）。

14困ったときの相談先

15よくある質問