SCS評価制度とは？

01何を定めているか

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、会社のセキュリティ対策の段階を★の数で評価し、登録する国の制度です。経済産業省と国家サイバー統括室が制度をつくり、IPAが運営します。取引の中で、発注する側が取引先の対策の水準を確かめやすくすることを狙っています。

IPAのよくある質問によると、★3と★4は2027年3月ごろに運用が始まる予定です。★5は、要求事項や開始時期を検討中とされています。

★を取るには、その段階で定められたすべての要求事項・評価基準を満たす必要があります。専門家や評価機関に払う費用は、登録料とは別にかかります。

02会社がすること

1. 取引先から求められている★の段階と期限を確かめる
2. IPAが公開している★3の要求事項・評価基準を読み、自社の対策と比べる
3. 足りないところ（社内の規程、教育、機器の設定など）を埋める
4. 専門家や評価機関の公開を待って、依頼先を決める。評価機関の一覧は2026年12月末ごろ、専門家の一覧は2027年1月以降に公開予定です

IPAは、中小企業が★3・★4を取るのを伴走して手伝う「お助け隊サービス（新類型）」の実証を、2026年10月から2027年9月の予定で行っています。参加は無料です。

03よくある誤解

• 今のお助け隊サービスに入っていれば★3が取れる、ではない。IPAは、今のお助け隊サービスでは★3の要求事項の一部しか満たせないとしています。
• SECURITY ACTIONの星とは別の制度。SECURITY ACTIONは自己宣言で、SCS評価制度は専門家の確認や第三者の評価を受けて登録します。
• 製品の★とも別。IPAには、IT製品のセキュリティ要件への適合を★のラベルで示すJC-STARという制度もあります。SCSは会社の対策、JC-STARは製品の評価です。
• 費用を請求する実証の勧誘は疑う。IPAは、実証事業者が参加費用を請求することはないと明記しています。

取引先からの要請への備え方は取引先から対策を求められたにまとめています。