コトラ（広報チーム） 
SCS評価制度の概要
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省と内閣官房国家サイバー統括室が主導して創設されました。この制度は、サプライチェーンにおけるセキュリティレベルを向上させることを目的としており、企業のIT基盤におけるサイバーセキュリティ対策の状況を客観的に評価・認定します。昨今、サプライチェーンを狙った攻撃が深刻化しているため、統一された基準による評価が求められています。SCS評価制度は、こうしたセキュリティリスクを軽減するための鍵となる制度として期待されています。
SCS評価制度の目的と背景
近年、サプライチェーンを標的としたサイバー攻撃が増加の一途を辿っており、特にIPAの「情報セキュリティ10大脅威 2026」においては「サプライチェーンや委託先を狙った攻撃」が2位にランクインしている状況です。これに対処するため、SCS評価制度はサプライチェーン全体のセキュリティレベルを向上させることを目指しています。この制度の導入により、企業はそのサイバーセキュリティ対策がどの程度実効性を持っているかを客観的に示すことができるようになります。これにより、サプライチェーン全体での信頼性が高まり、企業間の連携も円滑になることが期待されます。
SECURITY ACTIONとの関係
SECURITY ACTIONは、企業が自らのサイバーセキュリティ対策を自己宣言する枠組みであり、SCS評価制度の評価レベルはこれと密接に関連しています。特に、SCS評価制度の評価レベルの一つ★3（三つ星）は、SECURITY ACTIONの「自己宣言（基本方針公開）」と連動しています。すなわち、★1（一つ星）および★2（二つ星）の延長線上に★3が設定されており、より高度なセキュリティ対策の実施が求められます。このようにSCS評価制度とSECURITY ACTIONの連携により、段階的かつ戦略的なセキュリティレベルの向上が可能となっています。
SCS評価制度の評価基準
SCS評価制度は、サプライチェーン全体のセキュリティレベルを向上させることを目的としており、その評価基準は段階的に設定されています。特に評価基準は企業のIT基盤におけるセキュリティ対策の状況を客観的に評価するために策定されています。
★3からの評価階層
評価階層は、SECURITY ACTIONを基にした★1から始まりますが、SCS評価制度としては★3からが主な評価対象となります。★3は「基礎レベル」と呼ばれ、★1「自己宣言」や★2「自己宣言（基本方針公開）」の次に位置します。このレベルから、より具体的な対策が求められるようになります。★4「標準レベル」、★5「到達点」と階層が上がるにつれて、要求されるセキュリティ対策の水準も高度になります。
各星の要求事項の違い
各星にはそれぞれ異なる要求事項が設定されています。★3の基礎レベルでは、ガバナンスの整備、取引先管理、リスクの特定、防御策、従業員教育などの25項目が評価され、そのうち8項目は具体的な防御対策に関するものです。これに対して、★4や★5ではより高水準のセキュリティガイドラインに対応した対策が必要となります。例えば、リスク特定においては、IT資産の正確な把握や脆弱性管理が求められ、攻撃防御ではID・アクセス権限の管理、マルウェア対策の徹底が求められます。
評価プロセスと更新頻度
SCS評価制度の評価プロセスは、自己評価が認められる初期段階から始まり、その後専門家による確認が行われる流れとなっています。具体的な評価プロセスでは、企業は自らのセキュリティ体制を自己評価し、その結果を元に外部の専門家が検証を行うことで、評価の一貫性と信頼性を確保します。更新頻度については、制度の導入初期には継続的な見直しと更新が必要とされ、セキュリティの最新状況を反映し続けることが求められます。これにより、企業は常に最新のサイバーセキュリティの脅威に対して備えることが可能です。
SCS評価制度のメリットと導入方法
セキュリティレベルの向上
SCS評価制度は、企業のセキュリティ対策を体系的に評価し、サプライチェーン全体の安全性を向上させることを目指しています。この制度を導入することで、企業は自社のセキュリティ対策の現状を客観的に把握でき、必要な改善点を明確にすることができます。特に、★3レベルの「基礎レベル」では、基礎的なセキュリティ対策を確認することが求められ、これにより、企業のIT基盤を強化することが可能となります。
サプライチェーン全体への影響
SCS評価制度は、サプライチェーン全体におけるセキュリティの標準化と向上を促進します。企業間の取引において、セキュリティ評価が統一されることで、製品やサービスの安全性が確保され、信頼性が向上します。これによりサプライチェーン全体が強化され、サイバー攻撃のリスクを軽減することができます。この制度は、サプライチェーンを狙った攻撃の増加に対して有効な対策となるでしょう。
実際の導入ステップ
SCS評価制度を実際に導入するためには、以下のステップが重要です。まず、企業は評価基準を理解し、自社のセキュリティ状況を評価する必要があります。次に、★3以上の評価を目指し、特定のチェック項目に基づいたセキュリティ改善を実施します。ここでは、セキュリティ体制の強化や従業員教育、リスク管理の徹底が含まれます。その後、制度に基づく自己評価を行い、必要に応じて専門家による確認を受けることで、正式な評価を取得できます。最後に、定期的な見直しと更新によって、継続的なセキュリティ向上を図ります。
SCS評価制度の現状と今後の展望
開始スケジュールと重要なポイント
SCS評価制度は、企業のIT基盤におけるサイバーセキュリティ対策を強化するため、経済産業省と内閣官房国家サイバー統括室が主導で進めている新しい制度です。この評価制度は、サプライチェーン全体のセキュリティレベルを向上させることを目的としています。現在、2026年度末を目標に制度の導入が予定されています。
重要なポイントとして、SCS評価制度は評価が統一された基準に基づいて行われることにより、透明性と客観性が確保される点が挙げられます。現行の評価法では、労力が大きい割に客観性に欠けるとの批判があるため、この新制度の導入は多くの企業にとって歓迎される動きとなるでしょう。
今後の制度拡張の可能性
SCS評価制度は、開始当初は主に自社で行う自己評価が中心となりますが、今後は専門家による評価も積極的に行われる予定です。これにより、より信頼度の高いセキュリティ評価が可能となり、企業は自社のセキュリティ体制をより確実に強化することができるようになります。
さらに、この制度は今後、評価基準のさらなる細分化や、異なる業種への適用範囲の拡大が予想されます。特に、ベーシック（Basic）なセキュリティ評価を超えた高度な防御策の実現に向けて、制度拡張が進むと考えられます。これにより企業は、進化するサイバー脅威に対してより柔軟かつ迅速に対応する力を養うことができるでしょう。
