取引先から届くセキュリティチェックシートが、ここ数年で明らかに増えた――。そう感じている経営者・情報システム担当者の方は少なくないはずです。当社（エレコム）でも、新しく業務委託契約を交わすタイミング等を中心に、情報セキュリティ体制の確認を求められる機会が日常的なものとなっています。
その流れを決定づける制度が、2026年度末ごろに動き出します。経済産業省が主導する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」です。
企業のセキュリティ対策を5段階で評価し（うち★3・★4がSCS評価制度、★1・★2はセキュリティアクション）、サプライチェーン全体で対策レベルを見える化する国の仕組み。
本格運用に入れば、取引先から「御社の★はいくつですか」と問われる日が現実になります。
ここで一点、正確に押さえておきたいことがあります。SCS評価制度そのものは、全企業に一律で取得を強制する制度ではありません。対応が不可欠となるのは、取引先が調達条件に「★の取得」を組み込んだときです。国からの強制ではなく「取引」が、あなたの会社にとっての事実上の期限を決める。この前提に立って、次の3点を整理します。
-
SCS評価制度のしくみと各★レベルの意味
-
「2026年制度化」という言葉の正しい読み解き方
-
制度開始から逆算した、中小企業が今すぐ始めるべき対策
SCS評価制度とは ― 30秒でわかる要点
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」。経済産業省が主管し、IPA（情報処理推進機構）が運用を担います。2026年3月27日に制度構築方針が公表され、2026年度末ごろの運用開始が予定されています。
狙いはシンプルです。各社バラバラの様式で確認していたセキュリティ体制を、★の数という一つのものさしに集約し、サプライチェーン全体で「どの会社がどこまで守れているか」を見えるようにする。
| 段階 | 評価の方法 | ひと言でいうと |
|---|---|---|
| ★1・★2（セキュリティアクション） | 自己宣言 | 自社でチェックして宣言する |
| ★3（SCS評価制度） | 専門家確認付き自己評価 | 自己評価にセキュリティ専門家の確認が入る |
| ★4（SCS評価制度） | 第三者評価＋技術検証 | 評価機関が審査し、技術的な検証も行う |
| ★5 | 最高位（第三者評価） | 最も高度な水準 |
SCS評価制度の対象となるのは★3・★4です。一方で、★1・★2（セキュリティアクション：IPA自己宣言制度）は「自己宣言」であり、外部審査を受けずに宣言できる点も知っておきましょう。
ただし宣言するには、自社の対策状況を根拠を持って「できている」と言える状態にしておく必要があり、この棚卸しが後で述べる最初の山になります。
※スケジュールの細部は今後確定していく段階です（SCS評価制度である★3・★4の評価開始は2026年末ごろの想定）。
※本記事の制度に関する記載は公開時点の公表情報に基づくもので、最新情報はIPA・経済産業省の公式ページでご確認ください。
なぜこの制度が生まれたのか ― サプライチェーン攻撃という背景
出発点は、サプライチェーン攻撃の増加です。攻撃者は守りの固い大企業を正面から狙わず、取引のある中小企業を踏み台にして侵入する。大企業がどれだけ自社の防御を固めても、つながる取引先のどこかに弱い環があれば、そこが入口になります。
IPAが毎年公表する「情報セキュリティ10大脅威」でも、「サプライチェーンの弱点を悪用した攻撃」は組織向け脅威の上位常連です。セキュリティはもはや一社で完結する問題ではなく、取引先を含めた全体で取り組む課題になった。この認識が制度の土台にあります。
裏を返せば、大企業が取引先の★を確認するのは自衛です。攻撃を受ける入口を一つでも減らしたい。その合理的な動機がある以上、★の確認は一過性のブームではなく、調達の標準手続きとして定着していくと考えるのが自然です。攻撃の手口と防御策は、別記事「サプライチェーン攻撃の脅威と対策」で詳しく扱っています。
「2026年制度化」をどう読むか ― 期限を決めるのは国からの強制ではなく取引先
「制度が始まるのは2026年度末。まだ先では？」と思われるかもしれません。しかし、待つことには明確なリスクがあります。
SCS評価制度は全企業へ一律に対応を求める制度ではありません。それでも「事実上の必須要件」という受け止めが広がるのは、実態として取引先がそれを求めるからです。
次の3つが、「まだ先」という油断を裏切ります。
-
（1） 取引継続リスク
新規取引の条件はもちろん、既存取引の継続審査でも★が確認項目になっていく可能性があります。営業力でも品質でもなく、セキュリティ体制の証明ができないことで商談が止まる。これが最も避けたい事態です。
-
（2） 駆け込みコストリスク
制度開始が近づくほど、評価や支援サービスの需要は一点に集中します。期限直前の駆け込みは外部支援の確保が難しく、社内も通常業務と並行した突貫対応になりがちです。早く動くほど、安く、無理なく済みます。
-
（3） 現状不明リスク
最も身近なのがこれです。自社の現在地を正確に把握しないまま、取引先のチェックシートに「対応済み」と回答し続けていないでしょうか。万一インシデントが起きたとき、回答との食い違いは信頼問題に直結します。
法人営業の現場でも変化は起きています。現状は新規契約時に独自のチェックシート記入を求められるのが主流ですが、今後は「細かな体制確認の代わりに、SCS評価制度の★3や★4の取得状況を確認する」というケースが増えていくと私たちは見ています。
自社はどこを目指すべきか ― ★の目安
「では、うちは★いくつを取ればいいのか」。結論からいえば、目指す★は自社が決めるものではなく、取引先の要求水準で決まります。そのうえで、取引構造から考える目安は次の通りです。
| 取引構造の例 | 当面の目安 | 理由 |
|---|---|---|
| 大手企業と直接取引がある（1次サプライヤー） | ★3を固め、★4を視野に | 直接取引先には高めの要求が来やすい |
| 2次以下のサプライヤー・地域取引が中心 | まず★3 | 専門家の確認を経た「客観的な評価」に価値がある |
| 官公庁・重要インフラ関連の取引がある | ★4を検討（現状維持） | 公共調達は要求水準が上がりやすい |
ポイントは、自社の立ち位置を的確に把握すること。いきなり最上位を狙うのではなく、まず★3を「根拠を持って宣言できる状態」にします。そこに到達した時点で、自社のセキュリティは確実に一段強くなっています。大手と直接取引があるなら、より高度な★4を中期目標に置く価値があります。
実際、当社にご相談いただく企業様の多くも、まずは★3を目標に現状把握から始められます。ただし、アセスメントの時点で最初から★3相当の要件を十分に満たしているケースは少数派なのが実情です。
今すぐ始めるべき対策 ― 4ステップで逆算する
制度開始までにやることは4ステップ。難しく見えても、起点は一つ。「現状把握」です。
-
STEP 1：現状把握 ― すべての起点
自社のセキュリティ対策を、ガバナンス・取引先管理・リスク特定・防御・検知・対応・復旧の主要領域にわたって棚卸しします。
ウイルス対策やバックアップといった技術面だけでなく、「ルールが文書化されているか」「委託先を管理できているか」という組織面も含むのがポイントです。 -
STEP 2：ギャップ分析 ― 目標の★との差を数値で見る
現状把握の結果を、目指す★の要求水準と突き合わせます。
「どの領域が足りていて、どこが穴か」を数値やグラフにすると、経営層との共有が楽になり、投資判断もここで初めて現実的になります。 -
STEP 3：改善実行 ― 「明日からやること」に落とす
すべてを一度に直す必要はありません。
リスクの大きさと対応コストで優先順位を付け、四半期単位の改善計画に落とし込む。完璧を待たず、穴の大きいところから着実に塞ぎます。 -
STEP 4：評価・宣言
★1・★2（セキュリティアクション）は自己宣言、SCS評価制度の対象である★3は専門家確認付き自己評価へ。
ここまで積み上げがあれば、宣言は「作業」になります。逆に積み上げがないまま宣言だけ急ぐと、根拠の薄い★になり、いざという時に自社を守れません。
自力で着手された企業様がつまずきやすいのが、このSTEP1の現状把握です。よくあるのが「システムの導入は進んでいるが、規程の整備や運用ルールの策定ができていない」というケース。特に、インシデント対応や取引先管理といった組織・運用面の評価項目で手が止まってしまう企業様が少なくありません。
エレコムのセキュリティアセスメントサービス
この「現状把握の壁」を、現場の負担を抑えて越える選択肢が、エレコムのセキュリティアセスメントサービスです。
診断して終わりではなく、「目標の★に対していまどこにいるか」と「明日から何をすべきか」までを成果物にします。
| 項目 | 内容 |
|---|---|
| 診断範囲 | ガバナンス・取引先管理・リスク特定・防御・検知・対応・復旧の7領域 |
| 成果物 | （1）専門観点で整理したチェックシート （2）差分を数値化・グラフ化した現状評価レポート （3）優先順位付きの改善ロードマップ |
| 期間 | 最短4週間 |
| 進め方 | オンライン完結。打ち合わせは初回と最終報告の2回のみ |
| 参考価格 | 280,000円（税別） |
メーカーである当社は、自らも「評価される側」としてセキュリティ要求に向き合ってきました。
その当事者の視点が、机上の解説とは違う実務的なアドバイスにつながります。なお、現地訪問や証跡の突合は本パッケージの範囲外です。
まず全体の現在地を素早く・負担なく把握することに特化したサービスとお考えください。
「対策の議論は、現在地が数字になった瞬間から前に進みます。最初の4週間は、そのための最短ルートです」（担当コンサルタント）
よくある質問
-
Q1. SCS評価制度への対応は、必ず求められるようになるのですか？
現時点で、全企業へ一律に対応を強制する制度ではありません。ただし取引先が調達条件に★を組み込めば、その取引先と取引を続ける企業にとっては事実上の要件になります。「国からの強制」より「取引上の要件」として捉えるのが実態に近い考え方です。
-
Q2. ISMS（ISO27001）認証を持っていれば対応は不要ですか？
別の制度です。ISMSは情報セキュリティマネジメントの国際規格認証、SCS評価制度は日本のサプライチェーン全体を対象にした国の評価制度で、枠組みが異なります。ISMSで整備した体制や文書はSCS対応でも活きますが、「ISMSがあるから★は不要」とはならない見込みです。両者の関係は別記事「ISMS認証取得の費用対効果」でも整理しています。
-
Q3. 他の企業はどのような対応を検討していますか？
「★3の取得は必須になるのか」「他社はすでに取得に向けて動いているのか」といったご質問を日々多くいただきます。また、「グループ会社もまとめて診断できるか」「まずは一部署・一部門だけでも実施できるか」など、具体的な進め方に関するご相談も増えており、制度化を見据えて各社が情報収集を本格化させていることが伺えます。
まとめ ― 「★を聞かれる日」は、思っているより早く来る
-
SCS評価制度は、企業のセキュリティ対策を5段階で見える化する国の制度（★3・★4が対象）。2026年度末ごろ運用開始予定
-
「制度化」がもたらす実体は、国からの強制ではなく取引先の要求。期限を決めるのは取引である
-
問われる側の中小企業にとって最初の一歩は、自社の現在地を知ること。早く動くほど安く・無理なく済む
取引先からの一通のメールで慌てる前に、まず現在地の把握から始めませんか。
エレコムのセキュリティアセスメントサービスは、最短4週間・オンライン完結で、貴社の「いま」を経営のことばでお見せします。
