サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）

取引先を経由した「サプライチェーン攻撃」が深刻化するなか、経済産業省と内閣官房国家サイバー統括室の主導で新たに整備が進められているセキュリティ評価の仕組みが「サプライチェーン強化に向けたセキュリティ対策評価制度」です。略称で「SCS（Supply Chain Security）評価制度」とも呼ばれています。

2026年度末（2027年1〜3月頃）から運用が開始される予定のSCS評価制度は、サプライチェーンに属する企業のセキュリティ対策状況を★3〜★5の3段階で可視化し、発注企業が取引先に対して一定のセキュリティレベルを求める際の基準として活用することを想定しています。サプライチェーン全体のリスク低減を目指しており、まずは★3・★4から運用が始まる見込みです。

各企業は自社の立ち位置や取引先から求められる要件に応じて、目標とする★レベルを設定し、対策を進めます。具体的には、2社間の取引契約において、発注元企業が委託先企業に対して適切な★レベルを提示し、対策の実施を促すとともに実施状況を確認することが想定されています。

なお、★1・★2は独立行政法人情報処理推進機構（IPA）が運営する既存の制度「SECURITY ACTION」で定義されています。★1は「情報セキュリティ6か条」への取り組み宣言、★2は情報セキュリティ基本方針の策定・公開と取り組み宣言が要件で、いずれも自己宣言で完結します。SCS評価制度において、★1・★2の自己宣言申請は必須ではなく、すでに社内でセキュリティ対策の基盤が整っている、あるいは本格的な取り組みを進めたい企業は、★3から対応を開始することも可能です。

SCS評価制度の★3・★4・★5は、この★1・★2に続く形で設計されており、連続した段階として位置づけられています。上位の段階はそれ以下の段階で求められる事項を包括しますが、★3を取得していなければ★4を取得できないという順序制限はありません。詳細は以下のようになります。

★3（Basic）	すべてのサプライチェーン企業が最低限実装すべき段階。基礎的なシステム防御策と体制整備を中心とした25項目の対策が求められる。評価方式は「専門家確認付き自己評価」で、自社で評価した結果を情報処理安全確保支援士などの有資格者を含む社内外のセキュリティ専門家が確認・助言する形で進める。評価は年1回の実施が必要。
★4（Standard）	すべてのサプライチェーン企業が最低限実装すべき段階。基礎的なシステム防御策と体制整備を中心とした25項目の対策が求められる。評価方式は「専門家確認付き自己評価」で、自社で評価した結果を情報処理安全確保支援士などの有資格者を含む社内外のセキュリティ専門家が確認・助言する形で進める。評価は年1回の実施が必要。
★5	到達点として目指すべき最も高度な段階。国際規格等におけるリスクベースの考え方に基づき、自組織に必要な改善プロセスを整備した上で、現時点でのベストプラクティスに基づく対策の実施が求められる。評価方式は第三者評価だが、対策項目・評価スキームの詳細は2026年度以降に検討される予定。詳細な要件や運用開始時期も、2026年6月の時点で未定となっている。

SCS評価制度への対応が遅れた場合、取引機会に影響が及ぶ可能性もあります。特に以下のような企業・事業者は制度の影響を受けやすく、優先的に対応を検討することが推奨されています。