「取引先から、セキュリティ対策の状況を提出してくださいと言われた」
「自社のセキュリティ対策が十分なのか、どう判断すればいいかわからない」
そんな悩みを抱える中小企業に関係する、新しい制度の準備が進んでいます。
2026年10月28日、独立行政法人情報処理推進機構（IPA）は、「SCS評価制度」の★3・★4取得に向けた新しい評価ガイドを公開しました。
SCS評価制度は、企業のサイバーセキュリティ対策を共通の基準で確認し、取引先にもわかりやすく示すための制度です。
特に製造業では、部品メーカー、加工会社、協力工場など、複数の企業がつながって製品を作っています。
そのため、1社のセキュリティ問題が、取引先の事業にも影響する可能性があります。
今回は、新しい制度の仕組みと、中小企業が今から準備できることを、DX担当ちゃま男と先輩の会話を交えながら解説します！
SCS評価制度とは？企業のセキュリティ対策を共通基準で評価する仕組み
DX担当 ちゃま男先輩！取引先からセキュリティ対策をチェックされる制度が始まるって聞いたんですけど、本当ですか？
ちゃま男の先輩そうだね。
「SCS評価制度」という仕組みの準備が進んでいるんだ。
正式には「サプライチェーン強化に向けたセキュリティ対策評価制度」というよ。
サプライチェーンとは？
サプライチェーンとは、原材料の調達から製造、物流、販売まで、商品やサービスが顧客に届くまでの企業同士のつながりのことです。
例えば自動車部品の場合、大手メーカーだけでなく、加工会社、表面処理会社、部品供給会社など、多くの企業が関わっています。
ある部品メーカーがサイバー攻撃を受けて生産できなくなると、その部品を使う別の会社まで影響を受ける可能性があります。
そのため、発注元企業自身のセキュリティだけでなく、取引先も含めた対策が重要になっているのです。
なぜ新しい評価制度が必要なの？
これまでも、大手企業などが取引先へセキュリティ対策の確認を行うことはありました。
しかし、企業によって質問項目や確認方法が異なるため、回答する側には負担がかかります。
SCS評価制度は、共通の評価基準によって、こうした確認を行いやすくすることを目的としています。
ただし、制度は任意であり、すべての中小企業に取得が法律で義務付けられるわけではありません。
実際に取得を求められるかどうかは、取引先との契約や取引条件などによって異なります。
IPAが2026年10月28日に発表した内容は？
IPAは、SCS評価制度の開始に向けて、次の資料を新たに公開しました。
- ★3・★4の自己評価等ガイド
- ★4の第三者評価ガイド
- ★4の技術検証ガイド
- ★3・★4の要求事項・評価基準の解説書
これらは、企業がどのような基準を満たし、どのように評価を受けるのかを説明する資料です。
また、要求事項・評価基準も更新されています。
2026年11月2日時点では、★3・★4の登録申請は2027年3月から受付開始予定です。
つまり、今回のニュースは「制度の受付が始まった」という話ではなく、制度開始に向けて具体的な評価手順が整ってきたという内容です。
★3・★4・★5は何が違うの？
SCS評価制度では、企業に求めるセキュリティ対策の水準を段階別に定めています。
| 評価段階 | 主な考え方 | 評価方式 |
|---|---|---|
| ★3 | 一般的なサイバー攻撃への基本的な備え | 専門家による確認付き自己評価 |
| ★4 | 被害拡大防止、取引先への影響を踏まえた対策 | 第三者評価 |
| ★5 | より高度なサイバー攻撃を想定した対策 | 詳細を検討中 |
★3は26件、★4は43件の要求項目で構成されています。
なお、★4を取得するために、事前に★3を取得しなければならないわけではありません。
DX担当 ちゃま男じゃあ、中小企業なら、とりあえず★3を取れば安心なんですね！
ちゃま男の先輩★3は基本的な対策を確認する一つの目安になるよ。
ただし、★3さえ取れば必ず安全というわけではないんだ。
また、取引先から★4を求められる可能性もあるから、会社の業務や取引条件に合わせて判断する必要があるよ。
「SECURITY ACTION」の星とは別の制度
ここで注意したいのが、IPAの「SECURITY ACTION」です。
SECURITY ACTIONには「一つ星」「二つ星」がありますが、これは中小企業がセキュリティ対策への取り組みを自己宣言する制度です。
一方、SCS評価制度の★3・★4は、要求事項への適合を所定の方法で評価する別の仕組みです。
SECURITY ACTIONの二つ星を宣言したからといって、SCS評価制度の★3を取得したことにはなりません。
SCS評価制度の取得費用はいくら？
2026年11月2日時点で公表されている登録料は次のとおりです。
| 評価段階 | 登録料 | 更新周期 |
|---|---|---|
| ★3 | 20,000円 | 1年 |
| ★3（割引期間） | 10,000円 | 1年 |
| ★4 | 60,000円 | 3年 |
★3の割引は2028年3月31日まで適用される予定です。
ただし、これは制度の登録料です。
実際には、セキュリティ対策の改善、専門家による確認、第三者評価などに別途費用がかかる場合があります。
登録料だけで取得までの総費用が決まるわけではないことに注意しましょう。
中小企業への影響は？取引先との関係が重要になる
① 取引先からセキュリティ対策の説明を求められる可能性
今後、発注元企業が取引先のセキュリティ対策を確認する際に、SCS評価制度を活用する可能性があります。
例えば、取引先から次のような質問が届くことが考えられます。
- 社内のパソコンやサーバーは適切に管理されていますか？
- 退職者のアカウントは速やかに削除されていますか？
- 重要なデータはバックアップされていますか？
- サイバー攻撃を受けた際の連絡体制はありますか？
- セキュリティ対策の状況を客観的に示せますか？
こうした質問に対して、実施状況や根拠となる資料を示せることが重要です。
② 大手メーカーの協力会社も無関係ではない
特に、自動車、半導体など、サプライチェーンの結び付きが強い業界では、制度の利用促進が想定されています。
中小製造業にとっても、自社のセキュリティ対策を整理する必要性が高まる可能性があります。
ただし、現時点で特定の業界全体に取得義務があるわけではありません。
③ 社内のIT管理を見直すきっかけになる
セキュリティ対策というと、ウイルス対策ソフトやファイアウォールなどを思い浮かべる方も多いと思います。
しかし、実際には人や業務の管理も重要です。
例えば、担当者しか知らない管理者パスワード、更新されていないパソコン、バックアップされていない業務データなどです。
こうした日常的な管理を見直すことが、企業全体の安全性向上につながります。
中小企業が今から取り組むべき5つの対策
DX担当 ちゃま男先輩！制度が始まる前に準備したいんですけど、専門のIT担当者がいない会社は何からやればいいんですか？
ちゃま男の先輩最初から高価なシステムを入れる必要はないよ。
まずは、会社の情報を守るための基本的な対策ができているか確認しよう。
優先度1：パソコン・サーバー・クラウドを把握する
まず、会社で利用している主なIT機器とサービスを一覧にしましょう。
管理者、利用者、用途、更新状況などを整理するだけでも、管理できていない部分が見えてきます。
費用の目安： 自社で実施する場合、追加のソフトウェア費用をかけずに着手できます。
優先度2：アカウントとパスワードの管理を見直す
退職者のアカウントが残っていないか、複数人で管理者アカウントを共有していないかを確認しましょう。
重要なサービスでは、多要素認証（パスワード以外の確認方法を組み合わせる認証）の利用も検討します。
優先度3：バックアップと復旧手順を確認する
業務データのバックアップがあっても、実際に復元できなければ十分ではありません。
どのデータを、どこに、どの頻度で保存するのかを整理し、定期的に復元を確認しましょう。
バックアップは、日常利用するシステムから簡単に書き換えられないようにすることも重要です。
優先度4：事故発生時の連絡体制を決める
ランサムウェアや不正アクセスが疑われる場合に、誰が判断し、誰へ連絡するのかを決めておきましょう。
社内責任者、IT保守会社、主要取引先などへの連絡手順を文書にまとめることが第一歩です。
優先度5：IPAの評価基準で自社の不足を確認する
SCS評価制度の要求事項・評価基準は、IPAが公開しています。
今すぐ取得する予定がなくても、自社の対策状況を確認する参考になります。
また、IPAは「中小企業の情報セキュリティ対策ガイドライン」も公開しています。
初めてセキュリティ対策を見直す企業は、こちらから始める方法もあります。
参考資料：
まとめ｜これからはセキュリティ対策を「説明できること」も重要
今回のSCS評価制度に関する発表は、企業のセキュリティ対策を共通基準で確認する仕組みが、制度開始に向けて具体化していることを示しています。
2026年11月2日時点では、★3・★4の登録申請は2027年3月開始予定であり、すべての中小企業に取得が義務付けられているわけではありません。
しかし、取引先との関係によって、今後対応を求められる可能性はあります。
大切なのは、評価マークを取得することだけではありません。
自社がどのようなセキュリティ対策を実施し、それをどのような根拠で説明できるか。
まずは基本的なIT管理を見直し、必要な対策を一つずつ進めていきましょう。
