【2026年最新】SCS評価制度とは？概要から★取得へのロードマップ・チェックリストまで徹底解説

サプライチェーンを狙ったサイバー攻撃が巧妙化・深刻化する中、経済産業省が主導する「サプライチェーン強化に向けたセキュリティ対策評価制度（通称：SCS評価制度）」の整備が進められています。
本記事では、SCS評価制度の概要や背景から、求められるセキュリティ水準（★ランク）、そして自社で★を取得するためのロードマップと自己診断チェックリストまで分かりやすく解説します。
背景と目的
昨今、大企業や政府機関を直接狙うのではなく、セキュリティ対策が手薄になりがちな中小企業や委託先・取引先を経由して、本来狙いたい企業へ侵入するサプライチェーン攻撃が急増しています。
こうした背景から、経済産業省（および国家サイバー統括室）は、サプライチェーン全体のセキュリティ水準を可視化・底上げし、リスクを軽減するための共通の枠組みとして「SCS評価制度」を打ち出しました。
  • ポイント: 単に企業のセキュリティ対策レベルを競争させる「格付け」ではなく、「どのような対策をどの程度行っているか」を可視化し、発注者・受注者双方が情報開示やコミュニケーションを通じて、安心して取引できる環境を作ることを目的としています。
 
対象の企業と範囲
  • 対象企業: 中小企業を含むサプライチェーンを構成するあらゆる企業（受注者側だけでなく、発注者側も対象）。大手企業や官公庁と取引がある企業、機密情報・個人情報を扱う企業は特に影響を受けます。
  • 対象範囲: 企業の「IT基盤」（クラウド環境で運用するもの含む）が中心となります。※製造現場の制御（OT）システムなどは直接の対象外。
 
なぜ今、SCS評価制度への対応が求められるのか？
SCS評価制度は任意の制度ですが、単なるセキュリティ認証ではなく、企業が取引先に対して自社のセキュリティ対策状況を説明・証明するための共通基準として位置付けられています。経済産業省は、本制度を通じてサプライチェーン全体のセキュリティ水準の可視化と底上げを目指しています。 
特に近年は、発注企業が委託先や取引先に対してセキュリティ要件を求めるケースが増加しており、「どの対策を実施しているのか」「その運用をどのように証明できるのか」が問われる場面が増えています。SCS評価制度は、こうした取引先間の確認を効率化するための共通言語として期待されています。 
また、セキュリティ対策はシステムやツールを導入するだけでは完了しません。アクセス管理、ログ管理、外部共有ルール、バックアップ運用などは、継続的な運用と記録の蓄積が必要です。制度開始後に慌てて対応するのではなく、今のうちから体制整備や運用の見直しを進めることで、将来的な取引先からの要求にもスムーズに対応できるようになります。
SCS評価制度への対応は、単なる制度対策ではなく、『取引先からセキュリティを説明できる企業になるための取り組み』と言えるでしょう。
 

★（評価）のランク解説と要求事項

SCS評価制度では、目指す水準に合わせて段階的な評価が設定されています。★3・★4を合わせた評価基準は153項目に及び、幅広い観点から対策状況が確認されます。
【表】SCS評価制度におけるセキュリティ対策の段階
評価区分
想定される脅威
想定される水準・内容
評価の仕組み
★1・★2
一般的なセキュリティリスク
従来の「SECURITY ACTION」等に紐づく、自社による取り組みの宣言・自己診断。
自社による宣言
★3
広く認知された脆弱性等を悪用する一般的なサイバー攻撃
全てのサプライチェーン企業が最低限実装すべきセキュリティ対策
・要求事項：26件 / 評価基準：81項目
自己評価
（専門家の確認を経たもの）
★4
供給停止等によりサプライチェーンに大きな影響をもたらす企業への攻撃
機密情報などの漏洩により大きな影響をもたらす資産への攻撃
サプライチェーン企業等が標準的に目指すべきセキュリティ対策
・要求事項：43件 / 評価基準：153項目（★3含む）
第三者評価
（第三者評価機関による厳格な評価）
★5
未知の攻撃も含めた、高度なサイバー攻撃
サプライチェーン企業などが更に目指すべき高度な対策
（今後検討）
(※出典：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」をもとに作成)
 

どこまで対応すればよいのか？

SCS評価制度の概要を見ると、「評価基準153項目」や「第三者評価」といった言葉が並び、「かなり高度な対策が必要なのではないか」と不安に感じる方も多いのではないでしょうか。
しかし、重要なのは最初から全ての対策を完璧に実装することではありません。
SCS評価制度は、企業の規模やサプライチェーン上での役割に応じて段階的にセキュリティ対策を向上させることを想定した制度です。一般的な企業であれば、まずは★3で求められる「最低限実装すべきセキュリティ対策」を整備し、自社の対策状況を説明・証明できる状態を目指すことが現実的なスタートラインになります。
例えば、
  • 情報資産の所在を把握できている
  • 多要素認証（MFA）が導入されている
  • 社外共有のルールが定められている
  • ログを取得・確認できる
  • バックアップや復旧手順が整備されている
といった基本的な対策が継続的に運用され、必要に応じて証跡を提示できる状態であることが重要です。
一方、サプライチェーン上で重要な役割を担う企業や、大量の機密情報・個人情報を扱う企業については、より高度な管理体制や第三者による評価が求められる★4の水準を視野に入れることも検討すべきでしょう。
まずは「全153項目を一度に対応する」のではなく、現状を可視化し、優先度の高い項目から着実に改善していくことが、SCS評価制度対応への最も現実的なアプローチです。
実際には、多くの企業が「対策そのもの」よりも、「どこに情報があり、誰がアクセスでき、どのような運用が行われているかを把握できていない」ことに課題を抱えています。そのため、まずは情報資産の可視化や共有状況の把握、ログ管理の仕組みづくりから着手することが重要です。
 

要求事項の整理（何が求められるのか？）

SCS評価制度（特に★3〜★4）では、NIST（米国標準技術研究所）のサイバーセキュリティフレームワーク（CSF）などをベースにした大分類に沿って、以下のような対策が求められます。
1. ガバナンスの整備
  • セキュリティに関する方針（ポリシー）や社内ルールを策定し、全従業員に周知すること。
  • セキュリティ推進を担当する部署や責任者（役割・権限）を明確にし、定期的に体制の点検を行うこと。
2. 取引先管理
  • 自社のセキュリティ対策だけでなく、下請けやパートナー企業などサプライチェーン全体のセキュリティリスクを把握・管理し、適切な水準を保つこと。
3. リスクの特定
  • 自社が扱っている機密情報やIT資産の所在、およびアクセス権限を明確化すること。
  • 特に社外共有を含めた情報資産の共有状況（どこに・誰と共有されているか、パスワードや有効期限の設定など）の可視化とリスク評価を行うこと。
4. 攻撃等の防御
  • 不正アクセスを防止するため、社内システムやクラウドへのアクセス時に多要素認証（MFA）を導入すること。
  • OSやソフトウェアの迅速なアップデート、ウイルス対策ソフトの導入などにより、既知の脆弱性をつかれないための対策を講じること。
5. 攻撃等の検知
  • 外部からの不正アクセスや、内部不正（意図的なデータ持ち出し等）の兆候を早期に発見するため、誰が・いつ・どのファイルやシステムにアクセスしたかの監査ログを取得・監視できる仕組みを整えること。
6. インシデントへの対応
  • 万が一サイバー攻撃や情報漏洩などのインシデントが発生した際に、迅速に初動対応や原因究明、関係者への報告が行える手順・体制を整備しておくこと。
7. インシデントからの復旧
  • ランサムウェアによる暗号化やデータ消失などの不測の事態に備え、ネットワークから切り離された確実なバックアップ体制の構築や、事業を迅速に復旧するための手順（BCP）を整備しておくこと。

light bulb [重要] 対策するだけでなく「説明・証明できること」が評価の肝 

本制度において見落とせないのが、「対策を講じていることを、客観的な記録やログ、エビデンスをもとに説明・証明できる状態にあるか」という点です。「ルールはあるが記録がない」「口頭では説明できるが証拠がない」状態では基準を満たしているとみなされません。日頃から運用履歴が残る仕組みが求められます。

 
証跡とは何か？具体的にどのようなものが求められるのか
SCS評価制度では、「セキュリティ対策を実施している」と説明するだけでは十分ではありません。実際に対策が実施され、継続的に運用されていることを客観的に示せる記録（証跡）が求められます。制度において重要なのは、「何を導入したか」ではなく、「実際に運用していることを証明できるか」という点です。
例えば、以下のようなものが証跡として活用できます。
  • 多要素認証（MFA）が有効化されていることを示す管理画面や設定記録
  • 誰が・いつ・どのファイルやシステムにアクセスしたかを確認できる監査ログ
  • 社外共有されたファイルやリンクの管理状況を示すレポート
  • 定期的に実施した権限棚卸しやアクセス権レビューの記録
  • OSやソフトウェアのアップデート実施履歴
  • バックアップ実施記録や復旧テスト結果
  • セキュリティ教育の実施記録や受講状況
  • インシデント対応手順書や訓練実施記録
  • セキュリティ委員会や運営会議の議事録
このような証跡を日常的に蓄積しておくことで、取引先や評価機関から対策状況の説明を求められた際にも、客観的な根拠をもって対応できるようになります。実際にSCS評価制度では、ログ、レポート、設定情報、台帳、議事録、是正記録などが対策の有効性を示す証跡として重要視されています。
多くの企業では、対策の実施そのものよりも、「必要な証跡をすぐに提出できない」という点が課題になります。そのため、日常業務の中でアクセス履歴や共有状況、運用記録を継続的に蓄積できる仕組みを整えておくことが、SCS評価制度対応の重要なポイントとなります。
 

★取得に向けたアクションプラン

自社が「★3」や「★4」を目指すにあたり、どのようなステップで進めるべきかのロードマップです。
  • フェーズ1：現状の棚卸しとギャップ分析
    • まずは自社が保有するIT資産（PC、クラウドサービス、サーバーなど）と、扱っているデータの機密性を洗い出します。
    • 公開されているガイドライン（または簡易チェックリスト）を元に、「現在できていること」と「足りないこと（ギャップ）」を明確にします。
  • フェーズ2：基本対策の実装（★3を目指す）
    • 多要素認証の強制、ID/パスワード管理の厳格化、不要な権限の剥奪、定期的なバックアップなど、基礎的なセキュリティ対策を社内ニーズに合わせて実装します。
  • フェーズ3：運用プロセスの確立と第三者評価（★4を目指す）
    • ログの常時モニタリングやインシデント発生時の対応手順（BCP）のドキュメント化。
    • 専門家や第三者評価機関によるアセスメント（審査）を受け、不備があれば是正します。
 

【自己診断】自社のセキュリティ対策チェックリスト

読者の皆様が、まずは自社の現状を簡易的に把握するためのチェック項目です。（※簡易セルフチェック）
No.
評価の大分類
チェック項目
状態（選択）
1
ガバナンスの整備
情報セキュリティに関する基本方針やルールが策定され、定期的な見直しと従業員への周知が行われているか？
[ 実施中 / 未整備 ]
2
取引先管理
自社だけでなく、下請けやパートナー企業などの委託先に対しても、セキュリティ要件やリスク状況を把握・管理する仕組みがあるか？
[ 仕組みあり / 不十分 ]
3
リスクの特定
機密情報の所在が明確になっており、社外へファイルを共有する際、「パスワードや有効期限の設定、ダウンロード制限」などのルールが徹底・システム化されているか？
[ 徹底・自動化 / 属人化・未整備 ]
4
攻撃等の防御
社内システムやクラウドサービスへのアクセス時、全従業員で「多要素認証（MFA）」が有効化されており、脆弱性パッチが迅速に適用されているか？
[ 導入済み / 未導入 ]
5
攻撃等の検知
外部からの不正アクセスや内部不正（データの持ち出し等）を早期発見するため、誰が・いつ・どのファイルにアクセスしたかの監査ログが取得・監視されているか？
[ 運用・監視あり / 未取得 ]
6
インシデントへの対応
万が一のセキュリティインシデント発生時に備え、連絡体制や初動対応の手順が明確にドキュメント化されているか？
[ 整備済み / 未整備 ]
7
インシデントからの復旧
ランサムウェアによるデータ暗号化や障害などに備え、ネットワークから切り離された「確実なバックアップ体制」や復旧手順が整備されているか？
[ 整備・テスト済み / 不十分 ]

 

制度対応をどのように日常運用へ落とし込むべきか

SCS評価制度への対応というと、多くの企業が「不足しているセキュリティ製品を導入しなければならない」と考えがちです。しかし実際には、制度で重視されるのは製品の導入有無ではなく、セキュリティ対策が日常業務の中で継続的に運用され、その状況を説明・証明できることです。制度においても、特定製品の導入が必須とされているわけではありません。
例えば、
  • 新入社員や異動者のアカウント権限を適切に設定する
  • 退職者のアカウントを速やかに無効化する
  • 社外共有されたファイルを定期的に確認する
  • 定期的にアクセス権限の棚卸しを行う
  • ログを確認し、不審なアクセスがないか点検する
  • バックアップや復旧手順を定期的に確認する
といった運用が継続的に実施されていることが重要になります。
また、制度対応は情報システム部門だけで完結するものでもありません。セキュリティポリシーの策定、委託先管理、従業員教育、インシデント対応など、多くの項目は経営層や各部門を含めた全社的な取り組みとして推進する必要があります。SCS評価制度への対応は、単なるセキュリティ対策ではなく、組織全体で情報資産を適切に管理・保護するための運用基盤づくりと考えるべきでしょう。 
重要なのは、一度対策を実施して終わりではなく、
「可視化 → ルール化 → 運用 → 改善」
のサイクルを継続的に回していくことです。情報資産の所在や共有状況を把握し（可視化）、社内ルールとして定め（ルール化）、日常業務の中で定着させ（運用）、定期的な点検や見直しを行う（改善）ことで、初めて継続的なセキュリティ対策として機能します。
SCS評価制度への対応を成功させるためには、「評価取得そのもの」を目的にするのではなく、取引先から求められた際に、自社のセキュリティ対策を客観的な証跡とともに説明できる状態を日常的に維持することが重要です。これは制度対応であると同時に、企業の信頼性向上や取引継続にもつながる重要な経営課題と言えるでしょう。
 

制度対応でつまずきやすいポイント

ここまで説明してきた通り、SCS評価制度で求められるのは、単にセキュリティ対策製品を導入することではありません。
情報資産を把握し、適切なアクセス管理を行い、社外共有を統制し、ログや運用記録を残しながら継続的に管理すること。そして、その状況を取引先や評価機関に対して客観的な証跡として説明できることが重要です。制度の目的も、サプライチェーン企業のセキュリティ対策状況を共通基準で可視化し、取引先同士が安心して取引できる環境を構築することにあります。 
一方で、多くの企業では、
  • 情報がどこに保存されているのか分からない
  • 社外共有の状況を把握できていない
  • アクセス権限が適切か確認できない
  • ログは取得しているが活用できていない
  • 証跡を求められてもすぐに提出できない
といった課題を抱えています。
つまり、SCS評価制度への対応は「制度対応プロジェクト」というよりも、情報資産管理やセキュリティ運用を仕組みとして定着させる取り組みと言えるでしょう。実際、本制度でもログ、設定情報、台帳、レポートなどの証跡を継続的に管理できることが重要な考え方となっています。
 

よくある質問

■Q. SCS評価制度は義務ですか？
A. 任意制度です。 ただし、今後は発注企業が取引先へ求めるセキュリティ水準を示す指標として活用されることが想定されています。
■Q. ISMSを取得していれば十分ですか？
A. ISMSは有効な取り組みですが、SCS評価制度で求められる全ての要件を満たすことを保証するものではありません。
■Q. 特定製品の導入は必要ですか？
A. 特定のセキュリティ製品の導入は必須ではありません。
 

まとめ

SCS評価制度は、今後取引先から「セキュリティの証明」を求められる際の強力な共通パスポートとなります。いきなり高いハードルを目指すのではなく、まずは自社の現状を把握し、★3の要件を満たすための基盤づくり（アクセス管理やクラウドのセキュアな運用など）からスモールスタートで進めていくことが重要です。
また、本制度の審査において最も重要なのは、「セキュリティ対策を実施していることを、ログや監査証跡などの客観的なデータとしていつでも説明・証明できること」です。
SCS評価制度の項目は多岐にわたりますが、例えばDropboxのようなクラウドストレージを活用することで、情報資産の可視化や共有状況の把握、アクセスログの取得、証跡管理などを効率的に実現し、多くの要求事項への対応を支援できます。
 

次回予告：Dropboxで実現するSCS評価制度対応

制度の概要を理解しただけでは、 SCS評価制度への対応は進みません。 重要なのは、 実際の業務の中で どのように情報資産を管理し、 証跡を残し、 運用を継続していくかです。
次回の記事では、Dropboxを活用して、
  • 社外共有の統制・可視化
  • アクセス権限管理
  • 監査ログの取得・活用
  • ランサムウェア対策・復旧
といった仕組みをどのように実現できるのか、SCS評価制度の要求事項と関連付けながら具体的に解説します。
「制度の概要は理解したが、実際に何から始めればよいか分からない」 「限られた人員で効率よく運用したい」という方は、ぜひ次回の実践編もご覧ください。
本記事に関するお問合せは下記までお願いします。

お問合せ： Dropbox-sales@scsk.jp
×
タイトルとURLをコピーしました