SCS評価制度
【いまさら聞けない！？デジタルキーワード｜マネジメント倶楽部デジタル9月号】

2026年9月16日

○●———————
このコラムでは、今話題のデジタル関連のキーワードを取り上げます。言葉は聞いたことあるけれど、それって何？　という疑問が解決し、業務への今後の影響も理解できるように解説しています。
※本記事は「マネジメント倶楽部デジタル」に掲載されたものです
———————●○

SCS評価制度

2026年度から本格的に始まる、SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）。企業のセキュリティ対策を3段階で評価し、「どの企業がどの程度のセキュリティ対策をしているのか」を取引先等にわかりやすく示す、新しい国の制度です。標的企業そのものではなく、その取引先や委託先を踏み台にして標的企業へ侵入するサプライチェーン攻撃が増える中、今後多くの企業が関わる制度になると考えられています。

^{SCS評価制度の目的}

この制度の目的は、「企業活動において、サプライチェーン全体の安全性を高めること」です。これまで、発注側の企業から受注側に対して、「セキュリティ対策は十分か」「取引のために、この対策を実施してください」と個別に確認してきました。しかし、その内容や基準は発注側の企業ごとにバラバラで、特に中小企業にとっては大きな負担になっていました。
そこで国は、企業が共通で使える基準として「SCS評価制度」を作りました。これにより、各企業は「どこまで対策すればよいか」が明確となり、受注側として必要な対策を進めやすくなります。また、発注側は「この企業なら安心して取引できる」と判断しやすくなります。

^{SCS評価の段階}

SCS評価制度には、★3・★4・★5の3つのレベルがあります（★1・★2は、独立行政法人情報処理推進機構の「SECURITY ACTION」ですでに整備済です）。
★3は、全ての企業がまず目指すべき基本レベルで、企業として最低限必要な対策です。自己評価と専門家の確認で評価されます。
★4は、サプライチェーン企業等が、組織的な取り組みで目指すべき標準的なセキュリティ対策です。第三者機関による評価が必要です。
★5は、先進的なセキュリティ対策を行う企業向けです。詳細は今後策定される予定です。

^{SCS評価準備の要点}

SCS評価の取得に向けて、企業が準備すべきポイントは大きく3つあります。①IT資産とアカウント管理の見える化、②日常運用のルール化と証跡の整備、③インシデント対応体制の構築です。たとえば、アカウント管理の徹底、ログの取得と保管、パッチ適用など、基本的な対策の見直しが重要です。また、対策を「やっているつもり」ではなく、「証拠として示せる運用」にすることが求められます。さらに、万が一のサイバー攻撃に備え、対応手順や継続的に改善できる体制を整えておくことも必要です。SCS評価は今後、取引継続の条件として求められる可能性が高く、早めの準備が企業の競争力向上にもつながります。