サプライチェーン強化に向けたセキュリティ対策評価制度とは？
必要な実務まで解説

2026年度末より、経済産業省および内閣官房国家サイバー統括室が主導する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」が本格始動します。

サプライチェーンを担う多くの企業が対象になるため、対応を検討していく必要があります。

この記事では、SCS評価制度の全体像から制度対応に向けて必要となる作業、優先度まで網羅的に解説します。この記事を読むことで、着手すべき具体的な実務が明確になります。

目次

1. サプライチェーン強化に向けたセキュリティ対策評価制度の全体像
2. 委託先企業（受注企業）・委託元企業（発注企業）それぞれへの影響
3. 「★」による段階別評価の仕組み
4. 自社はSCS評価制度を遵守すべきか
5. SCS評価制度のスケジュール
6. SCS評価制度の★取得に求められる要件
7. SCS評価制度の対応に向けた予算とタイムラインの考え方
8. 優先度の高い3つのアクション
9. セキュリティ対策評価制度に関するよくある質問
10. まとめ

サプライチェーン強化に向けたセキュリティ対策評価制度の全体像

SCS評価制度が創設された背景には、サイバー攻撃の手口の高度化と、既存のセキュリティ対策手法の限界という大きな潮流があります。

サプライチェーンを取り巻く課題

制度創設の背景として、サプライチェーンにおける環境の変化があります。

課題① サプライチェーン攻撃の増加

近年はサイバー攻撃の手法が高度化しており、大企業そのものではなく、セキュリティ対策が十分でない取引先企業を侵入口として攻撃を行うケースが増加しています。

その結果、1社の被害がサプライチェーン全体へ波及し、事業停止や情報漏えいなどの大きな損害につながるリスクが高まっています。

関連記事リンク：【大手企業も必読】サプライチェーン攻撃とは？事例・対策・今やるべき準備と評価制度対応

課題② 発注企業が取引先のセキュリティ水準を客観的に把握できない

こうしたリスクへの対策として、多くの企業では取引先に対してセキュリティチェックシートの提出を求めています。

しかし、自己申告形式であるため、回答内容が実態と一致しているか確認できない、どの程度の対策レベルにあるのか比較できないといった課題があり、発注企業は取引先のセキュリティ対策状況を客観的に評価することが困難な状況にあります。

課題③ 取引先ごとに異なる要求への対応負担

一方で受注企業側も、取引先ごとに異なるチェックシート、異なる評価基準、個別の証跡提出といった対応を求められるケースが多く、同じような説明や資料提出を繰り返す必要があります。

その結果、本来取り組むべきセキュリティ対策そのものではなく、説明や回答業務に多くの工数が割かれる状況が生じています。

SCS評価制度の目的

こうした課題を解決するため、経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度」を創設し、統一的な評価基準と第三者評価の仕組みを整備する方針を示しています。

SCS評価制度の目的は大きく2つです。

参考：経済産業省｢サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）｣

図1：SCS評価制度の全体像

対象となる企業と対象範囲

「サプライチェーン強化に向けたセキュリティ対策評価制度に関する構築方針」の「2.2.2 制度の対象範囲」において、対策を講じるべき企業と、評価の対象範囲が以下の通り定義されています。

参考：経済産業省｢サプライチェーン強化に向けたセキュリティ対策評価制度 に関する制度構築方針 2. 構築すべき評価制度の目的と位置づけ｣

委託先企業（受注企業）・委託元企業（発注企業）それぞれへの影響

SCS評価制度は、情シス部門だけが向き合えばよい技術課題ではありません。受注側・発注側双方の経営層を含めて認識しておく必要があります。

「★」による段階別評価の仕組み

SCS評価制度では、★3、★4、★5という3段階の評価ランクが設定されています（このうち★5は、現在、政府が具体的な要求事項・評価スキームを検討中です。なお、SCS評価制度は最低限実装すべきレベルを★3としています。     ★1・★2は、IPAが運営する｢SECURITY ACTION｣を参照するよう提言されています。

★3、★4によって、それぞれでクリアすべき技術的ハードルと、準備すべき証跡と審査の厳格さが異なります。どちらを目指すかで、必要な準備の量と内容は大きく異なります。

★3：サプライチェーン企業に求められる最低限のセキュリティレベル

★3は、一般的なサイバー攻撃に対処できることを水準として設計された評価レベルです。

経済産業省は、サプライチェーンを構成する企業が最低限実装すべきセキュリティ対策として位置付けており、組織体制の整備やアクセス管理、ネットワーク防御、インシデント対応手順の整備など、基本的なセキュリティ対策の実施が求められます。

評価方式は「専門家確認付き自己評価」です。企業が要求事項への対応状況を自己評価したうえで、制度が定める資格要件および研修要件を満たしたセキュリティ専門家が内容を確認し、評価結果を提出します。

審査プロセスは次の通りです。

1. ★3の要求事項・評価基準に基づき自己評価を記入
2. 社内外のセキュリティ専門家が内容を確認し、必要に応じて助言・修正を行った上で署名
3. 経営層による自己適合宣誓を含む評価結果を事務局へ提出
4. 問題がなければ台帳に登録・公開

なお、★3取得にあたっては、有資格者の社内の情報システム担当者が確認すればよいというものではありません。制度が定めた要件を満たすセキュリティ専門家による確認が必須です。

★4：サプライチェーン企業に求められる標準的なセキュリティレベル

★4は、供給停止や情報漏えいが発生した場合にサプライチェーン全体へ大きな影響を及ぼす企業を対象とした評価レベルです。

★3が一般的なサイバー攻撃への対策を目的としているのに対し、★4では、侵害を前提とした検知・分析・対応体制の整備に加え、自社だけでなく取引先を含めたサプライチェーン全体のセキュリティ強化が求められます。

また、評価方式も★3とは異なり、第三者評価が実施されます。必要に応じて脆弱性診断などの技術検証が行われるほか、対策状況について客観的な検証を受ける必要があります。

審査プロセスは★3より厳格です。

1. 評価機関・技術検証事業者の指定
2. 要求事項に基づく自己評価の記入
3. 評価機関による検証・評価の依頼（必要に応じて他の技術検証事業者が脆弱性診断等の実地検証を実施）
4. 評価報告書の取得
5. 是正事項への対応
6. 事務局への登録申請
7. 台帳登録・公開

文書確認に加え、実地審査と技術検証を伴う第三者評価が行われる点が、★3との違いです。

参考：経済産業省｢サプライチェーン強化に向けたセキュリティ対策評価制度 に関する制度構築方針 3. 構築する評価制度｣

自社はSCS評価制度を遵守すべきか

SCS評価制度では、全てのサプライチェーン企業に、最低限のセキュリティ対策として★3への対応が推奨されています。一方で、自社の業務停止や情報漏えいが取引先やサプライチェーン全体へ大きな影響を及ぼす場合は、★4も視野に入れた対応を検討する必要があるでしょう。

多くの企業はまず★3への対応から始める

システム開発会社や保守ベンダーだけでなく、製造委託先、物流事業者、保守事業者、BPO事業者など、他社から業務を受託している企業は、まずは★3の要求事項を満たし、基本的なセキュリティ対策を実装することが出発点となります。

事業への影響が大きい企業は★4も視野に入れる

自社の業務停止により供給がとまるリスクがあるなど、サプライチェーン全体へ影響を及ぼす企業や、顧客の機密情報・重要情報資産を扱う企業は、★4を見据えた対応を検討することが望ましいでしょう。

SCS評価制度のスケジュール

SCS評価制度開始に向けたスケジュールから逆算し、いつまでに何を終わらせるかを明確にする必要があります。

2026年度末の本格運用開始

2025年度中に★3および★4の要求事項や評価基準（案）が確定し、2026年3月27日に経済産業省および内閣官房国家サイバー統括室より制度構築方針が公表されました。この方針に基づき、2026年度末頃（2027年1月〜3月）の制度開始を目指した取組みが進んでいます。

制度運営基盤の整備

制度運営基盤の整備スケジュールは以下のとおりです。

時期	内容
2026年3月	制度構築方針を公表 （★3・★4要求事項・評価基準も公開）
2026年度第2四半期	運営規定等の公表
2026年度第3四半期	評価用ガイド等の公表
2026年度第3四半期	評価機関等の公表
2026年度末	SCS評価制度の申請受付開始
2026年度末	制度の本格運用開始
2027年度以降	取得希望組織が順次評価を受け台帳登録・公開

※2026年度第2四半期以降のスケジュールは、制度運営基盤の整備状況等により変更となる可能性があります。
参考：経済産業省｢サプライチェーン強化に向けたセキュリティ対策評価制度（SCS 評価制度）に関するよくあるお問い合わせ（FAQ）｣
参考：IPA「SCS評価制度の詳細情報」

SCS評価制度の★取得に求められる要件

経済産業省は、NIST Cyber Security Framework（CSF）をベースに、取引先管理に重点を置いた分類を加えた、以下7分類で要求事項を整理しています。

セキュリティ要求事項

• ガバナンスの整備
• 取引先管理
• リスクの特定
• 攻撃等の防御
• 攻撃等の検知
• インシデント対応
• インシデントからの復旧

要求事項は、実務上以下の3つの観点に整理できます。

図2：SCS評価制度の対応に向けた3つの実務観点

運用要件

セキュリティ対策を継続的に実施・改善するための組織体制やルールの整備が求められます。

技術要件

サイバー攻撃を防御・検知し、被害を最小化するための技術的な対策が求められます。

評価・証明要件

セキュリティ対策を実施しているだけでなく、その実施状況を客観的に説明・証明できる状態が求められます。

参考：経済産業省｢サプライチェーン強化に向けたセキュリティ対策評価制度 に関する制度構築方針 3. 構築する評価制度｣

SCS評価制度の対応に向けた予算とタイムラインの考え方

★を得るには、制度対応におけるコスト構造の把握と、2026年度末の本格運用開始に向けたタイムラインの設計が必要です。

運用要件への対応コスト

運用要件では、セキュリティ責任者の明確化、社内規程の整備、取引先管理ルールの策定、インシデント対応手順の整備などが求められます。

主なコスト

• IT資産の棚卸し
• ギャップ分析
• 社内規程の整備・改訂
• 点検・記録管理
• 教育・訓練
• セキュリティ運用体制の維持

これらは情報システム部門で対応できる場合もありますが、専門人材が不足している企業では、セキュリティコンサルティングや運用支援サービス、マネージドセキュリティサービスなどの外部サービスを活用するケースもあります。

そのため、運用要件への対応コストは、社内人件費だけでなく外部委託費も含めて検討する必要があります。

技術要件への対応コスト

技術要件では、認証・アクセス管理、端末管理、ログ管理、脆弱性管理などが求められます。

制度としては、製品の導入を義務付けてはいませんが、一般的にはツールで対応する形になります。

主な投資対象

• ID認証基盤
• EDR/XDR
• MDM
• SIEM
• ログ管理基盤
• 脆弱性管理ツール
• ネットワークセキュリティ製品

など

既にこれらの仕組みを導入している企業であれば、大きな追加投資を行わずに対応できる可能性があります。

一方で、認証基盤やログ管理基盤が未整備の場合は、新たなツール導入や設定変更が必要になるでしょう。特に★4を目指す場合は、監視・分析機能の強化や高度なログ管理が求められるため、追加投資が発生する可能性があります。

評価・証明要件への対応コスト

評価・証明要件では、要求事項への適合状況を客観的に説明できる状態を整備し、評価を受けるためのコストが発生する見込みです。

主なコスト

• 証跡の整理・管理
• 評価資料の作成
• 専門家確認
• 第三者評価
• 脆弱性診断
• 是正対応

なお、2026年5月時点では、経済産業省やIPAから評価費用に関する具体的な金額は公表されていません。

そのため正確な予算を示すことは困難ですが、既存のセキュリティ監査や脆弱性診断の相場を参考にすると、企業規模やシステム環境によって大きく異なるものの、数十万円から数百万円規模の費用が発生する可能性があります。

2026年度末の制度開始から逆算したタイムライン

SCS評価制度は、2026年度末（2027年3月頃）の本格運用開始が予定されています。

制度開始後、大企業などの発注元が★の取得状況をサプライヤー選定の判断材料として活用し始める可能性があります。そのため、2026年度中には現状把握やギャップ分析に着手しておくことが望ましいでしょう。

SCS評価制度への対応では、運用体制の整備、技術対策の実装、評価に必要な証跡の整備などが求められます。また、現状把握（ギャップ分析）、対策方針の策定、社内稟議、システム導入、運用定着といった工程も必要になるため、企業の状況によっては数か月から1年程度の準備期間を要すると考えられます。

特に、認証基盤やログ管理基盤などの技術対策が未整備の企業や、★4取得を視野に入れている企業は、2026年度後半ではなく、できるだけ早い段階で準備を開始することが望ましいでしょう。

優先度の高い3つのアクション

制度開始時点で運用を始めるためには、残り時間が限られています。情報システム部門やCISOが今すぐ着手すべき実務的なアクションを3つのステップに整理します。

アクション1：現状の可視化と資産の棚卸し（ギャップ分析）

すべての対策の出発点は、現状の把握です。具体的には以下を実施します。

• 自社のIT資産（サーバー、認証システム、メールシステム、クラウドサービス等）の一覧化
• サプライチェーンにおける自社の立ち位置を考慮した目指すべきランク（★3または★4）の確認
• 経済産業省公表の★3・★4要求事項・評価基準と現状実施している対策の比較（ギャップ分析）

中でも3点目のギャップ分析によって、システム的・組織的にいま何が足りていないのか、を明確にすることが重要です。ギャップ分析の結果が、その後の投資判断などの意思決定の根拠になります。

アクション2：運用体制とルールの整備（ガバナンスの構築）

次に、運用要件への対応を進めます。

具体的には、以下の対応を行うと良いでしょう。

• セキュリティ責任者の明確化
• セキュリティ方針・規程の整備
• 取引先管理ルールの策定
• 脆弱性管理プロセスの整備
• インシデント対応・復旧手順の整備

ポイントは、規程と乖離なく維持できるフローを作ることです。たとえば、「管理者IDの付与・変更・削除は申請・承認制にすること」という要件に対し、ルール策定だけでなく、その申請と承認の履歴が証跡として残り、実際のシステムの設定変更ログといつでも突合できるような運用基盤を整えることが、第三者審査をパスするための条件となります。

アクション3： 技術基盤と証跡管理の整備

セキュリティ対策は広範囲にわたるため、システムによる解決を検討しましょう。

例

• MFA（Multi-Factor Authentication｜多要素認証）・SSO（Single Sign On｜シングルサインオン）の全社展開による認証ログの自動収集・保管、MFAの強制適用
• デバイス管理（MDM等）の導入による未承認デバイスのアクセス排除
• 退職者・異動者のアカウントを連携SaaSから即時一括削除するプロビジョニング機能の活用
• 各システムのログ収集と分析の自動化や、改ざん不能な認証ログの6ヵ月保管

このような広範な技術要件・証明要件に対しては、個別のツールを導入するのではなく、これらを一元的にクリアできるソリューションを検討することが推奨されます。

セキュリティ対策評価制度に関するよくある質問

制度対応を検討する中でよく寄せられる疑問を3点、実務的な観点から回答します。

まとめ

SCS評価制度は、単なる情シス部門のタスクではなく、サプライチェーン全体でビジネスを継続するための重要な要件です。多くの企業にとって★3の取得がベースラインとなり、重要業務を担う企業は★4への対応が推奨されます。

制度対応の本質は、ルールとシステム記録の両輪で対策の実効性を客観的に証明することにあります。実質的な準備期間が限られる中、運用負荷の増大を防ぎつつ、セキュリティ対策を強化するために、認証基盤などのソリューションの活用も選択肢となります。

現状のギャップ分析をいち早く行い、自社で対応すべきルール整備と、ツールに任せるべき技術的要件を切り分け、早期の予算化と準備を進めることが成功の鍵です。

HENNGE Oneは、MFAやSSO、アクセスポリシー管理など包括的なID管理・アクセス制御が行えるソリューションです。EPPやEDRを用いた高品質なエンドポイント保護サービスもオプションとして展開しているため、サプライチェーン攻撃への対策としてご活用頂けますのでぜひお気軽にご相談ください。