よくわかるSCS評価制度 ★3・★4の違いから取得の流れまで やさしく解説

2027年3月、経済産業省とIPAが進める「SCS評価制度」の★3・★4の申請受付が始まる予定です。取引先から★の取得を求められる可能性がある一方で、「何から手を付ければいいのか分からない」「特定製品の導入が必要と言われた」といった不安や誤解も広がっているようです。

本記事では、公式情報をもとに制度の基本と最新動向、受付開始までのスケジュールを整理しています。さらに、★取得の考え方や、運用ハードルが高い「攻撃等の検知」への備え方を解説します。※

※本記事の内容は、経済産業省およびIPAが2026年9月18日までに公表した情報（制度構築方針、基本規程、よくある質問、運営審議委員会資料等）に基づきます。今後変更される可能性があるため、最新情報は必ずIPA・経済産業省の公式サイトでご確認ください。

SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を「★」で可視化し、サプライチェーン全体の対策水準を底上げする仕組みです。IPAが経済産業省の監督のもとで制度を運営するスキームオーナーを務めます。

なぜこの制度が必要なのか

背景には、次のような課題があります。

• 攻撃の頻発：防御の手薄な中小企業が狙われやすく、金銭目的の無差別攻撃も増えている。

• 発注者の把握が困難：企業ごとに対策がバラバラで、発注者が受注者の対策状況を確認・担保しにくい。

• 受注者の負担増：発注者ごとに異なる対策を求められ、特に中小企業の負担が大きい。

★1・★2は、IPAの既存制度「SECURITY ACTION（セキュリティアクション）」が該当します。★4を取得するには★3の内容もすべて満たす必要がありますが、★3を経ずに★4を直接取得することも可能です。

また、★3は毎年、専門家の確認を受けた自己評価の更新版をIPAへ提出します。★4は3年有効ですが、期間中も毎年自己評価を評価機関へ提出し、重大な変更があれば再評価が必要です。このため、★は「取ったら終わり」ではなく、継続した運用が求められます。

不適切な勧誘に注意

経済産業省は2026年4月27日、本制度を引き合いに出した不適切な勧誘について注意喚起を行いました。公式FAQでは、次の点が明示されていますので、ご注意ください。

• 本制度は任意の制度であり、★の扱いは取引当事者間の合意で決まる。
• EDR（Endpoint Detection and Response）や資産管理システムなど、特定のセキュリティ製品の導入は求めていない。
  
  

評価用ガイド類

2026年8月28日に「基本規程」が公開され、規則類や「★3・★4 要求事項・評価基準」も公開されています。

登録希望組織にとって重要な「自己評価等ガイド（アセスメントシート付き）」「技術検証ガイド」「要求事項・評価基準 解説書」「登録申請の手引」は、2026年10月頃に公開予定です。

適用範囲

適用範囲は、サーバ（インターネット公開サーバを必ず含む）、エンドポイント（Endpoint）機器、クラウドサービス等、ネットワーク機器の4つが想定されています。

付随するソフトウェアやファームウェア、設定情報も含みます。

登録料

中小企業向け支援策

中小企業向けには、SCS評価制度の要求事項を踏まえて改定された「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年3月27日公開）があり、こちらを制度対応の参考にできます。

また「サイバーセキュリティお助け隊サービス（新類型）」の実証事業が2026年10月から1年間行われ、参加する中小企業は★取得の支援を無償で受けられます。

登録の流れ

★3も★4も自己評価から始まり、最後はIPAの登録組織台帳に登録されます。

• ★3：自己評価 → 専門家の確認・署名 → 経営層の自己適合宣言 → IPAへ登録申請
  　　 → 登録・公表
• ★4：自己評価と評価依頼 → 評価機関の第三者評価（文書確認・実地審査・技術検
  　　 証）→ 経営層の自己適合宣言 → IPAへ登録申請 → 登録・公開

自己適合宣言は経営層が組織の責任で行うものです。セキュリティ担当者が単独で手続きをするだけでは★を取得できません。

2027年3月に申請する場合の流れは次のとおりです。なお、スケジュールは制度運営基盤の整備状況により見直される可能性があります。

2026年10月：IPAが評価用ガイド類・解説書・登録申請の手引を公開予定。企業はガイドを
　　　　　　 もとに自己評価（ギャップの洗い出しと対策）を開始。

2026年12月：評価機関・技術検証事業者・研修事業者の指定・公表予定。

2027年1月：制度研修の開始、専門家の登録・公表、システム稼働。企業は★3なら専門家
　　　　　 と契約、★4なら評価機関と契約。

2027年2月：★4の第三者評価が開始される想定。

2027年3月：★3・★4の申請受付開始予定。企業はIPAへ登録申請。

経済産業省の制度構築方針では、発注者が取引先に★を求める前提として、受発注など重要な業務の多くがIT基盤に依存していることが挙げられています。

そのうえで、次の2つのリスクで段階を判断する考え方が示されています。

• 事業継続リスク：取引先の事業中断で、自社の重要業務に許容できない遅延が生じ得るか（供給中断の影響範囲、代替調達の可否、在庫確保の難しさなど）。
• 情報管理リスク：取引先へのサイバー攻撃で、自社の機密情報の管理に重大な影響が生じ得るか（機密情報へのアクセス、自社システムへの接続の有無など）。

どちらかに該当すれば★4、どちらにも該当しなければ★3が目安です。直近のインシデント発生状況などにより、求められる段階が上乗せされる場合もあります。なお、単発の調達や市販品のように代替しやすい調達は、この判断の対象外とされています。