サプライチェーン（製品やサービスが利用者へ届くまでの一連の供給網）を狙ったサイバー攻撃が増加しています。こうした状況を受け、経済産業省とIPA（情報処理推進機構）が創設を進めているのが「SCS評価制度」です。
SCS評価制度は、取引先からセキュリティ対策の実施状況を求められる企業にとって、今後重要な指標となります。一方で、「どのような制度なのか」「いつから始まるのか」「何を準備すればよいのか」など疑問を抱える方も多いのではないでしょうか。
本記事では、SCS評価制度の概要や評価基準、ISMSやNISTとの関係、企業が対応するメリットや取得までのロードマップをわかりやすく解説します。
経済産業省やIPAが創設するSCS評価制度とは
SCS（Supply Chain Security）評価制度とは、サプライチェーン全体のセキュリティ対策を共通の基準で評価する新しい制度です。企業のセキュリティレベルを可視化するため、経済産業省とIPA（情報処理推進機構）が創設を進めています。
まずは、SCS評価制度が創設される背景と開始時期について押さえておきましょう。
創設される背景
SCS評価制度が創設される背景には、「サプライチェーン攻撃」の増加があります。サプライチェーン攻撃とは、セキュリティ対策が比較的手薄な取引先や委託先へ侵入し、そこを経由して標的企業を攻撃する手口のことです。
こうした攻撃を防ぐためには、取引先を含めたセキュリティ対策の徹底が欠かせません。しかし、従来は発注元ごとに異なる独自のチェックシートが用いられており、回答業務が受注側の大きな負担となっていました。
こうした課題を解決するための共通基準として創設されるのが、SCS評価制度です。統一された評価基準に沿って対策を進めることで、サプライチェーン全体のセキュリティ向上と評価負担の軽減を目指しています。
いつから開始されるのか
SCS評価制度は、2026年度末頃（2027年1月〜3月頃）の制度開始を目指して検討が進められています。2026年3月27日には、経済産業省及び内閣官房国家サイバー統括室が「制度構築方針」を公表しました。
出典：「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）を公表しました（METI/経済産業省）
今後は、制度構築方針にもとづいて評価基準や運用方法の整備が進められる見通しです。企業は正式な制度開始に備え、自社に必要なセキュリティ対策の確認や強化を進めておきましょう。
サプライチェーンのセキュリティについては、以下の記事で詳しく解説しています。あわせてお読みください。
サプライチェーンを狙う攻撃が増加中！企業が今すぐ始めるべきセキュリティ対策とは
SCS評価制度の全体像と評価基準【5段階のレベル】
SCS評価制度では、企業のセキュリティ対策を5段階で評価します。評価レベルが高くなるほど、より高度なセキュリティ対策や第三者による確認・評価が求められます。
まずは、それぞれの評価レベルの概要を把握しておきましょう。なお、記載内容は2026年8月時点の情報にもとづいています。
| 評価レベル | 制度名・評価主体 | 概要 |
| ★1 | SECURITY ACTION（自己宣言） | 一つ星相当の基本的なセキュリティ対策。中小企業が自社で宣言。 |
| ★2 | SECURITY ACTION（自己宣言） | 二つ星相当の組織的な取り組み。引き続き自己宣言で対応可能。 |
| ★3 | 専門家確認付き自己評価 | 外部専門家による確認を受けた自己評価。取引の標準ラインとして想定。 |
| ★4 | 第三者評価による証明 | 評価機関による審査・証明。機密情報を扱う企業向け。 |
| ★5 | 第三者評価（今後詳細検討） | 高度なサイバー攻撃への対応を含む最高水準の評価。制度開始後は検討事項。 |
出典：「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）を公表しました（METI/経済産業省）
ここからは、各評価レベルについて順番に解説していきます。
★1・★2：SECURITY ACTION（自己宣言）
★1・★2は、中小企業が取り組みやすい自己宣言型の評価レベルです。IPAが推進する「セキュリティアクション（SECURITY ACTION）」と連携しており、SCS評価制度の入り口に位置付けられています。
★1では、情報セキュリティ5か条など基本的な対策を実践します。★2では、情報セキュリティ基本方針の策定や公開など、組織としての取り組みも必要です。
セキュリティアクションについては、以下の記事で詳しく解説しています。あわせてお読みください。
セキュリティアクションとは？メリットや導入方法、注意点を解説
★3：専門家確認付き自己評価
★3は、自社による自己評価に加えて、外部専門家からの確認を受ける評価レベルです。「情報処理安全確保支援士」などが確認を行うことで、評価の客観性を高めます。
このレベルは、サプライチェーンへ参加する企業にとって標準的なラインとして想定されています。第三者の視点を挟むことにより、取引先に対する対策の信頼性向上につながるでしょう。
★4：第三者評価による証明
★4は、認定を受けた第三者評価機関が審査を行う評価レベルです。自己評価ではなく、客観的な立場から実地の確認や技術的な検証が行われます。
機密情報を扱う企業や重要システムを運用する企業など、より高い安全性を求められる事業者が対象です。厳密な審査を経るため、対外的に万全な体制を証明できます。
★5：高度なサイバー攻撃への対応
★5は、SCS評価制度における最高水準の評価枠組みとして位置づけられています。高度なサイバー攻撃へ対応できる体制を評価する想定です。
2026年3月時点の制度構築方針では「今後検討」とされており、詳細な評価項目や運用方法は確定していません。まずは、★3や★4の要件クリアを目指して準備を進めるのが現実的です。
SCS評価制度と既存ガイドライン（ISMS・NISTなど）との関係
SCS評価制度は、新たにゼロからセキュリティ基準を定める制度ではありません。「ISMS」や「NIST CSF」など、既存の認証制度やガイドラインとの整合性を考慮しながら設計されています。
そのため、すでにISMS認証を取得している企業や、NIST CSFを参考にセキュリティ対策を進めている企業でも、それまでの取り組みを生かしながらSCS評価制度へ対応できます。主な制度・ガイドラインとの違いは、以下のとおりです。
| 制度・ガイドライン | 主な評価対象・特徴 | SCS評価制度との関係性 |
| ISMS（ISO/IEC 27001） | 組織全体のセキュリティ管理体制 | SCSは技術対策も重視するため、相互に補完する関係 |
| NIST CSF | 対策指針となる標準フレームワーク | SCSの評価基準を整理する際のリファレンスとして連携 |
| SECURITY ACTION | 中小企業向けの基礎的な対策目標 | SCSにおける★1・★2の導入レベルとして活用 |
ISMS（情報セキュリティマネジメントシステム）は、組織のマネジメント体制を重視する国際規格です。一方のSCS評価制度は、サプライチェーンにおける具体的な技術対策も重視します。
また、NIST CSFなどの国際的な標準基準とも互換性を持たせた作りとなっています。既存の規格を活用して対策を進めている企業であれば、SCS評価制度への対応もスムーズに進められるでしょう。
企業がSCS評価制度に対応・取得する3つのメリット
SCS評価制度への対応は、サプライチェーン全体のセキュリティ強化や業務効率化、自社の課題整理など、さまざまなメリットをもたらします。ここでは、企業がSCS評価制度に対応・取得する主な3つのメリットについて見ていきましょう。
- ①サプライチェーン全体のセキュリティリスクを低減できる
- ②取引先ごとのセキュリティ対応を効率化できる
- ③自社に必要なセキュリティ対策を可視化・整理できる
①サプライチェーン全体のセキュリティリスクを低減できる
SCS評価制度へ対応すると、サプライチェーン全体のセキュリティリスク低減につながります。自社だけでなく取引先も含め、一定水準のセキュリティ対策を共通基準で維持できるためです。
近年は、対策が手薄な企業を踏み台にして標的企業へ侵入する攻撃が増えています。自社の対策だけでは防ぎきれないケースもあるため、サプライチェーン全体で防壁を固める取り組みが欠かせません。
その点、データ暗号化プラットフォーム「D.AMO」であれば、万が一侵入された際もデータ漏えいを確実に防ぐ強固な保護環境を構築できます。外部攻撃への対策とあわせて運用することで、組織全体の防御力を大きく引き上げられます。
②取引先ごとのセキュリティ対応を効率化できる
SCS評価制度の導入によって、取引先ごとの評価対応にかかる負担を削減できます。共通の評価基準を活用することで、発注元ごとに異なるチェックシートへ回答する手間を省けるためです。
従来は取引先ごとに質問項目やフォーマットが異なり、似たような確認作業を何度も繰り返すケースが常態化していました。本制度が普及すれば、共通の評価結果を1つ提示するだけで済むようになり、担当者の業務負担軽減が期待できます。
③自社に必要なセキュリティ対策を可視化・整理できる
SCS評価制度を活用すると、自社におけるセキュリティ対策の優先順位を明確に整理できます。統一された評価基準と照らし合わせる過程を通して、不足している対策や改善点が浮かび上がるためです。
具体的には、アクセス権限の管理状況やデータ暗号化の有無、ログの保存態勢などを客観的にチェックできます。自社の弱点を正しく把握して段階的な改善を進める姿勢が、実効性の高いセキュリティ体制の構築へとつながります。
SCS評価制度の取得に向けた企業の取り組みロードマップ
SCS評価制度の取得を目指すうえでは、段階的に準備を進めていくことが大切です。ここでは、企業が取り組むべき手順を3つのステップで解説します。
- ステップ①自社の現状把握・リスクアセスメントの実施
- ステップ②要件クリアに向けた技術的・組織的対策の実行
- ステップ③評価手続き（専門家確認または第三者評価）の実施
ステップ①自社の現状把握・リスクアセスメントの実施
最初に、自社が保有する情報資産と現状のセキュリティ対策レベルを把握しましょう。社内のどこに重要なデータが保存されているか、どのようなリスクが存在するかを洗い出します。
自社の現状とSCS評価制度の要件を照らし合わせることで、不足している対策が浮き彫りになります。まずは現在地を正しく認識し、以降の具体的な計画づくりへつなげてください。
ステップ②要件クリアに向けた技術的・組織的対策の実行
洗い出した課題を踏まえ、評価要件を満たすために必要なセキュリティ対策を実行しましょう。SCS評価制度へ対応するためには、技術面と組織面の両方からバランスよくアプローチを進める必要があります。
技術的な対策としては、アクセス制御や多要素認証、データの暗号化などが挙げられます。重要データを保護するうえでは、万が一ネットワークへ侵入された際も被害を最小限に抑える仕組みが欠かせません。
その点「D.AMO」であれば、データの暗号化からアクセス制御、ログ監査、鍵管理までをワンパッケージで統合して提供可能です。既存システムへ手軽にアドオン導入を行えるため、業務環境を変えずに強固な防御体制を整えられます。
D.AMOについては、以下の記事で詳しく解説しています。あわせてお読みください。
データ暗号化プラットフォーム「D.AMO」とは？機能や特長、利用例を紹介
ステップ③評価手続き（専門家確認または第三者評価）の実施
必要なセキュリティ対策を講じた後は、目標とする評価レベルに応じた評価手続きを進めましょう。★3を目指す場合は、情報処理安全確保支援士などの専門家による確認が必要です。★4では、評価機関による第三者評価を受けることになります。
評価を受ける際には、実施中の対策内容や運用状況を正しく説明できるよう準備しておきましょう。事前に関連するログ記録や社内ルールを整理しておくことが大切です。
なお、評価の取得はゴールではありません。サイバー攻撃の手口は常に変化し続けるため、取得後も継続的にセキュリティ対策を見直す運用を心がけましょう。
SCS評価制度の対応を加速させるデータ暗号化プラットフォーム「D.AMO」
SCS評価制度の要件をクリアするためには、侵入を防ぐだけでなく、侵入後のデータ保護も欠かせません。そこで、データ暗号化からアクセス制御、ログ監査までをワンパッケージで提供する「D.AMO」が有効な解決策となります。
D.AMOは、既存の業務環境を変えずに強固なセキュリティを構築できるプラットフォームです。主な特長として、以下の点が挙げられます。
- アプリケーションの改修不要で稼働中システムへ簡単にアドオン導入
- カラム単位の選択的暗号化によりシステムパフォーマンスを維持
- データベース管理者とセキュリティ管理者の職務分掌で特権IDの不正をブロック
- データ暗号化、アクセス制御、ログ監査、鍵管理を統合したオールインワン設計
- 国内外の特許や認証を取得し、韓国のデータベース暗号化シェアNo.1の実績
大規模なシステム改修をともなわないため、導入の負担や運用コストを最小限に抑えられます。SCS評価制度の本格運用を見据え、確実なサプライチェーン対策を進めるうえで頼もしい味方となるでしょう。
D.AMOの機能詳細については、こちらを参考にしてください。
まとめ
SCS評価制度とは、サプライチェーン全体の安全性向上を目指して企業のセキュリティ対策を共通基準で評価する枠組みです。経済産業省とIPAが創設を進めており、2026年度末頃の制度開始を目指しています。
制度では★1から★5まで5段階の評価レベルが設定されています。自社の事業規模や取引先からの要望にあわせ、目標とするレベルを定めて計画的に対策を進めることが大切です。
D.AMOは、SCS評価制度の高度な要件を1つで満たせる暗号化プラットフォームです。SCS評価制度を見据えた情報保護の基盤づくりとして、活用を検討してみてはいかがでしょうか。