SCS評価制度(★3)取得支援
取引先から「セキュリティ対策の状況を教えてください」と聞かれていませんか
2027年3月頃、経済産業省がSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の運用を開始する予定です。
会社のセキュリティ対策の状況を★3・★4・★5の段階で示し、取引先に伝えられるようにする制度で、事務局はIPA（情報処理推進機構）が務めます。
このうち★3は、中小企業が現実的に目指せる段階として設計されています。求められる内容の多くは、パソコンやサーバー、ネットワーク機器、IDの設定といった、日々の運用の延長にあるものです。
アイ・コンピュータサービスは、パソコン設定・社内LAN・ファイルサーバー・バックアップを本業としてお手伝いしてきました。★3で求められる項目の多くは、私たちが普段行っている作業そのものです。現状の確認から、機器の設定、社内ルールと記録の整備、取得後の維持までをまとめてお引き受けします。
はじめにお伝えしたいこと
SCS評価制度は任意で参加する制度です。2026年4月に経済産業省から注意喚起が出ていますが、「取得しないと取引が規制される」「今すぐ取得しないと入札から除外される」といった説明は誤りです。そうした言い方で契約を急がせる営業にはご注意ください。
一方で、取引先から★の段階を示され、対応状況の確認を求められる場面は今後増えていくと考えられます。求められてから慌てないための準備として、この制度をご案内しています。取得を決めていない段階でのご相談も歓迎します。
制度の概要
| 制度の名称 | サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） |
|---|---|
| 所管・事務局 | 経済産業省・内閣官房国家サイバー統括室／事務局：IPA（情報処理推進機構） |
| 段階 | ★3・★4・★5（★5は内容を検討中） |
| ★3の内容 | 一般的なサイバー脅威に対処しうる水準。26の要求事項・81の評価基準 |
| ★3の評価の方法 | 自社で自己評価を記入し、セキュリティ専門家の確認を受けたうえで、経営層の宣誓を添えて事務局へ提出します。台帳に登録・公開されます |
| ★3の有効期間 | 1年（毎年の更新が必要です） |
| 運用開始 | 2027年3月頃の予定 |
※ ★4は、実地審査と技術検証を伴う第三者評価（有効期間3年・43要求事項）です。当社の支援は★3を対象としています。
★3で求められること
★3の26要求事項は、次の7つの分野に分かれています。かっこ内は、その分野に含まれる評価基準の数です。
| ガバナンスの整備（8） | セキュリティの担当役員・担当部署を決める／守秘義務のルール／セキュリティ対応方針の策定と周知 |
|---|---|
| 取引先管理（4） | 取引先・クラウド事業者との接続関係の把握／機密情報の取り扱いの取り決め／事故が起きたときの役割分担 |
| リスクの特定（11） | パソコン・サーバー・ソフトの台帳／ネットワークと機器の把握／外部サービスの利用ルール／重要情報の管理 |
| 攻撃等の防御（48） | IDの申請承認と退職時の削除／管理者IDの限定／多要素認証／パスワードのルール／アクセス権の整理／教育と訓練／バックアップと復旧手順／不要ソフトの削除／更新プログラムの適用／ウイルス対策／ファイアウォール・ルーターの設定 |
| 攻撃等の検知（3） | 通信の監視／ログとアラートの確認／異常時に気づける仕組み |
| インシデントへの対応（6） | 事故発生時の対応手順／連絡先と報告体制／報告書の様式／社内への共有 |
| インシデントからの復旧（1） | 重要なシステムの目標復旧レベルを定めた復旧準備 |
ポイントは2つあります
- 81項目のうち57項目が、機器・ネットワーク・IDの設定に関するものです。書類を作るだけでは終わりません。実際に設定を直す作業が必要になります。
- 「やっている」だけでなく「記録が残っている」ことが問われます。更新プログラムを適用した記録、バックアップから戻せるか試した記録、従業員に教育を行った記録。これらが揃っているかどうかが分かれ目になります。
当社がお手伝いできること
1. 現状の確認（ギャップ診断）
81の評価基準について、御社の現状が満たしているかどうかを1項目ずつ確認します。
確認した結果は、「できている項目」「あと少しの項目」「これから対応が必要な項目」に分けた一覧にまとめ、必要な作業と概算費用を添えてご報告します。
診断だけのご依頼も承ります。結果をご覧になってから、どこまで進めるかをご判断ください。
2. 技術面の設定作業
不足していた項目のうち、機器やネットワークに関わるものは当社が直接作業します。普段の保守作業と同じ内容です。
- パソコン・サーバー・ソフトウェアの台帳作成と、管理ルールの整備
- ネットワーク構成図・機器一覧の作成
- ユーザーIDの申請承認の仕組みづくり、退職者IDや使われていないIDの整理
- 管理者権限を持つ方の絞り込みと棚卸し
- Microsoft 365 などクラウドサービスの多要素認証（MFA）の設定
- パスワードの設定ルール（初期パスワードの変更・使い回しの防止）と、安全な保管方法のご提案
- 共有フォルダ・ファイルサーバーのアクセス権の整理
- バックアップの設計（取得対象・頻度・保管期間）、遠隔地バックアップ、復旧手順書の作成と復旧テスト
- 使っていないソフトの削除、外部メディアの自動実行の無効化
- サポートが終了したOS・ソフトの洗い出しと、更新プログラムを14日以内に適用する運用づくり
- ウイルス対策ソフトの導入状況・スキャン範囲・定義ファイル更新の確認
- ファイアウォール／ルーターの初期パスワード変更、不要な通信の遮断、不要になった設定の削除
- 通信の監視と、異常があったときに気づける仕組みの導入
- 重要なシステムの復旧目標を定めた復旧準備（BCP）
3. 社内ルールと記録の整備
書類が必要な項目については、雛形をご用意し、御社の実情に合わせて書き換えたうえでお渡しします。実態と違う書類を作っても意味がありませんので、必ず聞き取りを行ってから作成します。
- セキュリティ対応方針、推進体制（担当役員・担当部署）の文書
- 守秘義務のルールと、入社時の説明資料
- 取引先・クラウド事業者との接続関係の一覧と、機密情報の取り扱いに関する取り決めの雛形
- 重要情報の管理台帳（保管場所・保管期限・管理者）
- セキュリティ事故が起きたときの対応手順、連絡先一覧、報告書の様式
- 従業員向けの教育・訓練の教材と、実施記録の様式
4. 取得後の維持
★3の有効期間は1年です。また、26の要求事項のうち5つは「年1回以上の点検」を求めています。取得して終わりにならないよう、継続してお手伝いします。
- 年1回の点検（体制・機器の管理ルール・取引先情報・情報管理ルール・事故対応体制）の代行
- 従業員教育の実施と、記録の作成・保管
- 更新プログラムの適用状況、バックアップの復旧テストの記録づくり
- 翌年の更新申請に向けた資料の準備
当社が行わないこと
誤解を避けるため、はっきりとお伝えします。
- ★3の「セキュリティ専門家による確認」そのものは、当社では行いません。この確認は、情報処理安全確保支援士・CISSP・CISA・CISM・公認情報セキュリティ監査人・ISO/IEC 27001主任審査員のいずれかの資格を持ち、制度が指定する研修を受けた方が担当します。ご希望があれば、専門家の手配についてご相談に応じます。
- ★4の第三者評価（実地審査・技術検証）は行いません。★4は制度に指定された評価機関が実施します。
- 当社は制度の認定機関ではありません。「当社に依頼すれば★3が取得できる」というお約束はいたしません。お手伝いするのは、評価を受けられる状態を整えるところまでです。
進め方
| 1. ご相談 | 取引先から求められている段階、パソコン・サーバーの台数、拠点数などをお聞かせください。お電話・メールで承ります。 |
|---|---|
| 2. 現状の確認 | 訪問または遠隔で、81項目の適合状況を確認します。1〜2日程度お時間をいただきます。 |
| 3. ご報告 | 不足している項目、必要な作業、概算費用と期間を一覧にしてご報告します。ここまでで一度ご判断いただけます。 |
| 4. 対策の実施 | 機器・ネットワークの設定と、社内ルール・記録の整備を進めます。規模により1〜3か月程度が目安です。 |
| 5. 自己評価の記入 | 提出書類の記入をお手伝いします。専門家による確認と申請は、御社または手配した専門家が行います。 |
| 6. 維持 | 年1回の点検・教育・記録づくりを継続し、翌年の更新に備えます。 |
料金
| ★3 適合状況の診断・ご報告 1拠点・パソコン30台程度まで |
132,000円 ～(※1) |
|---|---|
| 社内ルール・記録の整備 方針・体制・守秘義務・情報管理・事故対応手順・教育教材 一式 |
110,000円 ～ |
| 技術面の設定作業 多要素認証・権限整理・バックアップ・ファイアウォール設定など |
11,000円／1時間(※2) |
| 年間維持サポート 年1回の点検代行・教育の実施と記録・更新申請の準備 |
22,000円／月 ～ |
| セキュリティ専門家による確認 | 別途(※3) |
（※1）拠点数・台数・サーバーの構成により変わります。事前にお見積りします。診断のみのご依頼も承ります。
（※2）別途、出張作業基本料 11,000円と交通費を申し受けます。詳しくは企業向けサービスをご覧ください。
（※3）資格を持つ専門家が担当します。費用は専門家により異なります。制度の申請・登録にかかる費用は、2026年8月現在、経済産業省・IPAから公表されていません。
制度の今後の予定
制度はまだ準備が進められている段階です。公表されている予定は次のとおりです。
- 2026年10月頃 ★3・★4の要求事項の解説書、取得ガイド、申請方法が公開予定
- 2026年12月末頃 セキュリティ専門家向けの研修事業者が公表予定
- 2027年3月頃 制度の運用開始予定
申請の受付が始まるまでに準備を整えておくと、開始後すぐに動けます。今の時期は、現状の確認と、時間のかかる設定作業を進めておくのに適しています。
よくあるご質問
取得しないと取引を断られますか？
いいえ。任意で参加する制度で、取得していないことを理由に取引が規制されることはありません。経済産業省もその旨の注意喚起を出しています。ただし、取引先が自主的に★の段階を示し、対応状況の確認を求めることは想定されています。
社員が少なく、情報システムの担当者もいません。それでも取得できますか？
★3は中小企業を念頭に置いた水準です。担当者がいない場合でも、体制を決めて文書にすることと、設定を整えることで満たせる項目がほとんどです。作業と記録づくりは当社が代行できます。
他社が構築したネットワークやサーバーでも対応できますか？
対応します。まず現状を確認したうえで、必要な作業をご報告します。構成が分からない状態からのご相談でも構いません。
診断だけをお願いできますか？
できます。改善作業を必ずご依頼いただく必要はありません。ご報告した内容をもとに、御社で対応していただいても構いません。
ISMS（ISO/IEC 27001）を取得済みですが、関係ありますか？
考え方に重なる部分は多くありますが、SCS評価制度は別の制度です。既にある規程や記録を活かせる項目が多いので、まずは現状の確認からご相談ください。
制度の公式情報
本ページの内容は2026年8月時点で公表されている情報にもとづいています。制度の内容や時期は変更される場合があります。
