本文へスキップ
D-chain
メニュー ▾
← ブログ一覧
SCS評価制度サプライチェーン中小企業

セキュリティ評価制度の★3、取るかどうかを決めるのは取引先 ── 81項目の中身と、2027年3月の申請開始まで

「取引先から『SCSの★3は取れそうか』と聞かれたら、すぐに答えられるでしょうか」「自工会のチェックシートと何が違うのか」。浜松・静岡の製造業、とくに自動車部品のサプライチェーンにいる中小企業にとって、これから避けて通れない問いです。

経済産業省とIPA（情報処理推進機構）が進める「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）は、2026年9月に料金や全体の日程が公表されました。この記事では、2026年9月時点で公表されている一次情報と、それをもとにした当社の照合結果から、「いつから」「★3で何が求められるか」「うちは対象なのか」を整理します。

セキュリティ評価制度とは ── 取引先に「どこまで対策しているか」を★で示す仕組み

SCS評価制度は、委託先や取引先を踏み台にした攻撃に備えて、サプライチェーンの各社の対策水準を★の数で見える化する制度です。経済産業省と内閣官房国家サイバー統括室が所管し、IPAが運営します。

  • 想定されている使い方は、発注する側が取引先に求める★を示し、取引先がその★を取るというものです
  • いま動いているのは★3と★4です。★5は検討中で、要求事項も開始時期も決まっていません
  • ★3は「専門家確認付き自己評価」です。自己評価を確認して署名する「★3確認責任者」は、社内の人でも社外の人でもかまいません。ただし、誰でもなれるわけではありません。経済産業省の方針では、確認する専門家には情報処理安全確保支援士・公認情報セキュリティ監査人・CISSP・CISM・CISA・ISO27001主任審査員のいずれかの資格が求められ、そのうえで制度の研修を受けて登録します。細かな要件は、これから定められます
  • ★4は「評価機関による第三者評価と技術検証」です
  • 有効期間は★3が1年（毎年更新）、★4が3年（期間中も1年ごとに自己評価を提出）です

いつから? ★3・★4の申請受付は2027年3月の予定

2026年9月11日の運営審議委員会で、全体の日程が整理されました。

時期何が起きるか
2026年10月頃要求事項・評価基準の解説書、★3・★4の申請方法、評価用のガイド類を公開予定
2026年12月下旬評価機関などの指定・公表
2027年1月以降「SCSセキュリティ専門家」の研修・登録が始まる予定（研修の時期は研修事業者によって異なる）
2027年3月★3・★4の申請受付開始（予定）

出典: IPA 第3回運営審議委員会 配付資料・議事要旨（2026年9月11日開催）、IPA よくある質問（A3-1・A3-3）

委員会は、この日程を「2027年3月よりIPAによる申請受付開始予定」として告知すると決めました。ただし、あくまで「予定」で、整備が遅れた場合は見直すとされています。

★3の中身 ── 要求事項26・評価基準81、「全部」満たす必要がある

★3・★4の要求事項と評価基準は、2026年4月にIPAがExcelで公開しています。★3に絞ると、

  • 要求事項は26、評価基準は81
  • 大分類は7つ（ガバナンスの整備/取引先管理/リスクの特定/攻撃等の防御/攻撃等の検知/インシデントへの対応/インシデントからの復旧）
  • 81の評価基準のうち48が「攻撃等の防御」です。IDやパスワードの管理、パッチ適用、マルウェア対策、ファイアウォールなど、日々の運用に関わる項目が中心です

そして、IPAのFAQには次の一文があります。

「★3・★4を取得するには、★3・★4で定められたすべての要求事項・評価基準を満たしている必要があります。」（IPA SCS評価制度 よくある質問 Q3-2）

8割できていれば★3、ではありません。81項目すべてが必要です。

なお、評価基準に含まれる「例外適用」の記載は、10月頃に公開予定の解説書へ移すことが委員会で合意されています。委員からは、基準を緩和したと誤解されないよう、評価基準と解説書を併せて確認するよう周知すべきだという意見が出ています。項目の数や細かな読み方は、解説書とあわせて確かめてください。

対象企業は? ── 任意の制度。★を求めるかは取引先が決める

SCS評価制度は、取得を義務づける制度ではありません。経済産業省の制度構築方針にも、この制度を「任意制度」として立ち上げる前提の記述があります。方針が想定しているのは、発注する側が「対応が望ましい段階」（★3・★4など）を示したうえで、取引先が★を取っているかを確認する、という使い方です。

方針には、取引先がすぐに★を取るのが難しい場合は、発注する側が配るセキュリティのチェックリストとして要求事項・評価基準を使うことも考えられる、とも書かれています。★を求められていなくても、SCSの項目で質問票が届くことはありうる、ということです。

その「求める側」の動きも出てきています。

  • 自動車業界: 自工会・部工会は、最終的には国の新制度に一元化し、★3・★4の取得は各社の任意とする方針です（くわしくは前回の記事）。同じ説明会資料のまとめには「業界としては2028年度以降ガイドラインを一本化」とあります。ただし切り替えの日程は案の段階（継続検討中）で、2027年度に切り替えるかどうかを判断し、2028年度の新しい運用の開始は仮置きとされています
  • 重要インフラ: 国家サイバー統括室の「重要インフラのサイバーセキュリティに係る安全基準等策定ガイドライン」（2026年9月11日策定・10月1日施行予定）は、委託先の対策状況を把握する負担を軽くする方法として、ISMS適合性評価制度と並べてSCS評価制度の活用を挙げています（2.9）

つまり自動車部品の中小企業にとっては、★を取るかどうかは取引先次第ですが、毎年の自己評価の物差しは、SCSの項目に切り替える方向で検討されています。

チェックリストの項目は、自工会のレベル1とどこが違うのか

前回の記事では、経済産業省の整理にそって、★3は自工会ガイドラインのレベル1に対応すると紹介しました。方針の原文は、★3は「自工会/部工会ガイドラインのレベル1の項目をベンチマークとする」としつつ、「★3では一部の技術的対策においてより詳細な管理を求める」と続きます。ただ、どの項目なのかは示されていません。

そこで当社で、★3の81評価基準と自工会ガイドラインのレベル1を、原本同士で1項目ずつ突き合わせてみました（公式な対応表ではなく、当社の読みです。レベル1で足りるかどうかの境目の判定で、数件は前後します）。

  • 81項目のうち、レベル1で説明がつくのはおよそ3分の2（約53項目）
  • 残りの28項目のうち26は技術的な対策で、大きく4つに分かれます
    • ネットワークの境界（ファイアウォールの設置・ルールの記録と見直し、機器の初期パスワードの変更）
    • 監視・検知（ログの取得と分析）
    • 認証の強化（多要素認証、アカウントのロック）
    • 端末の安全な構成（PCの標準構成、使ってよいソフトの管理）
  • 同じ28項目を、自工会ガイドラインのどこで埋まるかで分けると（4つの区分は重なりません）
    • レベル2の項目で埋まる: 15（★3の評価基準の数。自工会側では、レベル2の74項目のうち13項目で、この15がまかなえます）
    • レベル3が要る: 2（重要な機密情報を扱うクラウドサービスへの多要素認証）
    • 自工会ガイドラインにない: 7（アカウントのロック、パスワードの使い回し禁止、USBメモリなどの自動実行の無効化 など）
    • 数値の指定だけ★3の方が具体的: 4（重大な脆弱性は14日以内に更新、パスワードは8文字以上 など）

自工会のチェックシートに毎年取り組んできた会社は、★3の土台の多くをすでに持っています。ただし★3は全項目が必要なので、残りの28項目は1つも落とせません。その多くは、機器の設定や製品の導入で進められる部分です。

補助金は? ── ★取得を無償で支援する「実証事業」がある

  • お助け隊サービス（新類型）実証事業: IPAが採択した15事業者が、中小企業の★3取得（一部★4）を支援するサービスを試行的に提供します。期間は2026年10月〜2027年9月の予定で、実証事業者から参加の費用を請求されることはありません（無償）。実証が終わったあとにサービスを続ける場合は有償です。IPAへの★の登録料の扱いは、このページには書かれていません。申し込みは各事業者へ直接行い、複数の事業者への重複参加はできません
    • 参加できる会社: 「中小企業等」。製造業なら資本金3億円以下または従業員300人以下の会社と個人事業主。大企業の子会社でも、この基準を満たせば対象です
    • 申し込み方: 受付期間の定めはなく、参加したい事業者に直接連絡します。ただし事業者ごとに対象エリア・対象業種が違い、予定数に達していれば参加できないこともあります。まず自社の地域（静岡県）と業種が対象に入っているかを確かめてください
    • 参加すると頼まれること: 制度づくりへの意見の提出や、不審な通信を検知したときの情報提供などへの協力
  • 登録料: ★3の登録料は1年あたり1万円（税込。2028年3月31日までに申請した場合の料金で、4月1日以降の申請は2万円）。★3の確認を社外の確認責任者に頼む場合、その費用は登録料とは別で、依頼先との契約で決まります
  • デジタル化・AI導入補助金（セキュリティ対策推進枠）: 対象は、IPAの「サイバーセキュリティお助け隊サービスリスト」に載っているサービスの利用料です（補助率は中小企業1/2・小規模事業者2/3、補助額5万〜150万円）。2026年8月28日版の公募要領には、SCS評価制度や★の取得についての記載はありません。★の取得そのものに使える補助金は、9月28日時点では確認できませんでした

2027年3月の申請開始までに確認する3つのこと

  1. 自工会の自己評価で、レベル1・2がどこまでできているかを確かめる。2026年度の自己評価は12月31日までに提出します（くわしくは前回の記事）。自工会も今年度の目標を「レベル1・2の達成」としています。レベル2まで進めれば、★3との差分の約半分が埋まります
  2. ★3との差分（28項目）のうち、自社に当てはまるものを確かめる。とくにファイアウォールのルールの記録、ログの取得、多要素認証の3つ
  3. 取引先の求めと、無償の実証事業の対象かどうかを確かめてから、★の計画を立てる。10月頃には解説書と申請方法も公開される予定です。取引先から★を求められていない段階なら、まずは現状把握で十分です

無償の実証事業に参加できなかった場合や、実証が終わったあと（★3は毎年更新です）も、差分の確認や設定の見直しを自社だけで進めるのが難しいときは、外の目を使ってください。

参考文献

公開情報（2026年9月28日取得）。

CONTACT

AI導入・セキュリティのご相談はお気軽に

中小企業のAI導入とセキュリティを、ご提案から運用まで伴走します。初回30分は無料でご相談を承ります。

お問い合わせ