「SCS評価制度」という言葉を耳にする機会が増えてきましたが、具体的にどのような制度で、自社にどう関係するのか分からない担当者の方も多いのではないでしょうか。特に「取引先から対応状況を聞かれたが、何を答えればよいか分からない」という声をよくいただきます。この記事では、SCS評価制度の全体像と★の段階構成、運用開始のスケジュール、そしてその中でもID・パスワードに関連する評価項目への対応方法を解説します。
SCS評価制度とは
SCSとは「Supply Chain Security」の略称です。正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、経済産業省と内閣官房国家サイバー統括室が主導しています。2026年3月27日には「制度構築方針」が公表され、制度化に向けた動きが本格化しています。
この制度の狙いは、企業のセキュリティ対策状況を統一的な基準で可視化し、サプライチェーン全体のセキュリティ水準を底上げすることにあります。
なぜこうした制度が必要とされているのか
近年、大企業を直接狙うのではなく、セキュリティ対策が手薄になりがちな取引先・委託先を踏み台にして侵入する サプライチェーン攻撃が急増しています。自社だけが対策していても、取引先が突破されれば被害は連鎖します。
しかし従来は、「取引先のセキュリティ対策が十分かどうか」を判断する共通のものさしがありませんでした。企業ごとに独自のチェックシートを送り合う運用は、確認する側・される側の双方にとって大きな負担でもありました。SCS評価制度は、この課題に対する共通の評価基準を提供するものです。
★3・★4・★5の3段階構成
SCS評価制度は、対策レベルに応じた★（星）の段階で評価されます。現時点で公表されている構成は次のとおりです。
★3：一般的なサイバー脅威への対処
- 要求事項：26件
- 評価方法：セキュリティ専門家による確認を経た自己評価（専門家確認付き自己評価）
- 有効期間：1年
- OSの更新、ウイルス対策ソフトの導入、パスワード管理、従業員教育など、現場レベルで実施可能な技術的・運用的対策が中心
多くの中小企業にとって、まず目指すことになるのがこの★3です。第三者機関による審査ではなく専門家確認付きの自己評価であるため、比較的取り組みやすい水準といえます。
★4：被害拡大防止とサプライチェーン強靭化
- 要求事項：43件（★3の項目を包含）
- 評価方法：第三者評価（評価機関による審査）および技術検証の実施
- 有効期間：3年
- 初期侵入を防ぐだけでなく、侵入された後の被害拡大防止、組織的なガバナンス、サプライチェーン管理まで踏み込む
★5：より高度なサイバー攻撃への対応
- リスク管理とベストプラクティスに基づく高度な対策を想定
- 要求事項の件数、評価スキーム、有効期間は今後検討とされています
制度はいつから始まるのか
公表されているスケジュールは次のとおりです。
- 2025年度（令和7年度）：実証事業の実施
- 2026年度（令和8年度）上期：制度の詳細化および運用開始準備
- 2026年度下期：評価用ガイド等の公表予定
- その後、順次運用開始の予定
つまり今はまさに、制度が本格稼働する直前の準備期間にあたります。運用が始まってから慌てて対応するのではなく、この時期に自社の現状を把握しておくことが重要です。
「取引先から★を提示される」という仕組み
この制度で特に押さえておくべきなのが、委託元（発注側）が委託先（受注側）に対して適切な★の段階を提示し、示された対策の実施状況を確認することが想定されているという点です。
これは、自社が制度に関心があるかどうかに関わらず、取引先から「★3相当の対応をしてほしい」と求められる可能性があることを意味します。対応できない場合、取引の継続や新規受注に影響が出る恐れもあります。逆に言えば、早期に対応しておくことは、取引先に対する信頼性のアピール材料にもなります。
ID・パスワードに関連する評価項目
評価項目は多岐にわたりますが、その中でもID・パスワード（認証）に関連するものには、次のような観点が含まれます。
1. 管理者IDの個人ごとの発行・管理
複数人で同じ管理者アカウントを共有していると、「誰がいつ何をしたか」を追跡できません。個人ごとにIDを発行し、退職・異動時には速やかに無効化する運用が求められます。
2. 認証の強度・実装方法（多要素認証の有無）
ID・パスワードのみの認証は、パスワードが漏洩した時点で突破されてしまいます。 多要素認証（MFA）を導入しているかどうかは、認証関連の評価項目の中でも特に重要な観点です。
3. アカウントロック制御
パスワードを何度も間違えた場合にアカウントを一時ロックする仕組みは、総当たり攻撃やリスト型攻撃への基本的な防御策になります。
4. パスワード設定・管理ルール
パスワードの文字数・複雑さの要件、使い回しの禁止、初期パスワードの変更ルールなどが整備・運用されているかが問われます。
5. 外部委託先によるリモートアクセス時の認証管理
保守ベンダーなど社外からのアクセスも評価の対象です。 VPN経由のアクセスや テレワーク環境での認証が、ID・パスワードのみに依存していないかを確認しましょう。
ID・パスワード関連項目は「まとめて改善しやすい」
ここまで挙げた項目の多くは、多要素認証を導入することで、まとめて対応状況を改善できます。「認証の強度」はもちろん、共有アカウントの見直しや外部アクセスの認証強化も、MFA導入の検討過程で自然に整理されることが多いためです。
評価項目全体の中では一部にすぎませんが、比較的短期間・低コストで着手でき、かつ実際の被害防止効果が大きい領域であるため、優先的に取り組む価値があります。日々の運用面については ID管理・アカウント管理の基本もあわせてご覧ください。
評価項目のうちアカウント管理まわりは、監査・取引先確認で問われる観点と重なります。整理の仕方はアカウント管理と各種基準・監査対応、記録の残し方はアクセスログの監査で見るべきポイントにまとめています。
対応の進め方（3ステップ）
- ステップ1：現状を把握する — まず自社がどの項目を満たしていて、どこが不足しているかを洗い出します。
- ステップ2：優先順位をつける — 会計データ・顧客情報が集まるサーバーや重要PCなど、被害の影響が大きいところから着手します。
- ステップ3：説明できる状態にする — 取引先から問われた際に、対応状況を数字や資料で説明できるよう記録を残します。
限られたリソースでの優先順位の付け方は、 中小企業がやるべき不正アクセス対策チェックリストでも解説しています。
よくある質問
Q. 中小企業も対象になりますか？
A. 委託元から★の段階を提示される想定であるため、サプライチェーンの一員として取引を行っている企業は、規模を問わず関係する可能性があります。特に大企業と取引のある中小企業は、早めの確認をおすすめします。
Q. まず何から手をつければよいですか？
A. いきなり全項目を確認するのは負担が大きいため、まずは自社の現状把握から始めるのが現実的です。特にID・パスワード関連は着手しやすく、効果も大きい領域です。
Q. ★3と★4はどちらを目指すべきですか？
A. 委託元から提示される段階によります。★4は第三者評価と技術検証が必要で負担が大きいため、多くの企業はまず★3を目指すことになると考えられます。
認証に関する制度としては、プライバシーマークやISMS認証もあります。対象範囲や認証を受ける単位の違いは PマークとISMSの違い、Pマークで認証がどう問われるかは Pマークで二要素認証は必須かで解説しています。
自社の対応状況を確認するには
評価項目は多岐にわたるため、自社がどこまで対応できているかを個別に確認するのは負担が大きい作業です。applippliの無料診断では、約3分の質問に回答するだけで、ID・パスワードに関連するSCS評価項目のうち、現状で充足している項目・多要素認証の導入で満たせる項目を自動で判定し、結果をPDFレポートでお届けします。
実際にID・パスワードが漏洩した場合にどのような被害につながるかは、 ID・パスワード漏洩の実例と対策で詳しく解説しています。
参考・出典
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
- 経済産業省「制度構築方針の公表について」（2026年3月27日）
- IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
※ 本記事は2026年7月時点で公表されている情報に基づいています。制度の詳細は今後変更される可能性がありますので、最新情報は上記の公式ページをご確認ください。