「SCS評価制度」という言葉を耳にする機会が増えてきましたが、具体的にどのような制度で、自社にどう関係するのか分からない担当者の方も多いのではないでしょうか。この記事では、制度の全体像と★の段階構成、申請受付が始まるまでのスケジュールを整理したうえで、公式の要求事項のうちID・パスワード・PCログインに関わる項目を番号つきで抜き出します。
SCS評価制度とは
SCSとは「Supply Chain Security」の略称です。正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、経済産業省と内閣官房国家サイバー統括室が検討を進め、2026年3月27日に「制度構築方針」を公表しました。制度を運営するスキームオーナーは情報処理推進機構（IPA）です。
この制度の狙いは、企業のセキュリティ対策状況を共通の基準で評価・可視化し、委託元・委託先双方の負担を減らしながら、サプライチェーン全体の水準を底上げすることにあります。経済産業省は、対策レベルを競わせる格付け制度ではないとも明記しています。
なぜこうした制度が必要とされているのか
近年、セキュリティ対策が手薄になりがちな取引先・委託先を踏み台にして侵入する サプライチェーン攻撃が問題になっています。自社だけが対策していても、取引先が突破されれば被害は連鎖します。
一方で、取引先の対策状況を外から判断するのは難しく、委託先の側は取引先ごとに違うチェックシートへの回答を求められてきました。SCS評価制度は、この課題に対する共通の評価基準を提供するものです。
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
★3・★4の段階構成（★5は今後検討）
対策の段階は★3と★4に分かれています。★5については、要求事項や評価の仕組みを今後検討するとされています。
★3：一般的なサイバー脅威への対処
- 要求事項：26件
- 評価方法：セキュリティ専門家による確認を経た自己評価
- 有効期間：1年
- ID・パスワードの管理、OSやソフトウェアの更新、ウイルス対策、従業員への周知など、基礎的な対策が中心
★4：被害拡大防止とサプライチェーン強靭化
- 要求事項：43件（★3の項目を包含）
- 評価方法：第三者評価機関による評価
- 有効期間：3年
- 初期侵入を防ぐだけでなく、侵入された後の被害拡大防止、ログの取得と監視、組織的なガバナンスまで踏み込む
どちらも、特定のセキュリティ製品の導入が必須とされているわけではありません。要求事項を満たす実装例などをまとめた評価ガイドは、2026年秋頃を目途に公表される予定です。
制度はいつから始まるのか
経済産業省が示している予定は次のとおりです（制度運営の準備状況により変わる可能性があります）。
- 2026年3月27日：制度構築方針と、★3・★4の要求事項・評価基準を公表
- 2026年秋頃：評価ガイド（実装例などをまとめた資料）を公表予定
- 2026年度末頃（2027年1月〜3月頃）：★3・★4の制度開始（申請受付の開始）を予定
つまり現在は、要求事項はすでに読める一方で、申請はまだできない期間です。申請の受付を待たずに、公開済みの要求事項と自社の現状を照らし合わせておくことができます。
取引先との関係：委託元が★を提示する仕組み
この制度では、委託元（発注側）が委託先（受注側）に適切な★の段階を提示し、示された対策を促すとともに実施状況を確認することが想定されています。
ただし、制度自体は任意です。★をどのような要件として契約で扱うかは、取引の当事者同士で合意するものとされています。経済産業省は、★の取得の有無だけでなく、要求事項・評価基準を共通のチェックリストとして使い、必要な水準を満たしているかを確かめる使い方も想定しています。
実務では、★の取得より先に、取引先から要求事項に沿った質問やチェックシートが届く形で関わることが多くなると考えられます。回答の仕方は取引先からセキュリティチェックシートが届いたらで扱っています。なお経済産業省は、この制度に便乗した不適切な勧誘への注意喚起も出しています。
ID・パスワード・PCログインに関わる要求事項
公開されている「★3・★4要求事項及び評価基準」のうち、ID・パスワード・PCログインに直接関わるのは、主に4-1（アクセス管理）の項目です。要点を番号つきでまとめます（要約です。正確な文言は公式の資料で確認してください）。
| 番号 | 段階 | 求められていること（要約） |
|---|---|---|
| 4-1-1 | ★3 | ユーザIDの付与・変更・削除を申請・承認制にする。IDは共有しない（やむを得ず共有する場合は、誰が使ったかを特定できるようにする）。不要になったID・権限は速やかに削除または無効化する |
| 4-1-2 | ★3 | 管理者権限を持つ人を限定し、管理者IDも共有しない（やむを得ない場合は利用者を特定できるようにする）。誰が管理者IDを持っているかを把握する仕組みを整える |
| 4-1-3 | ★3 | すべてのIDをパスワード等で認証する。重要な機密情報を扱うクラウドサービスには、常に多要素認証を使う。多要素認証で使うパスワードは8文字以上 |
| 4-1-3 | ★4 | 上記に加え、重要な機密情報を扱うシステムで、インターネット経由で社内に接続する場合・管理者がインターネット経由でアクセスする場合などにも多要素認証を使う |
| 4-1-4 | ★3 | PCへのログオンは、失敗するたびに試行間隔が長くなる設定か、10回以上の失敗でロックする設定にする。PCのログオンには6文字以上のパスワードまたはPINを使う |
| 4-1-5 | ★3 | 初期パスワードの変更、推測されやすい単語の禁止、使い回しの禁止を社内ルールにする。多要素認証か10回失敗でのロックを行う場合は8文字以上、どちらもできない場合は英大文字・小文字・数字を含む10文字以上 |
| 4-1-6 | ★3 | パスワードを安全に保管するルール（施錠保管した紙やパスワード管理アプリなど）と、漏洩またはその疑いがあるときに速やかに変更する手順を定める |
| 4-1-7 | ★3 | システムやPCのアクセス権の発行・変更・削除のルールを定める（★4では年1回以上の棚卸しも求められる） |
このほか、ファイアウォールやルーターの初期パスワードの変更（4-5-1、★3）、★4では認証サーバーのログを月1回以上確認して不審な認証試行を見つけること（4-4-3）や、退職時にIDや鍵を含むアクセス権を回収すること（3-1-4）も求められています。
パスワードの文字数の条件（6文字・8文字・10文字）
★3の評価基準では、パスワードの文字数は1つの数字ではなく、場面と組み合わせる対策によって変わります。
| 場面・条件 | 求められる長さ | 評価基準 |
|---|---|---|
| PCへのログオン・スマートデバイスのロック解除 | 6文字以上のパスワードまたはPIN | 4-1-4-2 |
| 多要素認証か、10回失敗でのアカウントロックを併用する場合 | 8文字以上 | 4-1-5-3 |
| 多要素認証も試行回数の制限もできない場合 | 英大文字・小文字・数字を含む10文字以上 | 4-1-5-3 |
| 多要素認証の知識情報として使うパスワード | 8文字以上 | 4-1-3-4 |
| ファイアウォール・ルーターの認証 | 4-1-5の基準を満たす | 4-5-1-3 |
PCのロックアウトを設定できない場合は、4-1-5で求められるよりも強いパスワードを使うなどの代替策が求められます（4-1-4-1）。自社のWindowsの設定はADのパスワードポリシーを確認するコマンドで確かめられます。なお、長さの基準を上げるほど「忘れました」の問い合わせは増えやすくなります。その対策はPCのログインパスワードを忘れた社員への対応で扱っています。
誤解されやすい点
- ★3で多要素認証が常に求められるのは、重要な機密情報を扱うクラウドサービスです。社内PCへのログオンには、試行回数の制限と6文字以上のパスワードまたはPINが求められています。★4では、インターネット経由で社内に接続する場合などにも多要素認証が求められます。詳しくは★3でPCログインに多要素認証は必須かで扱っています。
- 共有IDは一律に禁止されてはいません。やむを得ず共有する場合は、誰が使ったかを特定できるようにすることが求められています。進め方は共有アカウントの廃止で扱っています。
- パスワードの定期変更は求められていません。代わりに、漏洩またはその疑いがあるときに速やかに変更する手順が求められています。
- パスワードの長さは、他の対策との組み合わせで変わります。多要素認証か10回失敗でのロックを行うなら8文字以上、どちらもできない場合は英大文字・小文字・数字を含む10文字以上です。
それぞれを社内で確かめる方法は、Windowsの管理者ユーザーを一覧にする方法、ADのパスワードポリシーを確認する方法、アカウントロックアウトの原因を特定する手順、入社・退職時のアカウント管理で扱っています。
誤解されやすい点
対応の進め方（3ステップ）
- ステップ1：現状を書き出す — 公開済みの要求事項に沿って、自社がどこまでできていて、どこが手つかずかを項目ごとに書き出します。
- ステップ2：優先順位をつける — 重要な機密情報を扱うクラウドサービスや、顧客情報が集まるサーバー・PCなど、影響が大きいところから着手します。
- ステップ3：説明できる状態にする — 取引先から問われたときに、設定や手順を資料で示せるよう記録を残します。
限られたリソースでの優先順位の付け方は、 中小企業がやるべき不正アクセス対策チェックリストでも解説しています。
よくある質問
Q. ★3や★4の取得は義務ですか？取得しないと取引を打ち切られますか？
A. 経済産業省は任意の制度と説明しています。★をどのような要件として契約で扱うかは、取引の当事者同士で合意するものとされています。また、制度の開始は申請受付の開始を意味するため、開始時点で★を取得している企業は存在しません。
Q. ★3では、社内PCへのログインにも多要素認証が必要ですか？
A. 要求事項・評価基準では、★3で多要素認証が常に求められるのは、重要な機密情報を扱うクラウドサービスへのアクセスです。社内PCへのログオンについては、試行回数の制限（10回以上の失敗でロックなど）と6文字以上のパスワードまたはPINが求められています。★4では、インターネット経由で社内に接続する場合などにも多要素認証が求められます。
Q. パスワードの定期変更は求められていますか？
A. ★3・★4の要求事項・評価基準に、パスワードを定期的に変更する項目はありません。求められているのは、推測されやすい単語の禁止、使い回しの禁止、初期パスワードの変更、漏洩またはその疑いがあるときに速やかに変更する手順です。
Q. ★3は社内の情報システム担当者が確認すればよいですか？
A. ★3は自己評価ですが、「セキュリティ専門家」による確認が必要とされています。社内の情報システム担当者であればよいというものではありません。専門家の要件は制度構築方針で示されています。
Q. まず何から手をつければよいですか？
A. 公開されている要求事項・評価基準を見ながら、自社の現状を項目ごとに書き出すことから始めるのが現実的です。ID・パスワードまわりは社内の設定を確かめれば答えが出る項目が多く、着手しやすい領域です。
認証に関する制度としては、プライバシーマークやISMS認証もあります。対象範囲や認証を受ける単位の違いは PマークとISMSの違い、Pマークで認証がどう問われるかは Pマークで二要素認証は必須かで解説しています。
いまの運用を棚卸ししてみる
要求事項と自社の現状を照らし合わせるには、まず現状を書き出す必要があります。applippliの無料棚卸しでは、10問・約3分に答えるだけで、ログインまわりでいま何をやっていて、何が手つかずのまま残っているかが項目ごとの一覧になります。制度への適合を判定するものではありませんが、上の表のうちID・パスワード・PCログインの項目について、自社の現在地を書き出す出発点としてお使いいただけます。
実際にID・パスワードが漏洩した場合にどのような被害につながるかは、 ID・パスワード漏洩の実例と対策で詳しく解説しています。
参考・出典
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」（制度の概要・開始時期・よくあるお問い合わせ）
- 経済産業省「★3・★4要求事項及び評価基準」（Excel）
- 経済産業省「制度構築方針の公表について」（2026年3月27日）
- IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
※ 本記事は2026年9月時点で公表されている情報（経済産業省ページの最終更新 2026年5月20日）に基づいています。制度の詳細は今後変更される可能性がありますので、最新情報は上記の公式ページをご確認ください。