投稿日2026/10/31
- AX
- DX
- システム開発
SCS評価制度とは？★3・★4の基準と中小企業の準備【2026年版】
経済産業省のSCS評価制度を、最新のVer1.1をもとに解説します。★3・★4の違い、2026年度末ごろとされる申請受付の開始時期、特定製品が不要である点、Excelを使った点検手順、少人数での体制づくりとAIの活用法を紹介します。
この記事のポイント
- ★3は最低限、★4は標準的にめざす段階と整理されています
- ★3・★4の申請受付は2026年度末ごろ開始が目標です
- 特定製品は不要。Ver1.1のExcelで現状点検から始めます
「取引先から、セキュリティ対策評価制度で★を取ってほしいと言われた」「何から手を付ければよいのか分からない」。こうした相談が、製造業やITサービスの中小企業で増えています。ところがネット上には、制度の開始時期を「2026年10月」とする古い解説も残っています。そのため、どの情報を信じればよいのか迷う担当者も多いはずです。
この記事では、経済産業省が2026年10月28日に公開した「★3・★4 要求事項・評価基準 Ver1.1」を前提に、制度の要点を整理します。あわせて、少ない人数で準備を進める手順を説明します。国の制度全体と攻撃への備えについては、【2026年版】能動的サイバー防御とは？中小企業の取引先に求められる備えもあわせてご覧ください。
SCS評価制度とは？取引先が★を求める理由
SCS評価制度は、取引先の企業がどの水準までセキュリティ対策を実施しているかを★の段階で示す、経済産業省の制度です。正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。サプライチェーン攻撃とは、守りの固い大企業を直接ねらわず、対策の手薄な取引先や委託先から侵入する攻撃のことです。
発注する側の企業は、これまで取引先ごとに独自のチェックシートを配り、対策状況を確認してきました。ただ、このやり方では受け取る側の負担が大きく、回答の水準もそろいません。共通の物差しとして★を使えば、発注側は確認の手間を減らせます。受注側にとっても、同じ内容の回答を何度も作らずに済みます。これが、取引先が★を求め始めている理由です（GMOサイバーセキュリティ byイエラエの解説）。
★3と★4の違いと、自社がめざすべき段階
多くの中小企業がまずめざすのは★3で、重要な取引を担う企業は★4を求められる可能性があります。公開されている解説では、2つの段階は次のように整理されています。
| 段階 | 位置づけ | 評価の方法 |
|---|---|---|
| ★3 | すべての取引先企業が最低限実施すべき対策 | 自己評価を基本とし、専門家の確認を受ける形と説明されています |
| ★4 | 取引先企業が標準的にめざすべき対策 | 第三者による評価を受ける形と説明されています |
評価方法の細かな運用は、今後公表される資料で確定していきます。最終的には経済産業省の制度ページで確認してください。どちらをめざすかは自社だけでは決めにくいため、まず主要な取引先に「どの★を、いつまでに求めるのか」を問い合わせるのが確実です。特に指定がなければ、★3を当面の目標にし、★4の項目は将来の課題として把握しておくのが現実的です。
Ver1.1で示された要求事項・評価基準の見方
Ver1.1は、★3と★4で「何をすべきか（要求事項）」と「何ができていれば満たしたとみなすか（評価基準）」を項目ごとにまとめたExcelの資料です。2026年10月28日に、経済産業省の制度ページで新たに公開されました。
読むときは、次の3点を押さえると迷いにくくなります。
- ★3と★4の範囲を分けて見る：★4の項目まで一度に読もうとすると、量に圧倒されます。まず★3の対象だけに絞ります。
- 「方針・ルール」と「技術的な対策」を区別する：規程を作れば満たせる項目と、設定や運用を変える必要がある項目では、かかる手間が大きく違います。
- 評価基準の文言を証拠に置き換える：「〜していること」と書かれた基準ごとに、それを示せる資料や記録は何かを考えます。
以前の版をもとに作業を始めている企業も、Ver1.1と照らし合わせて差分を確認しておくと安心です。
制度開始はいつ？スケジュールの最新情報
★3・★4の申請受付は、2026年度末ごろの開始を目指すとされています。「2026年10月開始」と書かれた解説は、古い情報にもとづいている可能性があります。最新のスケジュールは経済産業省の制度ページを基準にしてください（JBCCの解説も参考になります）。
評価の進め方を示す評価ガイドは、秋ごろに公表される予定とされています。ガイドが出るまで待つのではなく、公開済みのVer1.1で現状を点検しておけば、ガイド公表後に必要な部分だけを調整できます。受付開始の直後は申請が集中することも考えられるため、年度末から逆算して計画を立てておくと安心です。
特定製品は不要。いまある環境で整える考え方
SCS評価制度では、特定のセキュリティ製品の導入は必須とされていません。求められるのは要求事項を満たしていることで、どの製品で実現するかは各社に任されています（経済産業省）。「★を取るにはこの製品が必要」といった案内を受けたときは、評価基準のどの項目に対応する話なのかを確かめてから判断しましょう。
実際には、すでに使っているOSやクラウドサービスの標準機能で満たせる項目も少なくありません。たとえば、アカウントの棚卸し、多要素認証の設定、更新プログラムの適用ルール、バックアップの取得と復元の確認などです。バックアップと復旧の考え方は、クラウドがランサムウェアで停止したら？IDCF事案に学ぶバックアップと復旧で詳しく解説しています。まずは「今ある環境の設定と運用を見直す」ことから始め、どうしても足りない部分だけ追加の投資を検討するのが、費用を抑えるコツです。
評価基準Excelで現状を点検する手順
現状の点検は、Ver1.1のExcelを自社用の点検表として使うのが最短の方法です。次の手順で進めます。
- 最新版を入手する：経済産業省の制度ページからVer1.1をダウンロードし、作業用にコピーを作ります。
- 対象範囲を決める：どの拠点・部署・システムを評価の対象にするかを先に決めます。取引先とのやり取りに使う環境が中心になります。
- 項目ごとに状態を付ける：「できている」「一部できている」「できていない」の3段階で記入します。判断に迷う項目には、その理由をメモしておきます。
- 証拠の置き場所を書く：規程の文書名、設定画面、記録ファイルなど、評価のときに示す資料の場所を記入します。
- 不足を優先順位づけする：「できていない」項目を、手間の小さいもの、規程づくりが必要なもの、投資が必要なものに分けます。
- 年度末までの計画にする：担当者と期限を決め、月に一度は進み具合を確認します。
最初から完璧をめざす必要はありません。1回目の点検は「現状を把握すること」が目的だと割り切るほうが、作業が止まりにくくなります。
少人数の情シスで回す体制とAIの活用法
少人数でも、役割を3つに分け、文書づくりにAIを使えば準備は進められます。体制は次のように考えるとよいでしょう。
- 経営層（責任者）：目標とする★と期限を決め、必要な予算や人の手当てを判断します。
- 実務担当（情シス・総務など）：点検表の管理、設定変更、証拠の整理を担います。
- 各部署の窓口：自部署の運用を説明し、ルールを現場に浸透させます。
手間がかかりやすいのは、規程や手順書などの文書整備です。生成AIを使えば、評価基準の項目をもとにした規程のたたき台作成、既存の社内文書と項目との対応づけ、手順書を分かりやすい文章に直す作業などを効率化できます。ただし、AIが出した文案は必ず人が確認し、自社の実態に合わせて直してください。実態と違う規程は、評価の場面でかえって問題になります。
また、社内情報を会社が認めていないAIサービスに入力すると、それ自体が新たなリスクになります。AIの利用ルールは、シャドーAIとは？中小企業に潜むリスクと今すぐできる5つの対策を参考に、あらかじめ決めておきましょう。
axflow の視点
axflowは、AI駆動開発とAX（AIトランスフォーメーション）支援を行う会社です。SCS評価制度への準備でも、既存のシステムを残したまま業務を改善する進め方が合っていると考えています。たとえば、Excelの点検表と証拠ファイルの管理が複雑になってきた場合は、項目ごとの状態・担当・期限・証拠の場所を一覧で管理できる簡単な社内ツールを検討します。その際は、動くモックを最短1〜2週間・無料で作り、実際に触りながら要件を固める「モック先行」で進めます。いきなり大きなシステムを作るのではなく、担当者が少なくても回る仕組みを小さく形にすることを重視しています。
よくある質問
SCS評価制度はいつから始まりますか？
★3・★4の申請受付は、2026年度末ごろの開始を目指すとされています。「2026年10月開始」という解説は古い情報の可能性があるため、経済産業省の制度ページで最新情報を確認してください。
★3と★4のどちらを取ればよいですか？
★3はすべての取引先が最低限実施すべき段階、★4は標準的にめざす段階と整理されています。まずは主要な取引先に、求める★と期限を確認するのが確実です。
★を取るために特定のセキュリティ製品は必要ですか？
特定の製品の導入は必須とされていません。要求事項を満たしているかどうかが問われるため、まずは今あるOSやクラウドの設定と運用を見直すことから始めましょう。
評価ガイドが出るまで準備を待つべきですか？
待つ必要はありません。評価ガイドは秋ごろ公表予定とされていますが、要求事項・評価基準のVer1.1はすでに公開されています。今のうちに現状を点検しておくと、ガイド公表後の調整が楽になります。
規程づくりにAIを使っても問題ありませんか？
たたき台の作成には有効です。ただし、文案は人が確認して自社の実態に合わせてください。社内情報は、会社が認めたAIサービスにだけ入力するようにしましょう。
まとめ
SCS評価制度は、取引先のセキュリティ対策を★で示す共通の物差しです。★3・★4の申請受付は2026年度末ごろの開始を目指しており、特定の製品は必須ではありません。まずはVer1.1のExcelで現状を点検し、少人数でも回る体制と文書整備の仕組みを整えましょう。axflowでは、点検や証拠管理の業務を楽にする仕組みづくりや、AIを使った業務改善についてご相談を受け付けています。お気軽に無料相談・資料請求からお問い合わせください。
参考
システム開発、まずは「動くモック」を見てから決めませんか？
axflowのAI駆動開発なら、最短1〜2週間で実際に操作できるモックを無料で作成。
仕様を確定してから本開発に進むので、速く・安く・認識のズレなく形にできます。
執筆者
株式会社property technologies - CTO（最高技術責任者）
前職では、クライアントのWEBサイトシステムの開発、社内のIT開発を経験した後、同社CTOに就任。マーケティングプラットフォーム開発に成功。
フリーランスに転じて企業のITコンサルティング、システム開発の請負等を行った後、2021年5月よりproperty technologiesグループ参画。
CTOとしてエンジニアを統括し、プラットフォーム開発や社内システム開発に従事。
ITコンサルティングおよびシステム開発の請負や、プラットフォーム開発や社内システムの設計・構築まで幅広く手がける。TBSラジオ「ジェーン・スー 生活は踊る」への出演をはじめ、メディアにも出演。
前職では、クライアントのWEBサイトシステムの開発、社内のIT開発を経験した後、同社CTOに就任。マーケティングプラットフォーム開発に成功。
フリーランスに転じて企業のITコンサルティング、システム開発の請負等を行った後、2021年5月よりproperty technologiesグループ参画。
CTOとしてエンジニアを統括し、プラットフォーム開発や社内システム開発に従事。
ITコンサルティングおよびシステム開発の請負や、プラットフォーム開発や社内システムの設計・構築まで幅広く手がける。TBSラジオ「ジェーン・スー 生活は踊る」への出演をはじめ、メディアにも出演。
人気記事
