１．はじめに
「取引先からセキュリティ対策の状況を聞かたけどうちは大丈夫か？」
「セキュリティレベルの認証を取らなければいけないの？」
近頃、このようなご相談を受ける機会が増えています。
2026年3月27日、経済産業省と内閣官房が
「サプライチェーン強化に向けたセキュリティ対策評価制度（通称：SCS評価制度）」
の構築方針を公表しました。
参照：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
（https://www.meti.go.jp/policy/netsecurity/scs.html）
2026年度末の本格運用に向けて準備が進むこの制度は、
これからの企業間取引における、「新たなセキュリティの評価指標」となると注目を集めています。
本記事では、SCS評価制度の基本的な仕組みから中小企業への影響、
同時に注意すべき点まで、
企業の担当者が知っておくべきポイントを解説します。
２．サプライチェーン・セキュリティ評価制度とは
なぜ今この制度が発表されたのか？
近年発生しているサイバー攻撃の多くは、セキュリティが強固な大手企業を直接狙うのではなく、
その取引先である中小企業（サプライチェーン）を「踏み台」にして侵入する手法が主流になっています。
自社のセキュリティが万全であっても、1社でも対策が手薄な取引先があれば、
グループ全体やサプライチェーン全体の操業停止や情報漏洩に繋がってしまうのが、
現代のビジネス環境のリスクです。
こうした背景から、経済産業省と独立行政法人情報処理推進機構（IPA）が中心となり、
取引関係にある企業群のセキュリティ対策状況を
共通の基準で可視化する仕組みとして創設されたのが「SCS評価制度」です。
どのような評価が行われるのか？
SCS評価制度では、企業が実施しているセキュリティ対策レベルが「★マーク」を5段階評価の形で表されます。
★１～★２：既存の「SECURITY ACTION（セキュリティ対策自己宣言）」がこの役割を担い、
自社で取り組むことを宣言します。
★３～★５：新制度として創設される枠組みです。
すべてのサプライチェーン企業が最低現実装すべき基準から高度な対策まで段階的に定義され、
専門家や認定機関による第三者的な確認・評価が行われます。
これにより、これまで企業ごとにバラバラだった「セキュリティチェックシート」のやり取りが統一化され、
効率的な確認が可能になると期待されています。
３．SCS評価制度における「★の段階構造」と役割
本制度では、企業のセキュリティ対策レベルが★１～★５までの５段階で可視化されます。
ここで重要なのは、「数字が大きいほど偉い（格付け）」というわけではないという点です。
企業ごとの規模やビジネス上の役割、扱う情報の重要度に応じて
「どのレベル（★）を目指すべきか」の目標設定を行うために設計されています。
各段階の概要と役割をさらに具体的にします。
【★１・★２】自社での取り組み宣言（エントリーレベル）
既存の「SECURITY ACTION（セキュリティ対策自己宣言）」がこの役割を担います。
自社のセキュリティ対策の第一歩として、
社内ルールや基本的な対策に取り組んでいることを自ら宣言するものです。
★１：情報セキュリティ５型（OS更新、パスワード管理、UTM/ウイルス対策ソフト導入など）の取り組みを宣言
（一つ星の宣言の仕方はこちら▶SECURITY ACTIONセキュリティ対策自己宣言「『一つ星』を宣言する」）
★２：自社の「情報セキュリティ基本方針」を定め、外部へ宣言
（二つ星の宣言の仕方はこちら▶SECURITY ACTIONセキュリティ対策自己宣言「『二つ星』を宣言する」）
【★３】サプライチェーンに連なる企業が「共通して目指すべき基準」（ミドルレベル）
サプライチェーン全体をサイバー攻撃から守るため、
事業規模に関わらず「サプライチェーンに参画する企業として、最低限実装しておくべきセキュリティ対策」
として定義されています。
位置づけ：取引を行う上での「共通の土台・前提条件」
確認方法：導入書記は負担軽減のため「自己宣言」からスタートし、
段階的に確認レベル（第三者検証など）を高めていく規定
中小企業への影響：大手企業などの発注元から「まずこの★３基準の達成」をと求められる可能性
【★４・★５】高度なセキュリティ対策（アドバンスドレベル）
重要インフラに関わる事業者や、機密性の高い高度な技術情報・重要データを扱う企業に向けた上位レベルです。
★４：組織的なセキュリティ管理体制が確立され、高度な攻撃に対しても継続的な運用や監視
（SOC運用やCSIRT連携など）が行われているレベル
★５：国の安全保障や最先端技術の漏洩防止など、非常に高度な防衛体制と、
厳格な第三者評価が求められる最高水準のレベル
（参考）経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
（https://www.meti.go.jp/policy/netsecurity/scs.html）
抑えておきたいポイント
目指すべき★の目安は企業によって異なる
すべての企業が「★５を目指さなければならない」という制度ではありません。
一般的な中小企業であれば、まずは
「★１・★２の自己宣言の内容を確認し、制度の本格稼働（2026年度末～）に向けて
★３の基準に対応できる体制を整えておく」
という順番が現実的で効果的な準備の進め方かもしれません。
また、★の獲得のために、特定のセキュリティ対策機器の導入が必須というものではありません。
言い換えると、「この機器を導入すれば★３が取れる」とはなりません。
★の取得自体は目的ではなく、目安です。
企業にとって
・優先すべきセキュリティ対策
・できることの優先順位を立てる
・従業員さんのセキュリティ意識を上げる
など、今回をきっかけに現状と対策を「知り」、「実施につなげる」ことが大事です。
４．中小企業への具体的な影響
公的な報告書でも明記されている通り、
この制度は企業同士のランキングや競い合い（格付け）を目的としたものではありません。
あくまでも「適切なセキュリティ水準を取引のなかで確認しあうこと」が目的です。
そのため、直接的な影響は以下のような形で中小企業にも届くと予想されます。
①発注元（親会社・主要取引先）からの対策要請がある可能性
大手企業が自社のサプライチェーンの安全を確保するため、
「取引先は★３以上の基準を満たしてください」といった形で、
対策の実施や状況の提示を求めてくるケース
②取引継続や新規案件獲得の条件になる可能性
これまでは「製品の品質」や「価格」が選定基準の主流でしたが、
今後は「セキュリティ対策がしっかりしているか」が取引を始める、続けるための必須条件になりつつあります。
セキュリティ対策が単なる「コスト」から、「事業を継続するための重要なインフラ」へと変化しています。
５．経済産業省が発表「SCS評価制度」についての注意喚起とは？
参照：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に関する注意喚起」
（https://www.meti.go.jp/policy/netsecurity/20260427_scs.html）
制度への関心が高まる一方で、見過ごしてはならないのが「制度を利用した悪質な営業行為」です。
経産省からも、制度の導入に便乗した、過度・不審な勧誘に対する注意喚起が出されています。
実務担当者や経営者の方は、以下の点にご注意ください。
誤解を誘う悪質な営業トークの例
・この認証（★の評価）を取らないと、今後の企業間取引から除外されます と不安を煽る
・「経産省から委託された指定業者です」と偽って有料コンサルティングを売りこむ
・「この機器を導入すれば、即座に制度に対応できます」と契約を急かせる
3つの防衛策
①SCS評価制度は任意であり、「義務（ペナルティ付き強制）」ではない
本制度は公的な評価の仕組みですが、
法律で全企業に罰則付きで強制するものではありません。
取引先との協議の中で柔軟に対応していく性質のものです。
②“経済産業省指定の民間業者”などの言葉を鵜吞みにしない
制度の監督は経済産業省及び内閣官房、運営主体はIPA（情報処理推進機構）です。
個別の民間企業が突然電話や訪問で、「経産省の委託できました」と勧誘してきた場合は、
安易に応じず公的な情報を確認してください。
③社内で判断がつかない場合は専門窓口などに相談する
「取引先からチェックシートが届いた」「業者から来た電話の内容が正しいかわからない」といった場合は、
自己判断で契約せず、信頼できる担当者に相談しましょう。
当社でもご相談を承っておりますので、お気兼ねなくご連絡ください。
６．まとめ 企業規模に合った対策から始めましょう
2026年度末からの本格始動に向けて、
SCS評価制度の詳細なガイドラインや評価要件は順次公表されていく予定です。
今大切なのは、以下のような基本的セキュリティ対策を着実に整えておくことです。
・OSやソフトウェアを最新状態に保つ（Windowsアップデートを定期的に行う）
・ウイルス対策ソフトやUTM（統合脅威管理）の導入・見直し
・パスワード管理の強化や多要素認証の利用
制度の背景にある「自社と取引先を守る」という本質を捉え、
できることから少しずつ準備を始めていきましょう。
SI Labo BY SASAKISELLM
TEL：0586-77-4338 FAX:0586-76-692
Eメール：ss-sys@sasakisellm.co.jp
ホームページ：https://silabo.jp/