SCS評価制度とは｜中小企業がWebサイトで確かめること

「取引先からSCS評価制度の話を聞いたけど、うちの会社にも関係あるの？」

中身を知らないままだと、取引先に聞かれたときに答えに詰まってしまいます。

結論、SCS評価制度は任意の制度で、取り組むならWebサイトも必ず評価の範囲に入ります。

制度のしくみと、中小企業がWebサイトで確かめることを順番に見ていきましょう。

SCS評価制度とは？

SCS評価制度とは、企業のセキュリティ対策を共通の基準で評価し、委託元と委託先の確認の手間を減らすための制度です。

正式な名前は「サプライチェーン強化に向けたセキュリティ対策評価制度」。

経済産業省と国家サイバー統括室の監督のもと、IPAが運営しています。

供給が止まることや機密情報の漏えい、取引先を踏み台にした侵入などのリスクを減らすのがねらい。

段階は★3から★5まであり、それぞれの考え方は次のとおりです。

要求事項の数は、★3が26件、★4が43件。

★5については、要求事項や評価のしくみ、開始時期がまだ決まっていない段階です。

検索するとJC-STARという名前の★3も出てきますが、SCS評価制度とは別の制度なので混同しないようにしましょう。

公式の説明は、IPAのSCS評価制度のページにまとまっています。

取らないといけない制度なの？

いきなり取得を求められるのでは、と不安になっていませんか？

SCS評価制度は任意の制度です。

★を取るかどうかの扱いは、取引の契約などで決めることになっています。

制度そのものが、すべての企業に取得を義務づけたり、取引を止めたりするものではないということ。

一方で、★を取れば完全に安全だと保証されるわけでもない点は押さえておきたいところです。

★4は★3の要求を含む上の段階ですが、★3を先に取っておく必要はありません。

受付はいつから始まる？

登録の受付は、2027年3月以降に始まる予定です。

2026年9月の委員会でも、この予定で合意されました。

ただ、確定した受付開始日はまだ示されていない状態。

登録料などは、2026年9月18日にIPAが公表した料金の案内で確かめられます。

資料によって時期の書き方が違うのはなぜ？

ほかのサイトで、違う開始時期を見かけたことはありませんか？

資料が出た時期によって、受付開始の書き方が少しずつ違うんです。

どれかが間違っているわけではなく、後に出た資料ほど具体的になっているということ。

古い資料の時期をそのまま使わず、IPAの最新の案内で確かめるようにしましょう。

要求事項の解説書も2026年10月頃に公開予定とされているので、受付前に読んでおくと安心でしょう。

★3と★4は評価のしかたが違う

★3は自社で評価し、★4は外部の評価機関が評価します。

★3では、所定の専門家が自己評価の中身を確かめて署名します。

そのうえで、組織が自己適合を宣言して登録を申請する流れ。

★4は、自己評価を準備したうえで、評価機関が第三者として評価する方式です。

二つの違いを表にまとめると、次のとおり。

★4では、有効期間の途中も毎年自己評価を行って評価機関へ出します。

適用範囲などが大きく変わったときは、あらためて評価を受けることになっています。

社内の担当者だけで宣言して終わり、という制度ではないことが分かりますよね。

中小企業がWebサイトで確かめること

評価の対象は、クラウドも含めた会社のIT基盤です。

中でも、インターネットに公開しているWebサーバーやメールサーバーは、範囲に必ず含める方針になっています。

一方で、工場の設備などを動かす制御系のシステム（OT）や、自社で管理・運用していない販売製品などは、直接の対象外とされています。

レンタルサーバーやクラウドを使っていても、任せきりにはできないのがポイント。

自社が作った部分の対策か、提供している会社の対策状況を確かめていきましょう。

★3の要求事項のうち、Webサイトの運用に関係が深いのは次のような項目です。

• 使っているサーバーやソフト、外部サービスの把握
• サーバーのOSやミドルウェアの更新
• 管理画面のアカウントと権限の管理
• 設定変更の承認と、ファイアウォールのルール
• 不正な通信の監視と通知
• バックアップと復旧の手順

制作会社や保守会社に任せている部分はありませんか？

その場合は、外部サービスのセキュリティ要件や機密情報の扱い、事故のときの役割が決まっているかも確認しておきましょう。

私が最初につまずきやすいと思うのは、どの要求事項番号がどの作業に当たるのかが見えにくいところです。

番号と証跡の例は、SCS評価制度★3の自己評価でWebサイトについて確認する項目と番号で表にまとめています。

なお、Webサイトの確認だけで★3を取れるわけではなく、すべての要求事項と評価基準を満たす必要があります。

脆弱性診断は必須なの？

「SCSを取るなら、まず脆弱性診断を受けないといけないのでは？」と迷う方もいるかもしれません。

公表中の★3と★4の要求事項と評価基準には、「脆弱性診断」や「ペネトレーションテスト」を明示した項目はありません。

★4の評価では、技術検証として脆弱性検査が行われます。

対象は、インターネットに公開している機器のうち、悪用されると内部への侵入リスクが高いもの。

VPN装置やルーターなどがこれに当たり、すべてのWebアプリを診断するという意味ではないんです。

ただし、取引先が個別の契約で追加の確認を求めることは、制度とは別の話として起こりえます。

★4の技術検証では何を見る？

これらの機器について決めているのが、★4で追加される評価基準4-4-4-3です。

インターネットとの境界にあるネットワーク機器のOSやファームウェアに、CVSS基本値7.0以上の脆弱性がないことを求めています。

CVSS基本値とは、脆弱性の深刻度を0〜10で表す共通の尺度です。

ペネトレーションテストは、技術検証を行う事業者向けの基準（SCS-320）に、事業者のサービスの登録区分として出てくる言葉。

★を取る企業に、一律に実施を求める決まりではありません。

必須ではない診断をどこで使えばいいかは、SCS評価制度と脆弱性診断の関係で詳しく整理しています。

診断は必須ではないものの、外から見たWebサイトの状態を確かめる手段のひとつと考えておくとよいでしょう。

Webサイトの状態を確かめて、自己評価の準備を進めよう

SCS評価制度は任意の制度ですが、取り組むならWebサイトも評価の範囲に入ります。

何から手をつければいいか、迷ってしまうかもしれません。

まずは使っているサーバーやソフト、管理画面のアカウントを書き出すところから始めてみてください。

外から見たWebサイトの状態を診断で確かめておくと、自己評価の裏付けや、取引先へ対策の状況を説明するときの材料になります。

診断にかかる費用は、診断の料金プランで事前に確かめておきましょう。

※この記事は、2026年10月19日時点で確認したIPAと経済産業省の資料をもとにしています。

※配布中の要求事項・評価基準のExcelは、2026年9月11日の委員会で軽微な修正に合意されており、運用開始時の最終版ではありません。

※番号や例外の扱いは、解説書の公開後にあらためて確認してください。