セキュリティ対策評価制度とは？
2026年度末頃開始予定の制度概要から
対策チェックリストまで徹底解説

本制度の狙いは、発注企業が委託先のセキュリティ水準を、統一された基準によって客観的に確認できる環境を整えることにあります。これまで各社が独自に行ってきたセキュリティ確認を統一基準で効率化し、サプライチェーン全体のセキュリティ底上げを国として推進していく構想です。

経済産業省と内閣官房国家サイバー統括室は、2026年3月27日に正式な制度構築方針を公表しました。制度名にあえて「サプライチェーン強化に向けた」という言葉が冠されていることからも、個社のセキュリティ対策ではなく、産業構造全体の底上げを目的としていることがうかがえます。

既存のセキュリティ関連制度として、IPA（情報処理推進機構）が提供する「SECURITY ACTION」をご存じの方も多いかもしれません。SECURITY ACTIONは、中小企業が自社のセキュリティへの取り組み姿勢を対外的に示すための自己宣言制度で、★1（一つ星）・★2（二つ星）の2段階があります。

SCS評価制度は、このSECURITY ACTIONを土台とし、★3以上ではより高度な実務対応と客観的な評価（専門家確認や第三者評価）を要求する発展的な枠組みとして位置付けられています。

両者の本質的な違いは、評価のあり方にあります。SECURITY ACTIONが「自発的な宣言」であるのに対し、SCS評価制度は「対策の実効性を外部から検証する」点が決定的に異なります。つまり、ポリシーや体制を整備していると主張するだけでは足りず、実際にそれが運用されているかを第三者の目で確認するフェーズに入るということです。

制度検討の経緯を簡単に振り返っておきましょう。2025年4月の「中間取りまとめ」で大枠が固まり、同年12月には「制度構築方針（案）」の公表とパブリックコメントの募集が行われました。そして2026年3月27日に正式版の制度構築方針が公表され、制度は構想段階から実運用フェーズへと移行しています。

正式版では、案段階から要求事項数等が一部見直されています（例：★4は44要求事項・157評価基準 → 43要求事項・153評価基準）。公式には「2026年度末頃の制度開始（申請受付開始）を目指す」とされていますが、制度運営基盤の整備状況等により変更の可能性がある旨も付記されています。今後のスケジュール詳細については、経済産業省の公式発表で随時確認することをおすすめします。

ここで気になるのが、「制度に対応しないとどうなるのか」という点でしょう。現時点ではSCS評価制度への対応は法的義務ではありません。しかし、政府は2社間の取引契約等において委託元が委託先に適切な★を提示し、対策実施状況を確認するという運用を想定しており、独占禁止法・中小受託取引適正化法（取適法）との関係整理もすでに公表されています。

加えて、政府調達や重要インフラ事業者等での活用推進も検討されています。法的な強制ではなくとも、取引慣行のなかで★取得が事実上の必須要件となっていく流れは、十分に想定しておくべきでしょう。海外制度との関係についても触れておきます。英国のCyber Essentialsが制度設計時の参考例として挙げられています。グローバルにビジネスを展開する企業にとっては、こうした国際的な動向も注視しておきたいポイントです。

最近のサイバー攻撃には、明確な傾向の変化が見られます。防御が固い大手企業を正面から攻めるのではなく、セキュリティが手薄な取引先や子会社をいわば「踏み台」にして、本丸へ侵入するパターンが急増しているのです。

国内の重要製造業においても、委託先のシステムがランサムウェアに感染したことをきっかけに、全工場が稼働停止に追い込まれる事例が発生しています。委託先の被害は、発注元の生産ラインを止め、その先のお客様への納品も滞らせ、その結果、サプライチェーン全体に波及する事態を招きます。サプライチェーン全体でのセキュリティ底上げは、もはや一企業の努力でどうにかなる問題ではなく、「経済安全保障」の観点からも国を挙げて取り組むべき急務となっています。

これまで多くの発注企業は、独自に作成した「セキュリティチェックシート」で取引先の対策状況を確認してきました。しかし実態は、双方にとって決して効率的とは言えないものでした。発注側は、回答内容の正確性を裏付ける手段がなく、シートの提出が「スタンプラリー」と化してしまう。受注側は、取引先ごとに書式が異なるシートへの対応に追われ、本業の時間を圧迫されます。こうした非効率な構造が、長らく業界の悩みの種となっていたのです。

SCS評価制度は、国が共通基準を提供することで、この構造的な非効率を解消することを目指しています。発注側は「★4を取得している企業」と確認できれば、それ以上の独自チェックを大幅に省略できますし、受注側も★を一度取得すれば、複数の取引先に対して同じ証明を提示できるようになります。

制度が始まると、発注側が取引先に対して「貴社には★4を求めます」と具体的な水準を示し、対策状況を確認するという運用が現実のものになっていきます。業界や取引先によっては★取得が求められる場面が増える可能性があり、★を保有しない企業は主要サプライチェーンにおいて不利な立場に置かれる可能性があります。

逆に、早期に取得した企業は「信頼の証」を武器に、新規受注の獲得や競合との差別化を図ることができるでしょう。制度対応は、単なる守りではなく、攻めの一手としても捉えられる時代に入りつつあります。

★3は、広く認知された脆弱性を悪用する一般的なサイバー攻撃を想定した基礎レベルです。26の要求事項（81の評価基準）で構成され、SECURITY ACTION（★1〜★2）からのステップアップとして位置付けられています。すべての事業者が目指す出発点となるレベルとお考えください。

★4は、サプライチェーンに大きな影響を及ぼす攻撃を想定し、43の要求事項（153の評価基準）で包括的な対策を求めるレベルです。ポリシーや体制が「存在するか」だけでなく、「実際に運用されているか」という実効性が厳格に問われる点が、★3との大きな違いです。

※ ★4の評価基準（No.4-4-3-1）では、ファイアウォール・プロキシサーバ・認証サーバのログをそれぞれ 6ヶ月間保管することが求められています。

★5は、未知の攻撃を含む高度な標的型攻撃（APT攻撃等）にも対応するレベルです。国際規格等におけるリスクベースの考え方に基づく改善プロセスの整備と、ベストプラクティスに基づく対策の実施が方向性として示されていますが、対策基準・評価スキームの詳細は2026年度以降に具体化が検討される予定です。

判断の鍵となるのは、「自社の事業停止が発注元にどれほどの影響を与えるか」「発注元からどの程度機密性の高い情報を預託されているか」の2点です。自社の事業中断が発注元の製造ライン停止やサービス中断に直結する場合、あるいは機密性の高い設計図、未発表のマーケティング素材、個人情報などを預託されている場合は、★4の取得を強く検討すべきといえます。発注元から見て「この企業が止まると困る」存在であるほど、求められる水準は高くなるとお考えください。

一方、★3はすべての事業者が目指す最低ラインであり、ISMS未取得企業にとっての出発点となります。まずは★3で基礎を固めたうえで、自社の役割の重要度に応じて★4へのステップアップを検討する。こうした段階的なアプローチも、現実的な選択肢のひとつです。

「すでにISMSを取得しているから、★4も問題なくクリアできるのでは」と考えている方もいるかもしれません。しかし、ここには注意が必要です。ISMSはマネジメントシステムの認証であり、SCS評価制度は具体的な技術的対策の実装状況と証跡を問う制度です。両者は評価の射程が異なるため、ISMS取得済み企業であっても自動的に★4を満たせるわけではありません。具体的には、脆弱性管理の運用実態（パッチ適用の頻度と記録）、ログの保管期間（FW・プロキシ・認証サーバのログは6ヶ月間の保管が必要）、多要素認証の導入状況、インシデント対応訓練の実施記録などにギャップが生じやすいポイントです。Pマークについても同様で、こちらは個人情報保護に特化した認証であり、SCS評価制度が求める技術的対策とは評価の射程がさらに異なります。Pマーク取得のみで安心するのは危険です。ISMS・Pマークで構築した管理基盤を活かしつつ、SCS評価制度固有の要件差分を着実に埋めていきましょう。これが、既存認証取得済み企業にとっての現実的な戦略となります。

★3で求められるのは、基礎的なポリシー策定と責任体制の明確化が中心です。★4ではこれに加えて、「整備したルールが実際に運用されているか」という実効性の証跡が求められます。

▼組織的対策チェックリスト

★3では基礎的な技術対策の導入が問われ、★4では「運用が継続されているか」「ログや記録が残されているか」という実装と証跡の両面が問われます。

▼技術的対策チェックリスト

両表を見比べていただくとお気づきの通り、★4の評価ではポリシーや仕組みの存在だけでなく、「実際に運用されているか」を証跡で示すことが厳格に問われます。アクセス制御の設定記録、パッチ適用の履歴ログ、操作ログの保管実績、インシデント対応訓練の実施記録などが、証跡として必要となります。

ここで多くのIT担当者が直面するのが、「証跡管理が属人化してしまう」という課題です。証跡を特定の担当者の手作業に頼っていると、異動や退職のたびに「記録の空白」が生まれ、いざ評価申請の段階になって「記録が残っていない」と気づくことになりかねません。

この課題に対しては、ファイル送受信サービスやログ管理基盤など、日常業務の中で証跡が自動的に蓄積される仕組みを取り入れることが、組織的に証跡管理を支える有効な手段の一つとなります。次セクションでは、ファイル送受信領域に焦点を当て、こうした仕組みの具体例についてご紹介します。

ここからは、★3・★4の主要な要求事項のうち、ファイル送受信業務に関わる領域について、SECURE DELIVERの機能がどう紐付くかを一覧で整理します。表の右端列「導入効果」は、IT担当者にとっての運用負荷軽減や業務面での変化を示したものです。

前述のとおり、この対応表が示すのはあくまで「ファイル送受信業務に関わる部分における対応」であり、各要求事項を網羅的に充足することを示すものではありません。この前提を踏まえて、6つの領域の対応関係をご覧ください。

※要求事項の分類は、経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日公表）の★4評価基準をもとに整理しています。なお、本表が示すのはファイル送受信業務に関わる領域での対応関係であり、★取得に必要な要求事項の全体充足には、組織的対策（ポリシー策定、責任体制の整備、従業員教育等）や、社内システム全体の脆弱性管理・ログ管理基盤の構築といった運用体制の整備と組み合わせることが前提となります。

対応表の6項目は、SCS評価制度の要求事項との関係性の強さに濃淡があります。対応関係を整理して捉えていただくため、3つの観点でご紹介します。

第一に、ファイル送受信業務における要求事項に直接対応する領域です。アクセス制御、ログの取得・保管、データ保護・暗号化の3つがここに該当します。これらは★4が定める評価基準（識別認証、ログ管理、暗号化）に対して、SECURE DELIVERの認証・ログ・暗号化機能が機能としてそのまま該当するもので、ファイル送受信経路における要求事項を直接的に充足します。

第二に、業務プロセスの実効性を支える領域として位置づけられる承認・監査体制です。SCS評価制度は「送信時の上長承認」を直接明文化しているわけではありませんが、★4が求める「組織的対策の実効性」「業務プロセスの統制」を、ファイル送受信業務において具体化する手段として機能します。事前承認・事後承認・管理者監査により、人的判断に頼らないシステムレベルでの統制が可能になります。

第三に、制度対応を進める過程で副次的に得られる領域です。シャドーIT対策と帳票類の電子授受がここに該当します。シャドーIT対策はSCS評価制度が独立した要求事項として定めているわけではありませんが、社員が「安全な送信手段」を日常業務のなかで使える環境を整えることで、無料転送サービスやUSB利用の温床を組織から取り除く効果があります。帳票類の電子授受はSCS評価制度ではなく電子帳簿保存法への対応領域ですが、同じサービス基盤で並行して進められる付加価値として、導入検討時にあわせて整理しておきたい項目です。

最初に取り組むべきは、自社の「現在地」を客観的に把握し、目標レベルとの差分を特定することです。IT資産の洗い出し、現行のセキュリティポリシーの確認、アクセス制御・脆弱性管理・ログ管理の現状を、経済産業省が公表している要求事項・評価基準と照合していきます。

そのうえで、自社が目指すべき★（★3か★4か）を決定し、前述のチェックリストを活用してギャップを洗い出します。ISMS取得済み企業であれば★4への差分を、未取得企業であれば★3を出発点とした分析を行うのが基本です。

このギャップ分析を丁寧に行うことが、後続のステップの精度を大きく左右します。「なんとなく対策を始める」のではなく、「自社に何が足りないかを明確にしてから動き出す」。この順序を守ることが、限られたリソースで★取得を目指すうえでの鉄則となります。

ギャップ分析の結果をもとに、コスト・リスク・実装難易度のバランスを考慮しながら対策の優先順位を付けていきます。技術的対策（多要素認証の導入、パッチ管理の自動化、ログ保管体制の構築、ファイル送受信サービスの導入など）と組織的対策（ポリシー策定・改訂、責任者の任命、インシデント対応訓練の実施など）を並行して進めることで、限られたリソースで効率的に★取得の要件を満たしていきます。

ここで一点、重要な視点をお伝えしておきます。セキュリティツールの導入は、★取得に向けた対策のあくまで一部であって、それだけで要求事項のすべてが満たされるわけではありません。ツールが提供するのは「技術的な仕組み」ですが、★4が問う「実効性」は、その仕組みを支えるポリシー・運用体制・従業員教育といった組織的対策と一体になって初めて担保されます。ツール導入と組織的対策を「両輪」として位置付け、並行して進めていく視点を忘れないようにしましょう。

★取得には経営層の理解と予算確保が欠かせません。SCS評価制度への対応は「コスト」ではなく「取引維持・競争力強化のための投資」であるという視点でフレーミングし、社内合意を得ていきましょう。IT担当者にとっては、制度の存在そのものが経営層への「説得の根拠」となります。

準備が整ったら、★3であれば専門家（情報処理安全確保支援士等）への確認依頼を、★4であれば認定評価機関への申請を進めます。なお、★3の有効期間は1年（毎年自己評価を実施）、★4は3年（毎年自己評価を実施し結果を評価機関へ提出）であり、取得後も継続的な改善サイクル（PDCA）を回す体制の構築が求められます。

申請手続きの詳細は、2026年秋頃に公表予定の評価ガイドで明らかになる見込みです。最新の情報は経済産業省の公式発表でご確認のうえ、申請スケジュールに織り込んでください。

経済産業省とIPAが創設する「サイバーセキュリティお助け隊サービス（新類型）」は、中小企業が★3・★4を安価かつ簡便に取得することを目的に、現状診断から対策支援までをパッケージ化した支援策です。

2026年度末頃のSCS評価制度開始にあわせて、先行版のサービスインが予定されています。IPAが実施する実証事業は2026年8月頃から2027年9月頃までの約1年間が計画されており、★取得を目指す中小企業にとって、外部の専門知見を活用しながら制度対応を進められる現実的な選択肢となるでしょう。

デジタル化・AI導入補助金（旧：IT導入補助金）では、サイバーセキュリティお助け隊サービスの導入費用が補助対象となっています。ファイル送受信サービスの導入やセキュリティ強化にも活用できる可能性があるため、自社が対象となる補助金・助成金を早期に確認し、申請スケジュールを制度対応のロードマップに組み込んでおくことをおすすめします。

補助金は申請から採択・交付までに一定の期間を要します。「★取得の準備が整ってから補助金を探す」のではなく、「補助金スケジュールを前提に対策計画を立てる」という発想で、ロードマップ全体を逆算しておくと、コスト負担を効率的に抑えられます。